BlackSuit ランサムウェア: 完全ガイド

BlackSuit ランサムウェアは、Windows ユーザーと Linux ユーザーの両方をターゲットにすることが知られているマルウェアの一種で、ファイルを暗号化することで被害者が自分のファイルにアクセスできないようにします。通常、このランサムウェアは、BlackSuit がファイル名に「.blacksuit」拡張子を追加し、デスクトップの壁紙を変更し、「README.BlackSuit.txt」という身代金メモを作成し、ファイル名を変更するため、識別できます。BlackSuit の身代金メモではいくつかの主張が行われますが、最も注目すべきは、重要なファイルが暗号化されて安全なサーバーに保存されており、そのため財務報告書、知的財産、個人ファイル、およびその他の機密データが侵害されたというものです。 BlackSuit は、被害者に身代金要求の支払いを強要する二重恐喝戦略の一環として、データ漏洩サイトも開設しています。

BlackSuit は、被害者のシステム上のファイルを暗号化し、復号キーと引き換えに支払いを要求するマルウェアの一種であるランサムウェアです。ランサムウェアがシステムに感染すると、FindFirstFileW() および FindNextFileW() API 関数を使用してファイルとディレクトリを列挙し、暗号化プロセスを開始します。 BlackSuit ランサムウェアは、Advanced Encryption Standard (AES) アルゴリズムを使用してファイルを暗号化します。 AES アルゴリズムは、データの暗号化に広く使用されている対称暗号化アルゴリズムです。 BlackSuit ランサムウェアは、暗号化に OpenSSL の AES を使用し、同様の断続的な暗号化技術を活用して被害ファイルを高速かつ効率的に暗号化します。BlackSuit ランサムウェアは、Windows と Linux の両方のオペレーティングシステムユーザーをターゲットとしています。ランサムウェアは、通過するすべてのディレクトリに「README.BlackSuit.txt」という名前の身代金メモを投下します。ファイルを暗号化した後、「.BlackSuit」拡張子を追加してファイル名を変更します。

BlackSuit ランサムウェアについて私たちが知っていることすべて

確認済みの名前

BlackSuit ウイルス

脅威の種類

ランサムウェア
クリプトウイルス
ファイルロッカー
二重恐喝

暗号化されたファイル拡張子

.blacksuit

身代金を要求するメッセージ

こちらもお読みください:Daixin ランサムウェアグループ: 完全ガイド

README.BlackSuit.txt

検出名

アバストWin32:マルウェア生成
カスペルスキーHEUR:Trojan-Ransom.Win32.Generic
ソフォスマル/ジェネリック-S (PUA)
マイクロソフト身代金:Win32/BlackSuit.B

配布方法

感染した電子メールの添付ファイル (マクロ)
トレント Web サイト
悪意のある広告
トロイの木馬

結果

ファイルは暗号化され、身代金の支払いまでロックされます
データ漏洩
二重恐喝

Windows のバリアント

BlackSuit ランサムウェアファミリと Royal ランサムウェアファミリの 32 ビット Windows 亜種は、BinDiff に基づく機能の類似性が 93.2%、基本ブロックの類似性が 99.3%、ジャンプの類似性が 98.4% あります。
BlackSuit と Royal は暗号化に OpenSSL の AES を使用し、同様の断続的な暗号化技術を活用しています。

Linuxのバリアント

BlackSuit ランサムウェアの Linux 版は、1c849adcccad4643303297fb66bfe81c5536be39a87601d67664af1d14e02b9e として、sha256 を使用して GCC でコンパイルされた 64 ビット ELF 実行可能ファイルです。
BinDiff 比較ツールに基づくと、Royal と BlackSuit の Linux バリアントは、機能で 98% の類似性、ブロックで 99.5% の類似性、ジャンプで 98.9% の類似性を共有しています。

利用可能な無料の復号化ツールはありますか?

いいえ。現時点では、BlackSuit ランサムウェアの既知の公開復号ツールはありません。

BlackSuit ランサムウェアの IOC とは何ですか?

