ランサムウェアSamsam(Samas)による攻撃とJBossの脆弱性(CVE-2010-0738)

4/18に先月から猛威を振るっているランサムウェア「Samsam(Samas)」の攻撃でJBOSSの脆弱性が使われている形跡があるとCisco Talosが報告しています。今回は、この件を少し見てみます。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面です。

米国時間の4月18日、Threatpostに掲載された記事「3.2 Million Servers Vulnerable to JBoss Attack」によると、先月から猛威を振るっているランサムウェア「Samsam(Samas)」の攻撃でJBOSSの脆弱性が使われている形跡があるとCisco Talosが報告しています。

今回は、このJBOSSの脆弱性に関連するSamsamの情報をまとめます。

Priority

Critical

Samsam(Samas)について

Samsam(Samas)は、昨年からセキュリティ上の脅威として取り上げられるようになって来ているランサムウェア（ユーザーのデータを「人質」にとり、データの回復のために「身代金」（ransom）を要求するソフトウェア）の一種です。例えば、ユーザデータを勝手に暗号化して、金銭と引き換えに復号すると脅迫したり、ユーザのデータをランダムに少しずつ削除していき、削除をやめる代わりに金銭を要求するなどといったものになります。

このSamsamの特徴は、トレンドマイクロ社のサイトに詳しく記載されていますが

バックアップを探しだして破壊する
LAN内での拡散活動を行う

となっています。

特に、医療機関を標的にして被害が拡大しているようです。

JexBossについて

今回のCisco Talosの報告によると、このSamsamでは攻撃者はJexBoss(JBoss Application Server の開発/テスト用フレームワーク)を使って、CVE-2010-0738の脆弱性を足がかりにして攻撃を行っているようです。ひとたびネットワークにアクセスできれば、攻撃者はSamSamを使用して複数のWindowsシステムに対して暗号化を行います。

対処方法

Red Hatでは、「Is my JBoss / EAP Server Vulnerable to Samas Ransomware? 」といったURLを用意して、対処方法を案内しています。これによると Red Hat JBoss Enterpriseのリリースバージョンを、少なくとも下記のもの以上にしておけば、踏み台には使われないようです。