「WannaCry」による暗号化を解除可能？--研究者がツール公開

サイバーセキュリティ研究者らが米国時間5月18日、ランサムウェア「WannaCry」によって暗号化されたファイルの暗号を解くためのツールを公開したという。

　ランサムウェアに感染したユーザーの選択肢は限られている場合が多い。要求に応じて身代金を支払うか、ファイルを失うかだ。No More Ransomなどの組織が、ファイルのロックを解除するためのツールのリポジトリを作成している場合もある。

　18日、世界中で猛威を振るうランサムウェア攻撃の被害に遭ったユーザー向けとされる「WanaKiwi」が公開されたようだ。この修復手段は、「Windows XP」から「Windows 7」までのバージョンを使用しており、感染したコンピュータをまだ再起動していない場合、という非常に限られた被害者を対象としたものだという。つまり、WannaCryに感染した後にコンピュータを再起動した場合は対象外となる。（米CNETはWannaCryに感染したコンピュータがないため、このソリューションをまだ試してはいない）。

　まず、Quarks Labの研究者Adrien Guinet氏が、「WannaKey」というツールを提供したと述べている。さらにフランスの研究者であるBenajmin Delpy氏が、このツールをWanaKiwiとして更新し、Windows 7端末でも使えるようにしたとしている。このツールは、Delpy氏のGitHubのページでダウンロードできる。（編集部注：ツールを利用する場合は、あくまで自己責任となる）。

　この修復手段が登場してからも、WannaCryによるコンピュータ感染は続き、WannaCryの派生版も出現している。したがって、Wanakiwiのような修復手段が必要となる可能性のある、感染したばかりの犠牲者も存在するということになる。

この記事は海外CBS Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。

誰が何のために？--マルウェア「Wannacry」で残る3つの謎

5月12日に欧州で発覚したマルウェア「Wannacry」の大規模感染から1週間あまりが経過した。これまでの間に、世界中のサイバーセキュリティ機関やベンダーなどによる調査や分析からさまざまな事実が判明したが、それでもいくつかの謎が残されている。

疑問1. Wannacryはランサムウェアか？　ワームか？

　Wannacryの素性で最初に広く認知されたのは、「ランサムウェア」としての顔だった。感染したWindows端末上のファイルを暗号化し、ビットコインによる身代金の支払いを要求する。

一方で、短時間のうちに大規模感染を引き起す「ワーム」としての側面も浮上した。セキュリティ各社の解析から、Wannacryにはランサムウェアとワームの大きく2つの顔があり、ワームとしての機能には、4月中旬にハッカー集団「Shadow Brokers」が暴露した米国家安全保障局（NSA）の攻撃ツールや脆弱性情報が流用されていることも分かった。

　身代金要求画面を被害者に突き付けるWannacryの手口は、ここ数年、世界中で氾濫する典型的なランサムウェアの特徴であり、その意味では多くの人が、すぐにWannacryをランサムウェアだと認識した。一方でワームとしての活動は密かに実行され、その顔が知られるまでには、専門家らによる解析を待たなければならなかった。

　Wannacryが持つ2つの顔は、いったいどちらが正しいのか――これについては専門家の間でも見方が割れている。

　ランサムウェアとしての顔を注視するベンダーある解析担当者は、「Wannacryの問題を必要以上に深刻にとらえるべきではない」と話す。「パッチをあてる」「最新のセキュリティソフトを利用する」「データを適切にバックアップする」といった基本的な対策をしていれば、今回の出来事が、ランサムウェアとしては特別な脅威にあたらないとみる。

　一方でワームとしての顔を注視する専門家は、マルウェア攻撃が新たな段階に入ったと危機感を募らす。攻撃者は、Shadow Brokersが暴露した手法をいち早く取り入れてマルウェアを強化し、世界中に脅威を拡散させた。既に同様の手法で攻撃する別のマルウェアも出現し、Shadow Brokersのような存在がこうした脅威の元凶になり、セキュリティを提供する側にとっては、非常にやっかいな事態に陥ったとする意見が聞かれる。

疑問2. Wannacryの初期侵入はどのように行われたのか？

　解析や調査から現時点で判明しているのは、Wannacryが感染元の端末から感染先を広げていく方法で、Wannacryが最初に侵入する方法については分かっていない。

　当初は、典型的な侵入方法とされる偽装メールの添付ファイル、あるいはメールに記載されたリンク先からのファイルダウンロードが有力視された。しかし、どのベンダーも感染源と目されたメールの存在を確認していないという。Wannacryのような大規模感染であれば、「通常なら攻撃メールがすぐに発見されるはず」というのがベンダー各社の見解だ。

