今週、CTIでは、サイバーセキュリティ・インフラセキュリティ庁（CISA）と連邦捜査局（FBI）が共同で発表したサイバーセキュリティ勧告「 2023年3月2日」を取り上げます。この勧告は、最新の「Royal」ランサムウェアの亜種が、さまざまな業界にもたらす脅威の高まりに焦点を当てたものです。 次に、チェック・ポイント社の最新の調査結果について詳しく見ていきます。この調査では、サイバースパイ活動グループ「Sharp Panda」に焦点を当て、同グループが最新のキャンペーンにおいて、バックドア／マルウェアフレームワーク「Soul」の新バージョンをどのように活用しているかを分析しています。 最後に、IceFireの新たに発見された亜種について見ていきます。IceFireは、これまでWindows環境に対してのみ展開されていたことが知られていた「ビッグゲームハンティング型」ランサムウェアの一種ですが、最近、Linux専用の亜種が出現しました。
1. FBIとCISAが「#StopRansomware：Royalランサムウェア」に関する共同サイバーセキュリティ勧告を発表しました
CISAとFBIが共同で発表した「 」サイバーセキュリティ勧告（ （新しいタブで開きます））によると、サイバー犯罪者が、独自のファイル暗号化プログラムを使用する「Royal」ランサムウェアの亜種を用いて、米国および国際的な組織を攻撃しているとの警告が発せられています。この亜種は、以前は「Zeon」をローダーとして使用していた以前のバージョンから進化したものです。 この現象は、およそ 2022年9月の頃から続いています。
主なポイントは以下の通りです：
- 被害者のネットワークへの侵入に成功した後、Royalの攻撃者はウイルス対策ソフトを無効化し、大量のデータを盗み出した上で、最終的にランサムウェアを展開し、標的となったシステムを暗号化します。
- Royal actors have made ransom demands ranging from approximately $1 million to $11 million USD in Bitcoin.
- 「ロイヤル」を名乗る犯人は、最初の身代金要求書に身代金の金額や支払い方法を含めません。 その代わりに、暗号化後に表示されるこのメッセージでは、被害者に、Torブラウザを通じてのみアクセス可能な「.onion」URLを介して、攻撃者と直接やり取りするよう求めています。
- 「ロイヤル」ランサムウェアの攻撃者たちは、製造業、通信、医療・公衆衛生（HPH）、教育など、数多くの重要インフラ分野を標的にしてきました。
王室の俳優たちはどのように人脈を築くのでしょうか
報道機関によると、ロイヤルグループの犯行グループは、以下のようないくつかの方法で被害者のネットワークへの初期アクセス権を取得しているとのことです。具体的には：
フィッシング： 全インシデントの 66.7％において、ロイヤルグループの攻撃者は、フィッシングメールを成功させることで、被害者のネットワークへの初期アクセス権を獲得しています。 被害者は、悪意のあるPDFファイルや広告を含むフィッシングメールを受け取った後、知らず知らずのうちに「Royal」ランサムウェアを配布するマルウェアをインストールしてしまいました。
リモートデスクトッププロトコル（RDP）：インシデントの 13％以上がRDPの侵害に関連しており、これはロイヤル系攻撃者による攻撃経路として2番目に多いものとなっています。
外部向けアプリケーション：FBIはまた、Royalの攻撃者が外部向けアプリケーションを悪用して初期アクセス権を取得している事例を確認しています。
のブローカー：ロイヤルアクターは、ステラーのログから仮想プライベートネットワーク（VPN）の認証情報を収集することで、ブローカーを利用して初期アクセスを獲得し、トラフィックを誘導する可能性があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「多くのランサムウェア集団や、金銭を目的とするその他のサイバー犯罪組織は、暗号化を基盤とした恐喝モデルから離れ、単純な恐喝攻撃へと移行し始めています。」
「この方法論の転換には、さまざまな要因が影響しています。」 例えば、ランサムウェアは目立ちやすく、検知されやすく、複雑ですが、その一方で、交渉は長期化し、長引くことがあり、多くの場合、支払いがなされないか、支払額が大幅に減額される結果となります。 「この状況は、連邦規制やサイバー保険会社の保険契約条件の変更によってさらに悪化しています。」
