ランサムウェア「Sodin」 vs. 次世代エンドポイントセキュリティFFRI yarai

ツイート

2019年7月「Sodin（別名：Sodinokibi）」と呼ばれるマルウェアが見つかり、注意喚起が行われています。

・ランサムウェア「Sodin」が日独韓台に感染集中

・複数の高度な機能を持つランサムウェア「Sodin」、アジアを中心に拡大

このマルウェアは自らをアプリケーションに偽装してユーザーにダウンロード・実行させるもので、PC内のファイルを暗号化します。
さらに、他のPCに対してWindowsの権限昇格のゼロデイ脆弱性を悪用し、他のPCに感染を広げようとします。また、ユーザーファイルの暗号化に楕円曲線非対称アルゴリズムを組み合わせることで、強力な暗号化機能も実現しています。

【マルウェア概要】

「Sodin」ランサムウェアは実行されると端末内のファイルを暗号化します。広範囲のファイルを暗号化すると見られ、デスクトップの壁紙なども暗号化されています。

ファイル暗号化が開始され、ディスク使用量が100%になっている

デスクトップ上のファイルが暗号化されてファイル名が変更されている。

さらに端末内には脅迫文が書かれたテキストファイルが生成され、暗号化を解除するためにダークウェブへのアクセスを要求しています。

Torブラウザでダークウェブの当該サイトにアクセスか、VPN接続を要求している

【被害に遭わないための対策】

今回のような攻撃から身を守るために、Windows Update等により修正プログラムを適用すること、一般的なウイルス対策ソフトのパターンファイルを最新に更新しておくこと、そして次世代エンドポイントセキュリティのようなパターンファイルに頼らないセキュリティ対策を取ることが大切です。

【FFRI yaraiによる防御】

次世代エンドポイントセキュリティFFRI yaraiは2018年11月にリリースしたエンジンで検知・防御していることを確認しました。
「Sodin」ランサムウェアについてはHIPS検知(動的解析)で検知・防御します。

次世代エンドポイントセキュリティFFRI yaraiは既存のウイルス対策ソフトのようにパターンファイルやシグネチャを利用する後追い技術ではありません。検査対象のプログラムを多角的なアプローチで分析し、ヒューリスティックと機械学習による「先読み防御」技術を搭載した５つの防御エンジンで、既知・未知のマルウェアや脆弱性攻撃を高精度で防御します。 詳細は、「CODE:Fの核となる5つのエンジンによる多層防御とは」をご覧ください。

・CODE:Fの核となる5つのエンジンによる多層防御とは

■検証環境
Windows 10 ✕ FFRI yarai 3.2.4 (2019年 1月リリース)

「Sodin」ランサムウェアのハッシュ値(SHA-256)
・06b323e0b626dc4f051596a39f52c46b35f88ea6f85a56de0fd76ec73c7f3851

ＦＦＲＩでは今回ご紹介したような新たな脅威に対抗するため、防御エンジンの開発を続けております。

2019-08-26

関連記事 Related Post

• 請求書や納品書を騙った不審なExcelファイル vs 次世代エンドポイントセキュリティFFRI yarai

• 「Anatova」ランサムウェア vs. 次世代エンドポイントセキュリティFFRI yarai

• ランサムウェアの脅威

• 次世代エンドポイントセキュリティFFRI yarai 防御実績

• 標的は中小企業！？　サプライチェーン攻撃