今週、CTIでは、ランサムウェア攻撃者の主要な関係者や、 で明らかになった新たな戦術について取り上げます。 （新しいタブで開きます） 2024より。 続いて、CTIは、盗まれたパスワードに関する新たな知見を提示する報告書について調査を行います。 最後に、CTIは、脅威アクターがランサムウェアを展開する目的で「Office 365 」の機能を利用して被害組織にアクセスした、最近の2件のインシデントに関する報告を検証しています。
Trustwaveは、ランサムウェアの主要な攻撃者や手口を明らかにしています
Trustwaveの最新レポート『 』（新しいタブで開きます） では、 2024件のランサムウェア攻撃事例から、主要な攻撃者や新たな手口について分析しています。
Trustwaveによると、昨年もランサムウェアの全体的な動向において、金銭的な動機が引き続き中心的な要因でした。 Trustwave also outlines the overlapping tactics, techniques, and procedures (TTPs) of ransomware groups in 2024 and provides insights into the 2025 ransomware ecosystem.
2024件中、上位 5 件のアフィリエイト型ランサムウェアプログラム
Trustwave社は、データ漏洩サイトの動向を分析し、 2024 のいわゆる「ビッグ5」アフィリエイトプログラムを特定しました：
- RansomHub （新しいタブで開きます） は、 2024年に注目すべきランサムウェアのアフィリエイトとしてその地位を確立しました。 これは主に、同グループがアフィリエイトに有利なビジネスモデルを採用しており、アフィリエイトに有利な 90-10 の報酬配分比率を提供しているためです。 このグループは目立った妨害を受けることなく、独自に開発したEDR対策マルウェアによって他とは一線を画していました。 RansomHubは、今年も引き続き最大の脅威の一つとなる見込みです。
- El Dorado （新しいタブで開きます） は当初、 2024年3月 として登場し、その年の後半に BlackLock へとブランド名を変更しました。 このグループは、そのクロスプラットフォーム機能により急速に勢力を拡大し、 2025年に入ってもなお脅威であり続けています。
- Lynx（ ）は2024年7月 で登場し、もう一つの成功を収めたランサムウェアグループでした。 ランサムウェアの展開に至る具体的な詳細やTTPについては依然として不明ですが、攻撃者たちはバックアップのシャドウコピーを常に削除していることが分かっています。
- FOG（ ）は5月に初めて姿を現しましたが、データ漏洩サイトの存在を公表したのは6月中旬になってからでした。 FOGの関連組織は、カスタムスクリプトやクレデンシャルスタッフィングの手法、その他の持続化手法を利用していました。
- BASHE は、10月に名称を変更する前は「 APT73 」という名称で運営されていました。 このグループは、データ漏洩サイト・アズ・ア・サービス（SaaS）モデルにより急速に勢いを増しました。このモデルは、 従来のランサムウェア・アズ・ア・サービス（RaaS）モデルとは一線を画すものでした。 （新しいタブで開きます）。
重複するTTP
Trustwaveは、ランサムウェア攻撃者の活動実態をより深く理解するため、 2024 件の事例から確認された攻撃手法を分析しました。 彼らは、最も多く確認された手法の一部を強調表示したヒートマップを作成しました。
社のレポート『 』（新しいタブで開きます） に掲載されているこの図は、一般公開されているアプリケーションの悪用、スケジュールされたタスク、スピアフィッシング、マルウェアなど、最も多く見られる重複する手法のいくつかを強調しています。
[関連記事：フィッシングとは？ 【種類、リスク、予防法】 （新しいタブで開きます）
ランサムウェア「2025 」の今後の見通し
2024年にランサムウェアがどれほど効果的であったかを考えると、 2025年においてもランサムウェアは依然として大きな脅威となるでしょう。
