今週のまとめでは、CTIが、 2023 年の上半期にUSBメモリを介してマルウェアを配布する攻撃が急増したことを明らかにしたマンディアントの報告書について検証しています。これには、2つの新たな攻撃キャンペーンも含まれています。 続いて、CTIは、ランサムウェアの活動が今年、過去最高記録を更新する見通しであると予測する報告書を取り上げます。研究者たちは、身代金の支払いが成功した件数が全体的に増加していることを確認しています。 最後に、CTIは「Big Head」として知られるランサムウェアの亜種について調査を行っています。
1. 2023年の上半期、USBメモリを介したマルウェア攻撃が急増しました
マンディアント社によると、 2023年上半期において、USBドライブを介してマルウェアを配布する攻撃の件数が3倍に増加しました。
マンディアントの報告書では、この急増の一因となった、USBを介して拡散される2つの新たなマルウェアキャンペーン、すなわち「SOGU」マルウェアと「SNOWYDRIVE」についても取り上げられています。
SOGUはUSBを介して拡散します
マンディアットは、脅威アクターがマルウェアやツール、ユーティリティの保存によく使用するディレクトリ内で、不審なファイル書き込みイベントを調査していた際に、このキャンペーンを初めて発見しました。
研究者らは、SOGUキャンペーンについて、「USBフラッシュドライブを用いたUSBベースのサイバースパイ活動としては最も広範に展開されているものであり、世界中のあらゆる業界にわたる公共・民間セクターの組織を標的とした、最も攻撃的なサイバースパイ活動の1つである」と指摘しています。
このキャンペーンでは、USBメモリを利用してSOGUマルウェアをインストールし、被害者の端末から情報を盗み出しています。 マンディアント社は、このキャンペーンを中国と関連のあるスパイ活動主体である「TEMP.hex」によるものと特定しており、このキャンペーンは中国の国家安全保障や国益を支援するための情報を収集するために実施されたものだと考えています。
マンディアント社の調査によると、これらの攻撃は、ヨーロッパ、アジア、および米国にわたる幅広い業界にリスクをもたらしています。
- 初期感染： 初期感染の経路は、感染したUSBメモリです。 このUSBメモリには、DLLハイジャックを通じてメモリに悪意のあるペイロードをロードするように設計された、いくつかの悪意のあるソフトウェアが含まれています。
- 足場を築きました： 感染の連鎖は通常、正規の実行ファイル、悪意のあるDLLローダー、および暗号化されたペイロードの3つのファイルで構成されています。
正規の実行ファイルが実行されると、KORPLUGとして知られる悪意のあるDLLファイルがサイドロードされます。 その後、KORPLUGマルウェアは復号されたシェルコードを読み込み、メモリ上で実行します。 このシェルコードはC言語で記述されたバックドアであり、「SOGU」と呼ばれています。
- 偵察とデータの一時保存： recycle.bin フォルダに、ホストの偵察コマンドを実行し、その結果を「 c3lzLmluZm8」という名前のファイルに出力するバッチファイルが配置されています。
このマルウェアは、Cドライブ内にある特定の拡張子を持つファイルを検索し、各ファイルのコピーを暗号化します。元のファイルを暗号化した後、暗号化されたファイルを以下のディレクトリに保存します：
C:\Users\\AppData\Roaming\Intel\\
:\RECYCLER.BIN\\
- 永続化： このマルウェアは、正規のプログラムを装ったディレクトリを作成し、そのディレクトリの属性を「隠しファイル」に設定します。 その後、その主要な構成要素を、この新しく作成されたディレクトリにコピーします。
さらに、このマルウェアは、先ほど作成したディレクトリと同じ名前を持つ「Run」レジストリキーを作成します。 一部のSOGUの亜種では、マルウェアの永続性を確保するため、 10 分ごとにマルウェアを実行する追加のスケジュールタスクが作成されていました。
- データの持ち出し： このマルウェアは、攻撃の最終段階で一時的に保存されたデータをすべて持ち出します。 このマルウェアは、コマンド＆コントロール（C2）サーバーとの通信に、HTTP、HTTPS、TCPまたはUDP上のカスタムバイナリプロトコル、およびICMPを使用する場合があります。
また、ファイル転送、ファイル実行、リモートデスクトップ、スクリーンショットの取得、リバースシェル、キーロギングなど、幅広いコマンドに対応しています。 さらに、このマルウェアは、感染したデバイスに接続された新しいリムーバブルデバイスに自身をコピーする機能も備えており、これにより、エアギャップが施されたシステムからデータを収集できる可能性があります。
