富士フイルム、ランサムウェア攻撃でネットワーク停止

Rory

2021.07.28

Analyst’s Choice

「アナリスト・チョイス」では、弊社インテリジェンスアナリストが注目の記事をピックアップし、そこで取り上げられた脆弱性やマルウェアなどの脅威情報に対する洞察・ソリューションなどをコメントしています。

アナリスト：

Rory Morrissey

(Intelligence Architect @Machina Record)

Articles

・富士フイルム、ランサムウェア攻撃でネットワーク停止

・マイクロソフトが悪意あるドライバー「Netfilter」に署名

関連記事：ランサムウェア：世界・日本の被害事例と企業が取るべき対策

富士フイルム、ランサムウェア攻撃でネットワーク停止

・富士フイルムは、東京本社が2021年6月1日にサイバー攻撃を受けたことを発表しました。同社は、「ランサムウェア攻撃の可能性を認識した」と述べました。

・この攻撃を受けて同社は、自社ネットワークの一部を停止し、外部からの通信を遮断することを決定しました。今回のインシデントはFujifilm USAにも影響を及ぼしました。Fujifilm USAはネットワークの問題に見舞われ、Eメールおよび電話システムが影響を受けました。

・Advanced IntelのVitali Kremez氏はBleepingComputerに対し、富士フイルムは先月トロイの木馬「Qbot」に感染した、と伝えました。Kremez氏は、「Qbot」マルウェアグループが現在「REvil」ランサムウェアグループと協力しているということを指摘しつつ、「Qbot」への感染により、将来ランサムウェア攻撃を受けるリスクが生じる恐れがあると述べました。

情報源：

1. 1. https://www.bleepingcomputer.com/news/security/fujifilm-shuts-down-network-after-suspected-ransomware-attack/?_hsmi=131360021&_hsenc=p2ANqtz-_qGJ4IYTEmYWdin6E0J-VChSne7uxjiJKAC0dJWGXAyMgNOrhCc8Iv0heMDlRHVhSV5k7f-LcX5FSYv-dYw9FFAoAcMQ
  2. https://www.bedelsecurity.com/blog/qakbot-malware

Analyst’s Comments

影響範囲：

現在のところ、侵入の範囲は富士フイルム東京本社内の特定のネットワークに限られています。この攻撃中にどの情報が盗まれた、あるいは改ざんされた可能性があるかについては依然として詳細が明かされていません。

見解：

上記の情報源によると、富士フイルムは先月「Qbot」に感染したと報告されています。「Qbot」のオペレーターは被害者システムへのリモートアクセスを販売しているため、「Qbot」トロイの木馬は「REvil」ランサムウェアをはじめとする次のランサムウェアの感染経路として機能することが多いです。「Qbot」はまた、インストールされた際に、保存されている被害者のパスワード、クッキー、クレジットカード情報、Eメール、そしてオンラインバンキングのクレデンシャルを盗もうとすることでも知られています。「Qbot」は、被害者のクレデンシャルを利用することにより、フィッシングを通じて被害者と関わりのある組織や個人に感染しようとします。

緩和戦略：

被害者のコンピューターへの「Qbot」の主たるインストール手法は、フィッシングEメールやフィッシングウェブサイトに隠された悪意あるダウンロードファイル等を通じたものであるため、全ての従業員が適切なサイバーハイジーンを実践することで、この脅威を大幅に排除することができます。加えて、この脅威を緩和するために以下の措置をとることをご検討ください。

1. 1. 使用を権限のあるユーザーに限定するために、SMB（Server Message Block）を無効にするか、あるいはSMBのホワイトリスト機能を使用しましょう。
  2. ビヘイビア（挙動）ベースのアンチウイルス保護製品を使用しましょう。
  3. 実行可能なスクリプトや、PowerShellなどその他のスクリプトタイプで書かれたEメールメッセージを隔離しましょう。また、悪意あるサイトからのメッセージがユーザーの元へ到達するのを防ぐために、DMARCを有効にすることをご検討ください。
  4. Active Directory アカウントやウェブフィルタリングを利用するなど、全てのアクセスに対して最小限の権限を付与しましょう。

マイクロソフトが悪意あるドライバー「Netfilter」に署名

・G Dataの研究者が、マイクロソフトによって署名された、「Netfilte」と名付けられた悪意あるドライバーを発見しました。最も古いものは2021年3月のものです。このドライバーは文字列の一部を難読化し、TEMPファイルを作成して、C2から構成情報を呼び出します。このマルウェアの中核的な機能はIPリダイレクトであることが判明した上、同マルウェアにはセルフアップデートルーチンも備わっていてURLからアップデートサンプルの引き出しを行っているほか、プロキシ設定とルート証明書も組み込まれています。

・マイクロソフトによれば、このドライバーの配布は中国のゲームセクター内で行われており、企業環境内ではなかったとのことです。同マルウェアにより、アクターが自身の地理的位置情報を偽ってゲーム内での優位性を獲得することが可能になっていたほか、他のプレーヤーのアカウントをキーロガーなどのツールで侵害できるようになっていました。

・このマルウェアの活動は全て、すでに入手されていた管理者特権を利用し、侵入後に発生していました。マイクロソフトは、WHCP（Windows Hardware Compatibility Program）の署名証明書が流出したという証拠を視認しておらず、インフラは侵害されていませんでした。このドライバーがどのように署名プロセスを通過したのかは不明のままです。

情報源：

1. 1. https://www.gdatasoftware.com/blog/microsoft-signed-a-malicious-netfilter-rootkit?_hsmi=136778222&_hsenc=p2ANqtz-86wSxghApi4HNS6FSIMUAZAPKL2p2uiX4z_KTcbCuCRvvEcaOX0esPvrAojAYCvuWV0ErDuUXXXVAHBFWVYCWG3qCCvQ (IoCあり)
  2. https://msrc-blog.microsoft.com/2021/06/25/investigating-and-mitigating-malicious-drivers/?_hsmi=136778222&_hsenc=p2ANqtz-8kvAnGjQO_LuXsEuAf8a1KMRrYdJ6oSIEEJmV-VqWHDIKcdR54gNyDy5id88GVp4Rv2NWwhyAauoHxyMR_ray45w4fTw (IoCあり)

Analyst’s Comments

影響範囲：

これは、中国のゲームセクターのみに影響を与える独立したインシデントでした。標的にされていると報告された企業はありませんでした。

見解：

マイクロソフトによって正式に署名された悪意ある証明書あるいはドライバーは、見落とされた場合、ゼロデイエクスプロイトとほぼ同等の危険性を持つ恐れがあります。セキュリティ検出システムからは誤検出のように認識される場合があり、簡単に見過ごされる可能性があります。このインシデントは中国内の、企業ではないゲームセクターでのみ観測されているため、現在のところ、それ以外のセクターへのリスクは低いです。