今週のまとめで最初に、CTIは 8Base のランサムウェアグループと最近の活動の急増を調査します。 次に、CTIはVolt Typhoonを調査します。Volt Typhoonは、中国と連携したAPT (Advanced Persistent 脅威）グループで、新しいトレードクラフトを使用して対象ネットワークにアクセスします。 最後に、CTIは、北朝鮮が支援する脅威主体であるAndarielが、昨年、 Log4j Log4Shell 脆弱性を悪用するサイバー攻撃に未知のマルウェアをデプロイした経緯を明らかにする新しいレポートを調査しました。
8Base 件のランサムウェア活動が急増し、米国およびブラジルの企業を脅かす
VMwareの脅威 分析 Unitは、 8Base のランサムウェアグループの 分析 (新しいタブで開く)をリリース し、今年5月と6月にギャングに活動の急増をもたらしました。
以下は、レポートから学んだ重要なポイントです。
- 8Base は、新しい操作ではなく、より成熟したランサムウェアグループの継続であるように見えます。 これは、最近の 8Base 件のランサムウェア攻撃で使用された戦術で観察された類似点によるものです。
- 8Base のランサムウェアグループは、それ自体を「シンプルなペンテスタ」と表現 しています2022年3月 が、2023年5月に そのデータ漏洩サイト (新しいタブで開く)を立ち上げ て以来、アクティブでした。 5月の攻撃件数は急速に増加し、前月5回未満であったのに対し、リークサイトには今月約 30 件の被害者がいます。
- 新たに発見されたランサムウェアギャングは、年に発生したすべてのランサムウェア攻撃の約 15%を占めていました 2023年5月。 この数字を見てみると、 悪名高いLockBitグループは 、同じ月にランサムウェア攻撃の18%を担当しました。
- Malwarebytes と NCCグループ (新しいタブで開く)によると、時点で 8Base 件が合計67 件の攻撃にリンクされています2023年5月。 これらの攻撃のうち、被害者の約 50%がビジネスサービス、製造業、金融セクターにいました。
- 8Base 社は中小企業（SMB）を主に対象としており、被害者の大半は米国とブラジルです。
8Base とRansomHouse：接続は何ですか？
VMwareは、この操作とRansomHouseサイバー犯罪操作の間に大きな類似点があることに気付きました。 ただし、RansomHouseはいくつかの異なるタイプのランサムウェアを使用していることを覚えておいてください。それらはすべてダークウェブで利用できます。 グループには独自の署名ランサムウェアがありません。
研究者は、これらのグループによって配布された身代金ノートに含まれる言語に 99%の一致を特定しました。 彼らはまた、各グループの漏洩サイトを並べて比較し、再び言語がほぼ同じであることがわかりました。 さらに、両方のリークサイトのウェルカムページ、サービス条件、FAQページは、単語のためにコピーされました。
研究者は、2つの脅威グループを比較しながら、2つの大きな違いのみを発見しました。 1つ目の大きな違いは、RansomHouseがパートナーシップを宣伝し、積極的にパートナーシップを募集している点です。 8Base はそうではありません。 2つ目の主な違いは、リークページのレイアウトと設計そのものに関係しています。
8Base およびPhobosランサムウェア
研究者は 8Base のランサムウェアグループからランサムウェアのサンプルを検索していたが、暗号化されたファイルに.8base ファイル拡張子を使用するPhobosランサムウェアのサンプルを見つけた。
より深く掘り下げると、 8Base がSmokeLoaderを搭載したPhobosバージョン2.9.1 を使用していることがわかりました。 Phobosは RaaS (ransomware-as-a-service)として動作するため、これが起きたことは驚くことではありません。 脅威は、ランサムウェアの一部を独自のニーズに合わせてカスタマイズできます。
8Base は.8base ファイル拡張子でカスタマイズを追加しましたが、追加された部分全体のフォーマットはPhobosと同じでした。 IDセクション、Eメールアドレス、ファイル拡張子が含まれていました。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
LockBitと Cl0p が最近ランサムウェアの領域を支配しているように見えますが、8Base が課題に近づいているように見えます。 実際、グループは過去 30 日間で上位2つの身代金グループを解読しました」
残念ながら、グループの方法、戦術、根本的な動機に関する公開情報はあまりありません。
VMwareは、グループに関する彼らの考えをまとめています。
現時点では、以前のバリアントとして、または通常の運用手順の一部として、いくつかの異なるタイプのランサムウェアを使用していると推測することができます。 私たちが知っているのは、このグループは極めて活発で、小規模企業を対象としているということです。
