今週、CTIは、数千台のESXiサーバーを暗号化している、急速に拡大しているESXiArgsランサムウェア攻撃について詳しく分析します。 次に、かつては珍しい配布手法であったOneNoteファイルを介してマルウェアを配布する脅威アクターによる、増加傾向について見ていきます。 最後に、バイデン大統領が第2回一般教書演説で述べた、包括的な連邦データプライバシー法の制定が国にとって喫緊の課題であるという発言に焦点を当てた、より戦略的な視点に立った情報分析記事で締めくくります。
1. 「ESXiArgs」と呼ばれる大規模なランサムウェア攻撃が、世界中のVMware ESXiサーバーを標的にしています
フランスのCERT-FRが発表した速報によると、 の攻撃者たちは、VMware ESXiサーバー (新しいタブで開きます) を積極的に標的にしています。伝えられるところによると、彼らはパッチが適用されておらず、CVE-2021-21974 (新しいタブで開きます)（2年前に発見されたリモートコード実行の脆弱性）に対して脆弱なままのサーバーに焦点を当てており、比較的知られていない「ESXiArgs」ランサムウェアを用いた大規模な攻撃キャンペーンを展開しているとのことです。
本記事の執筆時点で、Censysのトラッキング（ （新しいタブで開きます））によると、侵害されたサーバー（カナダ、フランス、フィンランド、ドイツ、および米国に所在）の数は 3,200 台に達しており、その数は増加し続けています。 研究者らは、インターネット検索エンジンが提供するのはその時点のスナップショット、つまり特定の時点でのスキャン結果に過ぎず、またスキャンの合間に修復作業のためにデバイスが定期的にオフラインにされるため、被害者数は実際にはさらに多い可能性が高いと指摘しています。
新たな「ESXiArgs」ランサムウェア
Recorded Future社のブログ「TheRecord」に掲載された記事によると、このキャンペーンで使用されているランサムウェアは、「ESXiArgs」と呼ばれています。これは、このマルウェアが文書を暗号化した後、拡張子が.argsの追加ファイルを作成するためです。 このファイルには、被害者の文書を復号する方法に関する情報が含まれています。
このキャンペーンに関与したランサムウェアの亜種は、当初、ネバダ・ランサムウェア・ファミリーと関連があるように見えました。これは、フランスのクラウドホスティングプロバイダーであるOVHcloud （新しいタブで開きます）（同社の顧客の中には、このキャンペーンの影響を受けた被害者も含まれています）が公開したブログ記事で提唱された説です。 しかし、この仮説は結局、否定されました。 ESXiArgsとBabukランサムウェアの間にも類似点が指摘されています。両者とも同じ暗号化アルゴリズム（Sosemanuk）を使用しているからです。しかし、マルウェアのコード構造に違いが見られることから、この可能性についても疑問視されています。
Arctic Wolf (新しいタブで開きます) によると、身代金要求文の内容から判断して、この攻撃キャンペーンは単一の脅威アクターまたはグループによるものである可能性が高いとのことです。 この推測は、この攻撃キャンペーンが特定の標的を定めていないこと、被害者に対する事前の偵察が行われていない可能性が高いこと、そして攻撃者による身代金要求額が2ビットコインと比較的低額であることに起因しています。 また、各メモには同一のTox IDが割り当てられており、被害者はこれを使用して脅威アクターとやり取りを行います。 Tox IDは、メッセージングプラットフォーム「Tox Chat」内の連絡先リストに人を追加するために使用されます。
原因の特定はさておき、OVHcloudは、顧客のESXiArgsに関連するインシデントから、以下の挙動の特徴を導き出すことができました：
- この侵害ベクトルは、OpenSLPの脆弱性（おそらく CVE-2021-21974 番ですが、まだ確認中です）を利用していることが確認されています。 ログによると、ユーザー「dcui」が侵害の過程に関与していることが示されています。
- 暗号化には、マルウェアが /tmp/public.pem に配置した公開鍵が使用されます。
- この暗号化プロセスは、特に仮想マシンのファイル（.vmdk、.vmx、.vmxf、.vmsd、.vmsn、.vswp、.vmss、.nvram、および.vmem）を標的としています。
- このマルウェアは、VMXプロセスを強制終了させて仮想マシンをシャットダウンし、ファイルのロックを解除しようとします。 この機能は期待どおりに動作しない場合があり、その結果、ファイルがロックされたままになってしまうことがあります。