USBを介した「SNOWYDRIVE」マルウェアの感染が、アジアの石油・ガス関連企業を標的にしています
このキャンペーンでは、USBメモリを利用して「SNOWYDRIVE」マルウェアを配布しています。 マルウェアが読み込まれると、システム上にバックドアを作成し、攻撃者がリモートでシステムコマンドを実行できるようにします。
また、他のUSBメモリにも感染し、ネットワークを通じて拡散することもあります。 マンディアット社は、この攻撃キャンペーンを「 UNC4698」によるものと特定しました。「101」とは、過去にアジアの石油・ガス業界を標的としてきた脅威アクターです。
この脅威アクターは、Windows コマンドプロンプトを介してペイロードを実行し、リムーバブルメディアを使用し、ローカルのステージングディレクトリを作成し、Windows レジストリを変更します。
- 初期感染： 繰り返しになりますが、このキャンペーンにおける初期感染経路は、感染したUSBデバイスです。 この場合、マルウェアは、正当な実行ファイルに偽装した悪意のあるファイルを、被害者にクリックさせるように仕向けます。 被害者がこのファイルをクリックすると、一連の悪意のある拡張機能が起動します。
- 足場を築く： 感染は、ドロッパーとして機能する実行ファイルから始まります。 このドロッパーは、悪意のあるファイルをディスクに書き込んでから、それらを実行する役割を担っています。
暗号化されたファイルには、実行ファイルやDLLが含まれており、これらは抽出されて、C[:]\Users\Public\SymantecsThorvices\Bin ディレクトリに書き込まれます。 これらのファイルは、4つの主要な構成要素に分類することができ、それぞれが正規の実行ファイルと悪意のあるDLLで構成されています。
- コマンド＆コントロール： シェルコードベースのバックドア「SNOWYDRIVE」は、システム名、ユーザー名、およびボリュームシリアル番号に基づいて一意の識別子を生成します。 これは、 C2 サーバーとの通信時に一意のIDとして機能し、通常はシェルコード内にハードコードされています。
- 永続化： このキャンペーンでは、永続化のために以下のレジストリ値を使用しています：
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ushsguaei1hgba
- 横方向の移動： その後、このマルウェアは、感染したデバイスに接続されたリムーバブルドライブに自身をコピーします。 これにより、リムーバブルドライブ上に「\Kaspersky\Usb Drive\3.0” 」というフォルダが作成され、悪意のあるコンポーネントを含む暗号化されたファイルがコピーされます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「最近、USBを介して拡散するマルウェアが急増していますが、こうした攻撃にはデバイスへの物理的なアクセスが必要であるとはいえ、今日の脅威情勢においても依然として有効であり続ける明確な利点があることを改めて認識させられます。」
「マンディアットによるこれらの攻撃キャンペーンに関する調査の結果、地元の印刷店やホテルがUSBマルウェア感染の温床となっていることが明らかになりました。これは、こうした攻撃が依然としてかなり機会主義的な性質のものだということを示唆しています。」
2。 2023でランサムウェアの身代金支払いが急増しています
ブロックチェーン分析会社Chainalysisの最近の報告書によると、ランサムウェアの活動はこれまでの記録を更新する勢いであり、研究者らは、規模の大小を問わず、身代金の支払いが成立した件数が全体的に増加していることを確認しています。
ランサムウェアが際立っています
同報告書によると、今年、増加傾向にある仮想通貨関連犯罪はランサムウェアのみであり、ハッキング、詐欺、マルウェア、わいせつ物の販売、詐欺サイト、ダークネット市場の収益など、その他のすべてのカテゴリーでは急激な減少が見られています。
この件に関するBleepingComputerの記事によると：
"Ransomware is the one form of cryptocurrency-based crime on the rise so far in 2023," reads the Chainalysis report. "In fact, ransomware attackers are on pace for their second-biggest year ever, having extorted at least $449.1 million through June."
