今週のまとめでは、CTIが、Medusaランサムウェアの活動が最近活発化している状況と、同グループの最新の戦術について取り上げています。 続いて、CTIは、情報窃取型マルウェアがmacOSを標的とするケースが増加している状況について解説します。 最後に、CTIは、マルウェア「 Androxgh0st 」を展開する脅威アクターに関連する既知のIOCおよびTTPを周知するために発表された、連邦捜査局（FBI）とサイバーセキュリティ・インフラセキュリティ庁（CISA）による共同サイバーセキュリティ勧告の概要を紹介し、本稿を締めくくります。
1. 「メデューサ」ランサムウェアは恐喝へと方針を転換しました
パロアルト・ネットワークスの研究者らは、 の「Medusa」ランサムウェアの活動が活発化していることを発見しました。 （新しいタブで開きます） また、同グループの手口にも変化が見られます。
Medusaランサムウェアは、 のMedusaブログサイト （新しいタブで開きます） を活用して、恐喝へと軸足を移しつつあります。同グループは、このサイトを利用して盗んだデータを流出させています。 この攻撃における複数の身代金要求戦略により、被害者は「期限の延長」、「データの削除」、あるいは「盗まれたデータのすべてをダウンロードする」といった選択肢の中から選ぶことができますが、それぞれに異なる金額が設定されています。
ランサムウェア「メデューサ」を詳しく見てみましょう
Medusa RaaSプラットフォームは 2022 年の後半に登場しましたが、2023年の初めになるまであまり注目されませんでした。 このランサムウェアはWindowsデバイスを標的としており、脆弱性のあるサービスを悪用したり、正規のアカウントを乗っ取ったりする傾向があります。
このランサムウェアは、「リビング・オフ・ザ・ランド」の手法を活用し、ソフトウェアを悪用して通常のトラフィックに紛れ込ませています。 Medusaランサムウェアは、 2023 年に「Medusa Blog」を公開しました。これは、同グループが盗んだデータを流出させるために利用しているものです。
Medusaランサムウェアの被害者は、Medusaのブログにアクセスした際、いくつかの選択肢があります：
- 被害者は、ブログへのデータ掲載を防ぐために、1日分の延長につき10,000 ドルの標準料金を支払うことができます。
- また、データの削除を依頼したり、盗まれたデータのダウンロードや閲覧を依頼したりすることもできます。 これらのオプションには、多額の手数料がかかります。
このほどブログに投稿されたのは、攻撃を受けた組織のファイルを紹介する動画でした。 その動画には「メデューサ・メディア・チーム」というキャプションが付いており、研究者たちは、これが対外的なブランド戦略を担当する組織の一部門であると考えています。
このブログは、データ漏洩サイトであるだけでなく、盗まれたデータの動画を公開する場としても機能しているほか、TelegramやXへのリンクも掲載されています。Telegramのリンクは「情報サポート」を目的としているようです。 対照的に、Xのリンクは単に「Medusaランサムウェア」の検索結果ページに過ぎません。
メデューサの被害者学
メデューサ・ランサムウェアは、さまざまな業界を標的としており、特定の業界を特に狙っているようには見えません。 最も標的とされたセクターであるテクノロジー分野は、同グループによる 74 件の攻撃のうち、10 件未満を占めました。
このグループは、攻撃の地理的な対象地域に関して、より的を絞った活動を行っています。 メデューサは複数の国の組織を標的にしてきましたが、中でも米国が最大の標的でした。
ランサムウェアのバイナリ
また、Palo Alto社は、Medusaのバイナリに共通する特徴として、PEStudioのデバッグパスに「gaze」という用語が使用・含まれていることを発見しました。
このテーマから、彼らはこのランサムウェアのバイナリを「Gaze」と呼ぶようになりました。 このランサムウェアは、 11 通りの引数で実行可能であり、2023年に初めて出現して以来、更新が加えられています。 このランサムウェアはRSA非対称暗号化を使用しており、暗号化されたファイル名に「.medusa」を付加します。 これにより、拡張子が .dll、.exe、.lnk、および .medusa のファイルは暗号化の対象外となります。 身代金要求メッセージを表示した後、復旧や分析を妨げるために、システムから自動的に削除されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「メデューサ」ランサムウェアの攻撃は、ある意味で機会主義的であり、幅広い業界の組織を標的としています。 これは、多くのランサムウェア攻撃に共通する特徴です。
