ランサム被害レポート

こんばんは、かーでぃです。
年末年始、暇なのを良いことにチェアリング三昧を計画していたのですが、風が強かったり、なんたらかんたら理由を付けて、結局庭コーヒーを楽しんだ程度。
じゃ、何してたかというと……ずっとPCの前で、技術書典に向けた執筆してたり、note記事書いたりと、連休じゃなくてもできるけど、連休だからこそたっぷり時間を使ってできることを楽しんでますｗ

さて、昨年はアサヒやアスクルと言った大企業でのランサム被害が目についたところでした。
そんな私も、2019年にランサム被害を経験しています。当時のことを思い出しながら、少しレポートを書いてみます。

ちょっと長いのですが、是非最後の「反省点」だけでも読んでほしいです。

１．前提の話

当時、小さな製造業の情シスをやってました。小さくても、海外に工場があったりして、香港をハブとしてＮＷで繋がっている状況でした。
クラウド化は遅れており、ＪＴＣ特有の「オンプレでやれ」が蔓延しており、ファイルサーバもWindowsサーバを使っている状態でした。
バックアップは、ファイルサーバに増設したLTOデッキで、週末にフルバックアップ＋毎日差分バックアップの運用でした。

２．そいつは音もなくやってきた

ある日会社に出社すると、先に来ていた同僚から「ファイルが開かん」との苦情が…。「またまた～」と思いながら、ファイルサーバのコンソールを開くと、そこにあるべきハズのファイルがありません。
いや、ファイルはあるのですが、すべて拡張子が別モノに置き換えられていました。

「やられた！！！」

と思い、すぐさま全サーバ、全ＰＣをＮＷから切り離す…のが最善手だったのでしょうが、もう頭はパニックです。
切り離すことで、工場の生産が止まります。目の前の状況だけで、それを自分だけで判断することが、怖くて…。
ちょうどその日は経営会議で上長含めて経営陣は移動中。電話で指示を仰ぐのも忘れて、自分は火消しに走ってました。

３．拡大する悲鳴

コンソールに向かって、あーでもない、こーでもないと、何をしていたのか記憶がありません。ウィルス探しをしていたのか、どうやって侵入されたのか、ログを探っていたのか……
すると内線電話がかかってきます。「これこれこうで…」と説明するも、ひっきりなしに電話がかかるため、構内放送で状況を説明。ＮＷの切り離しを依頼するも、それを理解してくれた人がどれぐらい居たか…。

４．指示を仰ぐ

上長に電話して事情を説明。経営会議は中止となり、戻られることになりました。
自分一人だとテンパってなにも出来なかったのですが、上長が居てくれる安心感からか、やっとこの辺りから記憶が鮮明になってきます。
※当時、上長のことはめちゃくちゃ尊敬してました。今でも尊敬してます！

香港との専用線を切り離し、基幹システムを使えなくします。
後からわかったことですが、どうも香港のＦＷに開けられていたＲＤＰのポートから侵入されたようでした。

それから被害状況の確認。ファイルサーバはほぼ死んでます。他にも十数台のＰＣやサブシステム内のデータなど、かなり広範囲にやられました。

同時に、ファイルサーバ内にどこかにいるウィルスを突き止める作業をします。システムフォルダ以外にある、暗号化されていない実行形式のファイルが怪しい、と目星をつけて検索すると、１つのファイルにたどり着きます。

「こいつだ…」

と思い、USBメモリに確保すると、一旦は保存されるものの、すぐに消えてしまうのです。

「こいつ……事故削除機能がある？！」

いや、さすがにそんな機能を持ったモノはないのですが（ないと思う！）、実際にUSBメモリから居なくなってしまうので、そーいうものがあるんじゃないかと思ってしまうわけですね。
実際は、裏でウィルスバスターがソレを検知＆駆除してくれていました。NWから切り離す前に、パターンファイルが更新されていたようで、最新のパターンファイルで駆除ができる、と分かった時には、一筋の光が見えた喜びでした。

５．リカバリ

ウィルスバスターを最新にすれば、検知＆駆除できるのはわかりましたので、その作業を進めます。が、NWからは切り離しているため、インターネットに接続するためには、各端末にテザリング接続する必要があります。
ところが、パソコンはデスクトップＰＣです。Wi-Fiがついているわけではないので、USBドングルを認識させるところからスタートです。

さらに、資産管理ツールによって、通常端末はUSBメモリやメディアドライブが使えない状態にしてあります。
よって、まずはUSBやメディアを使えるように管理者特権のコマンドを叩いて再起動。そこからメディアを認識させてWi-Fiのドライバをインストール。
Wi-Fiの設定をして、テザリングからウィルスバスターのパターンファイルを更新と、1台の更新をするだけでも相当な手間がかかる作業です。
これをPC100台以上に対して行い、ウィルスが見つかったPCは隔離して、OSからクリーンインストールを行うわけです。

そうして、クリーンな端末だけを繋いだクリーンＮＷを構築します。が、この時点でも香港へのルートはまだ閉じたままで、基幹システムは使えません（サーバが香港にあるため）。
香港も、一部の端末で感染してしまったようでしたので、そちらがクリーンな状況にならない限り、接続することができません。

