Netskopeの SASE Summitにご参加ください 、あなたの近くの都市に来てください!今すぐご登録ください

  • セキュリティサービスエッジ製品

    高度なクラウド対応の脅威から保護し、あらゆるベクトルにわたってデータを保護します。

  • Borderless SD-WAN

    すべてのリモートユーザー、デバイス、サイト、クラウドへの安全で高性能なアクセスを自信を持って提供します。

  • プラットフォーム

    世界最大のセキュリティプライベートクラウドでの比類のない可視性とリアルタイムデータおよび脅威保護。

未来のプラットフォームはネツコペです

インテリジェントセキュリティサービスエッジ(SSE)、クラウドアクセスセキュリティブローカー(CASB)、クラウドファイアウォール、次世代セキュアWebゲートウェイ(SWG)、およびZTNAのプライベートアクセスは、単一のソリューションにネイティブに組み込まれており、セキュアアクセスサービスエッジ(SASE)アーキテクチャへの道のりですべてのビジネスを支援します。

製品概要に移動
Netskopeの動画
ボーダレスSD-WAN:ボーダレスエンタープライズの新時代を先導

NetskopeボーダレスSD-WANは、ゼロトラストの原則と保証されたアプリケーションパフォーマンスを統合するアーキテクチャを提供し、すべてのサイト、クラウド、リモートユーザー、およびIoTデバイスに前例のない安全で高性能な接続を提供します。

Read the article
Borderless SD-WAN
Netskope は、データと脅威の保護、および安全なプライベートアクセスを実現するための機能を統合した、最新のクラウドセキュリティスタックを提供します。

プラットフォームを探索する
大都市の俯瞰図
  • 変身

    デジタルトランスフォーメーションを保護します。

  • セキュリティの近代化

    今日と明日のセキュリティの課題に対応します。

  • フレームワーク

    サイバーセキュリティを形作る規制の枠組みを採用する。

  • 業界ソリューション

    Netskopeは、クラウドに安全に移行するためのプロセスを世界最大規模の企業に提供しています。

最小の遅延と高い信頼性を備えた、市場をリードするクラウドセキュリティサービスに移行します。

NewEdgeの詳細
Lighted highway through mountainside switchbacks
アプリケーションのアクセス制御、リアルタイムのユーザーコーチング、クラス最高のデータ保護により、生成型AIアプリケーションを安全に使用できるようにします。

ジェネレーティブ AI の使用を保護する方法を学ぶ
Safely Enable ChatGPT and Generative AI
SSEおよびSASE展開のためのゼロトラストソリューション

Learn about Zero Trust
Boat driving through open sea
Netskopeは、クラウドサービス、アプリ、パブリッククラウドインフラストラクチャを採用するための安全でクラウドスマートかつ迅速な旅を可能にします。

Learn about Industry Solutions
Wind turbines along cliffside
  • 導入企業

    Netskopeは、フォーチュン100の25以上を含む世界中の2,000以上の顧客にサービスを提供しています。

  • カスタマーソリューション

    お客様のため、Netskopeでお客様の成功を確実にすべく、あらゆるステップを共に歩んでまいります。

  • トレーニングと認定

    Netskope training will help you become a cloud security expert.

私たちは、お客様が何にでも備えることができるように支援します

お客様を見る
Woman smiling with glasses looking out window
Netskopeの有能で経験豊富なプロフェッショナルサービスチームは、実装を成功させるための規範的なアプローチを提供します。

Learn about Professional Services
Netskopeプロフェッショナルサービス
Netskopeトレーニングで、デジタルトランスフォーメーションの旅を保護し、クラウド、ウェブ、プライベートアプリケーションを最大限に活用してください。

Learn about Training and Certifications
Group of young professionals working
  • リソース

    クラウドへ安全に移行する上でNetskopeがどのように役立つかについての詳細は、以下をご覧ください。

  • ブログ

    Netskopeがセキュリティサービスエッジ(SSE)を通じてセキュリティとネットワークの変革を可能にする方法を学びましょう。

  • イベント&ワークショップ

    最新のセキュリティトレンドを先取りし、仲間とつながりましょう。

  • 定義されたセキュリティ

    サイバーセキュリティ百科事典で知っておくべきことすべて。

セキュリティビジョナリーポッドキャスト

ボーナスエピソード2:SSEのマジッククアドラントとSASEを正しく取得する
MikeとSteveが、ガートナー®社のマジック・クアドラント™のセキュリティ・サービス・エッジ(SSE)、Netskopeの位置づけ、現在の経済情勢がSASEの取り組みに与える影響について語ります。