「とはいえ、ロイヤル・ランサムウェアの活動に関する今回の共同勧告は、従来のランサムウェアの脅威が依然として数多く存在していることを改めて認識させるものです。とはいえ、検出を回避するために正規のツールを利用したり、新しい「 C2 」フレームワークを採用したりするなど、新たな手法やTTP（戦術・技術・手順）を取り入れる事例がますます増えています。」 また、彼らは、QBot（ ）などの非常に成功しているマルウェアファミリー（ ）との提携を活用し、初期アクセスの支援から既製の通信（C2）インフラの利用に至るまで、さまざまな目的で活用しています。 「Royalはこれらの手法のほぼすべてを活用しているため、重大な脅威と見なすべきです。」
2。 「Sharp Panda」APTが、通信遮断機能を備えた新しいマルウェアの亜種を使用しています
チェック・ポイントによると、 「Sharp Panda」サイバー諜報グループ （新しいタブで開きます） は、最新のキャンペーンにおいて、同グループのマルウェアフレームワーク「Soul」の新バージョンを使用しているとのことです。
「Soul」バックドアには通信停止機能が搭載されており、攻撃者は、バックドアが のコマンド＆コントロールサーバー（）と通信してはならない週内の時間帯を指定することができます。
シャープ・パンダとは誰ですか？
2021年の初頭、チェック・ポイントは、「Sharp Panda」と呼ばれるグループによる の監視活動 （新しいタブで開きます） を明らかにしました。 このキャンペーンは、東南アジアの政府機関を標的とし、スピアフィッシングメールを利用して標的に対する初期アクセス権を取得しました。 これらの標的型フィッシングメール（） には、政府を題材にした誘い文句が記載されたWord文書が添付されていました。 このキャンペーンでは、リモートテンプレートを利用して、悪名高い「RoyalRoad」キットを含む悪意のあるRTF文書をダウンロードし、実行しました。
ネットワークへのアクセス権を取得した後、このマルウェアは、カスタムDLLダウンローダーや、最終的なバックドアを配信するための第2段階ローダーなど、一連のインメモリローダーを起動させました。 このキャンペーンにおける最後のペイロードは、VictoryDLLでした。これは、リモートアクセスやデータ収集を可能にするカスタムマルウェアです。
シャープ・パンダの最新キャンペーン
「Sharp Panda」に関するさらなる調査の結果、前述の感染経路と同じものを用いた複数のキャンペーンが明らかになりました。 しかし、Sharp Pandaの最新のキャンペーンでは、 のSoulSearcherローダーの新バージョン（ （新しいタブで開きます））が利用されており、このローダーは、 のSoulモジュラー型バックドア（ （新しいタブで開きます））の他のモジュールをダウンロード、復号化し、メモリに読み込むことが可能です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「Soulフレームワークが単一の脅威アクターによって悪用されているかどうかは確認されていませんが、初期の帰属分析では、このフレームワークが中国と何らかのつながりを持つ脅威アクターに関連付けられているようです。」 中国のAPTグループ間でのカスタムツールやTTPの共有は極めて一般的であり、そのため、犯行の帰属特定――つまり、こうした種類の攻撃キャンペーンを特定の脅威アクターに結びつけるという実際の作業――は特に困難となっています。 また、Soulフレームワークはすでに数年にわたり利用されており、絶えず更新・改良が重ねられているため、研究者がその動向についていくのがますます難しくなっているという点も注目に値します。」
3。 IceFireランサムウェアは、IBM Aspera Faspexの脆弱性を悪用して、Linuxを基盤とする企業ネットワークを攻撃しています
SentinelLabsの新しいレポートによると、同社の研究者は、IceFireと呼ばれる既知のランサムウェアの新たなLinux版 （新しいタブで開きます） が、トルコ、イラン、パキスタン、アラブ首長国連邦など、従来はランサムウェア集団の標的としてあまり知られていなかった地域のメディア・エンターテインメント企業に対して展開されているのを確認したとのことです。
