<危険>リモートデスクトップRDPがランサムウェア感染経路に 身代金ウイルス被害

Windows パソコンの文書、画像、圧縮アーカイブなどを暗号化して破壊した上で、ファイルを元に戻す復号ツール の購入を名目に身代金の支払いを要求する深刻な脅威 ランサムウェア。 

そのランサムウェアには、大きく 2つ のウイルス感染経路が知られてます。

遠隔操作でランサムウェア感染被害

ただ、上の2つに該当しない ランサムウェア感染経路 として、攻撃者がネットワーク越しに Windows へ不正アクセスして、遠隔操作（リモートアクセス）でマルウェアを送り込み手動感染 させるおっかない手口があります。

 

この攻撃は、正規に提供されているリモートアクセス機能を悪用する方法です。

便利で有名なツールも攻撃手段として悪用されると危険な凶器に…。

• Splashtop by Splashtop Inc
  
  
• TeamViewer by TeamViewer GmbH
  
  
• LogMeIn by LogMeIn, Inc

その代表例として、2017年5月にメディアを騒がせた世界的なサイバー攻撃 WannaCry ランサムウェア で、日本国内でも感染被害が発生しました。 ＜米国曰く北朝鮮のグループが関与？

● ランサムウェア WannaCrypt 攻撃に関するお客様ガイダンス - Microsoft
CVE-2017-0145 を悪用し細工したパケットを SMB サーバーに送ることで拡散します。このランサムウェアは 2017 年 3 月に修正された SMB v1 の脆弱性 (MS17-010) を利用するため、お使いのコンピューターが最新のセキュリティ更新プログラムをインストール済みであることを確認してください。
https://msrc-blog.microsoft.com/2017/05/14/

リモートデスクトップ RDP が搭載されてる設定画面

[リモートアシスタント] の下に項目が存在しない

【リモートデスクトップ RDP 未搭載 OS】
Windows 10 Home
Windows 8.1 Home
Windows 7 Home Premium

リモートで遠隔感染するランサムウェア例

マルウェアの感染間口の広さから被害者が続出する ランサムウェア とは違い、局所的に被害が発生するマイナーな ランサムウェア が暗躍する傾向が多いです。

eda2 … オープンソースのランサムウェア
└ Magic Ransomware
└ Fantom Ransomware

CrySiS/Dharma/Wallet ランサムウェア
《ファイル拡張子》 ～.[メールアドレス].[拡張子]
《メールアドレス》 @india.com @aol.com @qq.com @plague.life
《脅迫文ファイル》 .phobos .java .arena .onion .wallet .dharma .zzzzz .CrySiS .xtbl
※攻撃者が復号鍵を公開した一部バージョンのファイル復号ツールあり

Apocalypse ランサムウェア
《ファイル拡張子》 .crypted_file

Surprise Ransomware / Kangaroo Ransomware

CryptON / Cry9
└ NEMESIS Ransomware / Cry128
《ファイル拡張子》 ～.fgb45ft3pqamyji7.onion.to._ ～kgjzsyyfgdm4zavx.onion.to._ ～2irbar3mjvbap6gt.onion.to._ ～gebdp3k7bolalnd4.onion._
《脅迫文ファイル》  _DECRYPT_MY_FILES.txt
※ 暗号化されたファイルのクラックで一部バージョンのファイル復号ツールあり

└ UIWIX Ransomware
《ファイル拡張子》 ～.UIWIX
《脅迫文ファイル》 _DECODE_FILES.txt

WannaCry
《ファイル拡張子》 ～.WNCRY

BTCWare
《ファイル拡張子》 「～.[メールアドレス].crypton」「～.[メールアドレス].aleta」「～.[メールアドレス].master」「～.[メールアドレス].theva」「～.[メールアドレス].onyon」「～.[メールアドレス].cryptowin」「～.[メールアドレス].cryptobyte」「～.[メールアドレス].btcware」
《脅迫文ファイル》 !## DECRYPT FILES ##!.txt !#_READ_ME_#!.hta !#_READ_ME_#!.inf #_RESTORE_FILES_#!.inf !#_DECRYPT_#!.inf #_README_#.inf
※ 攻撃者が復号鍵を公開したため一部バージョンのファイル復号ツールあり

GlobeImposter
《ファイル拡張子》 ～.oni
《脅迫文ファイル》 !!!README!!!.html

Amnesia Ransomware
《ファイル拡張子》 ～.[メールアドレス].scopio ～.[メールアドレス].scrab ～.amnesia
《脅迫文ファイル》 IF YOU WANT TO GET ALL YOUR FILES BACK, PLEASE READ THIS.TXT / HOW TO RECOVER ENCRYPTED FILES.TXT

