今週、CTIは、「Evasive Panda」として知られる中国政府の支援を受ける攻撃主体について取り上げます。この攻撃主体は、ツールセットを更新し、「Macma mac」バックドアおよび「Nightdoor」Windowsマルウェアの新バージョンを導入しました。 続いて、CTIは、ユーロポールが発表した第10回「インターネット組織犯罪脅威評価（IOCTA）」の概要をご紹介します。 最後に、CTIでは「Play」ランサムウェアについて取り上げて締めくくります。このグループは現在、VMware ESXi環境を標的として、ランサムウェアのLinux版を展開しています。
1. Evasive Pandaが、Macmaバックドアの新バージョンを展開しています
中国政府の支援を受けている攻撃主体が、ツールセットを更新し、 の「Macma mac」バックドアの複数の新バージョン および、新たなWindows向けマルウェア「Nightdoor」を導入しました。 この攻撃者は、を通じて、 この新しいツールを、台湾に拠点を置く組織や、中国国内の米国の非政府組織を標的とした、最近のいくつかの攻撃で活用しています。
Macma macOSバックドアとは何ですか？
Macmaは、macOS専用のバックドアです。 これは 2021年にGoogleによって初めて記録されましたが、少なくとも 2019年からは使用されていたことを示唆する証拠があります。
Macmaが最初に発見された当時、主に香港でウォーターホール攻撃に利用されていました。 このバックドアはモジュール式であり、フィンガープリントの取得、コマンドの実行、画面キャプチャ、キーロギング、音声のキャプチャ、およびファイルのアップロード・ダウンロードなどの機能を備えています。
シマンテックは、このバックドアのより新しい亜種を発見しました。 あるバリエーションはメインモジュールがまったく異なっていたのに対し、別のバリエーションでは段階的な更新が行われていました。 新しいバージョンにおける変更点としては、モジュールの更新、ファイルディレクトリのパスやファイル名の更新、およびデバッグログの追加などが挙げられます。 このマルウェアのメインモジュールが更新され、新しいロジック、変更されたコード、および新しいファイルが追加されました。
Macmaのクレジット表記
研究者たちは、この最新の活動を、「Evasive Panda」（別名「Daggerfly」）として知られる、中国が支援する攻撃主体によるものと見なしています。 Macmaはこれまで特定のグループとは関連付けられていませんでしたが、シマンテックは、現在ではDaggerflyの攻撃手段の一部となっていると見ています。
彼らが特定した変種の2つは、Daggerflyが頻繁に利用しているMgBotドロッパーによって使用されていた C2 番のサーバーに接続していました。 この共有インフラストラクチャは、アトリビューションの重要な指標となります。 さらに、MgBotとMacmaには、共有ライブラリやフレームワーク由来のコードが含まれていることが判明しました。
Windowsの新たなバックドア
また、シマンテックは、この攻撃者がWindows用のバックドア「Trojan.Suzafk」を使用していることを突き止めました。このバックドアは、今年初めにESETによって初めて報告され、「Nightdoor」と名付けられたものです。
このWindows用バックドアは、MgBotと併せて確認されており、これもまた、多くのDaggerflyツールと同じ共有ライブラリを用いて開発されていました。
This backdoor is multi-staged and uses TCP or OneDrive for its C2 communications. ローダーは、DLLと実行ファイルを配置します。 この実行ファイルは「DAEMON Tools Lite Helper」という正規のアプリケーションですが、DLLは、スケジュールされたタスクを作成し、最終的なペイロードを読み込むためのローダーです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このアクターは10年以上にわたり活動しており、主にスパイ活動を展開しています。 俳優の表現手段が絶えず進化し続けていることが、その俳優が成功し続けている主な理由の一つです。
このグループは「豊富なリソース」を有しているため、以前の変異株が公表された後、新たな変異株を迅速に開発・利用することができます。 シマンテック社は、このグループがマルウェアの亜種を開発するために独自のフレームワークを使用していると見ています。というのも、公開されているどのフレームワークとも関連付けることができなかったからです。 これは、当該アクターが新たな亜種を迅速に作成できる能力をさらに裏付けるものです。
2。 RaaSの摘発後、サイバー犯罪者たちは独自に活動しています
ユーロポールは、「 」インターネット組織犯罪脅威評価（IOCTA） の第10版を発表しました。本報告書では、脅威の全体像を概観するとともに、サイバー攻撃から決済詐欺の手口に至るまで、変化し続けるさまざまな脅威や傾向を分析しています。 この評価の一部は、法執行活動の中断が及ぼす影響に焦点を当てています。 主な調査結果の一つとして、俳優の追跡が難しくなっていることや、 独立して活動することを選ぶ俳優が増えていることが挙げられます。。
RaaSモデル「 」は、ランサムウェア運営者同士がアフィリエイトの獲得を競い合い、より魅力的なRaaSとして自らを位置づけざるを得ないような仕組みで機能しています。 このモデルでは、アフィリエイトが複数のRaaSに所属している可能性があるため、アトリビューションがやや曖昧になってしまいます。