平行して、ファイルサーバの復旧です。ファイルサーバはLTO6のテープを使っていました。ただし、ウィルスバスターがパターンファイルを提供してくれたおかげで、もしかしたら暗号化が解除できるかも？！という淡い期待を抱くことになります。
そうすると、バックアップからの復元先に、現在のファイルサーバを指定すれば、空き容量確保のため、暗号化されたファイルを消さなければなりません。
よって、旧ファイルサーバをひっぱりだし、そこに復元を試みます。ところが旧ファイルサーバに付いているLTOデッキはLTO5です。LTO6テープには対応していません。
ので、LTO6対応のデッキが付いている別のサーバから、旧ファイルサーバにＮＷ経由でファイルを復元させます（旧ファイルサーバはシャットダウンしていたため未感染）。
ここで、ＮＷの遅さが響いてきます。100BASEを前提にLANが構築されており、ケーブルやスイッチは軒並み100BASE対応のものしかありません。
しかも、旧ファイルサーバの容量不足で、一発でファイルサーバ全体を復元させることができません。

部署（フォルダ）単位に復元させ、一旦は旧ファイルサーバで共有化し、トレンドマイクロからの吉報を待ちます。
が、いくら待てども吉報はきません。そのうち、旧ファイルサーバもパンパンとなり復元ができなくなりました。

ここでやっと暗号化されたファイルの復元を諦め、バックアップからの復元に舵を取り直します。
ファイルサーバをOSインストールから再構築しなおし、旧ファイルサーバからデータを再度ＮＷ越しに戻しつつ、バックアップから残りのフォルダも復元させます。

ファイルサーバがクリーンＮＷに接続できるまで、3日間は掛かりました。

次に、サブシステムの復元。こちらは開発ベンダーに依頼して作業を実施。PCの復元は応援メンバーの力も借り、全台を復旧させるのに、2週間ぐらいはかかった覚えがあります。

さらに平行して、基幹システムを補完する別のサブシステムを自社で手組みで作っていましたので、こちらの復旧も進めます。
基幹システムは感染しなかったのですが、こちらのサブシステムが感染してしまったため、帳票系の出力が出来ない状態でした。
帳票が出力できないということは、倉庫への出庫指示や生産現場への加工指示が出せないという状況です。つまり、生産が止まってしまう恐れがあります。
事前に印刷した分があったので、出庫や生産は2日程度は大丈夫だったのですが、逆に言えば3日に出力ができなければ、工場のラインが止まってしまうのです。それは、工場にとって非常にまずい状況なのです。

とりあえず、段階的に復旧作業をしたことで、ライン停止には至らなかったわけですが、個人的にはこちらの復旧作業が一番汗をかいたところでした。
なにせ、自社開発なので他に頼ることができないんですよね。。。

６．被害状況の把握と報告

一通りの復旧が終わると、今度は被害状況のまとめと報告です。
　感染サーバ：数台
　感染ＰＣ　：十数台
　データ欠損：
　　・ファイルサーバ：バックアップにより発症日の1日前の状況に戻る
　　・サブシステム　：バックアップにより1週間前の状況も戻る　など
　感染経路　：香港のＦＷからと思われる
　データ流出：不明

データはバックアップがあったため復元できました。当時、3-2-1ルールなどしりませんでしたが、「バックアップはオフライン」「別サイト保管」ということだけ意識しており、ランサムによりバックアップまで破壊されなかったのは、不幸中の幸いでした。

しかし、侵入経路についていは、これ以上のことはわかりませんでした。導入していたものは従来型のEPPであり、詳細な挙動を記録するEDRは未導入の状況でしたし、FWやルータのログを一元的に管理・収集する仕組みもなく、断片的なログを人の目で追いかけることは現実的ではありませんでした。
結果として、ファイルサーバや PC のデータが暗号化されるという「目に見え る被害」は確認できましたが、裏で情報が持ち出されていたかどうかは分かりま せん。データはバックアップから復元できましたが、「何が起きたのか」を説明できないまま復旧を終えることになりました。

７．反省点

バックアップの復元訓練が出来ていなかった。ファイル単位での復元操作はしていましたが、全体を復元しようとしたときに、今回のようなことは想定できておらず、その場その場での対応となってしまった。

RPO/RTOを意識で来ておらず、現実的なバックアップ運用になっていなかった。

「復元できればそれでよし」と考え、バックアップ対応しか検討されておらず、侵入されたあとの動きを検知、また後追いする仕組みがなかった。

侵入されたことを前提とした訓練ができておらず、対応を平時では理解できていても、いざ実際に現場に立つとどうしていいのか、パニックになってしまった。

８．最後に

反省することだらけですね。
でも、当時は自分としてはイヤな思い出だったんでしょうね。結構、この体験を封印してたところがあります（あまり人前で話もしてこなかったし）。

最近、営業と出先でセキュリティの話題になると、実体験としてこの話をさせてもらいます。生々しい体験談ですので、結構真剣に話を聞いてくれたりしました。自分の体験を公開することで、少しでもランサムの被害が減ればと思います。

少し先の話ですが、バックアップにフォーカスを当てた技術同人誌を現在執筆中です。今回書いた生々しい経験談もコラムに書きながら、最新のバックアップ事情について詳しく解説する書籍にする予定ですので、楽しみにしていてください。 ※タイトルは仮です。

セキュリティ（SASE）についてはこちらの書籍も是非ご参考に(^^)/