2025年2月19日に警告文章を公開したのは米国の連邦当局だ。連邦捜査局（FBI）やサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）などの勧告によると（注1）、この攻撃に関連している脅威グループは「Cring」とも呼ばれており、中国に拠点を置いている。

　同グループは2001年以降、学校や医療機関、政府機関、製造業者をはじめとするさまざまな重要インフラプロバイダーを標的にしてきた。

　勧告によると、Cringは「FortiOS」や「Adobe ColdFusion」「Microsoft SharePoint」「Microsoft Exchange Server」の脆弱（ぜいじゃく）性を利用する。

　CISAとFBIは経済的な動機を有するさまざまな脅威グループが主要産業を標的にしていると警告しており、今回の共同勧告もその一環だ。

どのようにランサム攻撃が進むのか

　勧告によると、Ghostは侵害されたサーバにWebShellをアップロードする。その後、「Windows」のコマンドプロンプトやPowerShellを利用して、商用ペネトレーションツール「Cobalt Strike」をダウンロードする手法を駆使しているようだ。通常、標的のネットワークに攻撃者が滞在するのは数日間のみであり、侵入に成功した当日にランサムウェアを展開するため動きが素早く、対応が難しい。

　脅威グループは共通脆弱性識別子（CVE：common vulnerabilities and exposures）で管理されている「CVE-2018-13379」「CVE-2010-2861」（注2、3）、「CVE-2021-31207」（注4）、「CVE-2021-34473」などの古い脆弱性を悪用していた（注5）。

　以上の脆弱性は古い。つまり、対策の第一は次の（1）だ。

（1）脆弱性の管理
　自社が利用しているOSやソフトウェアの一覧を作り、ベンダーやCISAなどが発表する脆弱性情報を確認しながら、ソフトウェアを計画的に更新する。

　当局はセキュリティチームに対して、攻撃から身を守るために脆弱性の管理の他、次の4つの対策を講じるよう推奨している。

（2）ネットワークのセグメント化
　攻撃者の侵入を許したとしても横方向の移動を制限でき、重要な情報にアクセスしにくくする。

（3）特権アカウントと電子メールサービスアカウントに対するアクセスの保護
　フィッシングに耐性のある多要素認証を義務付ける。

（4）PowerShellの不正使用を監視する
　PowerShellは強力で攻撃者が頻繁に利用するため、特に監視が必要だ。

（5）使用していないポートを閉じる
　攻撃者が入り込む入り口を閉じる効果がある。ポートスキャンを実行して攻撃対象を探し出す行為は珍しくない。情報通信研究機構が2023年に発表した「NICTER観測レポート」によれば、2023年に観測した全パケットのうち、約63.8％が調査スキャンのパケット数、つまりポートスキャンだったという。