今週、CTIでは、TORネットワークに接続し、検知を回避する能力を持つ、金銭目的の脅威アクターによる現在進行中のキャンペーンについて検証します。 続いて、CTIでは、 の新たなランサムウェア・アズ・ア・サービス（RaaS） （新しいタブで開きます） グループ「Lynx」について取り上げます。このグループは現在、洗練されたアフィリエイトプログラムを展開しています。 最後に、CTIでは、Cisco Talosによる 2024年第4四半期の最新レポートの概要をご紹介します。
現在進行中の攻撃では、TorNetバックドアが使用されています
Cisco Talosは、 （新しいタブで開きます） という、 2024年7月 から活動している大規模なキャンペーンを発見しました。 このアクターは、既知のさまざまなペイロードに加え、TORネットワークに接続するための「TorNet」と呼ばれる、これまで報告されていなかったバックドアを配信します。
この攻撃者は、フィッシングを最初の攻撃ベクトルとして利用し、持続性を確保するためにスケジュールされたタスクを実行します。 さらに、この攻撃者は、マルウェアをドロップして実行する前にデバイスをネットワークから切断し、実行後に再び接続します。
このフィッシング攻撃は、どのように行われるのでしょうか？
この攻撃は、金融機関や製造・物流企業を装った「 」というフィッシングメール（ （新しいタブで開きます）、、 ）から始まります。 このメールは、偽の送金確認書や偽の注文領収書を使って、受信者を騙そうとしています。
これまでのところ、メールのほとんどはポーランド語とドイツ語で書かれており、攻撃者がこれらの国のユーザーを標的にしている可能性があることが示唆されています。 しかし、英語によるフィッシングメールもいくつか確認されています。
メールの添付ファイルには、 .tgz というファイル拡張子が付いており、これはGZIPで圧縮されていることを意味します。 受信者は、メールに添付されたファイルを開き、解凍した後、同梱されているローダーの実行ファイルを実行する必要があります。 このローダーは、システムメモリ上で動作する「PureCrypter」というマルウェアをダウンロードする役割を担っています。
このフィッシング攻撃では、PureCrypterマルウェアがどのように利用されているのでしょうか？
Cisco Talosは、圧縮された添付ファイルを分析した結果、そこに大容量の.NET実行ファイルが含まれていることを突き止めました。 この実行ファイルは、追加の実行ファイルをダウンロードしたり、組み込みのバイナリを読み込んだりするよう設定されています。 一部のサンプルは、PureCrypterマルウェアのバイナリをダウンロードし、任意のファイル名と異なるファイル拡張子で保存していました。 場合によっては、PureCrypterがローダーに直接組み込まれていたこともあります。
この「PureCrypter」マルウェアは、Eziriz .NET Reactor を使用して難読化された Windows ダイナミックリンクライブラリです。 これは、感染したデバイス上でミューテックスを作成し、現在割り当てられているDHCP IPアドレスを解放するコマンドを実行することを目的としています。 これにより、持続性を確立し、解析対策および検知回避のタスクを実行し、ペイロードをドロップして実行し、IPアドレスを更新するコマンドを実行します。 この手法はあまり一般的ではありませんが、検知を回避するために用いられている可能性が高いです。
TorNetバックドアとは何ですか？
Cisco Talosは、PureCrypterマルウェアが、TorNetと呼ばれるこれまで知られていなかったバックドアを配置する事例をいくつか確認しました。 このバックドアは、 C2 サーバーへの接続を確立し、感染したデバイスをTORネットワークに接続します。 また、マシンのメモリ内にある.NETアセンブリを取得して実行することもできます。
このマルウェアは、文字列を復号して、ポート番号、 C2 ドメイン、および16文字の文字列（5e7a81857a353068）を取得します。 PureCrypterと同様に、このプログラムも、デバッグ対策、マルウェア対策、仮想マシン対策、およびサンドボックス回避のためのいくつかのチェックを実行します。
Cisco Talosは、分析中に C2 からの応答を得ることができませんでした。 しかし、その応答が任意の.NETアセンブリコードになることが判明し、これにより攻撃対象領域がさらに拡大することになりました。 このバックドアは、「TOR Expert Bundle」をダウンロードし、解凍してバックグラウンドプロセスとして実行することで、感染したデバイスをTORネットワークに接続します。
