以前は、誰かがあなたのコンピュータを乗っ取らなければならない場合、それは通常、物理的にそこにいるか、リモートアクセスを使用することによってあなたのコンピュータを手に入れることによって可能でした。世界は自動化を進めていますが、コンピューターのセキュリティは厳しくなっていますが、変わっていないのは人間のミスです。そこで、人間が操作するランサムウェア攻撃^{(Human-operated Ransomware Attacks)}が登場します。これらは、コンピューターの脆弱性または誤って構成されたセキュリティを見つけてアクセスする手作りの攻撃です。マイクロソフトは、IT管理者がこれらの人間が操作する^(Microsoft)ランサムウェア攻撃^{(Ransomware attacks)}を大幅に軽減できると結論付ける徹底的なケーススタディを考案しました。

人間が操作するランサムウェア攻撃の^{(Human-operated Ransomware Attacks)}軽減

Microsoftによると、これらの種類のランサムウェアや手作りのキャンペーンを軽減する最善の方法は、エンドポイント間の不要な通信をすべてブロックすることです。また、多要素認証^{(Multi-Factor Authentication)}、ブルートフォースの試行の監視、最新のセキュリティ更新プログラムのインストールなど、資格管理のベストプラクティスに従うことも同様に重要です。取るべき防御策の完全なリストは次のとおりです。

• インターネットに接続されているコンピューターを保護するために、 Microsoftが推奨する構成設定^{(recommended configuration settings)}を必ず適用してください。
• Defender ATPは、脅威と脆弱性の管理を^{(threat and vulnerability management)}提供します。これを使用して、脆弱性、構成の誤り、および疑わしいアクティビティについてマシンを定期的に監査できます。
• Azure Multi-Factor Authentication（MFA ）などのMFAゲートウェイ^{(MFA gateway)}を使用するか、ネットワークレベル認証（NLA）を有効にします。
• アカウントに最小特権を^{(least-privilege to accounts)}提供し、必要な場合にのみアクセスを有効にします。ドメイン全体の管理者レベルのアクセス権を持つアカウントは、最小またはゼロである必要があります。
• ローカル管理者パスワードソリューション（LAPS ）ツールなどのツールは、管理者アカウントに一意のランダムパスワードを構成できます。それらをActiveDirectory^{(Active Directory)}（AD）に保存し、ACLを使用して保護できます。
• ブルートフォース攻撃を監視します。特に認証の試行に失敗する^{(failed authentication attempts. )}ことが多い場合は、注意が必要です。イベントID4625を使用して^{(ID 4625)}フィルタリング^(Filter)し、そのようなエントリを見つけます。
• 攻撃者は通常、セキュリティイベントログとPowerShell操作ログ^{(Security Event logs and PowerShell Operational log)}をクリアして、すべてのフットプリントを削除します。これが発生すると、MicrosoftDefenderATPはイベント^{(Event ID 1102)}ID1102^{(Microsoft Defender ATP)}を生成します。
• 改ざん防止^{(Tamper protection)(Tamper protection)}機能をオンにして、攻撃者がセキュリティ機能をオフにできないようにします。
• ^{(Investigate)}イベントID4624を^{(ID 4624)}調べて、高い特権を持つアカウントがログオンしている場所を見つけます。侵害されたネットワークやコンピューターに侵入した場合、それはより重大な脅威となる可能性があります。
• ^{(Turn on cloud-delivered protection)}Windows Defender Antivirusで^{(Windows Defender Antivirus)}、クラウド配信の保護と自動サンプル送信をオンにします。未知の脅威からあなたを守ります。
• 攻撃対象領域の削減ルールをオンにします。これに加えて、クレデンシャルの盗難、ランサムウェアアクティビティ、およびPsExecとWMIの疑わしい使用をブロックするルールを有効にします。
• Office^{(Office VBA)}  365を使用している場合は、OfficeVBAのAMSIをオンにし ます。
• ^{(Prevent RPC)}可能な限り、エンドポイント間のRPCおよびSMB通信を^(SMB)防止します。

読む^(Read)：Windows10でのランサムウェア保護^{(Ransomware protection in Windows 10)}。

Microsoftは、Wadhrama 、Doppelpaymer、Ryuk、Samas、REvilのケーススタディを発表しました。^(Wadhrama)

• Wadhramaは、ブルートフォースを使用してリモートデスクトップ^{(Remote Desktop)}を備えたサーバーに配信されます。彼らは通常、パッチが適用されていないシステムを発見し、開示された脆弱性を使用して初期アクセスを取得したり、特権を昇格させたりします。
• Doppelpaymerは、特権アカウントの盗まれた資格情報を使用して、侵害されたネットワークを介して手動で拡散されます。そのため、すべてのコンピューターの推奨構成設定に従うことが不可欠です。
• Ryukは、エンドユーザーをだまして他のことを行うことにより、電子メール（Trickboat ）を介してペイロードを配布します。^(Trickboat)最近、ハッカーはコロナウイルスの恐怖を利用してエンドユーザーをだましました。そのうちの1つは、 Emotetペイロードを配信することもできました。

それぞれに共通しているの^{(common thing about each of them)}は、状況に基づいて構築されていることです。彼らは、あるマシンから別のマシンに移動してペイロードを配信するゴリラ戦術を実行しているようです。IT管​​理者は、たとえ小規模であっても、進行中の攻撃を監視するだけでなく、ネットワークの保護にどのように役立つかについて従業員を教育することが不可欠です。

