攻撃者の間で人気があります。日の状態に復元しました。調査の観点から言うと、攻撃の重要な証拠が失われたことになります。攻撃にはまだ続きがありました。悪用したのと同じ管理サーバーからのものでした。インストールすることでネットワークに常駐化しました。いう名前のランサムノートを残しました。イベントログを消去していたことが判明しました。よる攻撃に関するログも消去していたため、その後の調査はさらに難航しました。種類のランサムウェアバイナリを展開した理由は不明ですが、フォールトトレランスだったのかもしれません。一方の実行ファイルが検出・ブロックされたり、ファイルの暗号化に失敗した場合に、もう一方の実行ファイルがバックアップとして機能する仕組みです。以下の機能を持ちます。組のランサムウェアグループすべてによって暗号化されたファイルを発見しました。回暗号化された例もありました。ランサムウェアはまだ実行中でした。そのため、両グループはそれぞれのランサムウェアによって暗号化されたものではない拡張子を持つファイルを繰り返し発見したのです。行うにもかかわらず、どのグループのリークサイトでも被害者のデータは公開されていませんでした。いくつかの理由により、攻撃の調査は難航しました。これらの理由により、攻撃を再現するのは困難を極めました。チームは、残された証拠を収集し、分析を行いました。以下のような教訓とベストプラクティスのガイダンスが記載されています。パッチの適用と調査を行うこと。(脆弱性アラートの設定や、新しいバグに関するニュースをいち早く知るための情報源の監視も実施しましょう)。パッチが正しくインストールされているか、インターネットに接続するマシンやドメインコントローラーなどの重要なシステムにパッチが適用されているかを再確認してください。早期にパッチを適用することは、将来的に危険にさらされることを避けるための最善の方法です。パッチを適用した時点ですでに攻撃を受けていないとは限りません。パッチを適用する前に、システムが侵害されていないかどうかを調査するのは常に重要です。残したり、新しい脆弱性を導入したりすることがあるので、防御側は再攻撃の可能性を減らすために調査を行う必要があります。外部からアクセス可能なサービスをロックダウンする。外部から自社ネットワークをスキャンし、VNC、RDP、また他のリモートアクセスツールで頻繁に使用されるポートを特定してロックダウンしましょう。使用するゼロトラストネットワークアクセスツールを使用しましょう。攻撃は複数回発生する可能性があることも忘れないでください。アクセスポイントが公開されたままだと、他の攻撃者に発見・悪用されかねません。セグメンテーションとゼロトラストを導入すること。配置し、各サーバー間およびサーバーとワークステーション間を分離して、ゼロトラストネットワークモデルを確立しましょう。強度の高いパスワードは、攻撃に対する最初の防衛線となります。パスワードは一意のものか複雑なものを選択します。使い回しは絶対にしないでください。認証情報を保存できるパスワードマネージャーを使用することで、複雑なパスワードを簡単に管理できます。強固なパスワードであっても侵害される恐れがあります。電子メール、リモート管理ツール、ネットワーク資産などの重要なリソースへのアクセスを保護するためには、どのような形態であっても多要素認証を導入してください。資産とアカウントのインベントリを作成すること。ネットワーク上の保護されていないデバイスや、パッチが適用されていないデバイスは、リスクを高め、悪意のあるアクティビティを検出できずに見逃してしまう要因になります。デバイスの最新のインベントリを作成することが極めて重要です。ネットワークスキャンと物理的な調査を併用してデバイスの場所を特定し、記録しておきましょう。多くの場所で攻撃を防御できるよう、多層防御を導入すること。ネットワークに接続できるすべてのエンドポイントに多層防御を導入しましょう。攻撃者を一度ネットワーク内に侵入させてしまうと、包括的なインシデント対応および修復計画を策定し、直ちに行動を起こさない限り、「対症療法」としてできることは多くありません。情報漏えいの被害者が得た教訓」と題した一連の記事を連載していました。設定、インシデント対応計画の策定などに関するアドバイスを紹介しています。ソフォスのインシデント対応ガイドは、こちらから請求していただけます。リポジトリに掲載しています。