今週のまとめでは、CTIがトレンドマイクロのレポートを取り上げます。このレポートでは、法執行機関によるLockBitへの過去の摘発について解説しており、摘発当時開発中だったランサムウェアのバージョンに関する分析も含まれています。 続いて、CTIでは、ランサムウェア攻撃が及ぼす影響を評価した、ソフォスの最新のレポートについて取り上げます。 最後に、CTIでは、「Earth Freybug」として知られる脅威アクターの概要についてまとめます。このアクターは、「UNAPIMON」と呼ばれる新しいマルウェアを使用しています。
1. 法執行機関によるLockBitへの影響
トレンドマイクロは、法執行機関による のLockBitへの過去の摘発について調査した報告書を発表しました。この報告書には、摘発後もLockBitがどのように活動を継続していたかについての詳細も含まれています。 また、この報告書には、障害が発生した当時開発中だったLockBitランサムウェアのバージョンに関する分析も含まれています。
LockBitの摘発について
LockBit に関連するデータ漏洩サイトが、 2月19日 で 404 エラーメッセージを表示し始めました。 これは、LockBitのインフラを摘発することを目的とした法執行活動「オペレーション・クロノス」による成果でした。
トレンドマイクロがこのサイト上でこのエラーメッセージを確認してから1時間後、サイトは再びオンラインに戻り、法執行機関による管理下にあることを示す法執行機関のスプラッシュページが表示されました。 続いて、法執行機関は、LockBitの従来のページを模倣した形でサイトを更新しましたが、その中にはプレスリリース、起訴状、逮捕に関する内容も盛り込まれていました。
このページでは、法執行機関は、LockBitの首謀者とされる「LockBitSupp」についても言及し、そのアカウントが「Exploit」や「XSS」といったサイバー犯罪フォーラムから追放されていたことを指摘しました。 また、このページには、被害者に対して復号鍵が提供されるという発表も掲載されていました。
その後、法執行機関は管理パネルの詳細をリークし、アフィリエイトと被害者間のチャットにアクセスできたことを明らかにしました。これにより、被害者の特定に役立てることができました。 彼らは、さまざまなテスト用アカウントや管理者アカウントに加え、 193 件のアフィリエイトアカウントを特定することができました。
LockBit-NG-Devについて
トレンドマイクロは、LockBit-NG-Devのサンプルを入手し、分析を行いました。同社は、これが現在開発中のランサムウェアの別バージョンであると考えています。
トレンドマイクロによるこのバージョンの分析結果は、法執行機関によって押収されたリークサイト に公開された「 」でも確認されています。 このバージョンは、.NETで記述され、CoreRTを介してコンパイルされており、プラットフォームに依存しないという点で、これまでのLockBitの亜種とは異なっていました。
妨害攻撃後のLockBitの活動状況
この混乱を受けて、LockBitSuppは新たなオニオンサイトを開設する計画であると発表しました。 ある地下フォーラムで、このグループは「.gov」「.edu」「.org」のドメインを購入しようとしていることを明らかにし、政府機関を攻撃する意図を示しました。
新しいLockBitのリークサイトは期待できそうでしたが、LockBitSuppが依然として複数のフォーラムで禁止されている状況では、あまり盛り上がらないようでした。 この混乱の後、LockBitによる攻撃の実際の件数は明らかに減少しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
LockBitは、法執行機関による摘発を受けても活動を継続しようと試み、自サイトに古いデータを再掲載したり、ファイルツリーを改変して最近更新されたように見せかけたりするといった手段まで講じました。 複数の法執行機関によるこの連携した取り締まりが、LockBitが直ちに通常の運営に戻れないようにするための鍵となりました。
とはいえ、だからといってLockBitが二度と復活しないというわけではありません。 何しろ、捜査機関はサイバー犯罪者を完全に摘発できないことが多く、時には単に短期間だけその活動を妨害するにとどまることもあります。 また、脅威グループはしばしば名称を変更するという点も忘れてはなりません。つまり、LockBitの高度な技術を持つ開発者や関連グループは、今もなお活動している可能性があるということです。
2。 修正されていない脆弱性が、ランサムウェア攻撃の一因となっています
ソフォスが最近発表したレポートでは、ランサムウェア攻撃が に与える影響について検証しており（ ）、パッチが適用されていない脆弱性の悪用による攻撃は、認証情報の漏洩に起因する攻撃に比べて、より大きな影響を及ぼすことが明らかになりました。
本レポートでは、根本的な原因によって攻撃の結果がどのように異なる傾向にあるかを検証し、財務的影響、業務への影響、および全体的な深刻度を比較しています。
パッチが適用されていない脆弱性を悪用したランサムウェア攻撃
ソフォスの調査によると、ランサムウェア攻撃の約 32％は、パッチが適用されていない脆弱性の悪用から始まっていることが判明しました。
この数値は、個々のセクターごとにみると変化し、最も高い割合を示すセクター（エネルギー、石油・ガス、公益事業）では、ランサムウェア攻撃の 49％が脆弱性を悪用して発生しています。
また、ソフォスは、この割合が組織の規模に応じて高くなることも明らかにしました。これは、大規模な組織ほど攻撃対象となるサービスが多く、維持管理すべき技術も多くなるためです。
重症度の増加