ランサムウェアのエコシステムは、「大規模なグループの活動が妨げられたことを契機として、運営の分散化が進んでいる」という特徴をますます強めています。 Trustwaveによると、このことが、小規模なグループが台頭し、比較的短期間で成功を収めることができるという現在の状況を作り出す一因となっているとのことです。
RansomHubのアフィリエイトに優しいビジネスモデルにより、大きな混乱が生じない限り、同社は 2025においても引き続き有力な存在であり続けるでしょう。
Trustwaveは、Go言語で開発されたランサムウェアの継続的な出現に加え、分散型グループの台頭、複合的な恐喝手口、そして新たなアフィリエイト・プログラムの登場が見込まれると予測しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ランサムウェアの運営組織は、法執行機関の取り締まりに順応しやすくなっており、その結果、より強靭になり、危険度も増しています。
2025年には、新たなランサムウェアグループが引き続き出現する見込みであり、既存のグループも別のランサムウェアブランドに分裂する可能性があります。 しかし、Trustwaveが指摘しているように、こうしたグループは出現したのと同じくらい急速に姿を消すこともあり、「どれが長期的な脅威へと発展するかは不透明」なのです。
Specops社が、漏洩したパスワードに関するレポートを発表しました
Specopsは先日、「 」（新しいタブで開きます） という、漏洩パスワードに関するレポートを発表し、 2024件にわたる盗難パスワードから得られた知見を共有しました。
According to the report, more than 1 billion credentials were stolen by malware during a 12-month span, with 230 million meeting standard complexity requirements.
Specopsは、盗難被害の多かったパスワード、最も一般的な基本語、最も一般的なパスワードの長さ、そして最も多く使用された認証情報を盗むマルウェアなど、観察された傾向のいくつかについて詳しく解説しています。
[関連記事：パスワードのセキュリティに関する新しい考え方に、きっと驚かれることでしょう] (新しいタブで開きます)
脆弱なパスワードの傾向とパターン
Specops社は、いくつかの調査結果を強調するために、他の情報源からの統計データを取り入れました。 例えば、LastPassが以前実施した調査によると、ユーザーの 91％が、複数のアカウントで同じパスワードを再利用することのリスクを認識しているにもかかわらず、 59％のユーザーがそれを承知の上で再利用していることが明らかになりました。 このため、彼らの調査結果の一部は、さらに憂慮すべきものとなっています。
Specopsは、入手した 1,089,342,532 件の盗まれたパスワードを分析しました。 彼らが最初に分析したのは、最も一般的な脆弱なパスワードや基本用語でした。 調査の結果、最も多く盗まれたパスワードの上位5つは以下の通りであることが判明しました：
- 123456
- 管理者
- 12345678
- パスワード
- パスワード
The password “123456” had 3.7 million exact matches. 最もよく見られた基本用語は、「admin」、「guest」、「qwerty」、「welcome」、「password」でした。
According to Specops, eight characters is the most common length, accounting for 189 million of the stolen passwords analyzed. また、複雑性の要件を満たすパスワードについても調査を行いました。具体的には、8文字以上で、大文字1文字、数字1つ、特殊文字1つを含まなければならないという要件です。 A total of 230 million of the stolen passwords met these requirements.
