LockBit 3.0 ランサムウェア分析レポートが公開されました

今年3月24日から4月第1週までの3週間、ベトナムのサイバースペースでは、金融、証券、エネルギー、通信などの重要な分野で事業を展開するベトナムの大手企業に対するランサムウェアによる標的型攻撃が連続して発生しました。これらの攻撃により、企業のシステムは一定期間停止し、サイバー犯罪者グループの標的となったシステムを持つ組織に重大な経済的損害と評判の損害を与えました。

ベトナムの企業の情報システムを最近攻撃した攻撃者グループと原因を分析・調査する過程で、当局は、これらのインシデントがLockBit、BlackCat、Malloxなど、さまざまな攻撃グループの「産物」であることを発見しました。特に、3月24日午前10時にVNDIRECTシステムがランサムウェア攻撃を受け、ベトナム株式市場上位3社のすべてのデータが暗号化された事件では、当局はLockBit 3.0マルウェアを使用するLockBitグループが、このインシデントの背後にいることを突き止めました。

LockBitグループは世界中で、大企業や組織を標的としたランサムウェア攻撃を数多く実行してきました。例えば、2023年の6月と10月に、この悪名高いランサムウェアグループは半導体製造会社TSMC（台湾、中国）と情報技術製品およびサービス会社CDWを攻撃し、Lockbitグループが企業に要求したデータ身代金は最大7,000万～8,000万米ドルでした。

ベトナムの政府機関、組織、企業が、一般的なランサムウェア攻撃やLockBitグループによる攻撃の危険度とリスクの予防方法および最小限に抑える方法をより深く理解できるよう支援することを目指し、情報セキュリティ局（情報通信省）傘下の国家サイバーセキュリティ監視センター（NCSC）は、サイバースペースに関する情報源を統合し、「ランサムウェアLockBit 3.0の分析レポート」を発表しました。

世界で最も危険なランサムウェアグループ

NCSC が実施した新しいレポートは、LockBit ランサムウェア攻撃グループに関する情報など、4 つの主要な内容を提供することに重点を置いています。 LockBit クラスターはアクティブです。 LockBit 3.0 に関連するサイバー攻撃の兆候のリストが記載されています。ランサムウェア攻撃によるリスクを防ぎ、最小限に抑える方法。

NCSCの報告書は、LockBitを世界で最も危険なランサムウェアグループの一つと指定し、2019年に初めて出現して以来、LockBitはさまざまな分野の企業や組織を標的に多数の攻撃を実行してきたとも述べています。このグループは「Ransomware-as-a-Service（RaaS）」モデルで活動しており、脅威アクターはランサムウェアを展開して、サービスの背後にいる人々と利益を分配することができる。

特に注目すべきは、2022年9月に、このランサムウェアの開発に使用できる可能性のあるいくつかの名前を含むLockBit 3.0のソースコードが、「ali_qushji」という個人によってXプラットフォーム（旧Twitter）上で漏洩されたことです。この漏洩により、専門家は LockBit 3.0 ランサムウェアのサンプルをさらに分析できるようになりましたが、それ以来、脅威アクターは LockBit 3.0 のソースコードに基づいて、一連の新しいランサムウェアの亜種を作成しています。

NCSC のレポートでは、TronBit、CriptomanGizmo、Tina Turnet などのアクティブな LockBit ランサムウェア クラスターの攻撃手法を分析するとともに、記録されている LockBit 3.0 に関連するサイバー攻撃の兆候のリストも各機関に提供しています。 「国家サイバースペースポータルのalert.khonggianmang.vnページでIOC指標情報を継続的に更新します」とNCSCの専門家は述べた。

「LockBit 3.0 ランサムウェア分析レポート」で特に重要な部分は、ランサムウェア攻撃によるリスクを防止および最小限に抑える方法について、機関、組織、および企業をガイドするコンテンツです。ランサムウェア攻撃の防止と対応においてベトナムの支援部隊に対する重要な注意事項は、情報セキュリティ局が4月6日に公開した「ランサムウェア攻撃のリスクを防止し、最小限に抑える対策に関するハンドブック」に記載されており、NCSCの専門家によって引き続き実施が推奨されています。

専門家によると、現在のランサムウェア攻撃は、機関や組織のセキュリティ上の弱点から始まることが多いそうです。攻撃者はシステムに侵入し、存在感を維持し、攻撃範囲を拡大し、組織の IT インフラストラクチャを制御し、システムを麻痺させて、暗号化されたデータを回復したい場合に実際の被害者組織に身代金を支払わせることを目的としています。

5日前にVNDIRECTシステムへの攻撃が発生した際、情報セキュリティ局の代表者は、インシデント対応支援活動の調整に参加している部隊の観点から、 VietNamNetの記者に次のようにコメントした。「今回の事件は、ベトナムの組織や企業のネットワークの安全性とセキュリティに対する意識を高めるための重要な教訓です。」

そのため、特に金融、銀行、証券、エネルギー、通信などの重要な分野で事業を展開している機関、組織、企業は、緊急かつ積極的に既存のセキュリティシステムと専門人材の両方を見直し、強化するとともに、インシデント対応計画を策定する必要があります。

「組織は、情報セキュリティとネットワークセキュリティに関する制定された規制、要件、ガイドラインを厳格に遵守する必要があります。潜在的なサイバー攻撃から自らと顧客を守ることは、各組織と企業の責任です」と、情報セキュリティ部門の担当者は強調した。

PVOIL システムがランサムウェア攻撃後に迅速に回復できるのはなぜですか?

それほど大きくないシステムサイズに加えて、PVOIL がわずか数日でランサムウェア攻撃を迅速に修復し、業務を復旧できた重要な要素は、バックアップ データでした。

ランサムウェア攻撃に対する防御力を高めるためのセキュリティ文化の形成

CDNetworks Vietnamによると、企業は従業員のトレーニングに投資し、セキュリティ文化を形成し、従業員とセキュリティチームの協力を促進することで、ランサムウェア攻撃を含むサイバー攻撃に対する防御力を強化できます。

身代金を支払うと、ハッカーはランサムウェア攻撃を増やすことになる

専門家は、ランサムウェアの攻撃を受けた組織はハッカーに身代金を支払うべきではないことに同意しています。これは、ハッカーが他のターゲットを攻撃したり、他のハッカー グループが自組織のシステムを攻撃し続けることを奨励することになるからです。