CryptoLocker（ファイル暗号化型ランサムウェア）

主な特徴

• 暗号化：CryptoLockerは通常RSAなどの非対称（公開鍵）暗号方式を用いた。このため、暗号化を元に戻すための秘密鍵は被害者の端末上には存在せず、運用者が管理していた。技術的背景については、技術分析を参照。
• 配布：初期のキャンペーンは、電子メールの添付ファイルやメッセージ中に埋め込まれた悪意あるリンクを通じて拡散した。別の事例では、侵害された端末やボットネットを介して配布された。配布手法については、電子メール経路およびボットネット報告を参照。
• 標的：システムファイルではなく、表計算ファイル、写真、文書、アーカイブなどの利用者データを主な標的とした。アクセス可能な場合、接続済みのネットワーク共有やリムーバブルメディア上のファイルも対象に含まれた。
• 身代金要求：運用者は通常、ビットコインなどの暗号資産による支払いを要求し、支払い手順を示すグラフィカルな身代金要求画面を表示した。要求メッセージの要約例は通知例、支払いの背景はビットコイン情報を参照。

歴史と活動の阻害

報告によれば、最初に広範に展開されたCryptoLockerのキャンペーンは2013年9月に始まった。このマルウェアは、暗号化の強度と公開鍵暗号の使用により広く注目された。バックアップまたは攻撃者の秘密鍵がなければ復旧が難しかったためである。後に法執行機関とセキュリティ研究者は、主要なキャンペーンを支えたインフラの一部を妨害するための活動を連携して行った。これにより、一部のケースでは利用可能な復号ツールが提供されたり、活動が減少したりした。詳細な時系列資料については、初期の概説報告および後続の分析を参照。

影響と対応

CryptoLockerおよび類似のランサムウェアは、個人、企業、公共機関に重大な実務的・金銭的影響を及ぼした。当局とセキュリティ専門家は一般に、支払いを行わないよう助言している。支払っても復旧は保証されず、さらなる攻撃を助長するほか、法的または方針上の問題を伴う可能性があるためである。公式の助言や期限の時系列は、期限に関する指針などの公的な注意喚起で扱われている。予防策には、オフラインかつ世代管理されたバックアップ、最新のエンドポイント防御、不審な電子メール添付ファイルのフィルタリング、ネットワーク共有へのアクセス制限が含まれる。テイクダウン作戦後に公開された復号ツールにより、後にファイルを復元できた被害者もいた。アーカイブされた復号ツールと対処リソースは、復旧リソースで参照されている。

注目すべき事実と区別

CryptoLockerは、利用者データを暗号化して暗号資産での支払いを要求する現代的なランサムウェアのモデルを広める一因となった。単にシステムへのアクセスを妨げるスクリーンロッカー型マルウェアとは異なる。CryptoLockerによる被害は、ファイルを強力な暗号技術によってロックすることに由来する。その存在感は、インシデント対応の改善、バックアップの重視、ランサムウェアのエコシステムを妨害するための国際協力を促した。