FBIは、2020年に行政機関や救急医療サービス、通信指令センターなどを標的とした16件のConti攻撃を特定した。全世界では400組織以上がContiの攻撃を受け、そのうち290組織以上が米国に拠点を置いているという。

　こうしたFBIが示す数字は、報告があった攻撃のみを対象にしているため、実際の数はさらに多い可能性がある。攻撃を当局に報告せず、身代金を支払ったり独自にシステムを復旧したりする組織も数多くあると考えられる。

　欧州でContiの攻撃が多発していることも、FBIが警告を出した背景にある。欧州ではContiへの感染によってシステム停止が長引くインシデントが発生している。2021年5月中旬に、アイルランドの公的医療機関がContiによる攻撃を受け、システム復旧に時間がかかった。

ごくありふれた手口を利用するContiの攻撃

　FBIの警告によると、Contiによる攻撃の大半は遠隔にあるコンピュータのデスクトップを操作するための通信プロトコル「RDP」（リモートデスクトッププロトコル）や、文書作成ソフトウェア「Microsoft Word」のマクロ（作業自動化機能）を悪用している。

　Contiの攻撃は、悪意のあるプログラムを侵入させ、コマンドラインツール「PowerShell」のスクリプトを実行して、ペネトレーションテストツール「Cobalt Strike」を起動させる。これによって攻撃者は遠隔で感染したコンピュータとネットワークにアクセスできるようになる。攻撃者はネットワーク内をひそかに移動し、暗号化する情報を探し、ランサムウェアに感染させる。攻撃者はネットワーク内に数日から数週間滞留する。

　データが暗号化されると、システム管理者に身代金の要求が届く。FBIによると、2日から8日以内に身代金の要求額を暗号通貨（仮想通貨）で支払わない場合、攻撃者は一度しか使用できないVoIP（Voice over IP）サービスのアカウントや、暗号化によって送信者の身元を特定できない電子メールサービス「ProtonMail」を介して被害者に連絡をする。攻撃者は支払金額の減額について被害者と交渉することもあるという。

　FBIによると、Contiはネットワークのポート番号「80」「443」「8080」「8443」を使って攻撃者側のサーバと通信する。攻撃の間は一貫してポート番号「53」を使う。FBIは、攻撃者がオンラインストレージ「MEGA」や「pCloud」に窃取したファイルをアップロードしていることも確認したという。

　システム管理者は、次のような点を調べることで攻撃があったかどうかを把握できる。突然新しいアカウントが作成されていたり、攻撃者が偵察時に使うシステム管理ツール「Windows Sysinternals」がインストールされていたりする場合、攻撃を受けている可能性がある。マルウェア対策ソフトウェアやネットワーク監視ツールが突然無効になっていることも、攻撃を発見するためのポイントになる。