今週のまとめのトップ記事として、CTIが「 8Base 」ランサムウェアグループと、その最近の活動急増について分析しています。 次に、CTIは「Volt Typhoon」について調査を行います。これは、中国と関連のある高度持続的脅威（APT）グループであり、独自の攻撃手法を用いて標的のネットワークに侵入しています。 最後に、CTIは、北朝鮮の支援を受ける脅威アクター「アンダリエル」が、昨年、「 Log4j Log4Shell 」の脆弱性を悪用したサイバー攻撃において、これまで知られていなかったマルウェアを展開していたことを明らかにした新たな報告書について調査しています。
「8Base 」ランサムウェアの活動が急増し、米国およびブラジルの企業を脅かしています
VMwareの脅威分析部門は、にて、ランサムウェアグループ「 8Base 」に関する分析レポート『 』（新しいタブで開きます） を公開し、今年5月と6月に活動が急増した原因をこのグループによるものと指摘しています。
本報告書から得られた主なポイントは以下の通りです：
- 8Base は、新たな活動というよりは、より成熟したランサムウェアグループの延長線上にあるものと思われます。 これは、最近の 8Base 件のランサムウェア攻撃で用いられた手口に類似点が見られたためです。
- 自らを「単なるペネトレーションテスター」と称するランサムウェアグループ「 8Base 」は、2022年3月 年から活動を続けていますが、年5月にデータ漏洩サイト （新しいタブで開きます） を立ち上げたのは、 2023年のことでした。 このグループは5月に攻撃件数を急速に増やし、その月の情報漏洩サイトには約 30 件の被害事例が掲載されましたが、前月は5件未満でした。
- 新たに発見されたランサムウェア集団は、 2023年5月における全ランサムウェア攻撃の約 15％に関与していました。 この数字を客観的に見てみると、 悪名高いLockBitグループ が、同月のランサムウェア攻撃の 18％に関与していたことがわかります。
- 、Malwarebytes、および によると、NCCグループ （新しいタブで開きます） において、 8Base は 2023年5月 の時点で、計 67 件の攻撃に関与していることが判明しています。 これらの攻撃のうち、被害者の約 50％は、ビジネスサービス、製造業、および金融セクターに属していました。
- 8Base は主に中小企業（SMB）を標的としているようで、被害者の大半は米国とブラジルに所在しています。
「8Base 」と「RansomHouse」：両者の間にはどのような関係があるのでしょうか？
VMwareは、この活動とRansomHouseによるサイバー犯罪活動との間に著しい類似点があることに気づきました。 ただし、RansomHouseはいくつかの異なる種類のランサムウェアを使用しており、それらはすべてダークウェブ上で入手可能であるという点に留意することが重要です。 このグループには、独自のランサムウェアはありません。
研究者らは、これらのグループが配布した身代金要求文に含まれる言語的特徴について、 99％の一致を確認しました。 また、各グループのリーク箇所を並べて比較したところ、ここでもその表現がほぼ同一であることが判明しました。 さらに、両方のリークサイトのウェルカムページ、利用規約、およびFAQページは、一字一句そのままコピーされていました。
研究者らは、2つの脅威グループを比較した結果、大きな違いは2つしか見つかりませんでした。 最初の大きな違いは、RansomHouseが提携関係を公表し、積極的に提携先を募集しているのに対し、 8Base はそうではないという点です。 2つ目の大きな違いは、リークページ自体のレイアウトやデザインに関するものです。
8Base およびフォボス・ランサムウェア
研究者たちが「 8Base ransom」グループのランサムウェアのサンプルを探していたところ、暗号化されたファイルに「.8base 」というファイル拡張子を使用する「Phobos」ランサムウェアのサンプルを発見しました。
さらに詳しく調べてみると、 8Base ではSmokeLoaderが組み込まれたPhobosバージョン2.9.1 が使用されていたことが判明しました。 フォボスは「 」というランサムウェア・アズ・ア・サービス（RaaS）として運営されているため、このような事態が発生したことは驚くことではありません。 攻撃者は、今回のケースでもそうである可能性が高いですが、ランサムウェアの各部分を自らのニーズに合わせてカスタマイズすることができます。
8Base では、ファイル拡張子「.8base 」によるカスタマイズ機能が追加されましたが、追加された部分全体の形式はPhobosと同じでした。 そこには、ID欄、メールアドレス、およびファイル拡張子が含まれていました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「最近はLockBitや Cl0p がランサムウェア業界を席巻しているようですが、8Base もその勢いに挑もうとしているようです。」 実際、このグループは過去 30 日間で、ランサムウェアグループの上位2つを攻略しました。」
「残念ながら、このグループの手法や戦術、あるいはその背後にある動機について、一般に公開されている情報はほとんどありません。」
VMwareは、このグループに関する見解を次のようにまとめています：
現時点では、彼らがいくつかの異なる種類のランサムウェアを使用しているのではないかと推測するしかありません。それらは、以前の亜種である可能性もあれば、通常の運用手順の一環である可能性もあります。 現時点で分かっているのは、このグループが非常に活発に活動しており、中小企業を標的としているということです。
