今週のまとめのトップは、悪名高いマルウェア「Raccoon Stealer」の開発者たちについて、そして彼らがハッカーフォーラムから離れていた期間に終止符を打ったことについてご紹介します。 続いて、CTIでは、マンディアントが追跡した、脅威アクターによるAI機能への関心について取り上げます。 最後に、CTIは2か月の休止期間を経て、モンティ・ランサムウェアの活動に関する詳細な分析をまとめました。
1. マルウェア「Raccoon Stealer」が再び出現しました
悪名高い「 Raccoon Stealer」マルウェア （新しいタブで開きます） の開発者たちが、ハッカーフォーラムでの活動を再開し、新バージョンの宣伝を再開しました。 この発見は、同グループの主要なオペレーターの一人が、「 」という名前の「Raccoon」マルウェア・アズ・ア・サービス（MaaS） （新しいタブで開きます） に関与したとして逮捕されてから数か月後のことです。
Racoon Stealer：概要
「Raccoon Stealer」は 2019年に初めて確認され、当時、さまざまなサイバー犯罪フォーラムで情報窃取ツールとして宣伝されていました。 このマルウェアは、多くの高度な機能を省き、情報の窃取に重点を置いていたため、そのシンプルさから広く普及しました。
Raccoonによるインシデントは、マルウェアを含むスパム（malspam）キャンペーンの一環として、悪意のある添付ファイルが送信されることから始まることがよくあります。 このマルウェアは、サードパーティ製のエクスプロイトキットや他のマルウェアファミリーを介して拡散することもあります。
『 2022年10月』において、Raccoon Stealerの主要なオペレーターの一人で、作戦のインフラ構築を担当していた人物が逮捕されました。 FBIは、このマルウェアに感染した複数のコンピューターから、盗まれたデータを回収することに成功しました。 この逮捕により、その活動は一時的に中断されましたが、つい先日、Raccoonがハッキングフォーラムの投稿で活動再開を発表しました。
Raccoonの新機能
- クッキーやパスのクイック検索： 新しい管理パネルでは、URLを簡単に検索できるようになりました。 この機能により、大規模なデータセット内でも、特定のリンクを迅速かつ簡単に見つけることができます。たとえ数百万件の文書や数千もの異なるリンクを扱う場合でも、同様です。 クイック検索機能の追加は、このマルウェアにとって大きな進歩であり、脅威アクターに新たなレベルの利便性をもたらしています。
- ボットの自動ブロックとパネル表示： この情報窃取型マルウェアには、同一のIPアドレスまたはIPアドレス範囲からの複数回のアクセスなど、異常な活動パターンを検出するための新しいシステムが搭載されています。 この不審な動作により、その活動に関連する記録が自動的に削除されるため、自動化 やボットを活用した のセキュリティツールが、このマルウェアを検知することが難しくなります。
- 報告システム： このバージョンでは、クローラーやボットが使用するIPアドレスをブロックし、Raccoonのトラフィックを監視できないようにする報告システムが追加されました。
- ログ統計： ログ統計により、情報窃取ツールを購入した攻撃者は、ログ数に基づく上位の国を確認することができます。
その他の所見
動作と機能
「Raccoon Stealer」は、さまざまなアプリケーションを標的とし、特定の技術を用いてデータを盗み出します。 このプログラムは、機密データを含むアプリケーションファイルを抽出し、それを一時フォルダにコピーした上で、盗み出したデータを含むテキストファイルをアプリケーションのフォルダ内に作成・書き込みます。
アプリケーションから認証情報を取得して復号化するため、当該アプリケーションに関連するDLLを取得・ダウンロードします。 盗み出されたデータは、log.zip ファイルにまとめられた後、脅威アクターのコマンド＆コントロール（C2）サーバーに送信されます。
コントロールパネル
