ランサムウェア攻撃への対応と乗り切り方の分析

ランサムウェア攻撃の全貌

ある大手プロフェッショナルサービス企業のCOOは、ランサムウェアがいかに陰湿なものになっているかを身をもって知ることになりました。同社ではバックアップを実施しており、実用的な災害復旧（DR）戦略も整っていました。 それにもかかわらず、ランサムウェアが同社に侵入し、事業をほぼ麻痺させる事態となりました。同社がHYCUを導入し、HYCUのサポートチームの尽力があったからこそ、この壊滅的とも言うべきランサムウェア攻撃から回復することができたのです。

経緯

最高執行責任者（COO）は、自身が所属する大手プロフェッショナルサービス企業が、ランサムウェア攻撃を含むあらゆる種類の攻撃に対応できる準備が整っていると考えていました。彼は同社に20年以上勤務しており、バックアップ戦略や災害対策を含め、同社のIT環境をしっかりと把握していました。

米国南東部に拠点を置く同社は、Nutanix Enterprise Cloudプラットフォーム上で業務を行っていました。アプリケーションの大部分をNutanix上でホストし、50台以上のサーバー、1,000万ファイル以上、30TB以上のデータを管理していました。 医療分野を専門とする同社は、HIPAA規制の対象となる多くの記録も保管していました。

これらのデータとアプリケーションを保護するため、同社は2つのアプローチを採用しました。フロントエンドでは、サイバーセキュリティソフトウェアを使用してランサムウェア攻撃を検知・防止しました。 バックアップについては、「HYCU for Nutanix」を活用し、毎日の増分バックアップと毎週のフルバックアップを実施していました。

また、同社はすべてのデータを100マイル以上離れた第2のデータセンターにレプリケートしていました。このアーキテクチャにより、同社はオンプレミスおよびリモートの両方で迅速なフェイルオーバーと復旧が可能となっていました。 COOは、ランサムウェアがこれらの防御をどれほど容易に突破し、さらにはそれを逆手に取って自分たちを攻撃し得るかを、全く予期していませんでした。

ランサムウェアの警告サイン

同社に対するランサムウェア攻撃は、実際に発動するまで、事前の警告サインがほとんど見られませんでした。攻撃が始まる前の金曜日、ログに初めてアラートが表示されました。 同社が導入していたサイバーセキュリティソフトウェアは、不審な活動の兆候を示していました。しかし、これらのアラートはいずれも、誰かの注意を引いたり、対応を促したりするほどのレベルには達していませんでした。

その後の調査により、攻撃の根本原因が明らかになりました。メールに添付されたWordファイルが同社に侵入したのです。そのファイルにはマクロが埋め込まれていました。このWordファイルが開かれると、RYUKマルウェアウイルスが環境内に侵入し、二段階にわたる攻撃を開始しました。

攻撃の第1段階では、ファイルサーバーやWindowsサーバーに感染させることで、マルウェアが社内のネットワーク全体に拡散しました。この感染により実行ファイルが仕込まれ、第2段階でそれが起動しました。その後、元のウイルスは自らを削除しました。このため、後日攻撃の発生源を特定することが困難となり、ウイルスの出所や正体を隠蔽する一助となりました。

日曜日に大混乱が巻き起こる

日曜日の午前11時頃、RYUKウイルスが活動を開始したことで、COOの周囲は混乱に陥り始めました。 オフィスには誰もいませんでしたが、ウイルスは各デバイスのユーザーと同じセキュリティ権限を仮定して実行されました。これにより、ウイルスはそのシステムのリソースだけでなく、ネットワークへの広範なアクセス権を得ることになりました。

「このランサムウェア攻撃により、読み取り可能なファイルは1つだけ残されました。 そこには、身代金の支払いを交渉するためのハッカーのメールアドレスへのリンクが含まれていました。」

攻撃はさらに続き、アクセス可能なネットワーク接続ドライブやローカル接続ドライブを検出して暗号化しました。その後、ローカルサーバーやPC上のすべてのファイルとデータを暗号化しました。 感染した各デバイス上で、このランサムウェアが残したのは、読み取り可能なファイルが1つだけでした。それはHTMLファイルです。このファイルには、身代金の支払いを交渉するために被害者が連絡できる、ハッカーのメールアドレスへのリンクが含まれていました。

打開策の見えない状況

COOのポケットベルが鳴った時点では、すでに手遅れのように見えました。 すべてのWindows PC、ノートPC、サーバー、およびネットワーク上のファイルが暗号化されていました。事態をさらに悪化させたのは、同社が導入していたプロセスにより、暗号化されたデータが災害復旧（DR）サイトへ複製されていたことです。これにより、同社はリモートでの復旧を行うことができなくなりました。

さらに、追い打ちをかけるように、ランサムウェアは共有ネットワークドライブに保存されていたすべてのバックアップファイルも暗号化してしまいました。 絶望感が募る中、COOは自分に残された4つの選択肢を検討しました。