ハッカーがマルウェアを使ってパスワードを盗む手口
2024 だけでこれほど多くの認証情報が盗まれたことを考えると、盗まれた認証情報に対する需要が明らかに高いことがわかります。 この需要の高まりは、認証情報を含むデータを収集するように設計された情報窃取型マルウェアの増加と直接的な相関関係にあります。
Specopsの調査によると、「 」RedLine情報窃取型マルウェア（ （新しいタブで開きます） ）は非常に広く普及しており、同社が分析した盗まれたパスワードのほぼ半分を占めていることが判明しました。 の「Raccoon Stealer」 （新しいタブで開きます） および「Vidar Stealer」も、それぞれ盗まれたパスワードの 11.7％と 17％を占めていました。
[こちらもご覧ください：今すぐやめるべき、よくあるパスワードのミス 4 選] (新しいタブで開きます)
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Specopsのレポートの全体的な前提は、決して目新しいものではありません。脅威アクターは、強固なパスワードだけでなく、脆弱なパスワードも一貫して標的にしているのです。
本レポートでは、認証情報の盗難に関する現状を詳細に概説するとともに、セキュリティ担当者が安全を確保する方法を理解するのに役立つ傾向や提言を紹介しています。
単にパスワードの複雑性に関する要件を満たすだけでは不十分であることを念頭に置いておくことが重要です。というのも、盗まれたパスワードのほぼ4分の1が、これらの要件を満たしていたからです。
犯行グループは、メール爆撃やTeamsを利用したフィッシング攻撃を利用しています
ソフォスは、2件のインシデントについて報告しました。 （新しいタブで開きます） これらでは、脅威アクターがOffice 365 を悪用して被害組織に侵入し、ランサムウェアを展開しようとしていました。
これらの事案は、2つの異なる脅威アクターに関連しており、各アクターは攻撃を拡大させるために、独自のMicrosoft Office 365 サービスのテナントを運用・維持していました。
これらの事件で用いられた手口には、メールの大量送信、Teamsへのメッセージ送信、Teamsでの音声通話やビデオ通話の発信、およびMicrosoftのリモートコントロールツールの使用などが含まれます。
[関連記事：ヴィッシング対策には賢い対応が不可欠] (新しいタブで開きます)
STAC5143 とSTAC5777
ソフォスは、これら2つの脅威アクターを「 STAC5143 」および「STAC5777」として追跡しています。
- STAC5143： この脅威クラスターが使用するマルウェアの一部は、 FIN7として追跡されているグループが使用するものと類似しています。 しかし、攻撃チェーンの各要素によって、各グループは区別されます。 ソフォスは11月、ある組織から「45分間に 3,000 通を超える大量のスパムメールを受信した」との報告があった際、このグループによる活動を確認しました。 メッセージを受け取ってから間もなく、その人たちは「ヘルプデスクマネージャー」というアカウントからTeamsのビデオ通話を受けました。 通話が始まると、被害者はTeamsを介したリモート画面制御セッションを許可するよう指示され、これにより攻撃者はファイルを配置し、Pythonマルウェアを実行することが可能となりました。「
STAC5143 」では、Teamsに組み込まれたリモート制御機能、エクスプロイトを自動化するJavaアーカイブ、およびリモートのSharePointリンクからダウンロードされたPythonベースのバックドアが利用されていることが確認されました。 - STAC5777： 前の脅威クラスターと同様に、 STAC5777 もメール爆撃やMicrosoft Teamsのメッセージを用いて、組織を標的にしています。 このグループからのTeamsメッセージでは、問題の解決を支援するため、被害者との通話依頼が行われます。
STAC5777 は、Microsoft Quick Assistの利用、キーボード設定の直接変更、マルウェアの展開、正規のMicrosoftアップデータの利用、および「Storm-1811」として知られるグループと以前関連付けられていたその他の手法やツールを駆使していることが確認されました。 （新しいタブで開きます）
いずれの事件においても、攻撃者はTeamsの通話を通じて、被害者に正規のMicrosoftウェブサイトから「Microsoft Quick Assist」をインストールさせました。 これを利用してリモートセッションが確立され、攻撃者は被害者の端末を制御できるようになりました。 攻撃者が制御権を獲得すると、悪意のあるペイロードをダウンロードし、持続性を確保した上で、 C2 サーバーに接続しました。
攻撃者は、取得した認証情報を使用して、横方向の移動を容易にするためにホストを検索しました。 (新しいタブで開きます)。 ある事例では、その攻撃者は の「Black Basta」ランサムウェア （新しいタブで開きます） を実行しようとしましたが、最終的には阻止されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
本レポートでは、脅威アクターにとって、Microsoft Teamsが のソーシャルエンジニアリングツールとして （新しいタブで開きます） として、ますます人気を集めていることが示されています。
ここ数ヶ月の間、脅威アクターがITサポートを装って初期アクセス権を取得しようとする事件が数多く発生しています。 ソフォスが指摘しているように、エンドユーザーは、普段ITサポートチームとどのようにやり取りしているかを意識し、異常がないか注意を払う必要があります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
