Zolloランサムウェア

マルウェアの脅威はますます高度化しており、個人と組織の両方にとってデバイスの保護は最優先事項となっています。特にランサムウェア攻撃は、業務の大幅な中断、経済的損失、機密データの漏洩を引き起こす可能性があります。最近確認された脅威の一つに、ファイルを暗号化して身代金を要求する悪質なプログラムであるZolloランサムウェアがあります。この脅威の仕組みと拡散方法を理解することは、同様の攻撃に対するより強力な防御策を構築する上で不可欠です。

Zolloランサムウェアの出現

Zolloランサムウェアは、MedusaLockerランサムウェアファミリーの亜種であることが確認されています。このファミリーの他のランサムウェアと同様に、システムに侵入し、重要なファイルを暗号化し、復号化と引き換えに身代金を支払うよう被害者に圧力をかけるように設計されています。

マルウェアは、侵害されたデバイス上で実行されると、システム内のアクセス可能なファイルをスキャンし、強力な暗号化アルゴリズムを使用してそれらを暗号化します。暗号化後、ランサムウェアはファイル名に「.zollo6」などの固有の拡張子を追加します。例：

• 1.png は 1.png.zollo6 になります
• 2.pdf は 2.pdf.zollo6 になります

拡張子の数字は異なる場合がありますが、結果は同じです。暗号化されたファイルはユーザーがアクセスできなくなります。ランサムウェアはファイルをロックするだけでなく、システムのデスクトップの壁紙を変更し、「READ_NOTE.html」というタイトルの身代金要求メモをデバイスに配置します。

暗号化方式と身代金要求メッセージ

攻撃者が残した身代金要求メッセージによると、ファイルはRSAとAES暗号化の組み合わせで保護されており、これらは現代のランサムウェア攻撃で一般的に使用されている暗号化方式である。メッセージによれば、暗号化されたファイルの復元、名前変更、または改変を試みると、データが永久に破損する可能性がある。

攻撃者側は、一般に公開されているソフトウェアではファイルを復元できないと主張し、独自の復号ツールのみがアクセスを復元できると述べている。被害者は、提供されたメールアドレスを通じて攻撃者に連絡するよう指示されている。

• recovery1@salamati.vip
• recovery1@amniyat.xyz

このメッセージには時間的なプレッシャーも含まれており、72時間以内に連絡が取れない場合、身代金の額が増額されると被害者に警告している。

データ窃盗と二重恐喝の手口

このランサムウェアの亜種で特に懸念される点は、暗号化前に機密データが盗まれたと主張していることだ。攻撃者は、この情報は自分たちの管理下にあるプライベートサーバーに保存されていると述べている。

身代金要求メッセージによると、身代金を支払えば盗まれたデータはサーバーから削除されるとのことだ。身代金が支払われない場合、犯人らは情報を公開または売却すると脅迫している。この「二重脅迫」と呼ばれる手法は、データの暗号化とデータ公開のリスクを組み合わせることで、被害者への圧力を強める。

被害者が身代金の要求に応じたとしても、攻撃者が有効な復号ツールを提供したり、盗まれた情報を削除したりする保証はありません。そのため、サイバーセキュリティの専門家は一般的に身代金の支払いを推奨していません。

Zolloランサムウェアの拡散方法

ランサムウェア攻撃では、システムへの侵入手段として、欺瞞やソーシャルエンジニアリングが頻繁に用いられます。攻撃者は、悪意のあるペイロードを正規のファイルに見せかけ、ユーザーを騙して実行させようとすることがよくあります。

一般的な感染媒介物には以下が含まれます。

• 悪意のあるメール添付ファイル、またはフィッシングメールに埋め込まれたリンク
• 被害者をマルウェアのダウンロードに誘い込むために設計された偽のテクニカルサポートアラート
• クラックされたソフトウェア、非公式のキー生成ツール、海賊版アプリケーション
• パッチが適用されていない脆弱性のある古いソフトウェア
• 侵害されたウェブサイト、悪意のある広告、ピアツーピアファイル共有ネットワーク
• サードパーティ製ダウンローダーまたは感染したUSBドライブ

ランサムウェアは起動するとすぐにファイルの暗号化を開始し、同じネットワーク内の接続されたシステム全体に拡散しようとする可能性があります。

復旧における課題とインシデント対応

暗号化が行われると、被害者は通常、攻撃者の復号鍵がなければ影響を受けたファイルを開くことができません。復旧が可能になるのは特定の状況下のみであり、最も可能性が高いのは、攻撃中に感染したシステムに接続されていなかった安全なバックアップが存在する場合です。

ランサムウェアが検出されたら、直ちに駆除することが不可欠です。マルウェアがデバイス上で活動を続けると、他のファイルの暗号化を継続したり、ネットワーク上の他のマシンに拡散しようとする可能性があります。そのため、感染したシステムを迅速に隔離することで、被害を最小限に抑え、さらなる拡散を防ぐことができます。

ランサムウェアを防止するための必須セキュリティ対策

強固なセキュリティ習慣は、Zolloランサムウェアなどの脅威による感染リスクを大幅に低減します。効果的な保護には、積極的な技術的対策と慎重なユーザー行動の組み合わせが必要です。

ランサムウェア攻撃の多くは、古いソフトウェアの脆弱性を悪用するため、オペレーティングシステム、アプリケーション、セキュリティツールを定期的に更新することが非常に重要です。同様に重要なのは、不審な動作を検知できる信頼性の高いウイルス対策ソフトやエンドポイント保護ソリューションを使用することです。

オフラインまたはクラウドベースのバックアップを維持することは、最も効果的なセキュリティ対策の一つです。バックアップは、攻撃中に暗号化されないように、プライマリシステムとは別に保存する必要があります。万が一感染した場合でも、クリーンなバックアップがあれば、身代金を支払うことなくシステムを復元できます。

ユーザーは、メールの添付ファイルやダウンロードファイルにも注意を払う必要があります。特に緊急性を主張したり、即時対応を求めたりする不審なファイルは、開く前に必ず確認してください。組織は、メールフィルタリング、添付ファイルのサンドボックス化、セキュリティ意識向上トレーニングなどを通じて、こうした対策を強化しています。

ネットワークのセグメンテーションは、ランサムウェアが環境に侵入した後の拡散範囲を制限することで、リスクをさらに低減できます。アクセス制御や監視システムと組み合わせることで、セグメンテーションは感染が重要なインフラに影響を与える前に封じ込めるのに役立ちます。

最後に

Zolloランサムウェアのようなランサムウェアの脅威は、積極的なサイバーセキュリティ対策の重要性を浮き彫りにしています。攻撃者は、ファイルを暗号化し、データ漏洩を脅迫し、時間制限のある身代金要求で被害者に圧力をかけることで、迅速な支払いを強要しようとします。

システムアップデート、信頼性の高いバックアップ、セキュリティソフトウェア、そして慎重なユーザー行動を組み合わせた多層防御戦略は、これらの脅威を軽減する最も効果的な方法です。早期発見と迅速な対応により、ランサムウェア攻撃の影響を大幅に軽減し、貴重なデータを回復不能な損失から守ることができます。