白い南京錠に閉ざされたファイル、WhiteLock ランサムウェアの警告

ファイルが次々と暗号化され、さらにリモートアクセスツールまで停止した場合、すでにランサムウェア感染が進行している可能性がある。最近確認された WhiteLock ランサムウェアは、Windows 環境の主要なファイルを暗号化した後、ランサムノートを生成して身代金を要求する。暗号化の過程で外部サーバーと通信し、AnyDesk や TeamViewer などのリモートアクセスツール関連サービスを停止させることで被害者のリモート対応を妨害する点が特徴である。

本ブログでは、WhiteLock ランサムウェアの主な動作とランサムウェア対策において確認すべきセキュリティポイントについて解説する。

WhiteLock は、感染したシステム上のファイルを暗号化し、その復号と引き換えに身代金を要求する典型的なランサムウェアである。暗号化されたファイルには「.fbin」拡張子が追加され、感染システムには「c0ntact.txt」というランサムノートが生成される。

WhiteLock のランサムノートでは、被害者に対して期限内に身代金を支払うよう要求するとともに、Tor ベースの交渉サイトへのアクセス方法や被害者識別情報の入力手順が案内される。攻撃者は復号の対価を要求すると同時に、期限内に連絡や支払いが行われない場合は復旧できなくなるとして被害者に圧力をかける。

また、WhiteLock は特定の脅威活動との関連も指摘されている。一部の報告では、情報窃取型マルウェアによって初期侵入が行われた後、WhiteLock ランサムウェアが追加で展開された事例も確認されている。このことから、WhiteLock は単独の実行ファイルとして捉えるのではなく、「初期侵入 → 情報窃取 → 内部拡散」の後に展開されるランサムウェア脅威として理解する必要がある。

そのため、WhiteLock への対策としては、ランサムウェア本体の検知だけでなく、フィッシング、アカウント乗っ取り、リモートアクセスの悪用、不審な外部通信、内部拡散の兆候について継続的に監視することが重要である。

1. 分析内容

1.1 初期処理

WhiteLock ランサムウェアは、実行されると感染端末の MAC アドレスを収集する。収集した MAC アドレスは SHA-256 ハッシュ値へ変換され、生成されたハッシュ値は感染端末を識別するため、外部サーバーとの通信に使用される。

この処理は、ランサムウェアが感染端末を識別し、その後の暗号化キー処理や被害者識別を行うための準備段階と考えられる。

外部サーバーとの通信に失敗した場合、WhiteLock は通信を繰り返し再試行する。そのため、外部ネットワークとの通信が制限された環境では、一部の後続処理が正常に実行されない可能性がある。ただし、実際の感染環境ではネットワークポリシーやセキュリティ機器の構成、攻撃者の配布方法によって動作が異なるため、単に通信が遮断されているかどうかだけで感染の有無を判断してはならない。

感染端末の登録後、WhiteLock は AnyDesk および TeamViewer がインストールされているかを確認する。これらのツールが存在する場合、後続処理で関連サービスを停止する。

これは、セキュリティ担当者や管理者がリモートアクセスツールを利用して感染システムを隔離したり、リアルタイムで対応したりすることを妨害する目的と考えられる。

1.2 暗号化の準備

暗号化キーの生成

初期処理の実行後、WhiteLock はファイル暗号化に使用するキーを生成する。この過程で32バイトと16バイトの乱数が生成され、それぞれ AES 暗号化に使用される Key および IV として利用される。

その後、WhiteLock は外部サーバーと通信して RSA 公開鍵を取得し、先に生成した AES キーを RSA-2048 方式で暗号化する。

これはランサムウェアで広く使用される鍵保護方式であり、実際のファイル暗号化には AES のような共通鍵暗号方式を使用し、その共通鍵を攻撃者が管理する公開鍵によって保護する仕組みである。

暗号化された AES キーは外部サーバーへ送信される。この構造では、攻撃者が保有する RSA 秘密鍵がなければ AES キーを復元できないため、被害者は攻撃者との交渉なしにファイルを復旧することが困難となる。

暗号化対象ファイルの選定

暗号化キーの生成および保護処理が完了すると、WhiteLock は暗号化対象から除外するファイルおよびフォルダーの一覧を作成する。

一般的なランサムウェアと同様に、大半のユーザーファイルを暗号化対象とする一方で、OS の動作に不可欠なディレクトリ、すでに暗号化済みのファイル、ランサムノート、一部のシステムファイルなどは除外対象として暗号化を行わない。

以下の表は WhiteLock が暗号化対象から除外する項目をまとめたものである。

この除外リストは、OS の正常動作に必要なファイルを保護し、システム障害を防ぐこと、さらにすでに暗号化されたファイルを重複して処理しないことを目的としていると考えられる。