SentinelLabsのレポートが公開される前は、IceFireはのWindowsを標的とした攻撃との関連しか指摘されていませんでした。 （新しいタブで開きます）。 IceFireは、 2022年3月にMalwareHunterTeamによって初めて確認されたと報じられています。 しかし、 2022年8月 (新しいタブで開きます) といったサイトを通じて、ダークウェブ上の情報流出サイトによって被害者が公表されるようになったのは、その時点になってからでした。
SentinelLabsは、IceFireの手口について、「ビッグゲームハンティング（BGH）」の手法を用いるランサムウェア集団のそれと同様であると説明しています。 つまり、この戦術には、二重恐喝、大企業を標的とすること、複数の持続化メカニズムの活用、そしてログファイルの削除による防御・分析回避への重点的な取り組みが含まれています。
これまでの報告では、IceFireによる攻撃の対象はテクノロジー分野とされていますが、このランサムウェアの最近のLinuxを標的とした活動は、これまでのところ主にエンターテインメントおよびメディア分野に限定されています。
IceFireのWindows向け亜種
IceFireのWindows向け亜種は、フィッシングメッセージ を通じて配信されています。 （新しいタブで開きます）。 脅威アクターは、ポストエクスプロイテーション・フレームワークを用いてピボッティングも行います。
研究者らから「多角的な恐喝の脅威」と特徴づけられているIceFireの運営者は、デバイスを暗号化する前に、標的環境から関心のあるデータをすべて盗み出しています。 これが完了すると、被害者は恐喝され、データ漏洩を防ぐため、そしてできれば復号鍵を入手するために、身代金の支払いを強要されます。
IceFire Linuxの派生版について
SentinelLabsによると、研究者たちは、IceFireの新たなLinux向け亜種が2023年2月の中旬に展開されているのを初めて確認しました。 この侵入攻撃は、IBM Aspera Faspex ファイル共有ソフトウェア（CVE-2022-47986 （新しいタブで開きます）、CVSS スコア： 9.8）に存在する、最近公表された（かつ修正済みの）デシリアライゼーションの脆弱性を悪用したものです。
TheHackerNewsより：
「Linuxを標的とするランサムウェア『』のバイナリファイル (新しいタブで開きます) は、 2.18 MB の 64 ビット ELF ファイルであり、脆弱性のあるバージョンの IBM Aspera Faspex ファイルサーバーソフトウェアを実行している CentOS ホストにインストールされます。」
また、このLinuxの亜種は、被害を受けたマシンが正常に動作し続けるために必要不可欠なパスを暗号化しないようにすることも可能です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「IceFireは、攻撃手段を多様化し、複数のオペレーティングシステム向けに特化した亜種を開発している、増え続けるランサムウェアファミリーの最新のものとなります。」 「Linuxを標的としたランサムウェアの攻撃は、ここ数年で大幅に増加しており、 2023 年以降もこの傾向は続くでしょう。」
SentinelLabsより：
において、その 基礎 が （新しいタブで開きます） 2021年に築かれた一方で、 2022 年には著名なグループがLinux向け暗号化ツールをその武器庫に加え、BlackBasta、 Hive （新しいタブで開きます）、 などが登場したことで、Linuxランサムウェアの動向は加速しました。 Qilin （新しいタブで開きます）、Vice Society（別名 HelloKitty） （新しいタブで開きます）、その他。
「多くのLinuxシステムはサーバーであるため、フィッシングやドライブバイダウンロードといった典型的な感染経路は、その効果が薄れてしまいます。 したがって、この困難な状況を打開するため、攻撃者は、アプリケーションに見つかった脆弱性を悪用してペイロードを展開する手段に目を向けています。今回のケースでは、IBM Asperaの脆弱性がその対象となっています。」
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
