NCCグループのグローバル脅威インテリジェンスチームによると、ランサムウェア攻撃が急増しています。NCCグループは月次脅威レポートで、3月のランサムウェア攻撃が2月比で91%増加し、前年同月比で62%増加したと報告しています。これは、同グループがこれまでに測定した月間ランサムウェア攻撃数の中で最多です（図A）。
図A
最も活発な脅威アクターであるランサムウェア・アズ・ア・サービス（RaaS）プロバイダーのCl0pは、3月の被害者全体の28%を占めました。NCCグループによると、Cl0pがサイバー犯罪グループにとって最大のRaaSとなったのは今回が初めてです。
Cl0pは、二重の恐喝を専門とするロシア系ハッカー集団で、データを盗み出し、身代金を支払わなければデータを公開すると脅迫する。このハッカー集団は2019年から活動しており、日立、シェルなどの大企業をはじめとする複数の企業への攻撃に成功している。
LockBit 3.0は2位で、攻撃の21%を占めました。NCCグループによると、2023年3月は2021年9月以来、LockBitがランサムウェア攻撃の首位にならなかった2ヶ月目となりました。NCCによると、同グループの被害者数は2月から25%減少しました。
参照：ロイヤル詐欺 - 脅威アクターが2023年に厳しい結果を約束
昨年 9 月に医療分野を標的として登場した非同盟の攻撃グループ Royal は、2 月と比較して 3 月の攻撃数が 106% 増加し、3 番目に活発な攻撃者となりました (図 B )。
図B
Cl0p が GoAnywhere MFT の脆弱性にアクセスし、組織を攻撃
NCCグループは、CL0pによる攻撃の増加は、世界中の何千もの組織が使用しているFortraのGoAnywhere管理ファイル転送の脆弱性を悪用し、大規模な混乱を引き起こしたことを反映していると述べた。
報道によれば、Fortra は 1 月にゼロデイ脆弱性を発見し、認証されたユーザーのみに通知したが、2 月初旬まで Mitre で CVE ID が割り当てられず、パッチも適用されなかった。
GoAnywhere MFT を使用する組織向けのシールド
NCC グループによると、Cl0p やその他のサードパーティのツールやサービスを悪用する攻撃から保護するための有効な戦術が存在します。
- GoAnywhere MFT 管理パネルが配置されているポート 8000 および 8001 の公開を制限します。
- GoAnywhere にログインしたら、GoAnywhere セキュリティ アドバイザリに記載されている手順に従います。
- パッチ7.1.2をインストールします。
- 管理者ユーザー アカウントをレビューして不審なアクティビティがないか確認します。特に、システムによって作成されたアカウント、アカウント作成のタイミングが不審または異常、あるいは無効化されたスーパーユーザーが複数のアカウントを作成している点に重点を置きます。
- 追加のサポートを受けるには、ポータル、電子メール、または電話で GoAnywhere MFT サポートに直接お問い合わせください。
参照: エンドツーエンドで暗号化された電子メール プラットフォームは攻撃を阻止できます。
北米の産業部門は二重の標的
地域
先月の分析と同様の傾向で、3月の攻撃活動のほぼ半数が北米を標的とし、221件（48%）の被害が発生しました。これに続き、ヨーロッパ（28%）とアジア（13%）がそれぞれ126件と59件の攻撃を受けました。
セクター
先月、最も多くの攻撃を受けたセクターは製造業で、147件の攻撃が発生し、攻撃全体の32%を占めました。次に多かったのは景気循環型消費財セクターで、60件（13%）の攻撃が発生しました。続いてテクノロジーセクターが56件（12%）で3位に返り咲きました。
産業部門：
- 専門・商業サービス分野の被害者数は120%増加しました。
- 機械、工具、大型車両、列車、船舶への攻撃は127%増加しました。
- 建設・エンジニアリング部門への攻撃は16%増加しました（図C）。
図C
ランサムウェア攻撃のペースは引き続き活発になる見込み
NCCグループのグローバル脅威インテリジェンス責任者であるマット・ハル氏は、先月のランサムウェア攻撃の急増は、今年も常態化する可能性が高いと述べた。「Cl0pの活動が今後も継続すれば、今年を通して蔓延する脅威であり続けると予想されます。私たちは、Cl0pの進化を注視しています」とハル氏は述べた。
同社は以前、1月と2月のランサムウェア被害件数が過去3年間よりも最多だったと報告していた。
加速するランサムウェアの脅威から身を守る方法
今年は攻撃が増加すると予想されるため、NCC グループは次のように提案しています。
- 新しく発表された脆弱性が組織に影響を及ぼすかどうかを把握し、システムと構成も把握します。
- 頻繁にパッチを適用してください。Log4j が依然としてアクティブであるという事実は、パッチが適用されていない CVE がいかに危険な状態にあるかを示しています。
- 一般的な侵入方法をブロックする: VPN や RDP などのリスクのあるシステムを迅速に無効にする方法の計画を作成します。
- エンドポイント セキュリティ パッケージを調べて、エクスプロイトやマルウェアを検出します。
- 攻撃者の手の届かないオフラインおよびオフサイトでバックアップを作成します。
- 注意してください: 攻撃者は、セキュリティホールが修正されていないことを知ると、同じ被害者を攻撃します。
攻撃を受けて感染拡大を隔離し阻止した場合、侵入、マルウェア、ツール、侵入方法の痕跡をすべて削除し、評価し、対処して、再度の攻撃を回避する必要があります。
