HOME ≫ ＦＦＲＩセキュリティ BLOG ≫ 2017年 ≫ 2017年5月 ≫ 大規模サイバー攻撃ランサムウェア「WannaCry」 vs. FFRI yarai

大規模サイバー攻撃ランサムウェア「WannaCry」 vs. FFRI yarai

ランサムウェア「WannaCry(WannaCrypt)」の大規模サイバー攻撃が大きく報道されています。
世界各国で被害が発生している問題で、日本においても警戒を強めるよう注意喚起されています。

2017年5月14日には独立行政法人・情報処理推進機構（IPA）が緊急の記者会見を開き、週末にかけて届いたメールの開封は慎重に行うようにといった対策を呼びかけました。
本ランサムウェアは無差別型攻撃として世界各国で拡散され、感染するとパソコン内部のファイルを暗号化し「.WNCRY」という文字列をファイル名末尾に追加します。
また、デスクトップの背景画像を暗号化した事を示すメッセージが記載されたものに変更し、身代金として仮想通貨ビットコインの支払いを要求します。

ＦＦＲＩでは今回問題となっているランサムウェア「WannaCry」の検体を入手し、FFRI yaraiで検証を実施し、防御可能であることを確認しました。

1.FFRI yarai「WannaCry」防御デモ
2.ランサムウェア「WannaCry」感染後のデスクトップ画面
3.ランサムウェア「WannaCry」発生前のFFRI yaraiリリース版で検証しました

【FFRI yarai「WannaCry」防御デモ】　2017年5月26日追記

【マルウェア感染後のデスクトップ画面】

WannaCry感染後のデスクトップ画面。マルウェア感染後、デスクトップ上にファイルが暗号化されたというメッセージが表示される。感染経路はウクライナの会計ソフトやメールから、そして感染したPCから同じネットワーク上のPCへ感染していきます。

マルウェア感染後、デスクトップ上にファイルが暗号化されたというメッセージが表示されます。

WannaCry感染時の脅迫文。世界中に情報系だけではなく交通、工場、病院など被害をもたらしました。

その後、脅迫文が表示されます。脅迫文は各種言語に対応しており、日本語でも表示されます。
また、身代金の要求額が上がるまでの期限と、ファイルが削除されるまでの期限がカウントダウンされます。

感染後、ファイルが暗号化されると「.WNCRY」という文字列をファイル名末尾に追加。Wannacry（ワナクライ）とは「泣きたい」という直訳でWindowsの脆弱性を悪用してランサムウェアに感染させてしまいます。

ファイルが暗号化されると「.WNCRY」という文字列をファイル名末尾に追加します。

FFRI yaraiをご利用の場合上記のように検知されます。

■検証環境: Windows 7 × FFRI yarai 2.7.8 (2016 年 10 ⽉リリース)

■検証した検体のハッシュ値　(SHA-256): 11d0f63c06263f50b972287b4bbd1abe0089bc993f73d75768b6b41e3d6f6d49
ed01ebfbc9eb5bbea545af4d01bf5f1071661840480439c6e5babe8e080e41aa

今回の検証で使用した FFRI yarai 2.7.8は、2016年10月20日にリリースしており、本製品をご利用いただいていた場合、今回の攻撃を未然に防ぐことができたといえます。

昨今「無差別型攻撃」と呼ばれるばらまき型の攻撃が大流行しており、不特定多数のユーザーに攻撃を行うことでマルウェアの感染確率を上げ、 SaaSサービス等を活用し次々と攻撃方法を変化させて既存のセキュリティ対策をすり抜け、ユーザーから直接金銭を騙し取るような手法で世界的に被害が拡大しています。

FFRI yarai 防御実績