すべてのIT管理者が提案に従い、人間が操作するランサムウェア^(Ransomware)攻撃を確実に軽減できることを願っています。

関連^{(Related read)}記事：Windowsコンピュータに対するランサムウェア攻撃の後に何をすべきか？^{(What to do after a Ransomware attack on your Windows computer?)}

How to mitigate Human-operated Ransomware Attacks: Infographic

In eаrlier days, if someone hаs to hijack your compυter, it was usually posѕible by getting hold of yoυr сomputer either by physiсally being there or usіng remote access. While the world has moved ahead with automаtion, computer security has tightened, one thing that hasn’t changed is human mistakes.  That is where the Human-operated Ransomware Attacks come into the picture. These are handcrafted attacks which find a vulnerability or a misconfigured security on the computer and gain access. Microsoft has come up with an exhaustive case study which concludes that IT admin can mitigate these human-operated Ransomware attacks by a significant margin.

Mitigating Human-operated Ransomware Attacks

According to Microsoft, the best way to mitigate these kinds of ransomware, and handcrafted campaigns is to block all unnecessary communication between endpoints. It is also equally important to follow best practices for credential hygiene such as Multi-Factor Authentication, monitoring brute force attempts, installing the latest security updates, and more. Here is the complete list of defense measures to be taken:

• Make sure to apply Microsoft recommended configuration settings to protect computers connected to the internet.
• Defender ATP offers threat and vulnerability management. You can use it to audit machines regularly for vulnerabilities, misconfigurations, and suspicious activity.
• Use MFA gateway such as Azure Multi-Factor Authentication (MFA) or enable network-level authentication (NLA).
• Offer least-privilege to accounts, and only enable access when required. Any account with domain-wide admin-level access should be at the minimum or zero.
• Tools like Local Administrator Password Solution (LAPS) tool can configure unique random passwords for admin accounts. You can store them in Active Directory (AD) and protect using ACL.
• Monitor for brute-force attempts. You should be alarmed, especially if there is a lot of failed authentication attempts. Filter using event ID 4625 to find such entries.
• Attackers usually clear the Security Event logs and PowerShell Operational log to remove all their footprints. Microsoft Defender ATP generates an Event ID 1102 when this occurs.
• Turn on Tamper protection features to prevent attackers from turning off security features.
• Investigate event ID 4624 to find where accounts with high privileges are logging on. If they get into a network or a computer that is compromised, then it can be a more significant threat.
• Turn on cloud-delivered protection and automatic sample submission on Windows Defender Antivirus. It secures you from unknown threats.
• Turn on attack surface reduction rules. Along with this, enable rules that block credential theft, ransomware activity, and suspicious use of PsExec and WMI.
• Turn on AMSI for Office VBA if you have Office 365.
• Prevent RPC and SMB communication among endpoints whenever possible.

Read: Ransomware protection in Windows 10.

Microsoft has put up a case study of Wadhrama, Doppelpaymer, Ryuk, Samas, REvil

• Wadhrama is delivered using brute forces their way into servers that have Remote Desktop. They usually discover unpatched systems and use disclosed vulnerabilities to gain initial access or elevate privileges.
• Doppelpaymer is manually spread through compromised networks using stolen credentials for privileged accounts. That’s why it is essential to follow the recommended configuration settings for all computers.
• Ryuk distributes payload over email (Trickboat) by tricking the end-user about something else. Recently hackers used the Coronavirus scare to trick the end-user. One of them was also able to deliver the Emotet payload.

The common thing about each of them is they are built based on situations. They seem to be performing gorilla-tactics where they move from one machine to another machine to deliver the payload. It is essential that IT admins not only keep a tab on the ongoing attack, even if it’s on a small scale, and educate employees about how they can help to protect the network.

I hope all IT admins can follow the suggestion and make sure to mitigate human-operated Ransomware attacks.

Related read: What to do after a Ransomware attack on your Windows computer?

Related posts

• ランサムウェアAttacks、Definition、Examples、Protection、Removal

• Windowsコンピュータ用の無料Anti-Ransomware software

• Create email Microsoft 365ビジネスでRansomwareを防止するための規則

• Windows DefenderでRansomware Protectionを有効にして設定します

• Ransomware protection Windows 10

• Brute Force Attacks - Definition and Prevention

• McAfee Ransomware Recover（Mr2）ファイルの復号化に役立ちます

• Cyber Attacks - 定義、Types、防止

• Service（RDoS）のRansom Denialは何ですか？ Prevention and precautions

• Service AttacksのDDoS Distributed Denial：保護、Prevention

• あなたのWindows computerのRansomware attackの後に何をすべきか？

• Phishing Scams and Attacksを回避する方法？

• Ransomwareを報告する必要がありますか？ Ransomwareはどこに報告しますか？

• Fileless Malware Attacks、Protection and Detection

• Ransomware Response Playbookマルウェアに対処する方法を示します

• ファイルのロックを解除するための無料のRansomware Decryption Toolsのリスト

• DLL Hijacking Vulnerability Attacks、Prevention & Detection

• Ransomwareの攻撃と感染を防ぐ方法

• CyberGhost Immunizerはランサムウェア攻撃を防ぐのに役立ちます