IOC (Indicators of Compromise) は、ネットワークまたはオペレーティングシステム上で観察されるアーティファクトであり、コンピュータの侵入を高い信頼性で示します。 IOC は、侵入検知システムやウイルス対策ソフトウェアを使用した将来の攻撃の試みを早期に検出するために使用できます。BlackSuit ランサムウェア感染は、身代金通知が表示されるまで目立った症状を示さない場合があります。ただし、BlackSuit ランサムウェア感染を示す可能性のある症状がいくつかあります。

ファイルを開いたりアクセスしたりすることはできず、ファイル名は「.blacksuit」拡張子を含むように変更されています。
デスクトップの壁紙が変更されました。
「README.BlackSuit.txt」という身代金メモがすべてのディレクトリに存在します。
身代金メモでは、重要なファイルが暗号化されて安全なサーバーに保存され、財務報告書、知的財産、個人ファイル、その他の機密データが侵害されたと主張しています。
被害者は、復号化キーと引き換えに支払いを要求するメッセージを受け取る可能性があります。

これらの症状のいずれかが存在する場合は、さらなる損傷やデータの損失を防ぐために直ちに措置を講じることをお勧めします。 SalvageData のランサムウェア除去専門家に連絡すると、安全なデータ回復サービスと攻撃後のランサムウェア除去が提供されます。

BlackSuitの身代金メモの内容

BlackSuit ランサムウェアによって生成される身代金メモは「README.BlackSuit.txt」と呼ばれ、通過するすべてのディレクトリにドロップされます。このメモには、重要なファイルが暗号化され、安全なサーバーに保存されていると主張する攻撃者からのメッセージが含まれています。このメモでは、財務報告書、知的財産、個人ファイル、その他の機密データが侵害されたことにも言及しています。攻撃者は、復号化キーと引き換えに身代金の支払いを要求します。全体的に、BlackSuit 身代金メモの口調は、被害者に緊迫感と恐怖感を与え、攻撃者の要求に従うよう強制するように設計されています。BlackSuit 身代金メモのサンプル:

BlackSuit ランサムウェアはどのように拡散するのか

BlackSuit ランサムウェアがシステムに感染する一般的な方法は次のとおりです。

感染した電子メールの添付ファイル (マクロ)

サイバー犯罪者は、感染したリンクやマクロを含む電子メールの添付ファイルを通じて BlackSuit ランサムウェアを配布する可能性があります。
ユーザーがこれらの添付ファイルを開いたり、マクロを有効にしたりすると、システム上で誤ってランサムウェアの実行が引き起こされる可能性があります。

トレント Web サイト

BlackSuit ランサムウェアは、ピアツーピアネットワーク経由でファイルをダウンロードしたり共有したりするために一般的に使用される torrent ファイルに埋め込まれる可能性があります。
ユーザーがこれらの感染した torrent ファイルをダウンロードして開くと、システムがランサムウェアに感染する可能性があります。

悪意のある広告

マルバタイジングとも呼ばれる悪意のある広告は、BlackSuit ランサムウェアを配布する方法として使用される可能性があります。
これらの広告をクリックしたユーザーは、ランサムウェアを自動的にダウンロードしてシステムにインストールする Web サイトにリダイレクトされる場合があります。

トロイの木馬

BlackSuit ランサムウェアは、ランサムウェアを含む他の種類のマルウェアをダウンロードしてインストールできる悪意のあるプログラムであるトロイの木馬を通じて配信される可能性があります。
トロイの木馬は、フィッシングメール、偽のソフトウェアアップデート、侵害された Web サイトなど、さまざまな手段を通じて配布される可能性があります。

BlackSuit ランサムウェアはどのように機能しますか?

BlackSuit ランサムウェアは、ランサムウェアの脅威として動作し、被害者がファイルを暗号化することでアクセスできないようにするマルウェアの一種です。 BlackSuit ランサムウェアの特定の動作と機能は、バージョンや亜種によって異なる場合があることに注意することが重要です。BlackSuit ランサムウェアの通常の動作については、次のとおりです。

分布

BlackSuit ランサムウェアは、感染した電子メールの添付ファイル、トレント Web サイト、悪意のある広告、トロイの木馬など、さまざまな方法で配布されます。

実行

ランサムウェアがシステムに感染すると、暗号化プロセスが開始されます。 FindFirstFileW() および FindNextFileW() API 関数を使用して、システム上のファイルとディレクトリを列挙します。

暗号化

BlackSuit ランサムウェアは、Advanced Encryption Standard (AES) などの強力な暗号化アルゴリズムを使用して、標的のファイルタイプを暗号化します。暗号化されたファイルは、元の名前に拡張子「.blacksuit」を追加して変更されます。

身代金メモ

BlackSuit ランサムウェアは、ファイルを暗号化した後、通過するすべてのディレクトリに「README.BlackSuit.txt」という名前の身代金メモを投下します。身代金メモは攻撃者からの通信として機能し、復号キーと引き換えに身代金の支払いを要求します。

