今週のまとめでは、Taniumのサイバー脅威インテリジェンス（CTI）チームが、最近出現したランサムウェアグループ「BERT」について取り上げています。このグループは現在、テクノロジー、ヘルスケア、イベントサービス各業界のWindowsおよびLinuxプラットフォームを標的にしています。 次に、チームは、暫定的に「 TGR-CRI-0045」として追跡されている初期アクセスブローカー（IAB）が実施したキャンペーンについて検証します。 最後に、XWormが適応性の高いリモートアクセストロイの木馬（RAT）へと進化していった経緯について考察します。
BERTランサムウェアは、WindowsおよびLinuxプラットフォームを標的としています
トレンドマイクロは、新たに現れたランサムウェアグループ「BERT」に関する詳細を、 で公開しました。 2025年4月の頃から活動を続けているこのグループは、現在、アジア、ヨーロッパ、米国の組織を標的とし、WindowsおよびLinuxシステムの両方を対象としたマルチプラットフォーム攻撃を展開しています。
BERTはコードが単純であるにもかかわらず、混乱を最大限に引き起こし、身代金要求の交渉力を高めるために、並行暗号化やESXiのシャットダウンといった強硬な手段を用いています。
BERTのWindows版はどのように動作するのでしょうか？
トレンドマイクロによると、このグループは、Windows版のランサムウェアにおいて、プロセスを終了させる特定の文字列を含む、シンプルなコード構造を採用しているとのことです。
トレンドマイクロの調査によると、公開鍵、ファイル拡張子、身代金要求メッセージのすべてがコード内で容易に確認できることが判明し、また、暗号化には標準のAESが使用されていることが判明しました。
トレンドマイクロはまた、実環境にアップロードされていたBERTの追加サンプルを特定しました。 これらの多くは、暗号化機能や、独自の内部テレメトリに見られるその他の機能が欠けている旧バージョンのようであり、BERTには複数のバージョンが存在していたことが示唆されています。
さらに、トレンドマイクロは、実際のBERTランサムウェアのペイロードのローダーとして機能するPowerShellスクリプトを特定しました。 このPowerShellスクリプトは、「権限を昇格させ、Windows Defender、ファイアウォール、およびユーザーアカウント制御（UAC）を無効にした後、リモートのIPアドレスからランサムウェアをダウンロードして実行します。」
BERTのバリエーションの変遷
以前の亜種は、まずドライブをすべて列挙し、すべてのディレクトリに身代金要求メッセージを配置していました。 その後、必要なファイルパスを収集し、それらを配列に格納してから、暗号化処理に進みます。
新しいバージョンでは、 のConcurrentQueue（ ）を使用し、各ドライブにのDiskWorker（ ）を作成することで、暗号化処理の効率化を図っています。 このアプローチにより、マルチスレッドでの暗号化が可能となり、BERTはすべてのファイルパスを収集するのを待つことなく、ファイルが特定され次第、その暗号化を開始できるようになります。これにより、処理速度と効果が大幅に向上します。
このLinuxの派生版について知っておくべきこと
5月、トレンドマイクロは、暗号化速度を最大化するために 50 個のスレッドを使用するBERT Linuxの亜種を発見しました。 このバリエーションでは、3つのコマンドライン引数を受け付けます：
- 暗号化する対象ディレクトリを指定するには
- 暗号化に使用するスレッド数を設定するには（デフォルトは 50です）
- サイレントモードを有効にするには
これらのパラメータを指定せずにランサムウェアを実行すると、仮想マシンがシャットダウンされ、ESXiホスト内で実行中のすべての仮想マシンプロセスが終了します。 この亜種は、暗号化処理が完了すると、各ファイル名に「 .encrypted_by_bert」および「 」を付加し、身代金要求メッセージを配置します。
トレンドマイクロは、このグループがこの亜種をREvilのLinux版から派生させた可能性があると考えています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
BERTが登場してからまだ数ヶ月しか経っていませんが、すでにWindowsとLinuxの両方のシステムを標的とした亜種が登場しています。これは、ハイブリッド環境を悪用するマルウェアやランサムウェアを設計するという、脅威アクターの間で高まりつつある傾向を浮き彫りにしています。
要点は、BERTのコードベースは比較的単純ですが、その開発チームは攻撃の実行に長けているということです。 これは、脅威の有効性が、必ずしもその技術的な複雑さと相関するわけではないということを改めて思い起こさせてくれます。
TGR-CRI-0045 件のエクスプロイトが、マシンキーを悪用して組織にアクセスしています
パロアルトは最近、 という、IABによって実施されたキャンペーンを突き止めました。同社では、これを暫定的に「 TGR-CRI-0045」として追跡しています。
