～LockBitに対する政府機関による捜査とテイクダウンがあったにもかかわらず、2024年上半期のインシデント対応事例ではLockBitが最多となる～

12月 12, 2024 —

サイバー攻撃を阻止する革新的なセキュリティソリューションのグローバルリーダーであるSophos（日本法人：ソフォス株式会社　東京都港区代表取締役足立達矢）は「内部からの攻撃：ソフォスアクティブアドバーザリーレポート」を公開し、2024年上半期に攻撃者が使用した手法と行動の変化について詳細に分析した結果を伝えています。このデータは、Sophos X-Opsのインシデント対応チームとSophos X-Ops MDR（Managed Detection and Response）チームの両方が実施した約200件のインシデント対応事例から得られています。このデータから、攻撃者がWindowsシステムで信頼されるアプリケーションやツール（一般に環境寄生型攻撃バイナリと呼ばれます）を利用して、システムに関する情報を収集して、常駐化していることが判明しました。2023年と比較して、環境寄生型攻撃バイナリ（LOLbin）の悪用は51%増加しており、2021年以降から83%増加しています。今年上半期にはMicrosoftの187件のユニークなLOLbinが検出されましたが、信頼されるアプリケーションの中で最も多く悪用されたのは、リモートデスクトッププロトコル（RDP）でした。分析対象となった約200件のインシデント対応事例の89%で、攻撃者はRDPを悪用していました。このRDPが広く悪用される傾向は、2023年のアクティブアドバーサリーレポートで初めて確認され、調査されたすべてのインシデント対応事例の90%でRDPが悪用されていました。

ソフォスのフィールドCTOであるJohn Shierは次のように述べています。「環境寄生型攻撃は、攻撃者による活動が見えにくくなるだけでなく、暗黙的に認めてしまうことになります。正規のツールが悪用される場合でも、防御側が不審な動作に気が付き、アラートを発行できることもありますが、Microsoftのバイナリが悪用されると防御システムによる検出が回避されやすくなります。悪用されているMicrosoftの多くのツールは、Windowsで必須であり、正当な目的があるために存在しています。自社の環境でこれらのツールがどのように使用されているのか、また、攻撃にどのように転用されているかを把握するのはシステム管理者の責任となります。自社環境における詳細なコンテキストを認識し、ネットワークで発生する新たなイベントや、それらのイベントがどのように展開しているのかを継続的に警戒しなければ、ITチームは、ランサムウェア攻撃へとつながる重要な脅威活動を見逃してしまう恐れがあります。

さらに、2月にLockBitの主要なリークサイトとインフラが政府機関によってテイクダウンされたにもかかわらず、LockBitは最も多く遭遇するランサムウェアグループとなっており、2024年上半期の感染の約21%を占めていました。

最新のアクティブアドバーサリーレポートのその他の重要な調査結果：

  • 攻撃の根本原因：「テクノロジーリーダー向けのアクティブアドバーサリーレポート」で最初に明らかになった傾向は今も続いています。侵害された認証情報は攻撃の主な根本原因であり、対応した事例の39%で確認されています。しかし、この数値は2023年の56%から減少しています。
  • MDRで扱った事例の大半を占めたのはネットワーク侵害：Sophos MDRチームによるインシデント対応事例のみを調査したところ、ネットワーク侵害が最も多くなっていました。
  • MDRチームが扱った事例では滞留時間が短くなる傾向が見られた：ソフォスのインシデント対応チームが扱った事例では、滞留時間（攻撃が開始されてから検出されるまでの時間）は約8日間で推移しています。しかし、Sophos MDRチームが調査した事例では、すべてのインシデントタイプの滞留時間の中央値はわずか1日、ランサムウェア攻撃ではわずか3日になっています。
  • 最も多く侵害されているActive DirectoryサーバーのEOLが近づいている：攻撃者は、Windows Server 2019、2016、2012のActive Directoryを最も多く侵害しています。これら3つのバージョンはすべて、現在Microsoftのメインストリームサポートの対象外になっており、同社の有償サポートを契約しなければパッチを適用できないサポート終了日（EOL）が近づいています。さらに、侵害されたActive Directoryサーバーのバージョンのうち、実に21%がすでにEOLになっていました。

調査で明らかになった攻撃者の行動、ツール、手法の詳細については、Sophos.comにアクセスして、「内部からの攻撃：ソフォスアクティブアドバーザリーレポート」をご覧ください。

ソフォスについて

ソフォスは、サイバーセキュリティ業界のリーダー企業として、AI を駆使したプラットフォームや精鋭スタッフによるサービスを世界中の 600,000社以上のお客様にご利用いただいています。セキュリティの成熟度にかかわらず、あらゆるお客様のご要望にお応えし、サイバー攻撃を撃退すべくお客様とともに成長を続けています。機械学習や、自動化、リアルタイムの脅威インテリジェンスに、Sophos X-Ops の最前線スタッフから得た専門知識を組み合わせて、高度な脅威監視、検出、対応を 24時間 365日体制で行っています。
ソフォスは、業界最先端の MDR (managed detection and response) を提供しているのに加えて、エンドポイントをはじめ、ネットワーク、メール、クラウドセキュリティ、XDR (extended detection and response)、ITDR (identity threat detection and response)、次世代の SIEM まで、サイバーセキュリティテクノロジーのあらゆるラインナップを取り揃えています。さらに、専門家によるアドバイザリーサービスも提供しており、組織はこれらを組み合わせて利用することで、リスクをあらかじめ減らし、迅速な対応をとれるようになるだけでなく、進化し続ける脅威の一歩先をいくために必要な可視性および拡張性を確保することが可能となります。
ソフォスは、グローバルに広がるパートナーエコシステムを通じて市場展開しており、お客様は、MSP (Managed Service Provider)、MSSP (Managed Security Service Provider) や、リセラー、ディストリビューターのほか、マーケットプレイスにおける統合、ソフォスのサイバーリスクパートナーまで、信頼できる関係性を自由にお選びいただけます。  ソフォス本社は英国のオックスフォードにあります。詳細については www.sophos.com をご覧ください。