さらに、 2023 のランサムウェアによる年間累計収益は、今年上半期において、2022 の総額の90％に達しました。
見通し
The report claims that if the current revenue growth pace continues, ransomware actors will make just short of $900 million from victims in 2023, just below 2021's record figure of $940 million.
Chainalysisの研究者たちは、この急激な収益増加の原動力は「ビッグゲーム・ハンティング」であると指摘しています。これは、恐喝グループやランサムウェア組織が、記録的な額の身代金を支払える大規模で高価値な組織を積極的に標的にしていることを指します。
群れのリーダーたち
According to Chainalysis, BlackBasta, LockBit, ALPHV/Blackcat, and Cl0p top the list of the primary recipients of big-sum payments, with Cl0p boasting an average payment size of $1.7 million and a median payment figure of $1.9 million.
特に注目すべきは、 Cl0p が、ファイル転送ツールで発見された2つのゼロデイ脆弱性を悪用した大規模な攻撃の2つの波に関与していることです。第1四半期には、Fortra社のGoAnywhere 、第2四半期には、Progress社のMOVEit Transfer に対する攻撃が発生しました。
BleepingComputerより：
実際、Clopによる「GoAnywhere」キャンペーンでは 129 件の攻撃が行われ、2023年3月 は過去最多の攻撃件数を記録した月となりました。これは、NCC Group（）が当時報告したで明らかになっています。 MOVEitへの攻撃の波はすでに拡大しており、これまでのところ296 victims 件が確認されています。また、Clopの身代金要求サイトでは毎週、新たな被害事例が公表されています。
さらに、Chainalysisが説明しているように、「 H1 2023 の増加傾向は、その対極にあるケースでも確認できます。具体的には、Dharma、Phobos、STOP/DJVUといった、数100米ドル程度の身代金を要求して被害者を脅迫する、機会主義的な『スプレー・アンド・プレイ』型のランサムウェア・アズ・ア・サービス（RaaS）事業者に対して、少額の身代金が支払われているのです。」
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「恐喝に応じる組織の数が年々減少していることが、サイバー犯罪者が再び「大物」を狙うようになった一因となっているほか、脅威アクターが身代金の要求額を引き上げている要因にもなっていると考えられます。」
「後者はおそらく、支払いを拒否する企業からの金銭的損失の増加を補うための、恐喝グループやランサムウェアのグループによる戦略的な試みであると考えられます。」
3。 「Big Head」ランサムウェアは、偽のWindowsアップデート警告を表示します
トレンドマイクロは最近、「Big Head」として知られるランサムウェアの亜種を詳細に分析しました。 このランサムウェアは、偽のWindowsアップデートやMicrosoft Wordのインストーラーを宣伝するマルウェア広告を通じて拡散していると報じられています。
最初のサンプル
Big Headの最初のサンプルには、.NETでコンパイルされたバイナリファイルが含まれていました。 このバイナリは、CreateMutex 関数を使用して「 “8bikfjjD4JpkkAqrz” 」という名前のミューテックスを検索し、見つかった場合は自身を終了します。
また、このサンプルには、そのインストール手順に関する詳細が記載された設定の一覧も含まれていました。 そこには、レジストリキーの作成、特定のファイルの存在確認と必要に応じてそれらを上書きすること、システムファイルの属性の設定、および自動実行のレジストリエントリの作成など、さまざまな処理が明記されていました。
研究者らは、1.exe、archive.exe、Xarch.exe の3つのリソースが存在することを確認しました。 1.exeは、拡散のために自身のコピーを生成します。 Archive.exe は、脅威アクターのチャットボット ID との通信を確立する役割を担う Telegram ボットを配置します。 また、Xarch.exeは、ファイルを暗号化し、被害者に偽のWindowsアップデートを表示するランサムウェアを配布します。
バイナリ