- このマルウェアは、暗号化されたバイナリに渡される引数（スキップするMB数、暗号化ブロックのMB数、ファイルサイズ）を保存するために「argsfile」というファイルを作成します。
- データの流出は発生しませんでした。
ID Ransomwareのマイケル・ギレスピー氏は、のESXiArgs暗号化ツールのコピーを分析したと報じられており、氏はBleepingComputerに対し、残念ながら、この暗号化ツールは堅牢に作られており、復号を可能にするような暗号化上の脆弱性は見当たらないと述べています。
繁殖
研究者らは、ESXiArgsが、CVE-2021-21974 (新しいタブで開きます) の脆弱性を悪用して拡散していると見ています。これは、OpenSLPサービスのヒープオーバーフロー問題に関連する2年前に発見されたセキュリティ上の欠陥であり、これにより、パッチが適用されていないESXiハイパーバイザーは、複雑度の低い攻撃において、認証されていない攻撃者からの攻撃に対して脆弱な状態となります。
ゼロデイ脆弱性は関与していません
2023年2月6日において、VMwareは管理者に対し、ESXiサーバーにパッチを適用し、OpenSLPサービスを無効にするよう促すアドバイザリを発表しました。同社は、攻撃者がESXiArgsランサムウェアを拡散させるためにゼロデイ脆弱性を悪用していたわけではないことを、特に強調して確認しました。
要するに、VMwareは、この大規模な攻撃キャンペーンが、実際には、インターネットに公開され、パッチが適用されていないESXiサーバーを標的としたランサムウェア攻撃者によるものであることを確認しました。 VMware によると、このサービスは デフォルトで無効化されており (新しいタブで開きます)ESXi バージョン 2021 以降でリリースされたソフトウェアでは、この設定が適用されています。
どのような影響が出ているのでしょうか？
VMWareは、ESXi (新しいタブで開きます) を、「基盤となるリソースへの直接アクセスと制御が可能なベアメタルハイパーバイザー」と説明しています。これにより、重要なファイルへのアクセスが可能となり、攻撃者はユーザーのリソースの広範囲にわたって機能に支障をきたすことが可能になります。
BleepingComputerの報道によると、 CVE-2021-21974 は以下のシステムに影響を及ぼすとのことです：
- ESXi バージョン 7.x（ ESXi70U1c-17325551 以前）
- ESXi バージョン 6.7.x（ ESXi670-202102401-SG 以前）
- ESXi バージョン 6.5.x（ ESXi650-202102101-SG 以前）
2021年2月に、 CVE-2021-21974 向けのパッチがリリースされました。 現在、政府機関やセキュリティ研究者は、ネットワーク管理者に対し、パッチが適用されていないサーバーについては直ちに更新を行うよう呼びかけています。
ESXiArgsランサムウェア攻撃の第2波；初期侵入経路に疑問の声
最新の状況によると、ESXiArgsランサムウェア攻撃の第2波と思われる動きが見られ、改変されたマルウェアが使用されており、より広範囲のデータが暗号化されています。その結果、対応担当者が暗号化されたVMware ESXi仮想マシンを復旧することは、不可能ではないにせよ、はるかに困難になっています。
サイバーセキュリティブログ「BleepingComputer」は、ある管理者が同ブログの「」EXSiArgs Supportフォーラムのトピック「」に投稿したことを受けて、第2波の攻撃について初めて知ったと報じています。
セキュリティの専門家たちは現在、このキャンペーンの初期感染経路が、実際にはパッチが適用されておらず、CVE-2021-21974 (新しいタブで開きます) に対する脆弱性を悪用したVMware ESXiサーバーであるという、広く受け入れられている主張の妥当性についても疑問を呈しています。
ESXiArgsの新バージョン
新しいランサムウェア亜種のサンプルを分析した結果、BleepingComputerの報道によると、ESXiArgの暗号化モジュール自体は変更されていなかったものの、暗号化ルーチン内のコードのうち、暗号化されるデータ量を決定する部分が改変されていたことが判明しました。これにより、実質的に暗号化モジュールは、 1MB のデータを暗号化してから1MB のデータをスキップするという動作を交互に繰り返すようになっていました。 つまり、 128MB を超えるすべてのファイルについては、データの50％が暗号化されることになり、事実上復元不可能となります。
また、これらの改変により、サイバーセキュリティ・インフラセキュリティ庁（CISA）が、および GitHub ページ （新しいタブで開きます） を通じて、最初の攻撃の波を受けて公開した復旧ツールでは、暗号化されたシステムを正常に復旧することができなくなります。これは、暗号化されたデータがあまりにも多すぎて、実用的な形で利用できなくなるためです。