明らかなのは、ランサムウェアの運営が、Medusaブログやメディアチームの設置からも明らかなように、ますます本格的な組織のように機能し始めているということです。 ビジネスライクな体制とは別に、メデューサには洗練された悪用戦略や手法がいくつかあります。 そのため、ランサムウェアの脅威の中でも、その存在感は急速に高まりつつあります。
2。 情報窃取型マルウェアは、macOSのマルウェア対策機能を回避します
SentinelOneは最近、macOSに組み込まれたマルウェア対策システム「XProtect」を回避できる、 のアクティブなmacOS向け情報窃取型マルウェア3種を特定しました。 （新しいタブで開きます）
KeySteal
- KeyStealマルウェアは 2021 年に初めて報告され、それ以来進化を続けています。 2023年2月では、AppleはXProtectにKeyStealを検知するシグネチャを追加しました。 しかし、マルウェアの進化に伴い、このシグネチャでは現在のバージョンを検出できなくなってしまいました。
- KeyStealは当初、ReSignToolというmacOSの組み込みユーティリティ内に含まれる.pkgファイルとして配布されていました。 攻撃者は、正規のオープンソースアプリケーションのコードを改変し、キーチェーン情報を盗み出し、永続化コンポーネントを配置しました。
- 最新のKeyStealの亜種は、さらに変化を遂げています。 彼らはもはやReSignToolを使用しておらず、Mach-Oバイナリ内では「UnixProject」または「ChatGPT」として表示されるようになっています。
- 不明なのは、これらの新しい変異株がどのように広がっているかという点です。 最新の亜種は、XProtectでは検出されないだけでなく、VirusTotalでの検出率も低いのです。 SentinelOneは、初期バージョンと最新バージョンには1つの共通点があり、それは「 C2」という数値がハードコードされている点であると指摘しています。 このハードコードされた「 C2 」という値により、一部の静電気検出にはまだ可能性が残されていますが、おそらく長くは続かないでしょう。
アトミック・スティーラー
- 「Atomic Stealer」についてはこれまで何度か報告されており、現在も活動中です。 このmacOS向けマルウェアは何度か変更が加えられており、現在、実環境では多くの異なるバージョンが同時に確認されています。
- SentinelOne社は、現在XProtectでは検出されていないマルウェアの亜種を確認したと報告しており、その多くはVirusTotalでも検出率が低いとのことです。
- このマルウェアは、被害者、アナリスト、あるいはマルウェアのサンドボックスが、情報窃取型マルウェアと同時にターミナルを実行することを妨げます。 最近の亜種では、マルウェアの窃取ロジックを示す、平文でハードコードされたAppleScriptが使用されています。
- 攻撃者は通常、このマルウェアをトレントやソーシャルゲームプラットフォームを通じて拡散させます。
CherryPie
- CherryPieマルウェアが、XProtect v2176に追加されました。
- このマルウェアは、GaryStealer や JaskaGo としても知られており、macOS/Windows 向けの情報窃取型マルウェアですが、現在 VirusTotal での検出率は低い状況です。
- このマルウェアの一部のバージョンでは、正規のオープンソースプロジェクト「Wails」を利用して、悪意のあるコードをアプリバンドルに封入しています。
- SentinelOneが検知したサンプルの多くは、その場しのぎの署名で署名されており、Gatekeeperを無効にするためのコードが含まれています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
進化し続ける脅威の状況に対応するには、静的検出のみに頼っているだけでは不十分です。 マルウェアの静的検出は、まるで「モグラたたき」のような状況になりつつあり、必ずしも効果的とは限りません。
SentinelOneは、macOSのネイティブ機能に加え、「先を見越した脅威ハンティング、強化された検知ルール、そして進化し続ける戦術への理解が、セキュリティチームがmacOSプラットフォームを標的とする脅威に先手を打つのに役立つ」と指摘しています。
3。 FBIとCISAは、 Androxgh0st 種類のマルウェアに関する共同勧告を発表しました
連邦捜査局（FBI）とサイバーセキュリティ・インフラセキュリティ庁（CISA）は、マルウェア「 Androxgh0st 」を展開している脅威アクターに関連する既知のIOCおよびTTPを周知するため、共同のサイバーセキュリティ勧告を発表しました。
