今週、CTIは、ロシアの脅威アクター「Earth Koshchei」と関連する大規模な不正リモートデスクトッププロトコル（RDP）攻撃キャンペーンについて調査しています。 続いて、CTIでは、RiseLoaderマルウェアに関する技術的な詳細が記載されたZscalerの新しいレポートを取り上げます。 最後に、CTIでは、Corvus Insuranceが発表したランサムウェアに関する新たなアドバイザリーから得られた重要な知見をご紹介します。
1. ロシアの「Earth Koshchei」が、不正なRDP攻撃を仕掛けています
「 」「Earth Koshchei」「 」（別名「Midnight Blizzard」および「APT29」）として追跡されているロシアの脅威アクターが、最近、スピアフィッシングメールや匿名化技術を用いて、大規模な不正RDP攻撃キャンペーンを実施しました。
これらのフィッシングメールは、受信者をだまして添付された不正なRDP設定ファイルを使用させ、攻撃者に端末の一部制御権を掌握させることを目的としていました。
アース・コシェイとは誰でしょうか？
「アース・コシェイ」グループは、ロシア対外情報局（SVR）の支援を受けているとされており、スパイ活動を行う傾向があります。
2024年10月 において、トレンドマイクロは、この攻撃者が複数の異なる標的に対して不正なRDP攻撃を仕掛けていることを確認しました。 この種の攻撃により、攻撃者は被害者のマシンの一部を制御できるようになります。
マイクロソフトとアマゾンの両社は、以前からこの活動を同じ攻撃主体によるものと見なしてきました。 トレンドマイクロは現在、すでに公開されている指標について、さらに詳しく解説するための情報を提供しています。
不正なRDPキャンペーンについて
不正なRDP攻撃には、RDPリレー、不正なRDPサーバー、悪意のあるRDP設定ファイルなど、いくつかの要素が含まれます。
トレンドマイクロは、この攻撃者が政府機関、軍、シンクタンク、その他の組織に対して、悪意のあるスピアフィッシングメールを送信していることを確認しました。 被害者がそのファイルを開いた場合、そのコンピュータは、攻撃者が事前に設定しておいた 193 個のRDPリレーのうちの1つを経由して、RDPサーバーへの接続を試みます。
トレンドマイクロは、多くの組織において、RDPの送信接続がブロックされている可能性が高いと指摘しています。 とはいえ、これが成功した可能性があったケースも依然として存在します。
不正なRDP設定ファイル
トレンドマイクロは、このキャンペーンのメールに添付されていたRDP設定ファイルを詳しく調査した結果、以下の詳細を突き止めました。
- このファイルに指定されているホスト名は、正規のAWSサーバーを示唆していますが、実際には脅威アクターによって制御されています。
- このファイルは、ローカルドライブ、プリンター、クリップボードなどをリダイレクトし、被害者のマシンへのリモートアクセスを可能にします。
- この攻撃は、被害者が送信されたRDPファイルを使用しようと試みた時点で初めて開始され、それによって脅威アクターのシステムへのアウトバウンド接続がトリガーされます。 このケースでは、攻撃者はPyRDPを使用してプロキシとして機能させ、接続を傍受しました。
- そうすることで、攻撃者は被害者を、自分たちが管理する不正なサーバーに接続させることができます。 接続されると、この不正なサーバーはRDPセッションとして動作し、そのセッションを悪用してさらなる悪意のある活動を行います。
匿名化レイヤー
トレンドマイクロによると、この攻撃者の主な特徴は、「商用VPNサービス、TOR、一般家庭向けプロキシサービスプロバイダーといった匿名化レイヤーを多用している」点にあるとのことです。 攻撃者は、悪意のあるトラフィックを通常のトラフィックに紛れ込ませるために、よくこのような手法を用います。
トレンドマイクロによると、この攻撃者は数週間にわたりTORのエグジットノードを利用して、 200 件以上のVPSサーバーのIPアドレスと34 台の不正なRDPサーバーを制御していたとのことです。
ドメイン登録
この俳優は、8月から 2024年10月にかけて、 200 件以上のドメインを取得したと推定されています。 これらのドメインのうち、 193 件がRDP攻撃キャンペーンで使用される目的で設定されたものであることが確認されました。 対象分野は、政府、シンクタンク・NGO、軍、ITなど、多岐にわたりました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この攻撃者は、攻撃をより目立たないように行うために、多くの人気のある匿名化レイヤーを攻撃に利用しています。 彼らが不正なRDPサーバーを利用していることは、ある情報セキュリティ企業が執筆した「 2022 」というブログ記事に触発されたものとみられています。
トレンドマイクロが指摘しているように、これは、脅威アクターが既存のツールや手法を活用して、労力を抑えつつ攻撃をより巧妙にしていく典型的な例です。
2。 Zscalerは、RiseLoaderマルウェアに関する技術的詳細を公開しました
のRiseLoaderマルウェア（ ）に関する新たな技術的詳細が、Zscalerのブログで公開されています。
このサンプルはRiseProマルウェアと類似していますが、第2段階のペイロードのダウンロードおよび実行に関して、さらなる機能を備えていることが判明しました。
RiseLoaderは、 2024年10月で初めて確認され、VidarやLumma Stealerなど、さまざまな種類のマルウェアを配布していることが確認されています。
分析回避技術
Zscalerによって発見されたRiseLoaderマルウェアのサンプルは、VMProtectでパックされていました。 このことに加え、このマルウェアがコード内の重要な文字列の多くを難読化しているという事実も相まって、その分析はより困難になっています。
