プログラミング言語Rustで記述したLunaランサムウェアは、Windows、Linux、ESXiを標的としています。クロスプラットフォームの言語を使用する傾向は2022年のランサムウェアのトレンドでもあり、引き続き注意が必要です。
[本リリースは、2022年7月20日にKasperskyが発表したプレスリリースに基づき作成したものです]
Kasperskyの調査チームは、ランサムウェアを使用する攻撃者がクロスプラットフォーム機能に着目する傾向にあることを強く示す、新たな攻撃グループを発見しました。このグループは「Luna（ルナ）」と呼ばれ、プログラミング言語Rustで記述したランサムウェアを使用しWindows、Linux、ESXiを標的としています。Rustで開発したマルウェアは、オペレーティングシステム間で容易に移植することができます。クロスプラットフォームの言語を使用する傾向は2022年のランサムウェアのトレンドでもあり、引き続き注意が必要です。
攻撃グループLunaは、Rustで記述されたランサムウェアを展開しています。クロスプラットフォームに対応しており、Windows、Linux、ESXiベースのシステムを同時に狙うことが可能です。当社調査チームが見つけたダークWeb上の広告には、Lunaグループはロシア語話者のアフィリエイトにのみ協力すると書かれており、さらに、ランサムウェアのバイナリにハードコードされたランサムノート（身代金を要求する通知）にはスペルミスが幾つかありました。これらのことから、Lunaを使うこのグループはロシア語話者である可能性が導かれます。Lunaは新たに発見されたグループであるため、その被害に関するデータはまだほとんどありません。当社は引き続きLunaの攻撃活動を追っていきます。
Lunaの活動は、RustやGolangのようなプログラミング言語で開発される、最近のランサムウェアのクロスプラットフォーム化の傾向を裏付けるものです。代表的な例はBlackCatとHiveで、後者はRustとGolangの両方を使用しています。これらの言語はプラットフォームに依存しないため、記述されたランサムウェアは一つのプラットフォームから別のプラットフォームへ容易に移植でき、同時に複数のオペレーティングシステムを狙うことが可能になります。
当社のリサーチャーが実施した別の調査では、2022年2月に初めて明らかになった「Black Basta」の活動に関する深い洞察も得ることができました。このグループは、C++で書かれた新しいランサムウェアの亜種を実行します。これまでに主に米国、ヨーロッパ、アジアにある40以上の標的を攻撃してきました。
今回の調査では、LunaとBlack BastaはどちらもWindows、Linuxに加えESXiのシステムを標的にしています。このようにクロスプラットフォームを狙う傾向は、2022年のランサムウェアのトレンドの一つでもあります。ESXiはあらゆるオペレーティングシステム上で単独で使用できるハイパーバイザーで、多数の企業がESXiをベースにした仮想マシンに移行しているため、攻撃者は標的システムのデータを暗号化しやすくなっていると言えます。
Kasperskyのセキュリティエキスパート、ジョーント・ファン・デア・ウィール（Jornt van der Wiel）は次のように述べています。「今年の初めに、ランサムウェア作成にクロスプラットフォーム言語を使う傾向があることについて述べましたが、それがより顕著になっているように思います。こういった言語の使用により、犯罪者たちはさまざまなオペレーティングシステム上で自分たちのマルウェアを展開することができます。ESXi仮想マシンに対する攻撃の増加は憂慮すべき事態で、今後同じ戦略を採用するランサムウェアファミリーがさらに増加するとみており、注意が必要です」
■ LunaとBlack Bastaの詳細については、Securelistブログ（英語）「Luna and Black Basta — new ransomware for Windows, Linux and ESXi」でご覧いただけます。