「このグループについてはまだほとんど知られていませんが、現時点では、 8Base は今夏も引き続き、最も活発なランサムウェア組織の一つとなっています。」
2。 中国と関連があるとされるAPT「Volt Typhoon」は、独自の攻撃手法を用いて標的のネットワークに侵入しています
CrowdStrikeの研究者らは、中国と関連があるとされる高度持続的脅威（APT）グループ（ 、Volt Typhoon、 （新しいタブで開きます）、、 として追跡されている）が、標的となるネットワークへの初期アクセスを得るために、新たな手法を用いているのを確認したと主張しています。
CrowdStrikeの「Falcon Complete」マネージド検出・対応（MDR）チームは、不審な偵察コマンドによって検知がトリガーされたことを受け、同チームが対応にあたった最近の「Volt Typhoon」インシデントを例に挙げています。
「Volt Typhoon」とは何ですか？
Volt Typhoonは、中国を拠点とする国家支援型の脅威アクターです。 この高度なAPTグループは、通常、中国の国益に沿った情報要件（IR）を支援するため、サイバースパイ活動や情報収集を行っています。
この攻撃者に関する最初の公開報告によると、Volt Typhoonは、可能な限り検知を回避するために、ほぼもっぱら「リビング・オフ・ザ・ランド（LotL）」の手法を採用し、頻繁に「ハンズ・オン・キーボード」活動を行っていることが明らかになっています。
Volt Typhoonは、2021年半ばから活動しているとの報告があります。 これは、政府、海運、通信、製造、情報技術、公益事業、運輸、建設、教育など、幅広い重要分野にわたる組織を対象としています。
マイクロソフトが、さまざまな多国籍サイバーセキュリティ機関と連携して発表した報告書によると、 ボルト・タイフーンによる最近のサイバー諜報活動 (新しいタブで開きます) は、ステルス性が高く標的を絞った攻撃で構成されており、マイクロソフトはこれらについて、「米国の重要インフラ組織を標的とし、侵害後の認証情報へのアクセスおよびネットワークシステムの発見に焦点を当てたもの」であると述べています。
ボルト・タイフーンの最近の活動
Volt Typhoonは最近、、ManageEngine Self-service Plus、 （新しいタブで開きます）、、といったエクスプロイトを利用して初期アクセスを獲得していることが確認されました。その後、攻撃者は、持続的なアクセスを容易にするためにカスタムWebシェルを利用し、横方向の移動を可能にするためにLotL（Log-in-as-a-Service）手法を用いることが判明しました。
CrowdStrikeのFalcon Completeチームは、同社の脅威ハンティングチームであるFalcon OverWatchチームと連携し、ManageEngine ADSelfService Plusを実行しているApache Tomcat Webサーバー上で実行された不審な偵察コマンドによってトリガーされた検知に対応しました。
CrowdStrikeより：
この検出結果で詳述された悪意のある活動には、プロセスの一覧表示、ネットワーク接続性のテスト、ユーザーおよびグループ情報の収集、共有のマウント、WMIを介したドメイン信頼関係の一覧取得、およびWMIを介したDNSゾーンの一覧表示が含まれていました。 VANGUARD PANDA（以下、本稿では「Volt Typhoon – Tanium CTI」と呼びます）の行動からは、コマンドが立て続けに実行されたこと、また、ping を送信する特定の内部ホスト名や IP アドレス、マウントするリモート共有、WMI に使用する平文の認証情報などが確認されたことから、標的環境に精通していることがうかがえました。
CrowdStrikeから偵察活動の通知を受けた後に行われた調査において、インシデント対応チームは、侵害されたホストを迅速に封じ込め、効果的に隔離することで、攻撃者がそのホストとそれ以上やり取りすることを阻止しました。
さらに、以下の手口が確認されました
今回のインシデントでは、CVE-2021-40593 (新しいタブで開きます) の悪用に関連するすべての戦術、手法、手順（TTP）が確認されましたが、攻撃者がこの特定のCVEを悪用したことを決定的に裏付けるはずのログ上の痕跡は見られませんでした。
これは、Volt Typhoonが検知を回避し、その活動に関する事後分析を阻止しようとしたことを示す証拠である可能性があります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「CTIは『Volt Typhoon』に引き続き強い関心を寄せており、同グループの手法やTTP（戦術・技術・手順）の変遷や改善点を詳細に記した、信頼性の高い報告を常に探しています。」
「CrowdStrikeが、これまでに報告されたことのないVolt TyphoonのTTPを特定したことは、この脅威や、同様の戦術を用いる脅威から組織を守るために活用できる、価値ある実用的な情報です。」
3。 北朝鮮のハッカー集団「アンダリエル」が、新たなマルウェア「EarlyRat」を用いて攻撃を仕掛けました
カスペルスキーの「SecureList」ブログに掲載された新たな報告書によると、 Andariel（ ）として追跡されている北朝鮮の支援を受ける脅威アクターが、昨年、Log4j Log4Shell の脆弱性を悪用したサイバー攻撃において、「EarlyRat」と名付けられたこれまで知られていなかったマルウェアを展開していたことが明らかになりました。
