Unit221BとKrebs、ランサムウェア自身のロシア禁止ルールを無料のPC「ワクチン」に転換

2021年5月、DarkSideの攻撃がColonial Pipelineを停止させた際、Krebsはほぼすべてのロシア製ランサムウェアがロシア語またはウクライナ語のキーボードがインストールされたWindowsマシンへのインストールを拒否することに気づいた。これは犯罪者たちを自国の法執行機関から守るための組み込みのフェイルセーフである。読者たちは、一般ユーザーがこのルールを悪用できるのか知りたがった。

マルウェア自身の国別除外リストをワクチンとして利用する。すべてのWindows PCをロシア製またはウクライナ製に見せかけ、ロシアのランサムウェアのインストール禁止チェックを回避させる。

KrebsOnSecurityはその方法を説明した。CIS諸国のキーボードレイアウトをインストールするか、Unit221BのLance Jamesが作成したクリック可能な2行のWindowsバッチスクリプトを実行する。このスクリプトはMicrosoftの言語ファイルをダウンロードすることなく、マルウェアがチェックする特定のレジストリキーにロシア語の言語参照を追加する。Allison Nixonはこのトリックを戦略的に位置づけた。十分な数の人が実行すれば、ロシアのハッカーは自国の領域を避けることで得られる法的保護を失うか、収入を失うかの選択を迫られるだろう、と。

この解説記事は2021年5月で最も議論されたセキュリティ記事の一つとなった。Hacker Newsで604ポイントと278件のコメント、記事自体に147件のコメントが寄せられ、Jamesのスクリプトは無料のワンステップ版対策として広まった。Nixonは、大規模な採用が進めば犯罪者たちは自らの法的盾を弱めるか損失を受け入れるかを迫られると主張した。一方で記事は、この防御がCIS除外を備えたマルウェアにしか効かないこと、またMandiantが分析した最近のDarkSideの亜種が言語チェックを完全に省いていたことを明示していた。

2021年5月、DarkSideランサムウェア集団が5,500マイルに及ぶColonial Pipelineを停止させ、米国の燃料価格を押し上げる中、Brian Krebsは犯罪経済の奇妙な特徴を指摘した。ほぼすべてのロシア語ランサムウェアが、ロシア語またはウクライナ語のキーボードレイアウトを持つWindowsマシンへのインストールを拒否するのだ。除外リストは独立国家共同体（CIS）を対象としており、これはアフィリエイトが自国に被害者を生み出さないようにするために存在する。自国では地元の被害者が訴え出て初めて警察が捜査するからだ。

Krebsの創造的な一手は、そのルールを防御側に返すことだった。マルウェアがロシア製に見えるマシンを自己除外するなら、すべてのマシンをロシア製に見せかければよい。彼の記事は読者にCIS諸国のキーボードをインストールする方法を示し、Unit221BのLance Jamesはマルウェアがチェックするまさにそのレジストリキーにロシア語の言語参照を追加する2行のバッチスクリプトを公開した。Allison Nixonはこれを「ワクチン」と呼び、その真の価値は戦略的なものだと述べた。大規模な採用が進めば、ロシアのハッカーは国内のマシンを避けることで法的保護を維持するか、チェックを外して訴追のリスクを負うかの選択を迫られる。

この投稿はその月で最も読まれたセキュリティ記事の一つとなった。Hacker Newsで604ポイントと278件のコメント、記事自体に147件のコメントが寄せられ、読者たちはレイアウトをインストールし、スクリプトを共有し、犯罪者たちが適応するかどうかを議論した。注意点も売り込みの一部だった。このトリックはCIS除外のないマルウェアには効果がなく、多層防御の代替にはならず、Mandiantは最近のDarkSideの亜種がすでに言語チェックを外していたことを発見していた。それでも、無料の2分間の手順として、一般ユーザーに実際の防御を与え、攻撃者に回避策ごとの代償を払わせた。

このワクチンは新しいセキュリティ製品を必要としない。犯罪者自身の「感染させない」リストを武器化するもので、それはすでに彼らのコードの中に存在している。

2行のレジストリスクリプトが対策を極めて導入しやすくし、巧妙なアイデアを誰もがその日の午後に実行できるものに変えた。

Colonial Pipelineの文脈がこのトリックに好機を与えた。ここ数年で最も目立つランサムウェア攻撃が、無料の防御ライフハックを即座にニュース価値のあるものにした。

犯罪者に法的保護と収入を交換させるという戦略的な位置づけが、このトリックを単なる個人の衛生策以上のものにし、集団的な動きにした。

正直な注意点（すべてのマルウェアがチェックするわけではない、亜種はすでにチェックを外している）が、この助言を懐疑的なセキュリティ層に広まるのに十分な信頼性を保った。

敵対者の安全ルールは制御面である。犯罪者たちは地元警察を避けるために自国の領域に留まらない。だからその領域を偽装する防御側は、攻撃者に盾を弱めるか収入を失うかを迫る。

このトリックはColonial Pipeline後のランサムウェア論争における参照点となった。DarkSideはサーバーとビットコインを押収された後に閉鎖を発表し、言語チェック防御は防御側がその限界を議論する中で無料の一時しのぎとして広まった。コメント投稿者たちは弱点を探った。どのキーボードがアクティブかを確認する、レイアウトがいつインストールされたかを見張る、チェックを完全に外す、といった点である。Nixonはこれをワクチンが強いるよう設計されたトレードオフだと位置づけた。この投稿は公開されコメントも続き、犯罪者の地理的ルールがいかにして誰もが使える防御になったかを伝える耐久性のある解説となった。