コンティ・ランサムウェア

• 被害者のデータの流出と暗号化の両方を行い、二重の恐喝戦術を可能にする。
• 多くの場合、ランサムウェア・アズ・ア・サービス（RaaS）モデルの攻撃で展開されます。
• プロセスのマルチスレッド化により、ファイルの拡散と暗号化を高速に行う。

Contiは、フィッシング、スピアフィッシング、ビッシング攻撃、リモートデスクトップ（RDP）認証情報の窃取、またはトロイの木馬化されたアプリケーションを使用して、最初のリモートアクセスを獲得するために配信される可能性があります。Contiは主にWindowsプラットフォーム・システムを狙いますが、Contiマルウェアのツールキットに関する最近の調査では、Linuxの悪用も発見されています。 

初期アクセス後、マルウェアはContiのコマンド＆コントロール（C2）サーバに接続し、第2段階のConti C2クライアントとファイル暗号化ツールをダウンロードします。Contiの第2段階のC2マルウェアは、Cobalt Strike beacon、PowerSploit、AdFindなどの侵入テストソフトウェアツールの長いリストを使用し、リモートで実行し、ネットワークを通じて拡散し、価値の高い標的を侵害します。Contiはまた、サーバー・メッセージ・ブロック（SMB）を介してネットワーク内に拡散することができ、同じネットワーク・ドメイン内の他のエンドポイント上のデータを暗号化するための戦略としてSMBエクスプロイトを使用します。

他のランサムウェアと同様に、Contiは検知した既存のセキュリティ製品を無効にしようとし、マルウェア解析に使用されるサンドボックス環境かどうかを判断するために環境をスキャンすることで、悪意のあるペイロードの内容を保護しようとします。攻撃者が価値の高い標的を特定し、侵害すると、Contiは貴重な企業データを攻撃者が管理するサーバーに流出させ、マルチスレッド暗号化を使用してファイルを迅速に暗号化します。 

Contiランサムウェアの攻撃を効果的に防ぐ防御戦術は、以下のような他のマルウェアを防ぐために使用される戦術と似ている：

• フィッシング型攻撃によるセキュリティインシデントを減らすためのユーザー意識向上トレーニングの活用
• マルウェアによる機密リソースへのアクセスを防止するため、強固な認証アーキテクチャとセキュリティを開発する。
• 高度なエンドポイント検出・対応製品を導入し、侵害が発生した場合にシステムのタイムリーな特定と修復を可能にする。