Conti

Contiは、2020年5月に初めて確認されたランサムウェアの一種。ダークサイドなどこれまでのランサムウェアグループは医療機関などは標的にしない事を明言しているグループが多かったが、Contiは多数の医療機関を問答無用で標的にするなどその凶悪さが注目を集めている。アメリカのセキュリティ企業Palo Alto Networksは「私たちが追跡している数十のランサムウェアギャングの中でも際立って冷酷なランサムウェアの一つ」と表現している。FBIが発表したフラッシュアラートによると、医療機関や救急医療機関のネットワークシステムを標的にした攻撃が1年間に少なくとも16件確認されている。

1. 概要
-----

Contiを開発しているのは、ロシアのサンクトペテルブルクとウクライナを拠点にしていると推測されるハッカーグループのウィザード・スパイダーで、同グループはランサムウェアRyukも運用している。

サービスとしてのランサムウェアを提供しているが、他のグループとはやや異なり、身代金の一部を報酬としてアフィリエイトに支払うのではなく、ランサムウェアを運用した攻撃者に賃金を支払っている。

脅威の詳細Microsoft Windowsのすべてのバージョンが影響を受けることがわかっている。Mac OS、Linux、Androidは脅威を受けない。

Contiの攻撃者は、スピアフィッシング攻撃、リモート監視・管理ソフトウェア、リモートデスクトップソフトウェアなど、様々な手法やツールを用いてシステムに侵入する。

セキュリティ企業Advanced Intelligenceは、ContiなどがLog4jの脆弱性を悪用する手段を模索していると報告している。

挙動システムに侵入すると、Windowsのバックアップであるボリュームシャドウコピーを削除しようとする。リスタートマネージャを使用して多くのサービスを停止させ、それらが使用しているファイルを確実に暗号化できるようする。リアルタイムモニターを無効にし、Windows Defenderアプリケーションをアンインストールする。

Contiは、ネットワークを通じて横方向に広がることで被害を拡大させようとする。デフォルトの動作では、ネットワークのServer Message Blockドライブを検出しようとし、ローカルと同様にすべてのファイルを暗号化させる。 このランサムウェアは、最大32個の個別の論理スレッドを使用するAES-256を実装しており、他のランサムウェアよりもはるかに高速で暗号化する。その結果、デバイスのCPU使用率、機能、パフォーマンスにも影響が出るが、Contiは発見されるリスクよりも迅速に暗号化することで任務を達成しようとする。

暗号化するとシステムに致命的なダメージを与えるWindows、boot、tempといったフォルダや、.DLL、.exe、.sys、および.lnkといった拡張子のファイルは暗号化から除外される。またオプション設定によっては、特定のドライブや個々のIPアドレスをターゲットにすることもできる。 Contiによって暗号化されると、旧バージョンではファイル名に .CONTI または .[A-Z]{5} のファイル拡張子が追加されていたが、最新バージョンではファイル名に .CONTI の拡張子は使用されなくなっている。

暗号化が完了すると「Conti_README.txt」または「readme.txt」というファイルを生成する。このテキストには被害者向けに、連絡先や身代金の支払い方法などが記されている。連絡先URLの「CONTI Recovery service」というサイトでは、攻撃者と連絡をとるために readme.txt ファイルをアップロードするよう指示される。

脅迫暗号化の解除と、盗んだ情報を流出させると、二重で脅迫することで身代金を要求する。2021年10月、ContiはJVCケンウッドと交渉中、その情報がリークされたことを不満として、入手したデータを意地でも公開すると宣言している。

復旧身代金を支払ったとしても復旧できない事例も多く、「一部しか復旧できなかった」「ファイルを削除してしまったので復元は不可能と言われた」「途中で音信不通となった」など、犯人グループの不誠実な対応も指摘されている。 そのためNHS Digitalは、システムを復旧する唯一の方法は、暗号化されたすべてのファイルを最新のバックアップから復元するしかないとしている。

リサーチサイバーセキュリティ企業VMware Carbon Blackは、Contiに関するテクニカルレポートを公開している。

2. 歴史
-----

2020年5月、Contiの活動が初めて確認された。同時に盗み出した情報を暴露するサイトも開設している。

2021年4月、三井物産セキュアディレクションによるとContiは全ランサムウェア被害全体の25%を占めており、現在活動中の全てのランサムウェア攻撃グループの中で最も活発かつ被害数が多いと推測している。同社によると、1ヶ月あたり平均30以上の組織が被害に遭っているという。

5月20日、アイルランドの保健サービス委員会やニュージーランドのワイカト地区保健局などの医療機関への攻撃が判明すると、Contiは国際的な怒りと非難を浴びたため、攻撃に関与したマルウェアグループはこのランサムウェアのデクリプターを公開した。BlackBerryの脅威調査チームの検証によると、このツールは本当に悪意のない復号ツールだったという。ただし、ファイル名が .FEEDC で終わるファイルだけ復号されるため、このファイル名を追加しない Contiの亜種や株には役に立たない。

9月20日、アメリカのサイバーセキュリティ・インフラストラクチャー・セキュリティ庁と国家安全保障局、FBIは、ランサムウェア「Conti」による攻撃が計400件以上確認されたと共同で警告を発した。そのうち290以上はアメリカの組織が対象だという。

