Kasperskyは5月28日、同社グローバル緊急対応チーム（GERT）が、Windowsで提供されるドライブ暗号化機能「BitLocker」を悪用し、企業のデータやファイルの暗号化を試みるランサムウェアを使用した攻撃を確認したことを発表した。その概要は以下のとおり。
この攻撃者は、特定のWindowsバージョンを検出し、それに応じてBitLockerを有効にしてドライブ全体を暗号化するという新機能を備えたスクリプトを使用。また、ファイルの復元を防ぐために回復オプションも削除する。
このランサムウェアとその亜種によるインシデントは、メキシコ、インドネシア、ヨルダンで確認しており、主に鉄鋼やワクチンの製造企業、政府機関を標的としていた。GERTはこのランサムウェアを「ShrinkLocker」と名付けた。
GERTの調査では、この脅威アクターはVBScript（主にWindowsのタスク自動化やアプリケーション制御に用いられるスクリプト言語）を使用し、攻撃による被害を最大化するために、これまで報告されていない機能を持つスクリプトを作成している。
このスクリプトの新しい点は、攻撃対象とするシステムのWindowsバージョンを確認し、それに応じてBitLockerの機能を有効にすること。この方法により、このスクリプトはWindowsの最新バージョンからWindows Server 2008までのレガシーシステムに感染させることができるとみている。
OSのバージョンが攻撃に適している場合、スクリプトは立ち上げ時のブート設定を変更し、BitLockerを使用してローカルドライブ全体の暗号化を試みる。スクリプトは、非ブートパーティション領域を縮小して新しいブートパーティションを作成し、OSのブートファイルを含む別のセクションを設定する。これは、後の段階で被害者がコンピュータを使えないようにすることを目的としている。
また、被害者がファイルを復号できないように、BitLockerの暗号化キーを保護するためのプロテクターも削除していた。このスクリプトは、新しいブートパーティションのラベルを攻撃者の電子メールアドレスに変更し、被害者が攻撃者に連絡できるようにしていた。
悪意のあるスクリプトはその後、システムに関する情報と、後に侵害されたコンピューターで生成された暗号化キーを攻撃者が管理するサーバーに送信。そして、攻撃の調査を妨げるためにログや各種ファイルを削除し、侵入の痕跡を隠す。
最終段階として、マルウェアはシステムを強制的にシャットダウンする。これは新しいブートパーティションによって可能になる。感染したコンピューターが立ち上がる際のBitLockerの画面には、「あなたのPCにはもうBitLockerの回復オプションはありません」と表示される。
関連リンク