今週のまとめでは、CTIが、サイバーセキュリティ研究者たちが「SharpRhino」と呼んでいる、これまで知られていなかったリモートアクセストロイの木馬（RAT）の発見について取り上げます。 続いて、CTIは、ランサムウェア集団がますます攻撃的になっている実態を詳述したソフォスのレポートを取り上げています。 最後に、CTIは、Google DrawingsやWhatsAppのリンクを利用して検知を回避しようとする新たなフィッシング攻撃について調査を行っています。
1. 「SharpRhino RAT」がIT管理者を脅かしています
Quorumサイバーインシデント対応チームは最近、これまで知られていなかったマルウェアを発見しました。同チームは現在、このマルウェアを「 SharpRhino（）」と呼んでいます。
この攻撃は、「ハンターズ・インターナショナル」という名前の攻撃主体によるものとされています。 このグループは、オープンソースの「Angry IP Scanner」ツールを装ったタイポスクワッティングドメインを利用して、被害者に「 」SharpRhino RAT（ ）を配信しています。
ハンターズ・インターナショナルとはどのような組織でしょうか？
Quorum Cyberによると、Hunters Internationalは、 2024のランサムウェアグループの中で活動度が10番目に高いグループです。 2023年に初めて確認されたこのグループは、すでに活動を停止したロシアを拠点とするランサムウェア組織「Hive」と関連があると考えられています。
Hunters Internationalは、多くの ランサムウェア・アズ・ア・サービス（RaaS） の運営と同様に、ファイルを暗号化し、被害者の環境からデータを盗み出すことで活動しています。 このグループの暗号化プログラムはRustで開発されており、非常に高度な機能を備えています。 ハンターズ・インターナショナルは、世界中のさまざまな業界にわたる組織をターゲットとしてきました。
SharpRhino RATの分析
最初のマルウェア――「 “ipscan-3.9.1-setup.exe」というファイル――は、自己解凍型アーカイブを備えたNullsoftインストーラーです。
- NSISインストーラー：被害者は、正規のAngryIPインストーラーをインストールしていると思い込んで、SharpRhinoをダウンロードしてしまいます。 インストーラーには、パスワードで保護されたアーカイブが含まれており、これらは組み込まれた 7za.exe および 7za.dll を使用して解凍されます。
- 永続化：このマルウェアは、レジストリのランキーを変更することで永続化を図ります。 このマルウェアは、正規のMicrosoft Visual Studio 2019に同梱されている「Microsoft.AnyKey.exe」へのショートカットをレジストリに追加します。
- 複数のインストール：インストーラーは、「 WindowsUpdater24 」と「LogUpdateWindows」を含む2つのディレクトリを作成します。 どちらのディレクトリにも、後で C2 通信に使用されるバイナリやファイルが含まれています。 1つではなく2つのディレクトリが作成されたのは、おそらく永続性を高めるためでしょう。
- 実行：このマルウェアのC#コードは、高度に難読化されています。 このソースコードは統合開発環境（IDE）に読み込まれ、実行されると、JSON形式のリクエストデータを含むHTTP POSTリクエストを送信します。 Quorum Cyberの調査によると、このマルウェアは「delay」や「exit」といった2つのハードコードされたコマンドに応答することが判明しました。 「delay」コマンドは、「マルウェアが次のコマンドを取得するために再度POSTリクエストを送信する前に、タイマーを再設定する」ものであり、「exit」コマンドは単にループを終了させるものです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ハンターズ・インターナショナルは重大な脅威であることが明らかになっており、 2024件のうちすでに 134 件の攻撃を引き起こしています。
このRaaSプロバイダーがこれほど成功している理由の一つは、SharpRhinoのような新機能を定期的にサービスに導入している点にあります。
この手口は技術的に高度なものではありませんが、非常に一般的になりつつあるため、ダウンロード先を探す際には、常に警戒心を持ち、慎重に行動するよう心がけてください。
2。 ランサムウェア集団が標的に対する圧力を強めています
のソフォスによるレポート『』によると、ランサムウェアグループは、被害者に支払いをさせるよう説得する際、ますます強引な手法を用いるようになっているとのことです。
ランサムウェア集団は現在、新旧の手法を組み合わせており、その手口には明らかな進化が見られます。 ソフォスは、これらの戦術を、法規制や訴訟、倫理、評判の毀損、恥をかかせる行為、機密データ、スワッティングなど、さまざまなカテゴリーに分類しています。
法規制と訴訟戦略
ソフォスは、ランサムウェア攻撃者が法律を悪用したり、クライアント、顧客、従業員といった二次的な被害者に訴訟を起こすよう働きかけたりして、被害を受けた組織への圧力を強めようとした事例をいくつか確認しています。 その一例として、 2023年11月 で発生したBlackCat事件が挙げられます。この事件では、攻撃者が被害者の1社に対し、同社が情報漏洩をSECに報告しなかったとして、SECに苦情を申し立てました。