Cisco Talosのブログには、TorNetに関する の技術的な詳細がさらに掲載されています。 （新しいタブで開きます）。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンで用いられている最も興味深い手法の一つは、被害者の端末のIPアドレスを解放してネットワークから切り離し、悪意のある活動を行った後、再びネットワークに接続し直すというものです。 これにより、攻撃者は検知を回避できる可能性があります。特に、特定の指標に限定された検知についてはなおさらです。
この手法は、 C2 サーバーへの通信を匿名化するTorNetの機能と相まって、攻撃者が検知を回避するために講じている追加の手順を明らかにしています。
Lynxランサムウェアグループは、高度なアフィリエイトプログラムを展開しています
Group-IBの研究者たちは最近、 （新しいタブで開きます） において、高度に組織化されたプラットフォームと洗練されたアフィリエイトプログラムを持つ、新たなランサムウェア・アズ・ア・サービス（RaaS）グループ「Lynx」に関する詳細を公開しました。
Group-IBのレポートは、Lynxに関する貴重な知見を提供しており、同グループの提携メンバー構成、内部のコミュニケーション、およびその戦術・手法・手順（TTPs）に関する詳細が含まれています。
[関連記事：CTIまとめ：ランサムウェア 2024 の振り返り＋アフィリエイト型ランサムウェアプログラムトップ5 ] (新しいタブで開きます)
Lynxのアフィリエイトパネルについて知っておくべきこと
Group-IBは、このグループへの潜入に成功し、そのアフィリエイトパネルへのアクセス権を獲得しました。 この調査により、このパネルには5つのセクションがあることが明らかになりました：
- 「ニュース」セクション（ ）は、さまざまな最新情報やお知らせの中心的な情報源であり、提携パートナーの皆様に新機能に関する情報を提供しています。
- このリークサイトの「企業」セクション（ ）は、アフィリエイトが被害者を管理するためのプラットフォームとして機能しています。 このセクションでは、アフィリエイトは被害者のプロフィールを作成し、固有のランサムウェアのサンプルを生成し、被害者ごとに専用のチャットを設定することができます。
- 「チャット」セクション（ ）では、アフィリエイトの方が作成済みのチャットにアクセスできます。
- 「Stuffers」セクション（ ）では、アフィリエイトの皆様が、共同プロジェクトにおいてサブアフィリエイトやチームメンバーを管理する方法をご提供しています。
- 「Leaks」セクション（ ）は、アフィリエイトが、攻撃に成功したものの、の身代金支払い（ （新しいタブで開きます） ）をまだ受け取っていない企業を掲載できる場所です。
Lynxランサムウェアに関する技術的な詳細
Lynxランサムウェアには、Windows版とLinux版の両方が存在します。 このLinuxの亜種は、現時点では実環境での確認例は報告されていません。
最新のWindows亜種と昨年確認されたものとの主な違いの一つは、新しい「モード」オプションが追加されたことであり、これにより攻撃者はファイルを暗号化する割合を選択できるようになっています。 これにより、攻撃者は速度と暗号化されるデータ量のトレードオフを把握することができるようになります。 この亜種は、データの暗号化を行い、デスクトップの壁紙を身代金要求メッセージに変更し、さらにはそれを印刷しようと試みます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Lynxランサムウェアグループは、高度な技術力と洗練されたプログラムを活用しています。 これは、ランサムウェアグループ、特にRaaS（Ransomware-as-a-Service）事業が、従来のサイバー犯罪組織というよりは、ますます企業のように運営されるようになってきていることを示す好例です。
また、このグループはローカルのプリンターを列挙し、接続されているプリンターに身代金要求メッセージを送信しようと試みる点も特筆すべきです。これは珍しいことです。
Group-IBは、報告書の締めくくりとして、「先を見据えた適応力のある防御戦略こそが、重要なデータを保護し、ビジネスの回復力を維持する唯一の方法である」と述べています。 この記述は、多くの脅威に当てはまります。
シスコ・タロスが「インシデント対応のトレンドに関するレポート Q4 」を発表しました
Cisco Talos released (opens in a new tab) its quarterly trends report for Q4 2024, covering key observations from incident response engagements (opens in a new tab) during this time.