デスクトップの壁紙の変更

BlackSuit ランサムウェアは、感染したシステムのデスクトップの壁紙も変更し、ランサムウェア攻撃に関連するメッセージや画像を表示します。

データの損失と恐喝

暗号化されたファイルは、復号化キーがなければアクセスできなくなり、使用できなくなります。攻撃者は、身代金が支払われない場合、侵害されたデータを漏洩または販売すると脅迫する可能性があります。

身代金を支払わないでください！BlackSuit ランサムウェア攻撃の被害者は、事件を法執行機関に報告し、評判の高いサイバーセキュリティ専門家の支援を求めることをお勧めします。

BlackSuit ランサムウェア攻撃に対処する方法

重要：BlackSuit IOC を特定した後の最初のステップは、インシデント対応計画 (IRP) に頼ることです。理想的には、24 時間 365 日連絡できる信頼できる専門家チームを備えたインシデント対応担当者 (IRR) がいて、データ損失の防止、身代金の支払いの軽減または排除、法的責任への対応を迅速に講じることができます。この記事の公開時点で私たちが知る限り、ランサムウェア回復の専門家チームがとる最初のステップは、感染したコンピューターをインターネットから切断して削除することによって隔離することです。同時に、このチームはあなたの国の地方自治体への連絡を支援します。米国居住者および企業にとっては、地元のFBI現地事務所そしてインターネット犯罪苦情センター (IC3)。ランサムウェア攻撃を報告するには、次のようなランサムウェア攻撃に関するあらゆる情報を収集する必要があります。

身代金メモのスクリーンショット
ランサムウェア攻撃者との通信 (存在する場合)
暗号化されたファイルのサンプル

ただし、IRP または IRR がない場合でも、ランサムウェアの削除と回復の専門家に連絡する。これが最善の行動であり、ランサムウェアの削除、データの復元、将来の攻撃の防止に成功する可能性が大幅に高まります。を推奨します。感染したすべてのマシンをそのままにしておくそして電話してくださいランサムウェア緊急復旧サービスシステムを再起動またはシャットダウンすると、回復プロセスが危険にさらされる可能性があります。稼働中のシステムの RAM をキャプチャすると、暗号化キーの取得に役立つ場合があります。また、ドロッパーファイルをキャプチャすると、リバースエンジニアリングが行われて、データの復号化やデータの動作の理解につながる可能性があります。

BlackSuit ランサムウェア攻撃から回復するためにしてはいけないこと

絶対ですランサムウェアを削除しない、攻撃のあらゆる証拠を保管します。それは重要ですデジタルフォレンジックそのため、専門家はハッカーグループを追跡して特定することができます。当局は感染したシステム上のデータを使用して、攻撃を調査し、犯人を見つけます。サイバー攻撃の捜査は他の犯罪捜査と変わりません。攻撃者を見つけるには証拠が必要です。

1. インシデント対応プロバイダーに連絡する

サイバーインシデント対応は、サイバーセキュリティインシデントに対応し、管理するプロセスです。インシデント対応リテイナーは、組織がサイバーセキュリティインシデントに関して外部の支援を受けることを可能にするサイバーセキュリティプロバイダーとのサービス契約です。これは、組織にセキュリティパートナーを通じて体系化された専門知識とサポートを提供し、サイバーインシデント発生時に迅速かつ効果的に対応できるようにします。インシデントレスポンスリテイナーは、サイバーセキュリティインシデントの前後に専門家によるサポートを提供し、組織に安心感をもたらします。インシデント対応リテイナーの具体的な性質と構造は、プロバイダーと組織の要件によって異なります。優れたインシデント対応リテイナーは、堅牢でありながら柔軟性があり、組織の長期的なセキュリティ体制を強化する実証済みのサービスを提供する必要があります。IR サービスプロバイダーに連絡すれば、その他すべてのことを対応してくれます。ただし、IT チームと一緒にランサムウェアを削除してファイルを回復することにした場合は、次の手順に従うことができます。

2. ランサムウェア感染を特定する

あなたはできるどのランサムウェアかを特定するファイル拡張子によってマシンに感染した場合 (一部のランサムウェアはファイル拡張子を名前として使用します)、そうでない場合は身代金メモに記載されます。この情報を使用して、公開復号キーを探すことができます。また、IOC によってランサムウェアの種類を確認することもできます。侵害の痕跡 (IOC) は、サイバーセキュリティの専門家がネットワークまたは IT 環境内のシステム侵害や悪意のある活動を特定するために使用するデジタル手がかりです。これらは基本的に犯罪現場に残された証拠のデジタルバージョンであり、潜在的な IOC には、異常なネットワークトラフィック、外国からの特権ユーザーのログイン、奇妙な DNS リクエスト、システムファイルの変更などが含まれます。 IOC が検出されると、セキュリティチームは考えられる脅威を評価するか、その信頼性を検証します。 IOC は、攻撃者がネットワークに侵入した場合に何にアクセスしたかの証拠も提供します。

