【GlobeImposterランサムウェア分析】

GlobeImposterランサムウェアと推定される侵害事象が確認されましたため、
当該状況に関する確認結果と注意喚起を以下の通り報告いたします。

GlobeImposterランサムウェアの概要

本マルウェアはGlobeImposterとして識別され、感染したファイルの拡張子を「.doc」に変更する挙動を示しています。

ファイルバージョン情報

ランサムウェアの動作的特徴

• 本マルウェアはC++で作成されており、実行時に自身の実行ファイルをAppDataRoamingフォルダへコピーした後、スタートアップレジストリ（一度のみ実行される設定）に登録します。本ランサムウェア特有の挙動として、ユーザーフォルダ内のPublic位置に「AE09C984DF6E74640B3271EADB5DD7C65FDE806235B2CDA478E0EFA9129C09E7」という名前のファイルを生成し、暗号化に関連する情報を記録します。

  

  <スタートアップレジストリおよびRoamingフォルダにコピーされた実行ファイル>

  
  
  

  <Publicフォルダに生成されたファイルと記録された情報>

  
  

感染の初期段階では、実行ファイルはAppDataRoamingへ自己複製され、持続性を確保するためにスタートアップレジストリに登録されます。その後、ファイル検索と暗号化処理が開始されます。

侵害結果とランサムノート

暗号化処理が完了すると、身代金要求ファイルとして各ディレクトリに「< Read___ME.html >」が生成されます。また、暗号化されたファイルは「<元のファイル名.拡張子.doc>」へと拡張子が変更されます。

<侵害結果（ファイル名の変更と身代金要求ファイルの配置）>

（WhiteDefenderによる対応例）

WhiteDefender製品は、ランサムウェアの悪性動作を検知・遮断するだけでなく、暗号化処理が進行中のファイルに対してもリアルタイムでの自動復元機能をサポートしています。

<遮断メッセージの例>

本件を受け、以下の対策を速やかに実施することを強く推奨いたします。

1. バックアップの徹底: 重要なデータはオフラインまたはセキュアなクラウド環境に定期的にバックアップし、ランサムウェアによる暗号化の影響を受けないように隔離してください。
2. エンドポイント保護の強化: 既知のシグネチャに依存しない振る舞い検知型のセキュリティソリューション（EDR等）を導入し、不審なプロセス実行やファイル操作を監視・阻止してください。
3. アクセス制御の最小化: ネットワーク共有フォルダへのアクセス権限を見直し、業務上不要なアカウントには書き込み権限を付与しないでください。
4. パッチ管理の徹底: OSおよびアプリケーションの脆弱性を悪用されることを防ぐため、セキュリティパッチを迅速に適用してください。