VECT 2.0ランサムウェア出現、AI由来コードの欠陥で128KB超ファイルが復号不能に

「身代金を払っても復号できないランサムウェアがあるって本当？」
「AIが書いたコードのバグが攻撃側にも飛び火しているのか？」

チップス

ボス、VECT 2.0っていうランサムウェアが大きいファイルを壊しちゃうって聞いたんでしゅ……それって攻撃者も困るんじゃないでしゅか？

ボス

そうだ。皮肉なことに身代金を払っても戻ってこないんだ。攻撃者の品質管理欠如が、結局被害者の損失をさらに広げる構図だな。

AIによる「vibe coding」が攻撃ツールにまで広がる中で、設計ミスがそのまま致命的なデータ破壊につながる事例が表面化しました。
本記事ではVECT 2.0の動作の特徴、設計ミスの中身、そして日本企業が備えるべきポイントを順を追って解説します。

「払えば戻る」という前提が崩れる以上、これまで以上にバックアップ運用の比重が高まります。
最後まで読めば、設計ミスを前提にした守り方の輪郭がつかめます。

VECT 2.0の動作と設計ミス

まずは攻撃者にとっても予期せぬ「永久破壊」を生む技術的な仕組みを見ていきます。

RaaSとして配布される構造

VECT 2.0はRansomware-as-a-Serviceとして地下フォーラム上で配布されており、感染ファイルには.vect拡張子が付与されます。
暗号化にはlibsodiumのChaCha20-IETFを使い、Windows・Linux・VMware ESXiの3つの環境を狙う設計です。
BreachForumsの会員に無償でアフィリエイト権が提供される構造もあり、参入のハードルが下がっています。

nonce上書きという致命的バグ

致命的なのは128KB超のファイル処理です。
VECT 2.0は大きなファイルを4つに分割し、それぞれを別々のランダムnonceで暗号化しますが、4回の呼び出しが同じメモリバッファに書き込まれるため、最後のnonceしか保存されません。
結果として最初の3チャンクは復号に必要な情報が失われ、身代金を払っても元に戻らない、ワイパーと同じ結末になります。

チップス

大事なデータベースやVM、メールアーカイブも128KBを超えるから、ほぼ全部復元不可になっちゃうんでしゅね……

ボス

そう、データベースもバックアップもVMイメージもアウトだ。「実質ワイパー」と呼ばれるのも頷ける。

日本企業が備えるべき対策

身代金交渉が成立しない前提で、なにを守りに置くかが問われます。

バックアップと隔離の徹底

復号できないランサムウェアが現実に存在する以上、隔離されたバックアップと復旧訓練の重要性は再評価する必要があります。
具体的には、3-2-1ルール(3コピー・2媒体・1オフサイト)に基づく多層バックアップが鉄則となります。
イミュータブルストレージや、書き込み権限のないバックアップ専用ネットワークの活用も並行して進めましょう。

エンドポイントと境界の早期検知

VECT 2.0はESXi対応も含むため、仮想化基盤を含む内部ネットワーク全域での監視が必要です。
EDR/XDRの導入と、ESXiホストへのSSHアクセス制限・アクティビティロギングの強化が現実的な打ち手となります。
侵入の初期段階で気付くことができれば、暗号化が始まる前に遮断する余地が残ります。

まとめ

VECT 2.0の事例は、攻撃者側のコード品質低下が被害者側の損失を取り返しのつかないものにする典型例です。
復号交渉に頼れない以上、隔離バックアップと早期検知の二本柱が最後の防衛線となります。
とくにESXiを抱える組織は、仮想化基盤への管理アクセス制限を見直す機会にしましょう。
引用元:Cyber Security News – New VECT 2.0 Ransomware