ランサムウェアグループ AkiraがIPカメラ(Webカメラ)を介してサイバー攻撃と不正アクセス|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2025年04月23日更新日時: 2025年04月23日

ランサムウェアグループ AkiraがIPカメラを介してサイバー攻撃と不正アクセス

海外のセキュリティコンサルティング会社のS-RMがAkiraがセキュリティ対策の施されていないIPカメラ(Webカメラ)を悪用し、EDR（Endpoint Detection and Response）を回避してランサムウェアを展開したサイバー攻撃と不正アクセスの手法について一部解説しています

1 攻撃の概要
2 攻撃の流れ
- 2.1 通常の手口
- 2.2 Webカメラへのピボット（攻撃の切り替え）
3 教訓とセキュリティ対策
4 推奨される具体的対策

攻撃の概要

S-RMのチームが対応したAkiraランサムウェアによるインシデントでは、被害組織がネットワーク上のホストにEDR（Endpoint Detection and Response）を導入していました。EDRツールはランサムウェアのバイナリを検出して隔離し、Akiraによる悪意のあるコードの展開を阻止しました。

しかし、攻撃者はそれで諦めることなくネットワークスキャンを実行し、同じネットワーク上にセキュリティ対策が施されていないWebカメラが存在することを突き止めました。Akiraはこのデバイスを侵害し、そこからランサムウェアを展開することで、最終的にEDRの防御を回避することに成功しています。

攻撃の流れ

通常の手口

Webカメラの侵害が行われるまでは、本インシデントはAkiraがこれまでに行ってきた典型的な手口に沿って進行していました。

攻撃者はまず、外部公開されたリモートアクセス手段を通じて被害者のネットワークに侵入。その後、AnyDesk.exe（リモート管理および監視ツール）を展開してネットワークへのアクセスを維持し、データの窃取を実行しました。

攻撃の後半では、攻撃者はRDP（リモートデスクトッププロトコル）を使って、被害組織内のサーバーにアクセスしました。AkiraはRDPを頻繁に使用しており、これはシステム管理者が正規に使う手段であるため、不正アクセスを目立たなくするのに適しています。

このとき、攻撃者はランサムウェアを含むパスワード保護付きZIPファイル（win.zip）を使って、Windowsサーバー上でのランサムウェア（win.exe）展開を試みました。しかし、被害組織のEDRツールが即座にこのZIPファイルを検出し、解凍・実行される前に隔離しました。

この時点で、攻撃者はEDRツールに感知されたことを認識し、そのままでは防御を突破できないと判断したと考えられます。

そこで攻撃者は戦術を切り替えました。

Windowsサーバーへのランサムウェア展開を試みる前に、攻撃者は内部ネットワークのスキャンを行い、開放ポートや稼働中のサービス、接続されているデバイスを特定していました。

このスキャンにより、被害者ネットワーク上に複数のIoT（モノのインターネット）デバイスが存在することが判明しました。中にはWebカメラや指紋認証スキャナーなどが含まれており、これらのデバイスがEDRの検知を回避しつつ、ランサムウェアを展開するための格好の足がかりとなりました。

Webカメラへのピボット（攻撃の切り替え）

攻撃者がWebカメラをランサムウェア展開のターゲットとして選定した背景には、以下の3つの理由が考えられます。

複数の重大な脆弱性が存在していたこと。たとえば、リモートシェル機能や、認証なしにカメラ映像をリモートで閲覧できる問題などがありました。
軽量なLinuxベースのOSが稼働しており、一般的なLinuxデバイスと同様にコマンド実行が可能だったこと。これは、AkiraのLinux版ランサムウェアを展開するには理想的な条件です。
EDRツールが一切導入されておらず、保護されていない状態だったこと。加えて、ストレージ容量が限られているため、そもそもEDRを導入するのは困難だったと考えられます。

攻撃者はWebカメラが適切なターゲットであると判断すると、すぐさまLinuxベースのランサムウェアの展開を開始しました。

このデバイスは監視対象外だったため、被害組織のセキュリティチームは、Webカメラから感染サーバへの悪意あるSMB（Server Message Block）通信の増加に気付くことができませんでした。本来であれば、この通信が異常として検知されていた可能性があります。

その結果、Akiraは被害者のネットワーク全体でファイルの暗号化に成功しました。