Cerber はランサムウェアの一種で、悪意のあるソフトウェアの一種です。被害者のコンピュータにインストールされると、ファイルを暗号化してアクセス不能にします。その後、攻撃者は復号キーと引き換えに身代金の支払いを要求します。
Cerber ランサムウェアの歴史
Cerber は、ロシアの地下フォーラムで販売されているサービスとして、2016 年 3 月に初めて確認されました。技術的に経験の浅い犯罪者でもランサムウェア攻撃を仕掛けることができる「Ransomware as a Service」(RaaS) モデルにより、急速に悪名が広まりました。
Cerber ランサムウェアを理解する
Cerber は、通常、悪意のある電子メールの添付ファイル、Web ダウンロード、またはエクスプロイト キットを介してコンピュータ システムに侵入して動作します。実行されると、Cerber はシステムでデータ ファイルをスキャンし、強力な AES-256 暗号化を使用して暗号化プロセスを開始します。ファイル名が変更され、暗号化された各ファイルに '.cerber' または '.cerber2' 拡張子が追加されます。
暗号化が完了すると、ランサムウェアは「# DECRYPT MY FILES #.txt」または「.html」という名前が付けられた身代金要求メモをドロップし、被害者に暗号化について通知し、復号キーと引き換えに身代金（通常はビットコイン）の支払いを要求します。
Cerber ランサムウェア: 内部の調査
Cerber は、検出を回避し、感染を最大化し、分析を阻止するために、さまざまな技術的戦略を採用しています。これには次のものが含まれます。
-
分析回避技術: Cerber は、コードの難読化やパッキングなど、フォレンジック分析を阻止するためのさまざまな手法を採用しています。サンドボックスまたは仮想マシンで実行されているかどうかを検出し、検出を回避するために自分自身を終了することができます。
-
永続化メカニズム: 感染したシステム上に確実に残るために、Cerber はレジストリ キー、スケジュールされたタスク、またはスタートアップ フォルダーを作成することによって永続性を確立します。
-
ネットワーク通信: 感染後、Cerber はコマンド アンド コントロール (C&C) サーバーと通信し、多くの場合、ドメイン生成アルゴリズム (DGA) を使用して、これらのサーバー用にブロックが困難な新しいドメイン名を生成します。
Cerberランサムウェアの主な特徴
Cerber ランサムウェアの特徴は次のとおりです。
-
音声アラートCerber は、テキスト読み上げエンジンを使用して被害者にファイルが暗号化されたことを通知するという珍しい機能で知られています。
-
RaaS モデルCerber は、マルウェア作成者がランサムウェアを他の犯罪者に貸し出して利益の一部を得るという RaaS モデルによって人気を博しました。
-
回復力C&C 通信に DGA を使用し、頻繁に更新されるため、対策に対して耐性があります。
Cerber ランサムウェアの亜種
Cerber は時間の経過とともに進化し、いくつかの亜種が確認されています。主な亜種をいくつか紹介します。
| 変異体 | 注目すべき特徴 |
|---|---|
| サーベル v1 | 初期バージョン、身代金要求メッセージの名前は「# DECRYPT MY FILES #.txt」または「.html」 |
| サーベル v2 | アンチAV技術を導入し、バグを修正 |
| サーベル v3 | v2と同様のマイナーな変更 |
| サーベル v4 | 暗号化されたファイルにランダムな4文字の拡張子を導入しました |
| サーベル v5 | 暗号化速度の向上、大規模企業ネットワークをターゲットに |
| サーベル v6 | 機械学習による検出を回避するための分析防止技術を導入 |
Cerber ランサムウェアの影響と緩和策
Cerber の影響は、身代金の支払いによる経済的損失や業務の中断など、深刻なものになる可能性があります。重要なファイルを定期的にバックアップし、ウイルス対策ソフトウェアを最新の状態に保ち、フィッシング メールや疑わしいダウンロードのリスクについて従業員を教育することが重要です。
感染した場合、身代金を支払ってもファイルの回復が保証されず、さらなる犯罪行為を助長するため、通常は身代金を支払わないことが推奨されます。
類似ランサムウェアとの比較
Cerber と他の類似ランサムウェアの比較は次のとおりです。
| ランサムウェア | 支払方法 | 暗号化アルゴリズム | 注目すべき機能 |
|---|---|---|---|
| ケルバー | ビットコイン | AES-256 | RaaS、音声アラート |
| ロッキー | ビットコイン | RSA-2048 | 身代金の金額は変動可能 |
| クリプトロッカー | ビットコイン | RSA-2048 | 最初に広まったランサムウェア |
| 泣きたい | ビットコイン | AES-256、RSA-2048 | MS17-010の脆弱性を悪用 |
ランサムウェアの未来
Cerber のようなランサムウェアは、高度な回避および持続技術を活用して、さらに洗練されていくと予想されます。サイバーセキュリティの防御者と攻撃者の両方による機械学習と AI の採用が、将来の状況を形作るものとなるでしょう。
プロキシサーバーとCerberランサムウェア
プロキシ サーバーは、間接的にランサムウェア攻撃に影響を与える可能性があります。攻撃者はプロキシ サーバーを使用して実際の IP アドレスを隠し、活動を追跡しにくくします。ただし、プロキシ サーバーは防御の一部にもなります。組織はプロキシを使用して、着信トラフィックを検査し、ランサムウェアの兆候がないか確認し、悪意のあるコンテンツをブロックできます。