Zscalerは、グローバル配列で定義されているものの、実行時には使用されていない、分析やデバッグに関連するいくつかの文字列を特定しました。 これらはまだ実行段階では使用されていないため、この解析対策機能は依然として開発中である可能性があると考えられています。
行動分析
このマルウェアは、まず相互排他ロック（ミューテックス）を作成し、ハードコードされた文字列を用いてその名前を付けます。 システム上にそのミューテックスがすでに存在する場合、マルウェアは処理を続行しません。 そうでない場合は、ハードコードされたリストから C2 番のサーバーをランダムに選択し、そのサーバーへの接続を確立します。
ネットワーク通信
マルウェアが C2 サーバーに接続した後、今後の通信に必要な鍵をサーバーから受け取るまで待機します。 その後、キャンペーンIDやその他の情報をサーバーに送信し、ペイロードコマンドを待ちながら、通信が維持されるよう定期的にキープアライブメッセージを送信します。
RiseLoader 対 RisePro
前述の通り、Zscaler社は、RiseLoaderがRiseProマルウェアと類似点があることを突き止めました。 最も大きな共通点は2つあり、それはカスタムバイナリのTCPベースのプロトコルと、メッセージ構造そのものです。 Zscalerはまた、両方のマルウェアの初期化プロセスが類似していることを突き止めましたが、RiseLoaderの方がわずかに単純であることがわかりました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このマルウェアの興味深い点の一つは、必要な情報をハードコーディングに依存していることです。 C2 台のサーバーのリストと、ミューテックスに名前を付ける際に使用するいくつかの文字列がハードコードされており、これにより検知ルールの作成が容易になります。
Zscaler社は、一部の解析回避機能がまだ開発中である可能性があると見ており、そのため、このマルウェアがハードコードされた機能を、より動的なものに変更する可能性があると考えられます。
3。 ランサムウェアの活動が過去最高水準に達しています
Corvus Insuranceの最新レポートによると、 2024年11月におけるランサムウェアの活動は過去最高を記録し、データ漏洩サイトに掲載されたランサムウェアの被害者は 632 件に上りました。 これは過去の月間平均（307 件）の2倍以上であり、2024年11月 はこれまでのところ、ランサムウェア攻撃が最も活発だった月となっています。
注目すべきランサムウェアグループ
Corvusによると、最近のランサムウェア攻撃の急増は、複数のグループによるものであるとのことです。 しかし、11月中に急増したと思われる特定のグループがいくつかあります。
- RansomHub：先月、データ漏洩サイトに掲載された被害者数が最も多かったグループはRansomHubで、 98 件の被害が掲載されていました。 このグループは、複数の分野に事業を展開し、急速な拡張性を示しています。
- Akira：これに次いで多くの情報を投稿したAkiraは、データ漏洩サイトで 73 件の被害者を出しました。 Corvus氏が指摘しているように、このグループは技術的な適応力に定評があり、それがグループの成功を支え続けています。 アキラの月間 73 人の犠牲者数は、このグループの月間平均の3倍以上です。
また、Corvus社は、11月の攻撃件数が過去最多を記録した要因として、Kill Security、SAFEPAY、Qilinを挙げています。 これら5つのグループによる攻撃は、その月の全攻撃の合計のほぼ 50％を占めました。
ランサムウェア攻撃はどのように始まるのでしょうか
Corvusは、ランサムウェア攻撃を詳しく調査し、そのパターンを特定しようと試みました。 彼らは、データ漏洩サイトに掲載された被害者の 13％が、侵害されるリスクが高いと判断されたVPN製品を利用していたことを突き止めました。 この高リスク判定は、Corvus社の過去の保険金請求データに基づいています。
Corvusは、これをランサムウェアグループごとに分類することで、さらに一歩踏み込んだ分析を行いました。 調査の結果、RA Groupのランサムウェア情報流出サイトに掲載された被害者の 40％が、リスクの高いVPNを利用していたことが判明しました。 リストに掲載された被害者の 25％以上が、リスクの高いVPNを利用していたランサムウェアグループは 9 件ありました。
さらに、 2024年11月 の被害者のうち、およそ6％が、バージョンが古いMicrosoft Exchange Serverを使用していました。 一部の被害者は、ProxyShellの脆弱性に対するパッチが適用されていないバージョン 2021 および2022 を実行していました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
11月に最も多くの被害者を出したと主張した2つのランサムウェアグループは、いずれも今年前半に台頭したものであり、新しいグループがいかに急速に拡大・進化し得るかを示しています。
このデータは情報漏洩サイトからの情報に基づいているため、その月の攻撃状況を正確に反映しているとは限らないという点に留意することが重要です。 とはいえ、このレポートはいくつかの重要な着手点を浮き彫りにしています。 Corvus社のレポートによると、VPNは依然として脅威アクターにとって主要な標的となり得るため、組織としてはそのセキュリティ対策を徹底することが極めて重要です。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