12月、セキュリティ企業Advanced Intelligenceは、Contiが過去6カ月間で1億5000万ドル以上の身代金を入手していたとしている。

2022年2月24日、ロシアがウクライナに侵攻した。翌25日、国際的ハッカー集団アノニマスが「ロシア政府を標的にした対抗作戦を実行する」と発表し「gov.ru」や「kremlin.ru」などの関連サイトがダウンしアクセス不能となった。同日、ランサムウェア「Conti」を開発するハッカー集団が「ロシア政府の全面支持を公式に表明する。ロシアに対してサイバー攻撃や戦争活動を仕掛けようとする者がいれば、その敵の重要なインフラに対し、持てるリソースの全てを注ぎ込み報復する」との声明を発表した。約1時間後「どの政府とも同盟を結ぶことはなく、現在進行している戦争を非難する」と一部訂正したが「米国のサイバー攻撃によって、ロシアやロシア語圏の重要なインフラ、平和な市民の生活と安全が脅かされる場合、全力で報復する」という立場は変えなかった。

2月27日、Twitterに「＠ContiLeaks」が出現。アカウント名通りContiのメンバー同士の会話やログ、ランサムウェアのソースコードなどをリークし始めた。内部情報は6万件以上で、欧米のセキュリティ専門家たちによると、この情報は本物で間違いないという。メッセージには「ウクライナに栄光あれ！」と添えられていた。Krebs on Securityによると、アカウントを開設したのはウクライナのセキュリティ研究者だとしている。

3. 被害を受けた企業・組織
--------------

3.1. スコットランド環境保護庁
-----------------

2020年12月24日、スコットランド環境保護庁は攻撃を受け、4,000ファイルのデータを盗まれた。Contiを運用するハッカーグループが犯行声明を出し身代金を要求。SEPAの各種サービスは暗号化の影響で業務に支障がでたが、SEPAは「我々は、公共サービスの妨害や公的資金の恐喝を目的とした危険な犯罪グループへの支払いに公的資金を使用することはない」と一切要求に応じなかった。身代金を受け取れなかった実行犯は、腹いせに盗んだ全てのデータを暴露サイト上に公開した。

3.2. ファット・フェイス
--------------

2021年3月25日、イギリスのファッション小売店ファット・フェイスはハッキングを受け、従業員や顧客の銀行口座情報などの個人情報を盗まれた。2ヶ月後、同社は顧客に対し報告したが、攻撃に関する詳細は口外しないよう求めた。だがこれが裏目に出て、怒った顧客がソーシャルメディアに苦情を申し立てた。同社は公表が遅れた理由を、外部のセキュリティ専門家が「可能な限り正確な情報を提供できるよう、データを徹底的に分析・分類」するのに時間がかかったためと釈明したが、セキュリティ企業のESETは「今回の最大の問題は、影響を受ける人々への通知が遅れたことです」と対応の悪さを指摘した。

3.3. ExaGrid
------------

2021年5月初旬、アメリカのバックアップ用ストレージベンダーExaGridが攻撃を受け、従業員情報や取引に関する機密情報、税務書類などのファイル800GBを暗号化された。ExaGridは身代金50.75ビットコインを支払った。

3.4. アイルランドの保健サービス委員会
---------------------

2021年5月14日、アイルランドの公的医療サービス提供母体である保健サービス委員会は、ランサムウエアによる大規模なサイバー攻撃を受けて、すべてのITシステムを停止したと明らかにした。CEOのポール・リードは「非常に巧妙な攻撃で、並みの攻撃ではない。HSEの中核サービス全てに関わる国と地方のシステム全てに影響が出ている」とコメントした。

3.5. ニュージーランドのワイカト地区保健局
-----------------------

2021年5月18日、ニュージーランド北島の中西部に位置するワイカト地区保健局が攻撃を受け、同地区の5つの病院のメールなどITシステムがダウンした。病院では患者の情報にアクセス出来なくなり、外来受付は閉鎖、手術は延期となった。心臓発作に襲われた患者は、急遽別の地区の病院に搬送し事なきを得た。 ニュージーランド政府は身代金は払わないと明言したが、しびれを切らした犯行グループは5月24日に国営ラジオ局などマスコミ4社に盗んだ患者やスタッフなどの個人情報を送りつけた。マスコミはこの情報を報じないとし、警察に届け出た。

3.6. JVCケンウッド
-------------

2021年9月29日、日本のJVCケンウッドは欧州3カ国にあるグループ販売会社のサーバーが9月22日に不正アクセスを受け、顧客や従業員の情報が流出した可能性があると公表した。Contiは1.7TB以上のデータを盗み出し、復号に700万ドルの身代金を要求したと報じられている。

3.7. Graff
----------

2021年11月、イギリスロンドンに拠点を置く高級宝飾大手Graffを攻撃し、1.1万人分の顧客情報などのデータが窃取。後にダークウェブ上で公開した。

3.8. Advantech
--------------

2021年11月末、台湾のコンピュータメーカーAdvantechを攻撃し、法人文書ファイルなどを窃取。データを削除することと引き換えに身代金1400万ドルを支払うよう要求した。

3.9. Nordic Choice Hotels
-------------------------

2021年12月、スカンジナビア地域最大のホテルチェーンNordic Choice Hotelsを攻撃しシステムを侵害した。

3.10. McMenamins
----------------

2021年12月、アメリカオレゴン州ポートランドに拠点を置くホテルチェーンMcMenaminsを攻撃し、同ホテルチェーンのコンピュータシステムを侵害した。

3.11. Shutterfly
----------------

2021年12月26日、デジタル画像サービスを手がけるShutterflyがContiの被害に遭ったと公表した。攻撃はおよそ2週間前に発生し、数百万ドル規模の身代金を要求されているという。Shutterflyは身代金の支払いを拒否しているのかContiは盗んだ情報をリークサイトに流し始めた。

4. 脚注
-----

5. 関連項目
-------

Wizard Spider - 使用しているグループ。
Health Service Executiveへのサイバー攻撃 - 新しい亜種が関与したとされる攻撃。