7月と8月の概況

2021年7月（7月1日～7月31日）と8月（8月1日～8月31日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

国内マルウェア検出数^*1の推移
（2021年3月の全検出数を100%として比較）

*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2021年7月と8月の国内マルウェア検出数は、増加傾向にあります。検出されたマルウェアの内訳は以下のとおりです。

*2 本表にはPUAを含めていません。

7月と8月に国内で最も多く検出されたマルウェアは、JS/Adware.Agentでした。
JS/Adware.Agentは、悪意のある広告を表示させるアドウェアの汎用検出名です。Webサイト閲覧時に実行されます。

7月と8月も、Webブラウザー上で実行される脅威が多数検出されています。検出数上位10種には、アドウェアやフィッシング詐欺を狙った脅威が入っています。
これらの脅威以外にも、7月と8月には、ランサムウェアLockBit 2.0による被害が国内外の企業で確認されています。
LockBitは、2019年頃に初めて確認されたランサムウェアです。2021年6月頃にバージョン2.0へとアップグレードされました。
LockBit 2.0は、ファイルの暗号化だけでなくデータの窃取も行います。そして、窃取したデータを公開するといったドキシングによる脅迫行為も確認されています。

国内の企業から窃取した情報を公開しているLockBit 2.0のブログ

現在確認されている感染経路としては、ネットワーク機器に存在する脆弱性の悪用などが挙げられます。
LockBit 2.0に感染すると、ファイルが暗号化され、拡張子を「lockbit」に変更されます。
また、感染後にPCの壁紙を以下の画像に変更されます。

LockBit 2.0感染後に壁紙に設定される画像

併せて、hta（HTMLアプリケーション）形式のランサムノートも表示されます。
ランサムノートには、Torブラウザーのインストール方法、感染したPCに起きたことの説明、注意事項について書かれています。

感染後に表示されるランサムノート

サンプル実行時のプロセスを見ると、多数の子プロセスを作成していることがわかります。
子プロセスではシャドウコピーの削除、Windows自動修復機能の無効化やイベントログの削除などを行っています。

LockBit 2.0に感染した時の親プロセスと子プロセスの一部

シャドウコピーを削除する目的は、暗号化したファイルの復元を妨害するためだと考えられます。また、確実にシャドウコピーを削除するために、さまざまなコマンドで実行しています。

シャドウコピーを削除するコマンドを実行しているプロセス

Windowsが正常に起動しない際のトラブルシューティングをオフにすることで、システムの復元などを妨害していると考えられます。

Windowsの自動修復機能をオフにしているプロセス

セキュリティログやシステムログ、アプリケーションログを削除する理由として、自身の痕跡を隠すことが考えられます。

イベントログを削除するプロセス

また、解析したサンプルでは起動していた解析ツールを終了させる動作もありました。今回は、ファイル名をデフォルトから変更することで、終了させずにツールを使用することができました。自身を解析させないことなどが、目的として考えられます。

ご紹介したように、7月と8月は、ランサムウェアLockBit 2.0による被害を確認しています。このような被害に遭わないためにも、セキュリティ製品を正しく運用することが重要です。また、オフラインバックアップを取得することで、ランサムウェアの被害に遭った際に被害を軽減できる可能性があります。