この攻撃者は、漏洩したASP.NETのマシンキーを悪用してセッションを乗っ取り、Microsoft Internet Information Services（IIS）サーバーへの不正アクセスを獲得し、目立たない形で持続性を確保するとともに、さらなる侵害を可能にしていたことが確認されました。
このIISの脆弱性がどのように発見されたのか
今年初め、パロアルト社は、2つの異なる顧客環境におけるWebサーバーへの不正侵入に対応しました。 どちらの侵入も、IISのワーカープロセスから発行されたコマンドシェルの実行が関与しており、共通した特徴が見られました。
調査の結果、攻撃者が「マネージド .NET アセンブリ（C# コード）をメモリに直接読み込むコマンドを実行した（リフレクティブ・ローディング）」ことが判明しました。 このエクスプロイトは、Microsoft IIS上で動作するASP.NETサイト内のパラメータである「View State」を標的としていました。
「TGR-CRI-0045 のエクスプロイトチェーン」の解説
Webサイトでは、ブラウザとサーバー間のやり取りを管理するために「ビュー状態」が使用されます。 調査の結果、 の_VIEWSTATE パラメータには、攻撃者がデシリアライゼーションの手法を利用してリモートコード実行を可能にする脆弱性が存在することが判明しました。 ただし、これは攻撃者が正しいマシンキーを持っている場合にのみ発生します。
攻撃者は、流出したマシンキーのリストを利用するか、稼働中のサーバーから直接キーを抽出することが知られています。 これらの鍵を入手すれば、その入手方法にかかわらず、デシリアライゼーション用のペイロードを作成し、サーバーを標的にすることができます。
Palo Altoによると、 TGR-CRI-0045 は、ysoserial.net、といったツールを使用していた可能性が高いとのことです。これらは、悪意のあるデシリアライゼーションペイロードを作成するためのオープンソースのペイロードジェネレータです。
アセンブリについて
Palo Altoは、攻撃者がView Stateを悪用した後、メモリに読み込まれた5つの.NETアセンブリのサブセットを特定しました。 これには以下が含まれます。
cmd /c: 侵害されたサーバー上で任意のシステムコマンドを実行します- 受賞者： おそらく、エクスプロイトの成功や環境の準備状況を確認するために使用されたものと思われます
- ファイルのアップロード： 攻撃者が、さらなる悪用や永続化を目的として、悪意のあるファイルやツールをサーバーに直接アップロードできるようになります
- ファイルのダウンロード： これにより、攻撃者は機密データを外部へ持ち出したり、侵害された環境からペイロードを取得したりすることが可能になります
- リフレクティブ・ローダー： ディスクにアクセスすることなく、メモリ内で直接 .NET アセンブリをインジェクションして実行します。これは、アーティファクトをディスクに書き込むことを回避し、従来の検出手法を迂回するのに役立つ重要な回避手法です。
これらのアセンブリはすべて、同様のデータ処理特性を共有しており、HTTPレスポンスを終了させるために同じ呼び出しを行っています。
[関連記事：プロンプトを保護しましょう：AIツールを狙うインジェクション攻撃が迫っています]
搾取の後はどうなるのでしょうか？
この攻撃者の侵害後の活動には、侵害されたホストとネットワークの両方に対する偵察が含まれていました。 Palo Altoによると、このアクターは一貫して、 Windows\Temp\111t というパスをステージングディレクトリとして使用していたとのことです。
権限昇格のために、攻撃者はカスタムバイナリ「 updf」を使用しました。このバイナリは、SYSTEM権限でコマンドを実行できるほか、新しいローカルユーザーを作成し、そのユーザーをローカルの管理者グループに追加することができます。
また、この攻撃者は、 （）という名前のELFバイナリを頻繁にダウンロードし、 （TxPortMap： ）を使用して、最初に侵害されたデバイスからどのサーバーにアクセスできるかを特定し、コマンドシェルアセンブリを介して偵察を行っていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
パロアルトの分析によると、IABの技術的な高度化の面において、その進化ぶりが明らかになっています。 彼らはもはや、 のようなフィッシングや といった手法、あるいはブルートフォース攻撃といった従来の技術だけに頼ることはなくなりました。
また、この分析では、マシンキーなどのシークレット管理は、認証情報やAPIトークンと同様に扱うべきであることも強調されています。なぜなら、これらを誤用すると、深刻なセキュリティインシデントにつながる可能性があるからです。
このレポートには、 の修正およびセキュリティ強化に関するガイダンス（）に加え、IISのインメモリ攻撃手法が及ぼす影響に関するより包括的な概要が掲載されています。
XWormは、モジュール式で検知を回避するRATへと進化しました