Zeropadypt Ransomware
《ファイル拡張子》 ～.[ID=*][Mail=*@*].limbo ～.[ID=*][Mail=*@*].Lazarus ～.[ID=*][Mail=*@*].Lazarus+
《脅迫文ファイル》 Read-Me-Now.txt DECRYPTION_GUIDANCE.txt

この手のランサムウェア攻撃の原因は次のようなところ？

1. 未使用なのに、RDPリモートデスクトップを有効にしたまま放置している
   使う場面もなく、リモートコントロールソフトを起動したまま放置している
   
   
2. 設定されてるパスワードがテキトーすぎて総当りブルートフォース攻撃で破られる
   
   
3. いろんなウェブサービスで同一のパスワードを流用して使い回している
   → 外部流出したアカウント情報で PC へ不正アクセスされる

● ランサムウェアの拡散に悪用される RDP (リモートデスクトッププロトコル) - Sophos
攻撃者が一度に 1 台ずつコンピュータに侵入して、ユーザーが Word やメモ帳、あるいはゲームの「ソリティア」を使用するときのように手動でクリックをしてランサムウェアを実行するという手法です。
https://nakedsecurity.sophos.com/ja/2017/11/15/

● RDP経由のブルートフォース攻撃を確認、暗号化型ランサムウェアCRYSIS - トレンドマイクロ
攻撃者は、一般的に使用頻度の高いユーザ名とパスワードを利用してログインを試みます。正しいユーザ名とパスワードの組み合わせを探し当てると、攻撃者は、通常、短期間のうちに何度もアクセス接続し、PCを感染させます。このような繰り返しの作業により、通常数分で感染に成功します。
https://blog.trendmicro.co.jp/archives/14451

● 400万台を超えるWindows PCがRDP経由の脆弱性にさらされている - Cylance
RDPをサポートしているすべてのWindowsクライアントおよびサーバーバージョンでは、RDPはデフォルトでは無効化されています。それにもかかわらず、Rapid7によるソナー調査では、約1100万ものWindowsエンドポイントでポート3389が開いていて、そのうちの410万台のPCでは「何らかの形でRDPでの通信」が行われていたことが判明しました。（日本には6万1,024台）
https://www.cylance.com/ja_jp/blog/jp-over-four-million-windows-pcs-vulnerable-through-rdp.html

● リモートデスクトップサービス(RDS)に関する通信の検知状況 - IBM Tokyo SOC
攻撃者はRDSが稼働するホストを洗い出した後、RDP経由でブルートフォース攻撃を行い、Windowsログオンに必要なユーザー名とパスワードの取得を試みます。この攻撃はNcrack, Hydra, crowbar等のオープンソースのツールを用いて比較的容易に実行が可能です。また入手したユーザー名やパスワードをインターネット上で販売し金銭に換える行為も確認されています。
https://www.ibm.com/blogs/tokyo-soc/rdsvulns2019/

最悪のパスワードとして危険！ ゼッタイにダメッ！

セキュリティ会社の記事によると、何万台にも及ぶ遠隔操作できる Windows サーバーの情報を売り買いする闇サイトなんてものが存在するとか。

● xDedic：不正入手された情報の取引フォーラムが、新たな攻撃の足がかりにも - カスペルスキー
活発な活動を見せているサイバー犯罪者の取引フォーラム、xDedicの実態を調査しました。xDedicの主たる目的は、世界中でハッキングされた70,000台以上のサーバーの認証情報を手軽に売買可能とすることです。いずれのサーバーも、Remote Desktop Protocol（RDP）経由でアクセスできます。
https://blog.kaspersky.co.jp/xdedic/11748/

● システムのバックドアを襲うRDP攻撃の詳細 ダークウェブではたった10ドルで取引 - マカフィー
ダークウェブには、ハッキングした機器にアクセスするリモートデスクトッププロトコル（RDP）をオンライン上で販売するRDPショップがあります。そこでコンピュータシステムへのログイン情報を購入すれば、都市の機能を停止させたり、大企業の活動をマヒさせたりすることもできるのです。
https://blogs.mcafee.jp/rdp-attacks-analysis

試しに、検索エンジン Shodan を使って 「3389 ポート」 を確認してみたら、ネットワーク越しにアクセスできうる日本国内の Windows マシンが結構ヒットするよね～。

次のスクリーンショットは Shodan 上に掲載されていた日本語環境な Windows ログイン画面たちです。

ボカしているけど日本人の男性名

パソコンを乗っ取り放題、情報を引っこ抜き放題、とにかくヤバい。 ＜正々堂々と真正面から PC に侵入できる