また、セキュリティ製品に関連するキーワードを除外している点についても、暗号化処理中の例外や競合を回避する意図があると考えられる。

リモートアクセスツール関連サービスの停止

WhiteLock は、事前に存在を確認した AnyDesk および TeamViewer 関連サービスを検出し、それらを停止する。

リモートアクセスツールは、セキュリティ担当者が感染システムへアクセスして状況を確認したり、プロセスを停止したり、ネットワークを遮断したりするために利用される。

そのため、この動作はランサムウェア感染後のリモート対応を妨害し、暗号化が完了するまでの時間を確保することを目的としたものと考えられる。

1.3 暗号化の実行

ランサムノートの生成

暗号化準備が完了すると、WhiteLock は各ドライブのルートディレクトリに「c0ntact.txt」というランサムノートを生成する。

ランサムノートには、ファイルが暗号化されたことに加え、重要情報を窃取した旨が記載されている。また、期限内に身代金を支払わない場合は、顧客への通知、情報の販売、ダークウェブやインターネット上での公開を行うという脅迫文も含まれている。

最後に、Tor Browser を利用した交渉ページへのアクセス方法と被害者識別情報の入力手順が案内される。これは攻撃者が被害者を個別に識別し、交渉を管理するための仕組みと考えられる。

[図1] WhiteLock ランサムウェアのランサムノート

ファイルの暗号化

ランサムノートの生成が完了すると、WhiteLock は本格的にファイルの暗号化を開始する。

暗号化には、先に生成した AES Key および IV が使用され、除外リストに含まれるファイルやディレクトリは対象外となる。

WhiteLock は対象ファイルのデータを読み取り、AES-CBC 方式で暗号化を行う。暗号化が完了すると、元のファイル名の末尾に「.fbin」拡張子を追加する。

この拡張子は、被害者にファイルが暗号化されたことを認識させるだけでなく、すでに処理済みのファイルを再度暗号化しないための識別子としても機能する。

WhiteLock の暗号化方式は、共通鍵暗号によるファイル暗号化と公開鍵暗号による鍵保護を組み合わせた構造である。

これは多くのランサムウェアで採用されている方式であり、一度感染すると復号は困難であるため、事前バックアップ、ビヘイビア (振る舞い) ベースの検知、初期段階での遮断が重要となる。

デスクトップ背景の変更

暗号化が完了すると、WhiteLock は感染端末のデスクトップ背景を変更する。

変更後の壁紙には、システムが侵害され重要な情報が暗号化されたことが表示され、被害者に「c0ntact.txt」を確認するよう案内する内容が記載される。

壁紙の変更は、被害者に感染を即座に認識させるとともに、ランサムノートの確認や交渉ページへのアクセスを促す心理的圧力として利用される。

[図2] WhiteLock ランサムウェアによって変更されたデスクトップ背景

2. アンラボにおける対応状況

アンラボは、WhiteLock ランサムウェアおよび関連する攻撃活動に対して、ファイルの検知、ビヘイビアベースの検知、EDR による検知機能を提供している。

AhnLab V3 は、WhiteLock ランサムウェアに関連する悪性ファイルおよびランサムウェアが疑われる動作を検知する。また、MDP ベースの検知により、ファイルの暗号化、自動実行、ランサムウェア特有の不審な動作などを検知できる。

AhnLab EDR では、ランサムウェアが疑われる動作や攻撃の各段階における主要イベントを検知し、セキュリティ担当者が感染の流れを把握して対応できるよう支援する。

特に、大量のファイル変更、ランサムノートの生成、リモートアクセスツール関連サービスの停止、不審な外部通信などは、ランサムウェア感染時に重点的に確認すべき動作である。

ランサムウェア対策には、ウイルス対策ソフトのエンジンを常に最新状態に保つだけでなく、EDR によるビヘイビアベース検知、リモートアクセスツールの利用状況の監視、重要データのバックアップ、外部通信制御ポリシーの点検を併せて実施することが重要である。

結論

WhiteLock ランサムウェアは、ファイルの暗号化、外部サーバーとの通信、リモートアクセスツール関連サービスの停止、ランサムノートの生成、デスクトップ背景の変更を組み合わせたランサムウェアである。

感染端末の識別情報をもとに暗号化処理を実施し、AES-CBC と RSA-2048 を組み合わせた鍵保護方式を採用することで、被害者によるファイル復旧を困難にしている。また、暗号化されたファイルには「.fbin」拡張子を追加し、「c0ntact.txt」のランサムノートやデスクトップ背景の変更によって被害者に身代金の支払いを迫る。

特に、AnyDesk や TeamViewer 関連サービスを停止する動作は、感染後のリモート対応を妨害することを目的としていると考えられる。

そのため、WhiteLock のようなランサムウェアに対しては、既知のマルウェア検知だけでなく、大量のファイル変更、不審な暗号化動作、ランサムノートの生成、リモート管理サービスの停止といった重要な動作を検知する仕組みが必要である。

さらに、重要データのバックアップ、外部通信の監視、リモートアクセスツールの利用状況の点検を併せて実施し、ランサムウェア感染の初期段階で対応できる体制を整備することが重要である。