WannaCryは2017年に世界中で猛威を振るい、世界中のコンピュータで被害を出しました。WannaCryがどういったマルウェアなのか、その攻撃方法についてまずは見ていきましょう。

WannaCryは2つのマルウェアで構成

WannaCryは2つの脅威によって構成されたマルウェアです。1つは『ワーム』です。ワームは単独で存在し、コンピュータに侵入すると動作を重くしたり、中のデータを改ざんしたりするといった悪さを働きます。 まず、WannaCryのワームである『ドロッパーA』がコンピュータに侵入します。その後に活動を始めるもう1つのマルウェアが、『ドロッパーB』と呼ばれるランサムウェアです。ランサムウェアは、ファイルを勝手に暗号化して閲覧不可能にします。 そして、暗号化を解除するために金銭を要求してくるのです。 暗号化されたファイルの拡張子が『WCRY』というファイル形式になることが、WannaCryという名前の由来になっているそうです。

SMBv1を狙った攻撃

WannaCryは、SMBv1サービスを狙ってエクスプロイトコード（脆弱性を突くマシンコード）を仕掛け、データを書き換えるというものです。 SMBv1は主にMicrosoft社がWindowsで使っているプロコトルです。この結果、WannaCryは世界中のWindows PCで猛威を振るうことになりました。 アメリカ政府はWannaCryに北朝鮮が関与しているものと発表するなど、国際問題に発展した事件になったのです。

ここまで紹介した通り、WannaCryは世界中で影響を及ぼした悪質なマルウェアです。日本でも自社のPCが脅威の対象となれば、甚大な被害を受けてしまうでしょう。 そうならないために、WannaCryに自社PCが影響を受けているかの確認方法と感染が疑われた場合の対処について解説します。

通信ログでの確認

WannaCryは、HTTP通信時に規定のプロキシサーバー設定を使わずに、直接インターネットの通信を行うそうです。そのため、DNSサーバーのクエリログや、ファイアウォールのログを確認して不審な点がないかを洗い出しましょう。 このとき、WannaCryに関するドメイン名があるかどうかを確認するようにしてください。 また、WannaCryは445/tcpポートを利用して接続を試みるため、こちらの接続記録がないかも見るようにしましょう。

IOC情報を利用したスキャンでの確認

IOC（Indicator Of Compromise）は、脅威があった際の情報の痕跡です。マルウェアで使われたファイル名やサーバーのIPアドレスなどがあります。 このIOC情報を利用して、PC内部にWannaCryで作成されたファイルなどが残っていないかをスキャンによって確認するという方法です。資産管理ツールやEDR製品を利用したスキャニングによって、WannaCryの脅威が発見される可能性があります。

感染が疑われたらキルスイッチにアクセス

キルスイッチは、機械の操作部品の1つで、即座に電源を落としたりエンジンを停止させたりする仕組みを指します。IT用語においても、即座にシステムの動作を停止させる機能をキルスイッチと呼ぶようです。 感染が疑われる場合、WannaCryのキルスイッチであるドメインにアクセスします。アクセスすると、WannaCryの動作が停止することが確認されていますが、アクセスに成功しても感染した機器に実行ファイルが残る点には注意が必要です。 しかし、WannaCryではこのキルスイッチを回避する新バージョンも確認されており、必ずしも確証を持てる方法とは言えないようです。

WannaCryの脅威から企業データや個人のPCをどのように守るのか、その方法を解説してきます。

Windows10やXPなど各パッチ適用

Windowsでは、すでにサポートを終了しているXPなどのOSでもパッチが配布されています。まずは、各パッチを適用することをおすすめします。 Windows10などの現在もサポートが続いているものに関しては、自動アップデートをしているなら問題はありません。 新パッチには新たに発生したウイルスへも対処されているため、OSのバージョンは常に最新にしておきましょう。

ファイアウォールでポート445を閉じる

WannaCryはポート445から侵入してくることがわかっているので、ファイアウォールでポート445を閉じるという方法で脅威を防げます。 ただし、他のネットワークサービスについても遮断してしまうため、パッチが適用できない際の一時的な処置としてください。

IPAのサイトで自己診断してみよう

IPA （情報処理推進機構）のホームページには、セキュリティ対策についての自己診断テストが掲載されていますので、それを参考にしてみると良いでしょう。WannaCryの侵入を防ぐのみならず、他の脅威への対策にもなります。 IPAのサイトにはセキュリティについての考え方やセキュリティ環境の整え方も記載されています。企業規模でセキュリティシステムを検討する際に参考にしてください。

WannaCryは世界中で猛威を振るったマルウェアであり、現在は対策が施されているとはいえ、対策の目をかいくぐった新たなバージョンも確認されています。 WannaCryの脅威にさらされると企業として致命的なダメージを受けてしまうリスクも否めません。日頃からOSのバージョンを最新にする、アンチウイルスソフトの導入など、セキュリティ対策を普段からしっかりと行いましょう。