もう一つの例は、モンティ・ランサムウェア集団に関するものでした。 この捜査では、被害を受けた組織の1つの従業員が不適切なコンテンツを検索していたとされ、それを裏付けるブラウザの閲覧履歴や、容疑者とされる人物のユーザー名が表示されたPowerShellウィンドウが提示されました。 そのランサムウェア集団はさらに、身代金が支払われなければ、そのユーザーを当局に通報すると述べました。
また、ランサムウェアの攻撃者たちは、情報漏洩事件で個人情報（PII）が流出した人々に対し、訴訟に参加するよう促しており、責任があると主張する特定の個人を名指ししています。
倫理、評判の失墜、および恥をかかせる戦術
こうした手口は、ランサムウェアの攻撃者が「倫理的である」と主張したり、ペネトレーションテスターを装ったり、あるいはセキュリティ監査を実施しているふりをしたりする場合によく見られます。 加害者側は、一般の人々がその組織を悪く見なし、自分たちを善意のある存在として捉えてくれることを期待して、被害者が「無責任」だったとか「不注意」だったと指摘することがよくあります。
ソフォスは、攻撃者が、侵害された組織の顧客やパートナーに接触すると脅し、さらなる圧力をかける事例を複数確認しました。 こうしたケースでは、当該当事者は、メディア、顧客、クライアント、あるいは規制当局など、複数の側面から圧力をかけました。
機密情報、スワッティングなど
ランサムウェアグループは、攻撃後に盗んだ情報を公開することがよくあります。 俳優たちは、精神健康に関する記録、子どもの診療記録、血液検査データなどを含む医療情報を公開しました。
極端な例を挙げると、Qiulongランサムウェアグループは、あるCEOの娘の身分証明書の画像を、彼女のInstagramプロフィールへの直接リンクとともに公開しました。 さらに最近では、 2024年1月 において、ある攻撃者ががん専門病院の患者に対して「SWAT」を仕掛けると脅迫しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ソフォスのレポートが示しているように、ランサムウェアの運営者たちは、その攻撃活動をますます攻撃的に展開しています。 また、ランサムウェア集団がいかに進化し、被害者を威嚇するために新旧の戦術を併用しているかも示しています。
電話やスワッティングといった新たな戦術の多くは、攻撃者がいかに「脅威をデジタル領域から現実世界へと持ち込もうとしているか」を明らかにしています。 こうした手口は、ランサムウェアの攻撃者が、被害者を脅かすために多角的なアプローチを用いることで、その手口がますます巧妙化していることを示しています。
3。 Google DrawingsやWhatsAppのリンクを利用した新たなフィッシング詐欺
Menlo Securityは、 のGoogle DrawingsやWhatsAppの短縮URL（ ）を利用して検知を回避する、新たなフィッシングキャンペーンを発見しました。
このキャンペーンでは、攻撃者は「 」というフィッシングメール（ ）を送信し、被害者にAmazonアカウント情報の確認を求めています。 また、Google Drawingsで公開されている図も含まれています。 この偽サイトは、最終的に被害者の認証情報、クレジットカード情報、その他の個人情報を収集します。
フィッシングメール
被害者は、不審なログイン活動があったとしてアカウントが停止されたと偽り、Amazonアカウントの確認を求めるフィッシングメールを受け取ります。
攻撃者は、被害者にアカウントの確認を行うために 24 時間の猶予を与え、その期間内に確認を行わない場合はアカウントが永久に停止されると告げることで、緊急性を煽ろうとします。
フィッシングサイト
ユーザーがアカウントの確認のためにボタンをクリックすると、正規のAmazonのログインページを模倣したフィッシングサイトに誘導されてしまいます。 そのリンクは、WhatsAppのURL短縮サービスを使って作成されたものです。 短縮URLには、動的QRコード用の別のURL短縮サービスのリンクも追加されています。
データの盗難
ユーザーがAmazonのログイン情報を入力すると、4つの異なるページへと誘導されます。それぞれのページは、ユーザーがアカウントのセキュリティを確保するための何らかの操作を行っているのだと、ユーザーに信じ込ませることを目的としています。
各ページを通じて、攻撃者はさまざまな情報を収集しています。 メンロ氏は、各ページを表示するたびに情報が送信されるため、被害者が4ページすべてを読み終える必要はなくとも、データが盗まれる可能性があると指摘しています。
そのプロセスの概要は以下の通りです：
- 「セキュリティチェックアップ」のページでは、被害者に、母親の旧姓、生年月日、電話番号などの情報の入力が求められます。
- その後、ユーザーは決済ページに遷移し、クレジットカード情報の入力が求められます。
- 4ページをすべて完了すると、元のフィッシングページにリダイレクトされます。
- メンロ社は、「認証情報が入力され、有効性が確認されると、そのIPアドレスからは当該ウェブページにアクセスできなくなる」ことを確認しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このフィッシング攻撃は、従来の攻撃に比べて、やや手口が洗練されています。 この攻撃者は、認証情報やクレジットカード情報を収集しようとするだけでなく、母親の旧姓といった一般的なセキュリティ質問の情報も収集しようとします。 この情報は、他の基本的な盗まれた情報と組み合わせることで、攻撃者が同様のセキュリティ質問を求められる他のアカウントにログインできるようになる可能性があります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
