今回発見されたランサムウェアは「Tycoon」と呼ばれる。2020年6月4日にBlackBerryのセキュリティ研究グループとKPMGのセキュリティアナリストによって発見され、BlackBerryのブログにて報告された。名前の由来はコード内のフォルダ名による。

　Tycoonが狙うのは主として教育業界やソフトウェア業界だという。Tycoonについて報告した研究者たちは「ちょっと珍しいランサムウェア」として注目している。

　なぜなら、TycoonはJavaで記述されたランサムウェアだからだ。研究チームは「Javaで作られたランサムウェアは初見だ」としている。TycoonはJavaイメージファイル「JIMAGE」形式にコンパイルされている「トロイの木馬」形式のマルウェアで、対象とするOSは、Java環境が整った「Windows」と「Linux」だ。Javaイメージファイルをスキャンするセキュリティ対策ソフトはほとんどなく、発見されにくい。

　そもそも、JIMAGEを展開して実行するためには「Java Runtime Environment」（JRE）が必要だ。稼働する環境は限定されているため、その環境が整っている教育業界やソフトウェア業界がターゲットとなっている。

　研究チームの報告によると、被害が発覚したケースでは、悪意のあるハッカーがリモートデスクトップサーバを経由して教育機関のネットワークに侵入、Tycoonを送り込んだという。

　Tycoonの挙動はこうだ。被害者のマシンでTycoonが展開、実行されると、Tycoonはアプリやサービスのデバッグに使う「Image File Execution Options（IFEO）」を利用して被害者の端末に常駐、バックドアを開く。さらに「ProcessHacker」と呼ばれるツールでマルウェア対策を無効にして潜伏する。

　その後、悪意のあるハッカーはネットワーク外部からTycoonを実行し、ネットワーク上のファイルサーバのファイルを暗号化してしまう。暗号化されたファイルは「redrum」「grinch」「thanos」といった拡張子に変更され、ランサムウェアの定石通り「復号キーが欲しければビットコインで身代金をよこせ」となるのだ。

　明示されていないが、実際に身代金が払われたケースもあるという。研究チームによれば、初期のTycoonは暗号化キーが1パターンしかなく、引き換えに得た暗号化キーが複数の被害者に適用できたが、残念ながら既に暗号化キーは変更されてしまっている。Tycoonの被害に遭った場合、ファイルのバックアップがなければ“詰んだ”状態になることは必至のようだ。

　対策として、リモートデスクトップが常時利用可能で、JREもインストールされているような教育関連、ソフトウェア開発関連の企業はまずはリモートデスクトップのポートをデフォルトから変更しておくべきと研究チームは呼びかけている。

---

上司X：　Javaで記述されたランサムウェアが登場して、猛威を振るいそうという話だよ。

ブラックピット：　わざわざJavaで書かれた「Tycoon」ですか。いろいろ考えますねえ。

上司X：　教育関係やソフト開発企業がファイルを人質に取られたら大変なことになりそうだな。

ブラックピット：　ですね。しかし暗号化後の拡張子がえげつないなあ……。

上司X：　どういうことだ？

ブラックピット：　「.grinch」はグリンチ、クリスマスを盗むっていう定番キャラです。「.thanos」はサノス、マーベルシリーズのスーパーヴィランという激しい悪役キャラです。「.redrum」は、スティーヴン・キング原作の小説『シャイニング』に出てくる重要キーワード、反対に読むと……ってヤツです。超定番ホラー映画作品でもありますよね。

上司X：　ああ、ジャック・ニコルソンのアレか……。キミ、妙な知識を披露するねぇ。わざわざそういう拡張子を使うってことは、被害者の意識を逆なでする印象を与えるな。

ブラックピット：　こっちには悪意があるぞ、と見せつけるためにわざわざこういうことをするのでしょう。許せないですね！

上司X：　うんうん。キミの怒りももっともだ。Tycoonの特殊な仕様は特定の業界を効率よく狙う目的があるんだろうから、逆に考えれば不特定の企業を狙う汎用（はんよう）的なランサムウェアよりは対策がしやすいともいえる。対策が進み、被害が拡大しないことを祈ろうじゃないか。