ポッドキャストを再生する
ボーナスエピソード2:SSEのマジッククアドラントとSASEを正しく取得する
最新のブログ

Netskopeがセキュリティサービスエッジ(SSE)機能を通じてゼロトラストとSASEの旅を可能にする方法。

ブログを読む
Sunrise and cloudy sky
ネツコペAWSイマージョンデイワールドツアー2023

Netskopeは、Netskope製品の使用とデプロイについてAWSのお客様を教育および支援するために、さまざまなハンズオンラボ、ワークショップ、詳細なウェビナー、およびデモを開発しました。

Learn about AWS Immersion Day
AWS パートナー
セキュリティサービスエッジとは何ですか?

SASEのセキュリティ面、ネットワークとクラウドでの保護の未来を探ります。

Learn about Security Service Edge
Four-way roundabout
  • 会社概要

    クラウド、データ、ネットワークセキュリティの課題の先取りをサポート

  • ネットスコープが選ばれる理由

    クラウドの変革とどこからでも機能することで、セキュリティの機能方法が変わりました。

  • リーダーシップ

    ネットスコープの経営陣はお客様を成功に導くために全力を尽くしています。

  • パートナー

    私たちはセキュリティリーダーと提携して、クラウドへの旅を保護します。

データセキュリティによる持続可能性のサポート

Netskope は、持続可能性における民間企業の役割についての認識を高めることを目的としたイニシアチブであるビジョン2045に参加できることを誇りに思っています。

詳しくはこちら
Supporting Sustainability Through Data Security
Highest in Execution. Furthest in Vision.

ネットスコープは2023年Gartner®社のセキュリティ・サービス・エッジ(SSE)のマジック・クアドラント™でリーダーの1社として評価されました。

レポートを読む
ネットスコープは2023年Gartner®社のセキュリティ・サービス・エッジ(SSE)のマジック・クアドラント™でリーダーの1社として評価されました。
思想家、建築家、夢想家、革新者。 一緒に、私たちはお客様がデータと人々を保護するのを助けるために最先端のクラウドセキュリティソリューションを提供します。

当社のチーム紹介
Group of hikers scaling a snowy mountain
Netskopeのパートナー中心の市場開拓戦略により、パートナーは企業のセキュリティを変革しながら、成長と収益性を最大化できます。

Learn about Netskope Partners
Group of diverse young professionals smiling

Ransomware Bulletin: LockerGoga

May 13 2019
Tags
Netskope Threat Protection
Netskope Threat Research Labs

Executive Summary

Netskope Threat Research Labs recently detected several strains of encrypted files across several cloud instances with the infamous LockerGoga Ransomware. The Ransomware was shared among users in multiple cloud instances of Microsoft OneDrive and Box, enabling the ransomware to fan-out within the organizations.

This blog provides an overview of the LockerGoga ransomware samples we discovered, including some key differences between these new samples and the ones that were discovered earlier this year. We also reiterate the two different levels at which we can prevent the LockerGoga ransomware from spreading within an organization.

Netskope Detection

Netskope detects LockerGoga at two levels: Our threat protection engine detects the delivery vehicles and payloads, and our ransomware encrypted file detection and recovery engine detects and enables the rapid recovery of files encrypted by ransomware.

Netskope threat protection detects the samples LockerGoga Ransomware as “Win32.Trojan.Lockergoga” and the encrypted files as “Gen.Ransom.Encrypted.File.ns”. The screenshot in Figure 1 shows two files, shared via Box, that were encrypted by the LockerGoga Ransomware. The encrypted files can be automatically restored to their original, unencrypted state.

Figure 1: Ransomware detection feature by Netskope.

Overview

Initially, the LockerGoga Ransomware was archived in a zip file and shared to several cloud users. When it executes:

  • The ransomware encrypts files on the user’s machine and sync folders.
  • The encrypted versions of the files get synced with the cloud app, replacing the original files with the encrypted one.

LockerGoga Ransomware

LockerGoga is ransomware that came into the picture in January 2019 and appears to still be under active development. It has been used in targeted attacks against industrial and manufacturing industries. Its first high-profile target was the French engineering consulting firm Altran on 21 January 2019. It has more recently been used against the Norwegian aluminum manufacturer Norsk Hydro on 19 March 2019, forcing some of the company’s aluminum plants to switch to manual operations.

Analysis of LockerGoga Ransomware

Our analysis focuses on a zip archive containing the LockerGoga Ransomware, with the hash 48a6f9882e83c180c8b34a098fa42a0b.