さらに、身代金要求文にはもはやビットコインのアドレスが記載されていません。 これはおそらく、ESXiArgの運営者たちが、セキュリティ研究者による身代金支払いの追跡を阻止しようとした試みだったと思われます。
CVE-2021-21974 こそが真の犯人なのでしょうか？
Greynoiseのブログ （新しいタブで開きます）に掲載された最近の記事「」 によると、セキュリティ研究者たちが、ESXiArgsランサムウェアキャンペーンと CVE-2021-21974の悪用を結びつける結論を下したのは、少し時期尚早である可能性があります。
投稿より：
CVE-2021-21974 （新しいタブで開きます） と、このランサムウェア攻撃との関連性は、過大評価されている可能性があります。現時点では、初期の侵入経路が何であるかは不明であり、ESXiのOpenSLPサービスに関連する脆弱性のいずれかが原因である可能性もあります。
セキュリティコミュニティは、ある特定の脆弱性に注目しているようです。GreyNoiseとしては、 CVE-2021-21974 が初期アクセスベクトルとして妥当であると考えていますが、それを裏付ける第一当事者からの情報については把握しておりません。防御担当者の皆様には、引き続き警戒を怠らず、ベンダー（当社を含め）の言葉を鵜呑みにしないようお勧めいたします。
この主張を裏付ける事実として、複数の被害者が、自身の端末ではOpenSLPが無効にされていたにもかかわらず、それでも侵入され、データが暗号化されてしまったと主張しているとの報告があります。 とはいえ、依然として疑問が残ります。そもそも、セキュリティコミュニティは、ESXiArgsキャンペーンを特定のCVEに結びつけるという結論に、どのように至ったのでしょうか？
2022年10月 (新しいタブで開きます) ジュニパー・ネットワークスが公開したブログ記事では、ESXiのさまざまなバージョンに存在する複数のOpenSLPの脆弱性が悪用される可能性について紹介されました。 この投稿では、特定の脆弱性が実際の攻撃成功事例に起因するとは明言していませんでしたが、確認されたインシデントにおいて、攻撃成功後にインストールされたバックドアに関する詳細が記載されていました。
要約すると、ESXiの複数のバージョンにまたがって、さまざまなOpenSLPの脆弱性が確認されています。これには、CVE-2021-21974 （新しいタブで開きます）、 CVE-2020-3992、およびCVE-2019-5544 （新しいタブで開きます）などが含まれます。 これらのうちいくつかは、過去に悪意のあるバックドアをインストールするために悪用された可能性が極めて高いとみられ、Greynoiseの報告によると、また、 「ESXiArgsキャンペーンの初期アクセスベクトルとして、公式情報源から具体的に特定されたCVEは存在しません」とはいえ、セキュリティ研究者たちは、これらの事実自体が十分に説得力を持つという点で意見が一致しているようです。そのため、彼らは、謎のESXiArgsランサムウェアの初期アクセスベクトルとして CVE-2021-21974 を特定するという結論に至ったのです。
Censysが公開した、最近更新されたのESXiArgsに関する詳細な分析記事 (新しいタブで開きます) では、以下の点が指摘されており、OpenSLPが攻撃者の攻撃経路であったという説にさらなる疑問を投げかけています：
「昨日お伝えした通り、侵害された複数のホストでSLPが実行されていなかったことを踏まえると、OpenSLPは攻撃手法ではないようです。」
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「今回の新たな展開は、セキュリティの専門家やサイバー脅威インテリジェンスのアナリスト双方にとって、特にそのような主張が直接の証言や影響を受けたベンダーの情報に基づいていない場合には、性急な結論を下さないことの重要性を改めて浮き彫りにしています。」 そのようなことをしても、すでに深刻な状況に、恐怖や不確実性、疑念を煽るだけになってしまいます。 真実はいつだって、いずれ明るみに出るものです。 「たいていは、時間の問題に過ぎません。」
「新しいESXiArgsの亜種により、感染したシステムが事実上復旧不能になる可能性があるという事実は、外部にさらされているシステムや脆弱性のあるシステムを特定し、直ちにセキュリティ対策を講じることの重要性を浮き彫りにするものです。」 「 CVE-2021-21974 がこのキャンペーンの背後にいる攻撃者たちの侵入経路であるかどうかに関わらず、パッチが適用されていないESXi仮想マシンに2年前から存在するRCEの脆弱性が残っていることは、不必要なリスクです。」