SecureListの研究者たちは、最近の調査中にこのキャンペーンを偶然発見し、さらに分析を進めた結果、前述の未報告のマルウェアファミリーに加え、Andarielの戦術・手法・手順（TTP）に新たな要素が加わっていることを突き止めました。
アンダリエルを詳しく見てみましょう
「Andariel」は、「Silent Chollima」や「Stonefly」としても追跡されており、北朝鮮の悪名高い「」こと「Lazarus Group」のAPT 攻撃グループの一派であると考えられています。
アンドアリエル（Andariel） は、北朝鮮にとって戦略的に重要な外国の政府機関や軍事組織を標的としたサイバー諜報活動を行うほか、 （新しいタブで開きます） といったサイバー犯罪キャンペーンを展開し、収益を上げて、度重なる制裁を受けている同国の苦境にある経済や軍事活動を支えています。
『The Hacker News』に掲載されたこの件に関する記事によると、Andarielが保有する主要な攻撃手段には、Maui （新しいタブで開きます） と呼ばれるランサムウェアの亜種や、Dtrack（ValeforおよびPreft）、 NukeSped （新しいタブで開きます）（Manuscrypt）、 といった数多くのリモートアクセストロイの木馬やバックドアが含まれています。 MagicRAT （新しいタブで開きます）、および YamaBot。 （新しいタブで開きます）
この脅威アクターによる Log4Shell 番の脆弱性の悪用については、以前、AhnLab Security Emergency Response Center（ASEC （新しいタブで開きます））および、Cisco Talos（ （新しいタブで開きます））によって、 2022年にパッチが適用されていないVMWare Horizonサーバーに対する攻撃を受けて報告されていました。
新たに確認された活動
SecureListのレポートによると、Andarielは Log4j のエクスプロイトを実行することで再び端末に感染させていることが確認されました。これにより、コマンド＆コントロール（C2）サーバーからさらなるマルウェアがダウンロードされる結果となりました。
カスペルスキーの研究者は、この攻撃者が最初にダウンロードしたマルウェアを確認することはできませんでしたが、脆弱性の悪用直後に、同グループのバックドア「DTrack」がダウンロードされたことを確認しました。
カスペルスキーの研究チームは、攻撃者が実行したコマンドを再現することに成功しました。これにより、それらのコマンドが人間のオペレーターによって実行されていたことが即座に明らかになりました。これは、観察された数多くのミスやタイプミスからも裏付けられています。
既製のツールの活用
また、カスペルスキーの研究者らは、コマンド実行段階でAndarielのオペレーターによってインストールおよび展開された市販ツールの範囲を特定することに成功しました。これらのツールは、その後、標的へのさらなる攻撃にも使用されました。
以下にいくつかの例を挙げます：
- Supremo リモートデスクトップ
- 3Proxy
- パワーライン
- パテ
- ダムパート
- NTDSDumpEx
- ForkDump
EarlyRat：概要
SecureListのレポートに記載されているとおり、カスペルスキーの研究チームは、Andarielによるものとされる Log4j 件のインシデントのうちの1件を調査していた際に、EarlyRatの1つのバージョンを初めて確認しました。
当時、このマルウェアは Log4jを経由してダウンロードされたものと推測されていました。 しかし、さらなるサンプルを調査した結果、フィッシング文書が発見されました。その最終的な目的は、侵害されたデバイスにEarlyRatを仕込むことでした。
興味深いのは、このキャンペーンに含まれる「 」を装ったフィッシングメール（ ）が、それほど高度なものではないという点です。 さらに、これらのフィッシング文書では、標的となるユーザーにマクロを有効にするよう求めています。これは注目すべき点です。というのも、マイクロソフトが昨年、いくつかのOfficeアプリケーションにおいてマクロをデフォルトで無効化したことを受け、多くのサイバー犯罪者がXLLファイル、ISOイメージ、MSIファイルといった他の手段に切り替えているからです。
機能
EarlyRatの機能に関しては、このマルウェアはかなり単純なものです。 コマンドを実行することができます――どうやら、この製品の魅力といえば、それくらいがせいぜいのようです。
多くのリモートアクセス型トロイの木馬（RAT）と同様に、EarlyRatは起動時にシステム情報の収集を開始するように設計されています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「EarlyRat自体は最も高度なマルウェアとは言えないかもしれませんが、Lazarus GroupおよびそのサブコンポーネントはCTIにとって大きな関心事であり、綿密な監視が必要です。」 「これらのグループは、サイバー諜報活動を行うと同時に、金銭を目的としたサイバー犯罪キャンペーンも展開できるため、より複雑で多面的な脅威となっています。」
「CTIでは、ラザルスやその関連グループが使用する新たなTTPやマルウェアに関する情報を得るたびに注視しています。というのも、この脅威アクターは多種多様なツール（その多くは独自開発のもの）を使用し、既存のマルウェアを継続的に更新し、さらに新たなマルウェアやその配布手法を頻繁に開発しているからです。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