　初期侵入の手口を探る1つの手がかりが、Wannacryの拡散方法にあるとする専門家もいる。

　Wannacryが拡散時に使用する脆弱性や、脆弱性の攻撃ツール「EternalBlue」、EternalBlueが端末に仕掛けるバックドア「DOUBLEPULSAR」などは、いずれもShadow Brokersが暴露したものとされる。この暴露が行われた直後、いくつかのセキュリティベンダーは、DOUBLEPULSARに感染している端末が世界中に数十万台存在すると報告し、その後にWannacryの大規模感染が発覚した。

　こうした経緯や、Wannacryの感染規模とDOUBLEPULSARの感染規模がほぼ同等であるといった状況から、専門家らが予想するWannacryの初期感染の有力なシナリオは次のような内容だ。

　まず攻撃者は、Shadow Brokersによって暴露された方法をそのまま、あるいは参考にして、ネットワーク経由で脆弱な端末を探索する。脆弱な端末に対してツールで攻撃し、バックドアを仕掛ける。さらに、バックドア通じてワーム機能を搭載したWannacryを送り込み、ここから大規模感染につながった……。

　Wannacryの感染規模は150カ国以上で数十万台以上とされるが、感染台数に対して被害組織の数は少ないという見方もある。その理由は、Wannacryが感染先を探索する際に接続を試みるポート445/TCPを、多くの企業ではインターネット側には閉じており、LANなど内部ネットワーク側には開いているためだというものだ。

　情報処理推進機構（IPA）やJPCERT コーディネーションセンター（JPCERT/CC）などによれば、モバイル接続ができる持ち出し端末での感染ケースが報告された。持ち出し端末がオフィスの外などでインターネット接続された際にWannacryに感染し、その端末が感染元としてオフィス内のLANにも接続されたことで、組織内部に感染が拡大した可能性を指摘する声もある。

疑問3. Wannacry攻撃者の正体と狙いは何か？

　一見するとWannacryは、ランサムウェアとワームの2つの顔を持つ高度なマルウェアのように映り、「攻撃者は高度な組織」との予想が浮上した。

　Wannacryの構造を解析したKasperkyなど一部のセキュリティベンダーは、ワーム機能を備える前のWannacry（「Wannacry 1.0」などと呼ばれる）の一部のコードが、過去にさまざまな標的型攻撃を仕掛けたとされる「Lazarus」グループが使用したマルウェアのコードに類似していると指摘した。

　Lazarusは国家の支援を受けた組織とされ、一部メディアはWannacryの背景に国家の関与があるのではないかと報じた。ランサムウェアとしての手口は表向きであり、真の目的は、その騒動の裏側でDOUBLEPULSARなどさまざまな不正プログラムを拡散させ、国家がスパイ活動やサイバー攻撃を実行するためだという見方だ。

　この点について5月19日に来日したKasperkyの取締役会長兼最高経営責任者（CEO）のEugene Kaspersky氏はメディアの取材に応じ、「あくまで技術的な観点から初期のWannacryとLazarusのマルウェアとの間に共通性が認められたということに過ぎない。その背後の組織については、当社の立場では分からない」と説明した。

　その上でKaspersky氏は、Wannacryの攻撃はスパイ目的ではなく、ランサムウェアを使った金銭狙いのサイバー犯罪だとの見方を示し、「18日時点でWannacryの攻撃者に支払われたビットコインは800万円ほどに過ぎず、これだけの感染規模に対してはあまりに実入りが少ない。失敗だろう」としている。

　また、「結果的に攻撃者は世界中から追われる立場になった。この追跡は警察当局の役割であり、当社もそれに協力する。いずれ明らかになるだろう」ともコメントしている。

ランサムウェア「WannaCry」感染状況のリアルタイムマップが公開中

これは新しいサイトではないが、現時点で、おそらくインターネット上で最も魅力的なサイトの1つだろう。

　MalwareTechと名乗るセキュリティアナリストが米国時間5月12日、ランサムウェア「WannaCry」による世界規模の攻撃を一時的に食い止めた。このアナリストが、攻撃を受けているコンピュータに固有のIPアドレス（インターネット上のコンピュータの住所）の位置をリアルタイムで示すボットネットトラッカーを作成している。5分間、1時間といった単位で攻撃状況を示すマップや、新しい攻撃、全ての攻撃の数を表すグラフィックスも公開されている。

このサイトは時折、過負荷でダウンしている可能性があるので、リアルタイムマップが機能しない場合は、数分間待って、再度試してほしい。

　企業が業務を開始してオンラインに接続するにつれて、攻撃が西に広がっていくのを確認できる。WannaCryを最も高速に拡大させるのは、企業の感染である。このランサムウェアはワームを使って、ネットワーク経由で自己増殖するからだ。

　先週末、WannaCryの開発者たちは、MalwareTechが見つけた弱点を修復した。

　これとは別に、概算データにすぎないが、WannaCryが猛威を振るい始めてからのBitcoinでの身代金支払いを1時間単位で示しているサイトもある。このサイトの情報が正しいとすれば、12日以降、身代金支払いは大幅に減少している。