「EDR」を無効化する手口と対策【後編】

脅威のランサムウェア攻撃集団「BlackByte」の危険から身を守る方法とは？

攻撃者集団BlackByteの活動が盛んだ。専門家が「高度だ」と評するBlackByteの攻撃手法には、効果的な対策があるという。どのようなものか。

公開 2023年02月24日 05時00分

[TechTarget]

印刷する連載新着通知を受け取る

　ランサムウェア（身代金要求型マルウェア）攻撃集団BlackByteの活動が活発化していると、セキュリティベンダーSophosは報告する。2022年2月に米国政府が組織に警告を発するきっかけとなったのが、BlackByteの攻撃だ。この攻撃は政府や金融機関といった生活インフラを運営する組織を狙うものだった。「この攻撃を見て、われわれはBlackByteの動向に着目するようになった」と、Sophosで脅威研究担当シニアマネジャーを務めるクリストファー・バッド氏は話す。

どうすればBlackByteの攻撃に備えられるのか

併せて読みたいお薦め記事

連載：「EDR」を無効化する手口と対策

進化するランサムウェア

　BlackByteとその洗練された攻撃手法は、短い休止期間を経て戻ってきたことになる。「BlackByteは今後も、セキュリティ製品を無効化するために脆弱なドライバを悪用し続ける」。セキュリティベンダーSophosで脅威研究者を務めるアンドリアス・クロプシュ氏は、同社公式ブログのエントリ（投稿）でそう指摘する。

　クロプシュ氏はブログエントリで、「ドライバの脆弱性を悪用する攻撃者は、ゼロデイ脆弱性（パッチ未配布の脆弱性）ではなく、既知の脆弱性を対象とすることがほとんどだ」と説明する。つまりBlackByteの攻撃手法は、パッチを適用すれば緩和できる可能性があるということだ。他方でBlackByteの攻撃手法は、攻撃者がマルウェアと一緒に脆弱なドライバを標的デバイスに持ち込む「Bring Your Own Driver」である点をバッド氏は強調し、注意を促す。

　バッド氏とクロプシュ氏が提唱する、BlackByteへの対策は以下の通りだ。