Raccoonの加入者は、Torのオニオンサービス上にある一元管理パネルも利用できます。 このパネルを使用することで、キャンペーンの設定を作成・管理したり、Raccoonマルウェアのペイロードを構築したり、盗まれたデータを閲覧したりすることができます。 英語とロシア語で利用可能で、ユーザー名とパスワードを入力してアクセスします。これらの情報は、おそらく登録時に受け取るものと思われます。
コントロールパネルでは、認証なしでアクセス可能なJavaScriptリソースを活用しています。 これにより、研究者たちは現在の機能の一部を特定することができました。 また、利用規約やよくある質問（FAQ）に関するテキストも表示されます。 公開されていたJavaScriptリソースからは、Raccoonの管理者が利用できる以下のメニューオプションが明らかになりました：すべてのログ、統計、ニュース、プロキシ、およびユーザーです。
統計パネル
統計パネルでは、現在進行中の「Raccoon Stealer」キャンペーンの概要を確認できます。 「アカウント」セクションには、おそらく定期購読料金に関連する現在の残高が表示されます。 また、MFAの設定オプションやパスワード再設定機能についても表示されています。
ビルド／設定
FAQの記載によると、加入者は単一のビルドを生成できますが、複数の構成もサポートされており、キャンペーン中盤の「 C2 」から更新・ダウンロードが可能です。
構成を定義・選択した後、ビルドプロセスを通じて、脅威アクターはペイロードを配信・実行するためのDLLや実行ファイルを作成できるようになります。 新しいRaccoon MaaSでは、新しく構築されたペイロードを、Raccoonの運用担当者が管理する仮想マシン（VM）上でテストすることも可能です。 このテストでは、コントロールパネルを通じて加入者に通知が送信され、実行が成功したことおよび C2との通信が確立されたことがお知らせされます。
ペイロード
現在、多くの攻撃者が、マルスパムキャンペーンにおいて、悪意のあるドキュメントの添付ファイルを利用してRacoonのペイロードを配信しています。
各ペイロードは、一見無害または正当に見えるURLとの通信を試み、その過程で暗号化された文字列を収集・処理し、真の C2 URLを取得しようとします。 現在、TelegramのURL短縮サービスを提供しているウェブサイトと連携しています。
「Raccoon Stealer」は、多くのウェブブラウザや仮想通貨ウォレットから、認証情報、クッキー、および決済カード情報を盗み出します。 データの盗難に加え、このマルウェアは、OSのビルドバージョン、ハードウェア、インストール済みのアプリなどの詳細を含むシステム情報を収集します。 このデータを C2 ゲートサーバーにアップロードするために、データ流出用のZIPアーカイブが使用されます。
追加のペイロード
Raccoon Stealerがデータの持ち出しを完了すると、脅威アクターは追加のペイロードのダウンロードや実行を開始することができます。 これらのペイロードは、脅威アクターの最終目的によって異なります。 最近の観察例としては、リモートアクセスを維持するための追加のマルウェアの展開や、クリプトジャッキング用のペイロードの展開などが挙げられます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「悪名高いマルウェア『Raccoon Stealer』の最新版からは、その運営者たちの手口がいかに洗練されてきているかがうかがえます。」 また、FBIの関与や逮捕だけでは、脅威の主体やマルウェアの運営者を摘発するには必ずしも十分ではないことも示しています。」
「脅威アクターが『Raccoon』のビルドを実行・テストするためのVM環境が追加された点は、かなり斬新であり、この情報窃取型マルウェアの魅力をさらに高めることになるでしょう。」
2。 関心が高まっているにもかかわらず、生成AIの利用は依然として限定的です
ここ数年、マンディアントは、 の脅威アクターによるAI機能への関心を監視してきました。 （新しいタブで開きます）。 彼らの観察によると、攻撃におけるAIの活用は依然として限定的であり、主にソーシャルエンジニアリングに関連しているとのことです。
とはいえ、AIはすでに実戦の場で積極的に活用されており、現在、オペレーション担当者はキャンペーンにおいてAIが生成したコンテンツを活用しています。
