～LockBitに対する政府機関による捜査とテイクダウンがあったにもかかわらず、2024年上半期のインシデント対応事例ではLockBitが最多となる～

12月 12, 2024 —

サイバー攻撃を阻止する革新的なセキュリティソリューションのグローバルリーダーであるSophos（日本法人：ソフォス株式会社　東京都港区代表取締役足立達矢）は「内部からの攻撃：ソフォスアクティブアドバーザリーレポート」を公開し、2024年上半期に攻撃者が使用した手法と行動の変化について詳細に分析した結果を伝えています。このデータは、Sophos X-Opsのインシデント対応チームとSophos X-Ops MDR（Managed Detection and Response）チームの両方が実施した約200件のインシデント対応事例から得られています。このデータから、攻撃者がWindowsシステムで信頼されるアプリケーションやツール（一般に環境寄生型攻撃バイナリと呼ばれます）を利用して、システムに関する情報を収集して、常駐化していることが判明しました。2023年と比較して、環境寄生型攻撃バイナリ（LOLbin）の悪用は51%増加しており、2021年以降から83%増加しています。今年上半期にはMicrosoftの187件のユニークなLOLbinが検出されましたが、信頼されるアプリケーションの中で最も多く悪用されたのは、リモートデスクトッププロトコル（RDP）でした。分析対象となった約200件のインシデント対応事例の89%で、攻撃者はRDPを悪用していました。このRDPが広く悪用される傾向は、2023年のアクティブアドバーサリーレポートで初めて確認され、調査されたすべてのインシデント対応事例の90%でRDPが悪用されていました。

ソフォスのフィールドCTOであるJohn Shierは次のように述べています。「環境寄生型攻撃は、攻撃者による活動が見えにくくなるだけでなく、暗黙的に認めてしまうことになります。正規のツールが悪用される場合でも、防御側が不審な動作に気が付き、アラートを発行できることもありますが、Microsoftのバイナリが悪用されると防御システムによる検出が回避されやすくなります。悪用されているMicrosoftの多くのツールは、Windowsで必須であり、正当な目的があるために存在しています。自社の環境でこれらのツールがどのように使用されているのか、また、攻撃にどのように転用されているかを把握するのはシステム管理者の責任となります。自社環境における詳細なコンテキストを認識し、ネットワークで発生する新たなイベントや、それらのイベントがどのように展開しているのかを継続的に警戒しなければ、ITチームは、ランサムウェア攻撃へとつながる重要な脅威活動を見逃してしまう恐れがあります。

さらに、2月にLockBitの主要なリークサイトとインフラが政府機関によってテイクダウンされたにもかかわらず、LockBitは最も多く遭遇するランサムウェアグループとなっており、2024年上半期の感染の約21%を占めていました。

最新のアクティブアドバーサリーレポートのその他の重要な調査結果：

  • 攻撃の根本原因：「テクノロジーリーダー向けのアクティブアドバーサリーレポート」で最初に明らかになった傾向は今も続いています。侵害された認証情報は攻撃の主な根本原因であり、対応した事例の39%で確認されています。しかし、この数値は2023年の56%から減少しています。
  • MDRで扱った事例の大半を占めたのはネットワーク侵害：Sophos MDRチームによるインシデント対応事例のみを調査したところ、ネットワーク侵害が最も多くなっていました。
  • MDRチームが扱った事例では滞留時間が短くなる傾向が見られた：ソフォスのインシデント対応チームが扱った事例では、滞留時間（攻撃が開始されてから検出されるまでの時間）は約8日間で推移しています。しかし、Sophos MDRチームが調査した事例では、すべてのインシデントタイプの滞留時間の中央値はわずか1日、ランサムウェア攻撃ではわずか3日になっています。
  • 最も多く侵害されているActive DirectoryサーバーのEOLが近づいている：攻撃者は、Windows Server 2019、2016、2012のActive Directoryを最も多く侵害しています。これら3つのバージョンはすべて、現在Microsoftのメインストリームサポートの対象外になっており、同社の有償サポートを契約しなければパッチを適用できないサポート終了日（EOL）が近づいています。さらに、侵害されたActive Directoryサーバーのバージョンのうち、実に21%がすでにEOLになっていました。

調査で明らかになった攻撃者の行動、ツール、手法の詳細については、Sophos.comにアクセスして、「内部からの攻撃：ソフォスアクティブアドバーザリーレポート」をご覧ください。

ソフォスについて

ソフォスは、MDR (Managed Detection and Response) サービス、インシデント対応サービス、およびエンドポイント、ネットワーク、メール、クラウド セキュリティ テクノロジーの幅広いポートフォリオなど、サイバー攻撃を阻止する高度なセキュリティソリューションを提供する世界的なリーダーであり、革新的な企業です。ソフォスは、最大手のサイバーセキュリティ専門プロバイダーの 1つであり、全世界で 60万以上の組織と 1億人以上のユーザーを、アクティブな攻撃者、ランサムウェア、フィッシング、マルウェアなどから保護しています。ソフォスのサービスと製品は、Sophos Central 管理コンソールを介して接続され、企業のクロスドメイン脅威インテリジェンスユニットである Sophos X-Ops を利用しています。Sophos X-Ops のインテリジェンスは、Sophos ACE (Adaptive Cybersecurity Ecosystem) 全体を最適化します。このエコシステムには、お客様、パートナー、開発者、その他のサイバーセキュリティおよび情報技術ベンダーが利用できる豊富なオープン API セットを活用する一元化されたデータレイクが含まれます。ソフォスは、フルマネージド型のソリューションを必要とする組織に、Cyber​​security-as-a-Service を提供します。お客様は、ソフォスのセキュリティ運用プラットフォームを使用してサイバーセキュリティを直接管理することも、脅威ハンティングや修復などソフォスのサービスを使用して社内チームを補完するハイブリッドアプローチを採用することもできます。ソフォスは、リセラーパートナー、MSP (マネージド サービス プロバイダ) を通じて販売しています。ソフォス本社は英国オックスフォードにあります。詳細については www.sophos.com をご覧ください。