VanHelsing ｜ブログ(ほぼこもセキュリティニュース)｜(株)コンステラセキュリティジャパン

VanHelsingは、小説の吸血鬼ドラキュラの登場人物の名前ですが、ここでは別のモノの名前です。
VanHelsingは、ランサムウェアサービス（RaaS）です。
どのようなものなのでしょうか。

ターゲットはCIS以外
いろいろな国や地域の組織がターゲットとされることが考えられますが、VanHelsingのターゲットに関するルールは1つだけです。
CISはターゲットにしない、です。
対象システムは、Linux/BSD/ARM/ESXi
対象システムの範囲は広いものとなっています。
Linux/BSD/ARM/ESXiです。
サーバの類は多くが含まれそうですし、ESXiが範囲に入っていることは対象システムを大きくする原因となっています。
明朗会計（上前は2割）
VanHelsingはRaaSです。
そして多くのアフィリエイトを集めて活動する取り組みを進めています。
多くのRaaSは犯罪で収集したお金をアフィリエイトとRaaSを展開する脅威アクター側とで配分します。
VanHelsingは、この収集金の処理部分に2つのブロックチェーンによる確認機能を採用した自動エスクローシステムを使用します。
取り分は、アフィリエイトが80%、RaaS側が20%です。
VanHelsing RaaSの機能と内容
完全に自動化された操作パネルにアクセスできるほか、開発チームからの直接サポートも受けられます。
VanHelsingランサムウェアはC++で記述されています。
ファイルの小さなものは完全に暗号化し、大きなものは部分的に暗号化するなど、暗号化速度を考慮した動作が実行されます。
暗号化に先立ってファイル名が変更されるのですが、このファイル名の変更と暗号化そのものの実施が分離して動作するように実装されています。
これにより、セキュリティ製品での監視の立場で言うと、ファイルへのアクセスパターンが通常のシステムの動きに近いものとなり、警告を発しにくい状態を作り出しているようです。
VanHelsing RaaSの恐喝内容
このランサムウェアの活動では、要求する金額を支払わなければ、盗んだファイルを数日以内に公開すると脅します。
身代金は50万ドルとなっているケースも確認されています。