「さらに調査を進めたところ、データの復号を支援すると申し出た請負業者は、自社データを暗号化したハッカーたちの隠れ蓑である可能性が高いことが判明しました。」

1. 彼は、要求される身代金の額を確認するため、自身の匿名メールアドレスからハッカーのメールアドレスに連絡を取りました。
2. 彼はバックアップテープを確認し、復元可能なデータがあるかどうかを確かめました。
3. 彼は、データの復号化を支援することで、企業がランサムウェア被害から回復できるようサポートすると謳う業者に依頼しました。
4. 彼は、バックアッププロバイダーであるHYCUに連絡し、
   自社のデータ復旧を支援してもらえるかどうかを確認しました。

行き止まりの道

最初の3つの方法に関する回答は、彼の最悪の懸念を裏付けるものでした。 ハッカーたちは彼のメールに対し、92ビットコイン（約100万米ドル）の身代金を要求してきました。COOはある程度の支払いは覚悟していましたが、100万ドルという金額は到底受け入れられるものではありませんでした。

バックアップテープにはわずかな希望が見えましたが、期待できるものはほとんどありませんでした。 同社では、データの約60％しかテープにバックアップしておらず、それも月1回のみでした。さらに、テープからデータを復元し、アプリケーションを再構築するには数週間を要する見込みでした。COOは、テープを復旧の手段として利用するのはあくまで最後の手段だと考えており、仮に利用したとしても成功する見込みはほとんどないと見ていました。

復号化を請け負う業者は安心感を与えるどころか、いくつかの懸念材料を提示しました。仮にその復号化ソフトウェアが機能すると仮定しても、データの復号化には最低1万ドルの費用がかかるというものでした。しかし、さらに調査を進めた結果、その業者は、データを暗号化したハッカーたちの隠れ蓑である可能性が高いことが判明しました。そのため、彼はこの選択肢を却下しました。

HYCU：最初の希望の光

最初の希望の光が見えたのは、日曜日の夜遅く、彼のチームがHYCUのVM上で暗号化されていないファイルを発見したときでした。ランサムウェアは、ネットワークファイラーに保存されていたすべてのバックアップを暗号化していました。 しかし、HYCUは、ランサムウェアに感染も暗号化もされていない、システムによって生成された単一のファイルをホストVM上に保持していました。

COOと彼のチームは、この暗号化されていないファイルを検出した直後にHYCUに連絡を取りました。彼らは、このファイルを復旧に活用する方法がないか確認したかったのです。

『A Hard Day’s Night』

連絡を受けたHYCUのサポートチームは、この問題を最優先で対応しました。課題となったのは、HYCUのVMに保存されていたファイルが、当初、復旧を目的として作成されたものではなく、その形式も復旧に適していなかったことです。

HYCUのバックアップソフトウェアは、ネットワークサーバーに保存されるバックアップファイルを作成する前に、このファイルを使用してデータをキャッシュしていました。暗号化されてはいませんでしたが、当初、HYCUがこのファイルにアクセスし、復旧に利用できるかどうかは不明でした。

HYCUのサポートスタッフがこの問題に取り組む中、数分が数時間に変わっていきました。 その間、HYCUでは、この問題を世界中のサポートチーム間で引き継ぎ合っていました。これにより、常に新鮮な視点で問題に取り組むことが可能でした。また、HYCUはエンジニアリンググループのメンバーも招き入れ、問題の診断にあたりました。

「COOは、HYCUのサポートチームが敗北を認める姿を一度も目にすることはありませんでした。 むしろ、問題が解決するまで自社のチームと共に取り組むという彼らの決意を目の当たりにしました。」

月曜日になる頃には、HYCUは問題の原因を特定し、解決していました。HYCUはこのファイルの解凍に成功し、その中のデータにアクセスして、同社のすべての仮想マシンを復元することができました。

計り知れない感謝の気持ち

COOは、どれほど計り知れない感謝の念を抱いているか、言葉では言い表せませんでした。HYCUは、まさに「魔法のような手腕」を発揮し、同社のデータ復旧を支援してくれたのです。彼は、HYCUがそのファイルを復旧のために提供してくれたことが、いかに重要であったかを認めました。 そうでなければ、同社がIT環境を完全に復旧・再構築するには数ヶ月を要していたことでしょう。

会社は存続できたとしても、大きな後退を余儀なくされていたはずです。金銭的・時間的な観点から、同社が被ったであろう潜在的な損失を数値化することさえできませんでした。

このCOOは、HYCUのサポートチームが敗北を認める姿を一度も目にすることはありませんでした。むしろ、問題が解決するまで、自社のチームと共に問題に取り組み、その解決に全力を尽くそうとする彼らの決意を目の当たりにしました。HYCUの作業が完了した際、COOは「すべてのシステムとデータを取り戻せたのは、まさに奇跡でした」と述べました。

DCIGについて

DCIGは、組織内の個人が技術評価を実施できるよう支援する、実践的な分析を通じてIT業界を後押ししています。DCIGは、IT技術に関する情報に基づいた、洞察に富んだ第三者による分析と解説を提供しています。DCIGは、「DCIGバイヤーズガイド」および「トップ5レポート」を独自に開発し、その利用権をライセンス供与しています。 また、ブログ記事、経営幹部向けホワイトペーパー、ポッドキャスト、競合情報レポート、ウェビナー、ホワイトペーパー、動画などの形で、依頼を受けてコンテンツを制作しています。詳細については、www.dcig.com
 

をご覧ください。