「グループについてはほとんど知られていませんが、今のところ、 8Base は夏の最もアクティブなランサムウェア操作の1つです」
2。 中国と連携したAPT Volt Typhoonは、新しい商号を使用して対象ネットワークにアクセス
CrowdStrikeの研究者は、対象ネットワークへの初期アクセスに新しい商工法を使用してVolt Typhoon（新しいタブで開く）として追跡された中国リンクの高度持続脅威（APT）グループを観察したと主張しています。 タブ
CrowdStrikeのFalcon Completeマネージド検知と対応(MDR)チームは、疑わしい偵察コマンドによって引き起こされた検知に続いて、チームが対応した最近のボルト台風インシデントを引用しています。
Volt Typhoonとは？
Volt Typhoonは、中国を拠点とする国が支援する脅威です。 この高度なAPTグループは、通常、中国の関心に沿ったインテリジェンス要件(IR)をサポートするサイバースパイ活動と情報収集に従事しています。
俳優に関する最初の公開レポートでは、可能な限り検知を回避するために、Volt TyphoonがLotL (Living-off-the-land techniques)を事実上独占的に使用し、キーボード操作を頻繁に使用していることを強調しています。
Volt Typhoonは、2021年半ばから活動していると言われています。 政府、海事、通信、製造、情報テクノロジ、公益事業、輸送、建設、教育など、幅広い主要セクターのエンティティを対象にしています。
Microsoftのレポートによると Microsoft 、 サイバーセキュリティ Volt Typhoonの最近のサイバースパイキャンペーン (新しいタブで開く) は、盗みやすい標的型攻撃で構成されており、Microsoftは「侵害後の資格情報アクセスと米国の重要なインフラ組織を対象としたネットワークシステム検出に焦点を当てている」と述べています。
Volt Typhoonの最新オペレーション
最近、 ManageEngine Self-service Plus （新しいタブで開く） の悪用を使用してVolt Typhoonが観察され、その後攻撃者はカスタムWebシェルを使用して持続的アクセスを促進し、LotL技術を使用して横方向の移動を可能にしました。
CrowdStrikeのFalcon Completeチームは、同社のFalcon OverWatch脅威ハンティングチームと連携し、ManageEngine ADSelfService Plusを実行するApache Tomcatウェブサーバで実行された疑わしい偵察コマンドによってトリガーされた検知に応答しました。
CrowdStrikeより：
検知に詳述された悪意のある活動には、プロセスの一覧表示、ネットワーク接続テスト、ユーザおよびグループの情報の収集、共有のマウント、WMIに対するドメイン信頼の列挙、WMIに対するDNSゾーンの一覧表示が含まれていました。 VANGUARD PANDAの〔本書ではVolt Typhoon – Tanium CTIと呼ばれる〕アクションは、コマンドの急速な継承と、ping用の特定の内部ホスト名とIPS、マウントするリモート共有、WMIに使用するプレーンテキスト資格情報があるため、対象環境に精通していることを示しています。
CrowdStrikeによる偵察活動の通知後に行われた調査中、インシデント対応チームは侵害されたホストを速やかに封じ込め、効果的に隔離し、侵害されたホストとのさらなるやり取りを攻撃者が防止しました。
追加のトレードクラフトが観察された
このインシデントでは、 CVE-2021-40593（ 新しいタブで開く ）の悪用に関連するすべての戦術、技術、手順（TTP）が観察されましたが、攻撃者によるこの特定のCVEの悪用を明確に確認するログアーティファクトは見つかりませんでした。
これは、Volt Typhoon検知を回避し、その活動の事後分析を防止する取り組みの証拠である可能性があります。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「CTIはVolt Typhoonに積極的に関心を持ち、常に、攻撃者の方法論とTTPの進化と改善を詳述する信頼性の高いレポートに目を向けています」
「これまでに文書化されたことのないボルト台風TTPに対するCrowdStrikeの観察は、この脅威に対する防御組織、および同様の戦術を利用する組織を使用するために置かれている、価値のある実用的なインテリジェンスです」
3。 北朝鮮のハッカーグループAndarielが新しいEarlyRatマルウェアで攻撃
KasperskyのSecureListブログに 投稿された新しい レポートによると、北朝鮮が支援する脅威アクターは、 Andariel が昨年、Log4j Log4Shell 脆弱性を悪用するサイバー攻撃でEarlyRatと呼ばれる未知のマルウェアをデプロイしたと追跡しました。