Splunkのによると、XWormは、検出を回避しペイロードを配信するために、ファイル形式やスクリプト言語、難読化手法を巧みに使い分けるモジュール型のリモートアクセス型トロイの木馬へと進化しました。
Splunkの分析によると、このマルウェアのモジュール式設計と、ランサムウェア攻撃との関連性が浮き彫りになっています。 また、このレポートでは、防御担当者がそのステルス的な挙動に対抗できるよう、実践的な検知戦略も提示しています。
XWormによるフィッシング攻撃の仕組み
Splunkは、XWormが、より広範な防御回避戦略の一環として、ファイル形式やスクリプト言語を次々と切り替えていると指摘しています。 また、このマルウェアは、感染チェーンにおいて、さまざまなドロッパー、ステイジャー、ローダーを利用しています。
アナリストたちは、XWormが使用するさまざまなファイル形式を特定するため、その詳細な分析を行いました。 チームはMalware Bazaarから 1,000 件のXWormサンプルを収集し、従来のEXEやDLLファイルではなく、よりユニークなファイル形式を探しました。 最も頻繁に使用されるファイル形式には、VBS、バッチ、JavaScript、PowerShellなどがあります。 この種のファイルは、多くの場合、電子メールで送られてきます。
同様に、Splunkはファイル名を分析し、XWormが最も頻繁に使用しているソーシャルエンジニアリングの手口がどのようなものか、 を把握しようとしました。 彼らは、請求書、領収書、発送通知など、繰り返し登場する複数のテーマを発見しました。
スクリプトのコンポーネントの中には、 C2 サーバーから直接、XWormのメインペイロードをダウンロードするものもあります。 調査の過程で、Splunkは、初期段階として機能し、次の段階のペイロードをダウンロードする役割を担っていたHTAファイルやPowerShellステイジャーを発見しました。
XWormがペイロードを展開する方法
Splunkは、コード解析を困難にし、検出を回避するために難読化されたVBSおよびバッチスクリプトのステイジャーを特定しました。
これらのスクリプトは、2つの実行ファイルをメモリ上で直接デコードおよび復号化します。これは、ディスクへの書き込みを避け、検出を回避するための一般的な手法です。 これらの実行ファイルは、次の段階のステイジャーおよびローダーとして機能し、追加のコンポーネントを配信し、最終的にXWormのペイロードを展開する役割を担っています：
- Stager： は、AMSI（Antimalware Scan Interface）をバイパスして、スクリプトのスキャンを無効にします
- ローダー： Windows ETW（Event Tracing for Windows）を改ざんし、実行時の監視を回避します
どちらも、可視性を低減し、検出を妨げるための分析回避メカニズムとして設計されています。
また、このステイジャーは、レジストリのランキーやスケジュールされたタスクを作成することで、永続性を確保し、権限を昇格させます。 このマルウェアは、リソースセクションからGZIPデータを解凍し、DLLのサイドローディングを利用して悪意のあるコードを正当なライブラリに見せかけ、ターゲットプロセスにシェルコードを注入してメモリ上でペイロードを実行しようとします。
XWormのペイロードは、感染後にどのような動作を行うのでしょうか
XWormの最終的なペイロードは、復号化された実行ファイルです（payload.exe）。 XWormは、WMI（Windows Management Instrumentation）を使用して、利用可能なウェブカメラの特定を含むホストの偵察を行います。 他の種類のマルウェアと同様、XWormはMicrosoft Defenderの除外設定を利用して、自身のディレクトリがスキャンされないようにしています。
また、Splunkは、 RunDisk() という関数を特定しました。この関数は、実行ポリシーが変更されたPowerShellコンポーネントを実行するものです。 このマルウェアは、リムーバブルドライブを介して拡散を試み、バックドアコマンドを処理する機能を備えています。 ステイジャーやローダーと同様に、このマルウェアはレジストリのランキーやスケジュールされたタスクを利用して、システムへの定着を図っています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
XWormは適応能力が非常に高く、防御側にとっていくつかの独特な課題をもたらします。
その進化は、モジュール性の向上と回避能力の強化という、より広範な傾向を反映しています。 この点に加え、ファイル形式やスクリプト言語をローテーションして使用していることから、その成功率は向上し、脅威アクターの間での魅力も高まるものと見られます。
Splunkの分析では、静的な指標とは対照的に、不審なレジストリの動作などに対する行動ベースの検知の重要性も強調されています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