3. ランサムウェアを削除し、エクスプロイトキットを排除する

データを回復する前に、デバイスにランサムウェアが存在しないこと、および攻撃者がエクスプロイトキットやその他の脆弱性を利用して新たな攻撃を行うことができないことを保証する必要があります。ランサムウェア削除サービスは、ランサムウェアの削除、調査のためのフォレンジック文書の作成、脆弱性の排除、データの回復を行うことができます。マルウェア対策/ランサムウェア対策ソフトウェアを使用して、悪意のあるソフトウェアを隔離して削除します。

重要：ランサムウェア除去サービスに連絡すると、マシンとネットワークに BlackSuit ランサムウェアの痕跡が残らないようにすることができます。また、これらのサービスはシステムにパッチを適用し、新たなランサムウェア攻撃を防ぐことができます。

4. バックアップを使用してデータを復元する

バックアップはデータを回復する最も効率的な方法です。データ使用量に応じて、毎日または毎週のバックアップを必ず取ってください。

5. ランサムウェア回復サービスに連絡する

バックアップがない場合、またはランサムウェアの削除や脆弱性の排除に支援が必要な場合は、データ復旧サービスにお問い合わせください。身代金を支払ったからといって、データが返されるとは限りません。すべてのファイルを確実に復元できる唯一の方法は、そのファイルのバックアップがある場合です。そうでない場合は、ランサムウェアデータ回復サービスがファイルの復号化と回復に役立ちます。SalvageData の専門家がファイルを安全に復元し、BlackSuit ランサムウェアによるネットワークの再攻撃を防ぐことができます。緊急回復サービスについては、24 時間年中無休で専門家にお問い合わせください。

ランサムウェア攻撃を防ぐ

ランサムウェアを防ぐことがデータセキュリティの最善の解決策です。それらから回復するよりも簡単で安価です。 BlackSuit ランサムウェアは、ビジネスの将来を脅かし、さらには廃業する可能性があります。これらは、確実に成功するためのいくつかのヒントです。ランサムウェア攻撃を回避する:

信頼できるウイルス対策ソフトウェアを使用してください。信頼できるウイルス対策ソフトウェアをシステムにインストールし、定期的に更新します。これは、BlackSuit などの既知のランサムウェアの脅威を検出してブロックするのに役立ちます。
電子メールの添付ファイルには注意してください。電子メールの添付ファイルを開くときは、特に未知の送信元または疑わしい送信元から送信されたものである場合は注意してください。予期していなかった添付ファイルや、疑わしいと思われる添付ファイルを開かないようにしてください。
不審なリンクには注意してください。特に電子メール、ポップアップ広告、または見慣れない Web サイトにある不審なリンクをクリックしないでください。これらのリンクは、BlackSuit のようなランサムウェアを配布する可能性のある悪意のある Web サイトにつながる可能性があります。
オペレーティングシステムとソフトウェアを最新の状態に保ちます。オペレーティングシステム、Web ブラウザ、その他のソフトウェアアプリケーションを定期的に更新してください。ソフトウェア更新には、ランサムウェアが悪用する可能性のある既知の脆弱性から保護するのに役立つセキュリティパッチが含まれることがよくあります。
自動更新を有効にします。オペレーティングシステムとソフトウェアアプリケーションの自動更新を有効にします。これにより、手動介入なしで最新のセキュリティパッチとアップデートを確実に受け取ることができます。
ファイルを定期的にバックアップしてください。重要なファイルを外付けハードドライブ、クラウドストレージ、または別の安全な場所に定期的にバックアップしてください。ランサムウェア攻撃が発生した場合、バックアップを作成しておくと、身代金を支払うことなくファイルを復元できます。
あなた自身とあなたの従業員を教育してください。不審なダウンロードを回避する、電子メールの添付ファイルに注意する、フィッシング攻撃を認識するなど、安全なオンライン慣行について自分自身と従業員に教育してください。認識と警戒は、ランサムウェア感染を防ぐのに大いに役立ちます。

これらの予防策に従うことで、BlackSuit ランサムウェアがシステムに感染するリスクを軽減し、ファイルが暗号化されるのを防ぐことができます。