現在進行中の複数の調査により、 Androxgh0st 種類のマルウェアに関する詳細が明らかになりました。これには、脆弱性のあるネットワークをさらに特定し、侵害することができるボットネットを構築する能力も含まれています。
「 Androxgh0st」とは何ですか？
Androxgh0st は、AWSやMicrosoft Office 365などのアプリケーションの認証情報を含む.envファイルを探し出し、抽出するように設計されたPython製のマルウェアです。 このツールは、公開されている認証情報やAPIのスキャンや悪用、Webシェルの展開など、SMTPを悪用するための多くの機能を備えています。 フォーティネットでは、1日あたり 40,000 台以上のフォーティネット製デバイスに対して、Androxgh0st 件のマルウェア攻撃の試みが確認されています。
PHPUnitを対象とする
このマルウェアは、スクリプトを使用したり、スキャンを行ったり、特定の脆弱性を持つウェブサイトを探し出したりする傾向があります。 より具体的には、このマルウェアを展開している攻撃者は、PHPUnitを介して脆弱性のあるウェブサイト上でPHPをリモート実行するために、 CVE-2017-9841 を悪用しているようです。
このモジュールを使用しており、インターネットに公開されているフォルダやベンダーフォルダが存在するウェブサイトは、特定のURL宛てに送信される悪意のあるHTTP POSTリクエストによるリスクにさらされる可能性があります。 このページでは、POSTリクエストを介して送信されたPHPコードが実行されるため、攻撃者がリモートでコードを実行することが可能となります。
この攻撃者は、 Androxgh0st を利用して、ウェブサイトをホストしているシステムに追加の悪意のあるファイルをダウンロードします。 このアクセス権限を利用することで、彼らはURI経由でアクセス可能な偽のページを作成し、ウェブサイトへのバックドアを構築することができます。
Laravelフレームワークのターゲット
このマルウェアは、Laravel Webアプリケーションフレームワークを介してWebサイトをスキャンするためのボットネットを構築します。 このツールはLaravelを使用してウェブサイトを特定し、そのドメインのルートレベルにある.envファイルが公開されているかどうか、またそのファイルに認証情報が含まれているかどうかを判断します。
ファイルが公開されている場合、攻撃者はそのURLに対してGETリクエストを送信し、データへのアクセスを試みることが可能です。 また、このマルウェアは、ウェブサイト上のLaravelアプリケーションのアプリケーションキーにアクセスすることも可能です。 もし攻撃者がアプリケーションキーを特定できれば、そのキーを使用してPHPコードを暗号化し、そのコードをXSRFトークンの値として渡すことで、攻撃を試みることが可能になります。
Apache Webサーバーのターゲット設定
Androxgh0st を利用する脅威アクターが、CVE-2021-41773の脆弱性がある可能性のあるApache Webサーバーをスキャンしていることも確認されています。 攻撃者は、パストラバーサル攻撃を利用して、ルートディレクトリ外のファイルのURLを特定することができます。 これらのファイルは、保護されていない場合、リモートでのコード実行を許す可能性があります。 攻撃者がこれらの手法を通じていずれかのサービスの認証情報を不正に入手した場合、その認証情報を利用して機密データにアクセスしたり、その後の悪意のある行為を行ったりすることが可能となります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
最近、 Androxgh0st の活動が急増していることは、確かに憂慮すべき事態です。特に、AWSやOfficeなどが標的とされていることを考えると、なおさらです。
このマルウェアは 2022 年に初めて報告されましたが、最近になるまであまり注目されていなかったようです。 あまり活用されていなかったか、あるいは単に気づかれていなかった可能性があります。
いずれにせよ、この共同勧告では、 Androxgh0stに対する対策を講じる上で役立ついくつかの緩和策が詳述されています。 その報告書は一読の価値があります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ Taniumのディスカッションフォーラムにアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