2。 新たなQakNote攻撃が、Microsoft OneNoteファイルを通じてQBotマルウェアを拡散させています
ソフォスは、「QakNote」と呼ばれる新たな大規模な攻撃を確認しました。この攻撃では、Microsoft OneNoteファイルを通じて のQBotマルウェアが配布されています。 (新しいタブで開きます)
増加傾向：OneNoteファイルを利用したマルウェアの配布
セキュリティ企業は、.one形式のOneNoteファイルを介して配布されるマルウェアの増加を、以前から追跡してきました。 つい最近まで、この手口はサイバー犯罪者によってほとんど用いられていませんでした。 しかし、『 2023年1月』 において、Proofpointは、AsyncRAT、Redline、AgentTesla、Doublebackなど、さまざまなマルウェアペイロードを配信する 50 件以上のOneNoteキャンペーン (新しいタブで開きます) を確認しました。 特に注目すべきは、 2023年1月の最後で、初期アクセスブローカー「 TA577 」がOneNoteドキュメントを利用してQBotを配信している点です。
なぜ、OneNoteを利用してマルウェアを配布するキャンペーンが急増しているのでしょうか？ 明確な答えを提示するのは難しいですが、マイクロソフトがインターネット由来の文書においてマクロをデフォルトでブロックするという決定を下したため、攻撃者がOneNoteに標的を移していると見られています。 この決定により、脅威アクターたちは検知ソリューションを回避するために、さまざまなTTPを試行するようになりました。
QBotマルウェアの最新動向はどのようなものでしょうか？
QBot (新しいタブで開きます)（別名： ）QakBot （これこそが「QakNote」というキャンペーン名の由来です）は、かつてはバンキング型トロイの木馬として知られていましたが、同種のマルウェアの多くと同様に、その後、多面的な情報窃取型マルウェアへと進化し、長年にわたり活動し続けています。
QBotは機密データを盗み出します (新しいタブで開きます) そして、ネットワーク上の他のシステムへと自ら拡散しようとします。 QBotは「 」を進化させ、リモートコード実行（RCE）機能を提供するようになりました。これにより、脅威アクターは手動による攻撃を実行し、二次的な目的を達成することが可能になります。
ソフォスによる悪意のある.oneファイルに関する調査の結果、この脅威ベクトルを介してQBotマルウェアが拡散されていることが判明しました。 QBotは、1月下旬頃から攻撃に.one形式のドキュメントを利用し始めたようです。 調査対象となったあるキャンペーンでは、悪意のあるメールにリンクが含まれており、被害者に悪意のある.oneファイルをダウンロードするよう促していました。 このキャンペーンでは、メールの文面がやや無機質でした。
別の事例では、QBotでより一般的に見られる手口が確認されました。これは、既存の会話の途中に悪意のあるメールが挿入されるというものです。 このスレッドには、.oneファイルが添付ファイルとして直接含まれていました。
ユーザーが OneNote ドキュメントへのリンクをクリックした場合でも、添付ファイルを直接開いた場合でも、いずれの場合も「このドキュメントにはクラウド上の添付ファイルが含まれています。それらを受け取るには、『開く』をダブルクリックしてください」と記載された OneNote ページが表示されます。 文書内に埋め込まれた「開く」ボタンをクリックすると、.htaファイルが開きます。
「開く」ボタンをクリックすると、.hta ファイルが実行され、リモートサーバーから QBot のサンプルを取得して実行します。 .hta ファイルのスクリプトコードは、固定された URL を curl[.]exe アプリケーションに渡しており、同アプリケーションは相手側のファイルを取得します。 サーバー上で確認されたサンプルは、.png や .gif といった画像形式のファイル拡張子を持っていましたが、実際には DLL でした。 この事例では、QBotマルウェアのペイロードが、Windowsの支援技術マネージャーユーティリティであるAtBroker[.]exeに自身を注入しました。
一部の悪意のあるOneNoteノートブックにおいて、ある特徴的な点が確認されました。 ノートブック内のグラフィック要素を右クリックして保存すると、ダイアログボックスには、その画像が最初にドキュメントに埋め込まれた際に割り当てられたファイル名が自動的に入力されます。 この場合のファイル名は、