情報作戦における生成AIの活用
マンディアント社によると、AI技術は、脅威アクターの能力を大幅に強化する可能性があるとのことです。
これは、生成AIによって、アマチュアの脅威アクターが言語の壁を取り除きつつ、より高品質なコンテンツを大規模に作成できるようになるためです。 AIが生成したコンテンツは、より説得力がある可能性もあります。 その一例として、音声偽造のために実在する個人の声を用いて学習されたAIモデルが挙げられます。
業務従事者によるAIの導入
AIの導入状況は、メディアの形態によって異なるものと思われます。 これは、制作ツールの利用可能性と、それぞれのメディア形式が感情的な反応を引き出す効果の高さによるものです。
- AI生成画像： マンディアント社は、AI生成画像を活用した作戦の事例をいくつか特定しました。 AI生成画像を作成するツールが一般に利用可能になったことが、その頻繁な利用の一因となっていると考えられます。 攻撃者は、フィルターを追加したり顔の特徴をレタッチしたりすることで、プロフィール写真がAIによって生成されたものであることを隠蔽するために、さらなる対策を講じています。
- AI生成動画： 現在、一般に利用可能なAI動画技術には、カスタマイズ可能なAI生成アバターが音声認識によるテキストを読み上げる動画テンプレートや、顔入れ替えサービスなどの動画加工ツールが含まれています。 マンディアント社は、近年の攻撃キャンペーンにおいて、これらの技術を確認しています。 例えば、脅威アクターのDragonbridgeは、以前、あるキャンペーンでAIが生成したプレゼンターを使用していました。
- AI生成テキスト： マンディアントは、情報作戦を行う主体がAI生成テキストを参照した事例を1件のみ確認しています。 しかし、マンディアント社は、最近一般に公開されたツールの登場により、その利用が急速に広がる可能性があると見込んでいます。
- AI生成音声： Mandiantの調査によると、AI生成音声の利用はほとんど、あるいは全く見られません。 彼らは、「 4chan」のような技術のユーザーが、公人が不適切な発言をしている音声トラックを作成している様子を観察しました。
ルアーの素材の改良
脅威アクターは、大規模言語モデル（LLM） を利用して、標的の言語を理解していなくても、特定の対象層に合わせたより説得力のあるコンテンツを生成することができます。 LLMを活用することで、攻撃者は のフィッシングキャンペーンにおいて効果的なテキスト出力を作成できるようになります。。
また、マンディアント社は、金銭的な動機を持つ攻撃者が、ビジネスメール詐欺（BEC）において、改ざんされた動画や音声コンテンツを利用しているという証拠を確認しています。 また、攻撃者が被害者の家族になりすまし、感情的な反応を引き出そうとする、AI生成音声を用いたなりすまし詐欺の事例も報告されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「最近、AIが脅威の状況にどのような影響を与えるか、また、AIが脅威アクターの活動をどのように助長し得るかについて、多くの議論がなされています。」 マンディアント社は、この問題が引き起こしうる恐ろしい事態のいくつかを的確に概説している一方で、これまでのところ実環境での利用は限定的であるという点に触れることで、わずかながらも安心感を与えてくれています。」
「脅威アクターが新しい技術に対応するためにTTPを絶えず進化させていることは周知の事実であるため、多くの研究者が、今後、攻撃キャンペーンにおけるAIの利用が増加すると予測しているのも不思議ではありません。」
3。 Montiランサムウェアは、新しいLinuxロック型ランサムウェアを用いて、VMware ESXiサーバーを標的にしています。
ランサムウェア「モンティ」の運営グループ（ （新しいタブで開きます）、、 ）は、データ漏洩サイトでの被害者情報の掲載を2か月間中断していましたが、活動を再開しました。