The executable contained in the archive was digitally signed, as shown in Figure 2.

Figure 2: Certificate used by LockerGoga Ransomware

LockerGoga uses boost c++ library to interact with the filesystem, functions like “boost::filesystem::rename” instead of the traditional Windows APIs. This complicates the analysis, as the boost library makes heavy usage of undocumented Windows APIs internally. An excerpt of the boost library functions used is shown in Figure 3.

Figure 3: Boost libraries used by sample

The execution flow of LockerGoga Ransomware is in the flow chart as shown in Figure 4. On execution, LockerGoga “sample.exe” moves itself in “%temp%” folder. It then executes itself with command line argument -m (master process). After execution, “tgytutrc7995.exe” is a master process which creates multiple child processes with command line argument -s (slave process) and -i (interprocess communication).

Multiple processes with argument “-i SM-tgytutrc -s” are slave processes for encryption. The processes use a mutex named “MX-tgytutrc” for interprocess communication. Logoff.exe an net.exe are called to make the changes described in the next section.

Figure 4: Flow chart of LockerGoga Ransomware

Master Process of LockerGoga Ransomware

The master process logs off all current sessions and changes the password of Administrative accounts to “[email protected]”. After this, multiple child processes with “-i SM-tgytutrc -s” command line argument are created. The switches stand for

  • “-s” → slave process
  • “-i” → interprocess communication
  • “MX-tgytutrc” → Mutex to use of interprocess communication.

LockerGoga Ransomware Encryption

LockerGoga uses the Cryptopp C++ libraries to encrypt the files with AES algorithm and encrypts 30 types files with extensions as shown in Figure 5.

Figure 5: File extensions encrypted by LockerGoga Ransomware.

It lastly drops the “Readme_locked.txt” file on the desktop as shown in Figure 6.

Figure 6: Readme_locked.txt by Ransomware

Unlike the majority of traditional ransomware, LockerGoga doesn’t include a payment link. Instead, it prompts the victim to contact via email for enquiring the price of the decoder.

Evolution of LockerGoga Ransomware

In this section, we compare the samples of LockerGoga we obtained to the earlier samples used against Altran. Differences between the two versions are summarized in Table 1. The readme file name, digital certificate signer, and log file name have all changed. The new version also introduced a string “GOGOA” that is included in all of the encrypted files.

Older VersionNewer Version
Readme file nameREADME-NOW.txtREADME_LOCKED.txt
Digital certificate usedMIKL LTDALISA LTD
Log File namecl.log.log
Strings in Encrypted fileNone“GOGA”

Table 1: Comparison of old and latest version of Ransomware.

Both versions of LockerGoga Ransomware use the boost and Cryptopp C++libraries that are statically linked in payload file. Command line arguments of the older version are shown in Table 2, which enable the user to specify a log file, do a dry run, encrypt a single file, and spawn a worker process for full operation.

Command line Argumentsdescription
-lLog
-rDry run
-fEncrypt single file
-wWorker

Table 2: Older Version LockerGoga

Table 3 summarizes the command line arguments for the latest version of LockerGoga.  The testing-related arguments are gone, with new arguments for specifying masters and slaves, and interprocess communication channels.

Command line Argumentsdescription
-mMaster
-sSlave
-iIPC
-lLog

Table 3: Latest Version LockerGoga

Conclusion:

The LockerGoga ransomware has affected industrial and manufacturing industries. Its latest version shows significant changes since the beginning of the year, indicating that it is still undergoing active development and increasing in sophistication. If LockerGoga continues to undergo active development, we would expect it to gain features common to other advanced ransomware, such as worm-like ability to spread over network shares

Netskope Threat Protection detects all the known variants of LockerGoga ransomware and can prevent it from spreading through cloud apps. Additionally, Netskope’s Ransomware feature detects the encrypted files in cloud share and restores the originals.

General Recommendations

Netskope recommends the following to combat cloud malware and threats:

  • Detect and remediate cloud threats using a threat-aware CASB solution like Netskope and enforce policy on usage of cloud services. Sample policies to enforce include:
    • Scan all uploads from all devices to sanctioned cloud applications for malware
    • Scan all downloads from unsanctioned cloud application instances for malware
    • Enforce quarantine/block actions on malware to reduce user impact
    • Regularly back up and turn on versioning for critical content in cloud services
  • Keep systems and antivirus updated with the latest releases and patches. Microsoft has released a Security Update for MS17-010, Security Update for Microsoft Windows SMB Server (KB4013389)
  • Disable functionality like SMB if it is not being used