- 1.exe： このファイルは、コンソールウィンドウを非表示にし、起動時に自動的に実行されるよう、レジストリの自動実行キーを作成します。 また、このプログラムは自身のコピーを作成し、それを<%localappdata%>フォルダ内に「discord.exe」という名前で保存します。
その後、「Big Head」ランサムウェアは、被害者のIDを確認します。 そのファイルが存在する場合、その内容を読み込みます。存在しない場合は、ランダムに生成された40文字の文字列を作成し、感染の目印としてファイルに書き込み、感染対象を特定します。
また、研究者たちは、このランサムウェアが、デスクトップ、サブディレクトリ、および%appdata%フォルダに身代金要求メッセージを表示する前に、自身のシャドウコピーやバックアップを削除する様子も確認しました。 「Big Head」ランサムウェアは、端末の壁紙も変更します。 最後に、このランサムウェアは、ブラウザを開き、マルウェア開発者のTelegramにアクセスするためのコマンドを実行します。
- Teleratserver.exe: これは、Telegramを介して脅威アクターと被害者の間の通信チャネルとして機能する、64ビットのPythonコンパイル済みバイナリです。 「start」、「help」、「screenshot」、「message」というコマンドを受け付けることができます。
- BXluSsB.exe: このマルウェアは、偽のWindows Update UIを表示し、被害者にその動作が正規のソフトウェア更新プロセスの一部であると信じ込ませようとします。
ユーザーのシステムの言語設定が、ロシア語、ベラルーシ語、ウクライナ語、カザフ語、キルギス語、アルメニア語、グルジア語、タタール語、ウズベク語の国コードと一致する場合、このマルウェアは自動的に終了します。 また、被害者がそのプロセスを終了できないようにするため、タスクマネージャーも無効化されます。 その後、このマルウェアは、自身で作成した隠しフォルダに自身のコピーを配置し、RunOnceレジストリキーにエントリを設定します。
このマルウェアは、指定された部分文字列のリストを含むディレクトリ内のファイルの暗号化を避け、特定の拡張子を持つファイルのみを暗号化します。 また、このマルウェアは、指定されたプロセスのリストを終了させます。
サンプル2
Big Headの2つ目のサンプルは、ランサムウェアとステラーの両方の挙動を示しています。 メインファイルは、runyes.crypter.bat、 azz1.exe、server.exe の3つのファイルを配置し、実行します。
ランサムウェアの活動は「runyes.cryper.batt」と「 azz1.exe」によって行われており、「server.exe」は盗むための情報を収集する役割を担っています。 最初のサンプルと同様に、このサンプルも被害者のデスクトップの壁紙を変更します。
サンプル3
このサンプルには、トレンドマイクロがそのチェーン内で「Neshta」と特定したファイル感染型マルウェアが含まれています。 Neshtaは、実行可能ファイルに感染し、そこに悪意のあるコードを埋め込むように設計されています。
Neshtaをランサムウェアの展開に組み込むことは、最終的なランサムウェアのペイロードを隠蔽する手段ともなり得ます。また、アナリストの注意をそらし、ランサムウェアという真の脅威の検出を妨げる可能性もあります。
脅威アクターについて
身代金要求文によると、このマルウェアの開発者は、被害者との連絡に電子メールやTelegramを利用しているようです。
Telegramのユーザー名を詳しく調べた結果、研究者たちは関連するYouTubeアカウントを発見することができました。 このアカウントは、今年の4月に登録された比較的新しいもので、公開済みの動画は計 12 本あります。 これらの動画では、トレンドマイクロが確認したマルウェアの実演が紹介されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Big Headはそれほど洗練されたランサムウェアの亜種ではありませんが、実環境で見られる複数の亜種から、その作成者が積極的に開発と改良に取り組んでいることがうかがえます。」
「トレンドマイクロは、関連するビットコインウォレットの取引履歴を調査したところ、 2022まで遡る取引を発見しました。」 現時点では、これらの取引がどのようなものであるか、またそれに関連する攻撃がどのようなものかについて、これ以上の詳細は明らかになっていません。 とはいえ、これは、この脅威アクターが何らかの過去の経験を持っている可能性があることを示唆しています。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ や、Taniumのディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