SecureListの研究者は、最近の調査中にキャンペーンに立ち向かった。さらに分析した結果、前述の文書化されていないマルウェアファミリーと、アンダリエルの戦術、技術、手順（TTP）のセットの両方を発見した。
Andarielを詳しく見る
サイレント・チョリマとストーンフライとも呼ばれるアンダリエルは、北朝鮮の悪名高い ラザラスグループの APT 攻撃グループのサブグループであると信じられています。
アンダリエルは、北朝鮮にとって戦略的に関心のある外国政府や軍事組織を対象とするサイバースパイ活動に加え、サイバー犯罪キャンペーン（新しいタブで開く）を実施して収益を生み出し、制裁対象国の経済と軍事活動の苦闘を支援しています。 タブ
The Hacker Newsが発表したテーマに関する記事で説明しているように、アンダリエルの武器の一部には、 マウイと呼ばれるランサムウェア株 (新しいタブで開く) と、 Dtrack (ValeforとPreft)、NukeSped （新しいタブで開く)(Manuscrypt)、 MagicRAT (新しいタブで開く)、 YamaBot (新しいタブで開く)などの多数のリモートアクセストロイの木馬とバックドアが含まれています。 タブ
脅威による Log4Shell 脆弱性の兵器化は、2022年のパッチが適用されていないVMware Horizonサーバに対する攻撃に対応して、AhnLab セキュリティ Emergency Response Center (ASEC (新しいタブで開く))と Cisco Talos (新しいタブで開く)によって文書化されました。
新しく文書化されたアクティビティ
SecureListレポートによると、 Log4j のエクスプロイトを実行することで、Andarielがマシンに再び感染していることが観察され、コマンドアンドコントロール(C2)サーバからさらにマルウェアがダウンロードされました。
Kasperskyの研究者は、攻撃者によってダウンロードされた最初のマルウェアを観察することができなかったが、脆弱性の悪用がグループのDTrackバックドアのダウンロードに密接に従ったことを観察できました。
Kasperskyの研究者は、攻撃者が実行したコマンドを再現できました。これは、人間の演算子がコマンドを実行していることをすぐに明らかにした事実で、彼らが観察した多数の誤りと誤字によって証明されています。
既製のツールの使用
また、Kasperskyの研究者は、コマンド実行フェーズ中にAndarielオペレータによってインストールおよびデプロイされた市販のツールの範囲特定するできました。これらのツールは、後でターゲットのさらなる悪用にも使用されました。
以下は、いくつかの例です。
- Supremoリモートデスクトップ
- 3Proxy
- パワーライン
- パテ
- ダンパート
- NTDSDumpEx
- フォークダンプ
earlyRat：はじめに
SecureListレポートで述べたように、Kasperskyの研究者は、Andarielに起因する Log4j 件のインシデントの1つの調査中にEarlyRatのバージョンを最初に観察しました。
当時、マルウェアは Log4j経由でダウンロードされたと想定していました。 しかし、追加のサンプルを探すと、フィッシング文書が発見されました。その最終目的は、EarlyRatを侵害されたデバイスにドロップすることでした。
興味深いのは、キャンペーン内の フィッシングメール があまり進んでいないことです。 さらに、フィッシング文書では、ターゲットがマクロを有効にするよう要求しています。これは、昨年、MicrosoftがいくつかのOfficeアプリケーションに対してマクロをデフォルトした後、多くのサイバー犯罪者がXLLファイル、ISOイメージ、MSIファイルなどの他のオプションに切り替えたためです。
機能
EarlyRatの機能に関しては、マルウェアはかなり簡単です。 コマンドを実行することができます。これは明らかに、このコマンドと同じくらいエキサイティングです。
多くのリモートアクセストロイの木馬(RAT)と同様に、EarlyRatは開始時にシステム情報の収集を開始するように設計されています。
Taniumのサイバー脅威インテリジェンスチームからのアナリストコメント
「EarlyRatは最も高度なマルウェアではないかもしれませんが、Lazarus GroupとそのサブコンポーネントはCTIにとって非常に関心があり、綿密な監視が必要です。 サイバーエスピオナージ活動に従事すると同時に、金銭的な動機に基づくサイバー犯罪キャンペーンを実行する能力により、より複雑で微妙な脅威になります。」
「CTIは、Lazarusとそのピアによって使用されている新しいTTPまたはマルウェアを知ったときは、常に注意を払っています。なぜなら、これは、多種多様なツール（その多くはカスタム）を使用し、既存のマルウェアを継続的に更新し、新しいマルウェアとその配信方法を開発する脅威アクターだからです」
共有したいこれらのストーリーについて洞察がありますか？ Taniumのディスカッションフォーラムに進み、会話を始めてください。
詳細は、最近の サイバー脅威インテリジェンスのまとめをご覧ください。