Montiランサムウェアは現在、VMware ESXiサーバーを標的とするために、新しいLinux用ロックアを悪用しています。 以前の「Locker」は、Contiから流出したコードを大いに参考にしていたものですが、の研究者たちは、 （新しいタブで開きます） この新しい亜種が、Linuxベースの以前のバージョンとは大きく異なる点があることを突き止めました。
Montiランサムウェアについて
Montiランサムウェア（ ）には、Windows版とLinux版のバリエーションがあり、Contiランサムウェアと類似していることから、2022年6月 で初めて注目を集めるようになりました。 この攻撃では、Contiグループの流出したソースコードの多くが利用されたほか、同グループの広く知られたTTP（戦術・技術・手順）の多くも活用されています。
モンティ・ランサムウェアグループは、データ漏洩サイトでの被害者の情報公開を2か月間中断していたようですが、その後、法務・政府部門の被害者を標的とした活動を再開したようです。 彼らの復帰に伴い、Linuxベースの新たな「モンティ」の亜種が登場しました。
以前のMonti Linuxの亜種は、主にContiのソースコードに基づいていましたが、この新バージョンでは、動作にいくつかの違いがある別の暗号化アルゴリズムが採用されています。 この発見当時、VirusTotal上でこの亜種を悪意のあるものとしてタグ付けしていたベンダーは3社のみでした。 トレンドマイクロはこの亜種を、以前のモンティ・リナックス亜種と比較したところ、類似率が 29％であることが判明し、いくつかの変更が加えられたに違いないことが示されました。
感染マーカー
この亜種に新たに追加された点は、バイト列「MONTI」の後に、暗号化キーに関連付けられたさらに 256 バイトのデータを付加する点です。 このランサムウェアは、ファイルサイズが 261 バイト以下であるかどうかを確認します。これは、暗号化後にファイルに追加される感染マーカーのサイズに相当します。
もしこれが事実であれば、ランサムウェアは感染プロセスを続行します。 これが当てはまらない場合、Montiはファイルの最後の 261 バイトを確認し、MONTIという文字列が存在するかどうかを検証します。 すでに暗号化されている場合、そのファイルは処理対象から除外されます。
暗号化
トレンドマイクロの調査によると、この新しいランサムウェアの亜種は、OpenSSLライブラリのevp_encを使用して AES-256-CTR の暗号化方式を採用していたことが判明しました。一方、旧亜種ではSalsa20 が使用されていました。 この新しいサンプルも、ファイルに対してさまざまな暗号化手法を採用しており、暗号化処理においてはファイルサイズのみを基準としています。
このランサムウェアは、ファイルの最初の 100,000 バイトのみを暗号化します。ファイルのサイズが1.048MB より大きく、4.19MBより小さい場合は、ファイルの末尾に感染マーカーを追加します。 ファイルがこのサイズを超える場合、右シフト演算を用いて、暗号化対象となるファイルの合計サイズを算出します。 サイズが 1.048MB 未満のファイルはすべて暗号化されます。
以前の亜種と同様、すべてのファイル名には「.monti」という拡張子が付加されています。 身代金要求メッセージである「readme.txt」も、すべてのディレクトリに配置されます。 さらに、トレンドマイクロは、攻撃者がその機能をテストしている可能性を示唆する復号コードを確認しました。 しかし、この復号コードは、作成者だけが知っている秘密鍵を必要とするため、効果がないことが判明しました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「モンティ・ランサムウェアは、攻撃件数が比較的少ないため、ニュースで大きく取り上げられることはほとんどありませんでしたが、だからといって、脅威として無視してよいというわけではありません。」
この攻撃の背後にいる攻撃者たちは、現在、流出したContiのソースコードを厳密に利用するだけという手法から徐々に離れ、独自の新しい機能を追加し始めています。 モンティは、他の多くのランサムウェア集団と同様に、検知を回避する能力の強化に取り組んでいます。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