前述の通り、ソフォスは、脆弱性の悪用によるランサムウェア攻撃の方が、特にバックアップの侵害、データの暗号化、身代金の支払いといった点において、より深刻であるとの調査結果を発表しました。
- バックアップを侵害しようとしたランサムウェア攻撃のうち、脆弱性の悪用から攻撃が始まったケースでは、認証情報の不正利用から始まったケースと比較して、75％が成功しました。
- 脆弱性の悪用から始まった攻撃の67％がデータの暗号化につながったのに対し、認証情報の漏洩から始まった攻撃では 43％がデータの暗号化につながりました。
- 脆弱性の悪用によって攻撃が始まった場合、被害を受けた組織の71％でデータが暗号化されましたが、認証情報の不正利用によって攻撃が始まった場合は、その割合はわずか 45％にとどまりました。
財務面および業務面での影響の拡大
環境内にパッチが適用されていない脆弱性が存在すると、組織がリスクにさらされる可能性があることは、驚くべきことではありません。 ソフォスは、脆弱性の悪用から始まるランサムウェア攻撃は、認証情報の漏洩から始まる攻撃よりも、金銭的および業務上の影響が大きいことを明らかにしました。
調査の結果、根本的な原因は身代金の総額には影響を与えなかったものの、その支払いの資金源には影響を及ぼしていたことが判明しました。 例えば、攻撃が脆弱性を悪用して始まった場合、 31％の組織が全額を自社負担で支払いましたが、攻撃が認証情報の漏洩をきっかけとして始まった場合は、その割合はわずか 2％にとどまりました。
運用面では、脆弱性の悪用から攻撃が始まった場合、攻撃を受けた組織の 45％が復旧までに1か月以上を要し、認証情報の不正取得から攻撃が始まった場合は 37％が1か月以上を要しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ソフォスは、パッチが適用されていない脆弱性を悪用したランサムウェア攻撃から身を守るための独自の推奨事項を提示していますが、結局のところ、重要なのはただ一つです。それは、 のパッチ管理です。。
パッチの適用、とりわけ適時なパッチの適用は、ランサムウェア攻撃やその他のサイバー攻撃のリスクを低減する上で極めて重要です。 すべてのランサムウェア攻撃が脆弱性を悪用して始まるわけではないため、あらゆる種類の不審な活動に対応できるよう、継続的な監視を行うことも同様に重要です。
ソフォスが指摘しているように、「技術だけではあらゆる攻撃を阻止することはできません」ため、熟練した防御担当者が不可欠です。
3。 Earth FreybugはUNAPIMONマルウェアを展開します
Earth Freybug （のサブセットである APT41）として知られるアクターが、UNAPIMONと呼ばれる新しいマルウェアを使用していることが確認されました。
このアクターは、スパイ活動を行うにあたり、「リビング・オフ・ザ・ランド」型のバイナリに加え、新しい 「UNAPIMON」（）のようなカスタムマルウェアを活用しています。 今回の攻撃キャンペーンにおいて、この攻撃者はDLLハイジャックやAPIアンフックといった手法を採用しました。
UNAPIMONの攻撃フロー
この攻撃は、vmtoolsd.exe というプロセスによって開始され、スケジュールされたタスクが作成されます。その後、そのタスクによって、リモートマシンに事前に配置されていたバッチファイルが実行されます。
この攻撃フローで使用されているプロセスは、VMwareおよびWindowsの正規のコンポーネントです。
偵察
スケジュールされたタスクがトリガーされると、以前に展開されたバッチファイルがリモートマシン上で実行されます。
このバッチファイルは、感染したシステムに関する情報を収集するためにいくつかのコマンドを実行し、その情報をテキストファイルに保存します。 その後、別のバッチファイルを実行してバックドアを起動するよう、別のスケジュールされたタスクが設定されます。
DLLのサイドローディング
2つ目のバッチファイルは、「SessionEnv」というサービスを利用して、存在しないライブラリを読み込み、悪意のあるDLLをサイドロードしています。 このプロセスの一環として、UNAPIMONマルウェアであると判定されたDLLが配置されます。
UNAPIMONマルウェアを詳しく見てみましょう
UNAPIMONは、パックも難読化もされていないため、かなり単純なDLL型マルウェアです。 このマルウェアには、子プロセスが監視されるのを防ぐためのいくつかの手法が採用されています。
読み込まれると、同期用のイベントオブジェクトが作成され、フックスレッドが開始されます。 これにより、Microsoft Detours を使用してフックがインストールされます。Microsoft Detours は、Microsoft が提供するオープンソースパッケージであり、Windows デバイス上の API 呼び出しを監視および計測するために使用されます。 これにより、DLLが読み込まれているプロセスからの呼び出しがフックへリダイレクトされます。したがって、その主な目的は、子プロセス内の重要なAPI関数のフックを解除することです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
この脅威アクターは長年にわたり活動しており、そのTTPを進化させる能力があるからこそ、成功し続けています。
今回の最新の攻撃が示すように、単純な手法であっても、攻撃者にとっては驚くほど効果的である一方で、防御側にとってはその検知がより困難になる場合があります。
多くの脅威アクターが、この「基本に立ち返る」という考え方を採用しています。これは、その有効性が実証されているためです。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。
