Linux ランサムウェアビジネスを保護する方法

QNAPCrypt

この攻撃は、Linux ベースのネットワークに接続されているストレージ（NAS）デバイスに焦点を当てます。配布は通常、偽物のアップデートや ZIP アーカイブを含む感染したファイルを通じて行われます。

QNAPCrypt の侵入経路は、SOCKS5 プロキシ（転送中のデータ パケットを保護する VPN 代替手段）で不備のある認証で、検出率は低いです。システムに侵入すると、マルウェアはハッカーのサーバーにビットコイン ウォレットと RSA 公開鍵をリクエストしてから、被害者のデータを暗号化します。

暗号化が完了すると、身代金情報が .txt ファイルに残されます。被害者には身代金支払いを行うための一意のビットコイン ウォレットが渡され、攻撃者は検出を回避することができるようになります。

RansomEXX

近年では RansomEXX （別名 Defrat777）が Linux デバイス上で最も一般的なランサムウェアの形態の 1 つになりました。Windows のマルウェアとして誕生しましたが、Linux サーバーを攻撃するために頻繁に使用されるようになり、特にブラジル政府、テキサス州運輸省、チェコ共和国のブルーノ大学病院などに対する攻撃で知られています。

この種類のランサムウェアは「大物狙い」と呼ばれ、大規模な組織や政府を標的として多額の身代金支払いを確保する目的でたびたび使用されています。このマルウェアは複数のエンドポイントを攻撃するのではなく、サーバーに直行し、ファイルのソースへのアクセスを制限するため、Linux サーバーがこの種類の攻撃の主な目標になります。

RansomEXX は通常悪意のある Word ドキュメントを含むメールで配信されます。ドキュメントを開くと、トロイの木馬がユーザーのシステムにダウンロードされ、ファイルを暗号化し、256 ビットの暗号化キーを生成します。その後、そのキーは 1 秒ごとに再暗号化されます。

Erebus

Erebus は Windows ベースのランサムウェアとして 2016 年に初めて確認されました。Linux システムに初めて使用されたのは、2017 年に注目を浴びた 韓国のウェブ ホスティング会社である NAYANA への攻撃です。153 台の Linux サーバー、3,400 以上のビジネス ウェブサイトが影響を受けました。ビットコインで 100 万ドルの身代金が支払われましたが、この金額は当時の最高記録になりました。

Erebus はユーザーが悪意のあるリンクをクリックしたり、感染したメールの添付書類を開いたりすることによって感染します。さらに、偽物のインストーラーなどの悪意のあるソフトウェアからシステムにアクセスすることもできます。

このランサムウェアは、データベース、アーカイブ、ドキュメントなど、暗号化するファイルの種類を幅広くスキャンします。使用される暗号化処理は、3 種類の異なる暗号システム（RSA-2048、AES、RC4）を混合して使用されるため、解読が困難です。また、このランサムウェアはオペレーティング システムのボリューム シャドウ コピーも削除してしまうので、復旧がさらに困難になります。

KillDisk

KillDisk は Linux に適応される前に Windows で始まったもう 1 つのランサムウェアです。Linux バージョンの KillDisk は異なる 64 ビット暗号化キーのセットで各ファイルを暗号化します。その後ブートローダーを上書きしてシステムによる起動を妨げ、その代わりにビットコインでの支払いを要求する身代金要求メモを全画面でユーザーに提示します。

Linux バージョンの KillDisk は、Windows バージョンとは異なる点があります。Linux 攻撃中にデータを解読するために必要なキーが、ローカルに保管されたりサーバーに送られたりすることがないのです。つまり、この暗号化ツールは身代金要求というより破壊を目的として作成された可能性が高いということです。暗号化キーが存在しない場合、ファイルは身代金の支払いに関係なく復元されない可能性が高くなります。