特に注目すべきは、シスコ・タロスが、ウェブシェルの使用と、外部に公開されているアプリケーションに対する攻撃の両方で急増を確認したことです。
Webシェルの急増
Cisco Talosの調査によると、脅威アクターはインシデント対応の 35％においてWebシェルを展開しており、具体的には、 の脆弱性がある、あるいはパッチが適用されていないWebアプリケーションに対して、オープンソースおよび一般に公開されているWebシェルを使用していることが判明しました。 （新しいタブで開きます）。 これは、 2024年第3四半期の 10％から大幅に増加したものです。
ランサムウェアの動向
シスコ・タロスが第4四半期に扱った事案の約 30％は、ランサムウェア、ランサムウェアの初期段階、およびデータ窃取を伴う恐喝に関連するものでした。これは前四半期の 40％から減少しています。 また、Interlockのような新たなランサムウェアの攻撃者や、 、Black Basta （新しいタブで開きます）、、 、RansomHubといった、以前から確認されていたランサムウェアが混在していることも確認されました。
シスコ・タロスが調査したランサムウェア攻撃のほとんどにおいて、攻撃者の潜伏期間は 17 日から44 日の間でした。 Cisco Talosは、滞在時間が長いことは、「攻撃者がアクセス範囲を拡大しようとしている、防御を回避しようとしている、および／またはデータ窃取の対象となるデータを特定しようとしていることを示唆している可能性がある」と指摘しています。
また、Cisco Talosは、今四半期に発生したランサムウェア攻撃の全事例において、攻撃者がリモートアクセスツールを 100％の割合で利用していたと指摘しています。 この数値は、前四半期と比較して大幅な増加を示しています。前四半期においては、これらの案件のうち、リモートアクセスツールが確認されたのはわずか 13％にとどまっていました。
対象分野
2四半期連続で、 の教育セクター （新しいタブで開きます） が最大の標的となり、次いで金融サービス、医療、行政が続きました。
初回アクセス
シスコ・タロスは、1年以上ぶりに、初期アクセス手段のトップが、一般に公開されているアプリケーションの脆弱性を悪用するものであると特定しました。 彼らは、最初の関与を特定できたケースの約 40％で、この現象を確認しました。
ここ数四半期、有効なアカウントが初期侵入の主な手段となっています。 前四半期には、これが2位に下がりました。 12月以降、Cisco Talosでは、ユーザーをアカウントから締め出したり、VPNへのアクセスを拒否したりするパスワードスプレー攻撃が急増していることも確認されています。
[関連記事：パスワードのセキュリティに関する新しい考え方に、きっと驚かれることでしょう] (新しいタブで開きます)
多要素認証：最大のセキュリティ上の弱点
Cisco Talosによると、 の多要素認証（MFA） （新しいタブで開きます） が導入されていないことが、第4四半期のセキュリティ上の脆弱性の上位にランクインしました。 調査対象となった全案件のほぼ 40％において、MFAの設定ミスが認められたり、セキュリティが脆弱であったり、あるいはMFAが導入されていなかったりしました。 さらに、ランサムウェアの被害を受けた組織の 100％は、適切な多要素認証（MFA）が導入されていなかったか、あるいはソーシャルエンジニアリングによってその認証を迂回されていたことが判明しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
意外なことに、ランサムウェアによるインシデントが占める割合は、前四半期に比べてわずかに減少しました。 もちろん、これがランサムウェアがすぐに消え去ることを意味するわけではありませんが、脅威アクターの関心の向きの変化を示唆している可能性があります。
さらに、攻撃者は、脆弱性の悪用など、これまでにも用いられてきた手口に再び頼り始めているようです。 1年以上ぶりに、Cisco Talosは、一般に公開されているアプリケーションの悪用が、初期侵入の主な手法であることを特定しました。
このレポート『 』において、Cisco Talosは、多要素認証（MFA）の導入や定期的なパッチ適用など、観測された最も重大なセキュリティ上の脆弱性に対処するための推奨事項も提示しています。 （新しいタブで開きます）
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
