WannaCryと内部拡散について

2017年に猛威を振るったWannaCryなどはランサムウェアというマルウェアの一種です。ランサムウェアというのは利用者PCのハードディスクなどを暗号化し、アクセス制限をかけてしまいます。そのアクセス制限を解除する、身代金の要求を対象PCに表示するといったマルウェアです。下記にランサムウェアWannaCryの仕組みを簡単に記載しました。

写真を拡大

このWannaCryは感染したPCだけではなく、周囲のPCまでも感染させるといった悪質な特徴を持っています。その仕組みについて説明していきましょう。

（1）感染元のPCが何かしらの要因（メール添付の実行ファイル、悪質サイトアクセス）にて、WannaCryの展開元となる「Dropper」というものをPCに取り込みます。
（2）このDropperは感染PCを制御不能にさせるための必要ファイル、暗号化実行ファイル、ランサム表示データファイル、言語ファイルなどをPCに展開します。
（3）展開されたPCのハードディスクは暗号化され、同時にスクリーンに対し身代金要求の画面と支払期限までのタイマーなどを表示し、キーボードなどユーザインターフェースからの入力などを不能にさせ、PCが制御できなくなる状態にします。
（4）（3）と同時に他のPCを感染させるためのDropperを作成し、感染対象PCを探します。この時、利用されるプロトコルがWindowsのファイル共有プロトコルSMB（Server Message Block）です。
（5）感染はこのプロトコル：SMBv1の脆弱性を突いてきます。上の図の場合、PC-BのSMBv1の脆弱性を突いてバッファオーバーフロー（*）という手法を用いてPC-Bにバックドアを仕掛け、Dropperを取り込ませます。
（6）その後の処理は上記（1）～（5）の繰り返しで感染PCを増やしていきます。
（*）バッファオーバーフロー：本来のプログラムが制御できない領域を作り出すこと

このように、ランサムウェアの感染でポイントとなるのは、「脆弱性を突いた攻撃」なのです。SMBv1の脆弱性というサーバーの特定リクエストを処理する際、バッファオーバーフローを起こさせ、バックドアを仕掛け、リモート操作を行えるようにします。この脆弱性を解決するパッチファイルはMS17-010というものが既に出ています。このパッチファイルを適応すれば感染は広がりませんでした。