Petyaの亜種の動作の調査　Talos

平成29年6月27日、ウクライナの情報機関よりランサムウェア「Petyaの亜種」」攻撃による被害が多発しているというSOSを受け取った「Talos」は、平成29年7月5日、Webサイトにて同チームが属するセキュリティ機関Ciscoと協力し、同ランサムウェアについて調査を行ったことを公表しました。

引用元:http://blog.talosintelligence.com/2017/07/the-medoc-connection.html?m=1

概要

同調査では、ランサムウェアを装った破壊的なペイロードが「※M.E.Docソフトウェア」の中に埋め込まれていることが判明しました。
攻撃者は、盗んだ資格情報を用いてM.E.Docを、プロキシ接続と攻撃者が操作するサーバの操作が可能としていたとのことで、これより、当該ランサムウェアによる攻撃が破壊的なものであると同団体は見解を述べています。
これまでにウクライナ内では、既に2,000以上の企業が当該ランサムウェアによる被害を受けているとのことです。
※M.E.Docは、ウクライナにて多くの企業が利用する会計ソフトウェアです。

また、先日Kaspersky社が言及したように、当該ランサムウェアにはワイパー系の「BlackEnergy」の要素が含まれています。

調査

調査の初期段階にて、バックドアの１つであるWebShellが発見され、タイムスタンプは平成29年5月21日14時45分であったとのことです。
同団体によると、このWebShellはオープンソースPHPのWebShell PASを若干修正したものと分析しており、パスフレーズをHTTP POST変数に設定すると復号化が可能になります。