「bezymyanny risunok」でした。これはロシア語で「無名の絵」という意味です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「OneNoteのノートブックでは、攻撃者がVBSの添付ファイルからLNKファイルに至るまで、ほぼあらゆる種類のファイルを埋め込むことが可能です。」 OneNoteを利用する脅威アクターについて興味深い点は、ソーシャルエンジニアリングの手法が追加されていることです。 はい、被害者が OneNote のリンクや添付ファイルが含まれた「 」というフィッシングメール（ ）を受け取った時点で、すでにソーシャルエンジニアリングが働いていることになります。 しかし、ユーザーが OneNote のノートブックにアクセスし、何らかの行動喚起によって埋め込まれた添付ファイルをクリックするよう誘導された場合、さらなるソーシャルエンジニアリングの手口が働きます。」
3。 バイデン大統領の一般教書演説が明らかにしたように、データのプライバシー保護は不可欠です
ジョー・バイデン米大統領は、2回目の一般教書演説において、欧州連合（EU）の一般データ保護規則（GDPR）と同様の性質を持つ措置を、米国が早急に必要としていることについて、これまで以上に重点を置いて言及しました。
2018 年に制定されたEUの規制は、決して完璧なものではありませんが、 （新しいタブで開きます）、その存在自体が、包括的な連邦データプライバシー法が全く存在しない米国に対して、大きな影を落としています。 バイデン大統領は演説の中でかなりの時間を割き、米国のサイバーセキュリティ政策におけるこの不備に注意を喚起しました。
なぜ現在の政治情勢は、新たな規制の導入に適した時期にあると言えるのでしょうか
現在、米国議会は与野党が議席を分け合っている状況ですが、バイデン大統領は、こうした状況が、包括的な連邦データプライバシー法に対する超党派的な支持を得る上で、むしろ助けになる可能性があると指摘しました。
The concept of such a law or set of federal regulations has certainly gained traction and garnered its fair share of supporters in recent years — particularly in the wake of high-profile cyberattacks, including those targeting critical infrastructure, such as the ransomware attack on Colonial Pipeline (opens in a new tab) in May of 2021) and those federal or local government agencies.
新たな先例となるのでしょうか？
メディアの評論家やセキュリティ専門家の目から見れば、 バイデン大統領の一般教書演説 (新しいタブで開きます) において、連邦データプライバシー法の制定の可能性に言及されたこと自体が、「この問題は米国大統領や国民にとって真に懸念すべき課題である」という先例を打ち立てたものであり、WIRED誌もそのように指摘しています。
これまでの大統領たちは、これほど大規模で注目度の高い演説において、データプライバシーに関する言及を概して避けてきました。 過去2人の大統領のうち、この話題に触れたのは1人だけであり、それもたった1回だけでした。 バイデン大統領は、これまでの2回の一般教書演説の両方で、この問題を取り上げてきました。
2022年に行われた就任演説で、バイデン大統領は、子どもの保護や大手テクノロジー企業による個人データの収集防止という文脈において、データプライバシーについて言及しました。 今年の演説では、さらに一歩踏み込んだ内容となりました。
次のレベル
バイデン大統領は、あの「 2022 」演説で初めて提示した概念をさらに掘り下げ、現在米国が直面しているサイバー脅威についてより技術的な観点から詳細な見解を示すことで――意図的であるか否かは別として――、米国政府が、データプライバシーに対する国民の理解や、その保護体制を早急に強化しなければならないという緊急性を、非常に重視していることを示唆しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「米国には、依然として真に包括的かつ包摂的な連邦データプライバシー法およびそれに伴う規制の枠組みが欠けています。」 この件に関して、最悪のシナリオは、国のデータプライバシー法に関して、単に国家レベルの法的空白が引き続き続くということです。 「少なくとも、バイデン大統領の発言は、政権内の双方に対して、議員たちとの協議を前進させるのに十分な圧力をかけていると言えます。」
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