最近の法執行機関による摘発により、組織は名称の変更や解散を余儀なくされ、関係者は他のグループに加わるか、あるいは他のグループのメンバーと協力して全く新しい活動を立ち上げることを迫られるため、犯行の帰属特定はさらに困難になっています。 ランサムウェアグループ間の関係者の入れ替わりにより、攻撃の背後に実際にどの運営者がいるのかを把握することがますます困難になっています。
ユーロポールは、法執行機関による取り締まりの強化を受けて、ランサムウェアの状況を「分断された」状態であると指摘しています。
法執行機関による取り締まりにより、ランサムウェアの活動が妨げられる可能性があるため、提携組織は別のグループに加わるか、あるいは独立して活動する可能性があります。 後者は日常的に見られることではありませんが、それでもあり得る話です――とりわけ、アフィリエイト事業者が、絶えず運営方法を切り替えなければならないことに疲れてきていることを考えればなおさらです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ここ数ヶ月にわたる法執行機関による取り組みや取り締まりは、間違いなくランサムウェアの情勢に影響を与えています。 これだけでは脅威を完全に排除するには不十分ですが、ランサムウェアの攻撃者の手口に確実に変化をもたらしています。
こうした摘発や活動妨害の取り組みは、本質的に各関係者の忠誠心を試すものであり、さらにはRaaSモデルから離脱し、将来的には独立して活動を開始しようとする関係者の数を増やすことにもつながっています。
こうした独立した主体への移行の可能性には、それ特有の課題が伴います。 攻撃元の特定をより困難にするだけでなく、わずかに改変された無数のマルウェアやランサムウェアの亜種が市場に氾濫することになるでしょう。
3。 Linux Playの亜種が、VMware ESXiシステムを標的としています
ランサムウェア「Play」 は現在、VMware ESXi環境を標的とするLinux版ランサムウェアを展開しています。
最新の「Play」攻撃（ ）は、主に米国における製造業、専門サービス業、IT業界など、さまざまな業界の組織を標的としています。 また、研究者らは、「Play」ランサムウェアと、URL短縮サービスを運営する攻撃グループ「Prolific Puma」との関連性を突き止めました。
「Play」ランサムウェアとは何ですか？
「Play」ランサムウェアの活動は、 2022年6月 で初めて確認され、独自に開発されたツールを使用していることから、業界全体で瞬く間に知られるようになりました。
VMware ESXi 環境を対象とした Linux 亜種が追加されたことで、このグループはさらなる被害者を標的にできるようになりました。 シマンテックによると、 2024年1月から7月にかけて、この犯罪組織による被害は複数の業界にわたり 187 件発生し、そのうち82.4％が米国で発生しました。
『Play』の感染経路
トレンドマイクロのレポート発表時点で、Play Linuxの亜種はVirusTotalにおいて検出件数がゼロでした。 トレンドマイクロは、この亜種に起因する実環境での感染事例をまだ確認していませんが、 C2 サーバーには、この攻撃者が攻撃の際に頻繁に使用するツールの多くがホストされていることを確認しています。
このLinux版は、Windows版と似ているようで、多くの引数を共通して受け入れます。 その中には、通常の機能の実行や、指定されたドライブ、ネットワーク共有リソース、あるいは特定のファイルやフォルダの暗号化などが含まれます。 このバリアントは、完全に実行される前に、ESXi 環境で実行されていることを確認するためにいくつかのコマンドを実行し、そうでない場合は自身を削除します。
ESXi 環境で実行されていることが確認された場合、シェルスクリプトのコマンドが実行されます。そのうちの 1 つは、検出された仮想マシンをスキャンし、シャットダウンする役割を担っています。 このランサムウェアは、VMディスク、設定ファイル、メタデータファイルなどのVMファイルを暗号化する一連のコマンドを実行し、これらのファイルに「.play」という拡張子を付加した上で、身代金要求メッセージを配置します。
プレイとプーマとの深い関わり
トレンドマイクロは、ランサムウェアのペイロードやツールをホストしているURLが、「Prolific Puma」として知られる別の の攻撃者と関連していることを確認しました。 この事業者は、ランダムな宛先生成アルゴリズムを用いてドメインを作成し、それを自社のリンク短縮サービスで活用して販売しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この発見により、「Play」は、潜在的な被害者の数を増やすためにLinuxを標的とすることに利害関係を持つ攻撃者のリストが拡大する中、最新のランサムウェア攻撃グループとなりました。
PlayがProlific Pumaが提供するURL短縮サービスを活用しているという事実は、同グループの進化をさらに示唆するものです。 トレンドマイクロは、Prolific Pumaが「標的の選定において慎重であり、自社のサービスを受けるに値すると判断された個人やグループとの関与を好む」と指摘しており、これはProlific Pumaのような他の攻撃者たちも、Playランサムウェアの活動が高度である、あるいは「価値がある」と見なしていることを示唆しています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。