今週は、 2022 年上半期に広く報じられたランサムウェア攻撃件数の減少が、事実であるのか、それとも単にさまざまな要因が重なり合って、偏った――そして誤解を招きかねない――データセットが生み出された結果に過ぎないのかについて考察します。
次に、ロシアの悪名高い連邦保安庁（FSB）と関連があるとみられる脅威グループ「Shuckworm APT」の活動に関する、シマンテックの最新の報告の概要をご紹介します。また、イランと関連があるとみられる脅威アクターの活動についても取り上げます。この脅威アクターは、これまでのところ、イスラエルの海運、医療、政府機関を標的とした攻撃に注力しています。
1. 広く報じられているランサムウェアの件数減少は、単なる錯覚なのでしょうか？
Tim Starks at the Washington Post recently posed an interesting question: Is the supposed drop in the number of ransomware attacks (opens in a new tab) observed thus far in the first half of 2022 a reflection of reality? それとも、この減少傾向は、さまざまな要因と情報の不足が重なり合った「パーフェクト・ストーム」の結果なのでしょうか？
端的に言えば、問題はランサムウェア攻撃の件数が減少したかどうかという点（CTIの毎日の調査結果はむしろその逆を示唆しているようです）というよりは、むしろ、その数字を報告している情報源が、これまで以上に情報を入手しにくくなっているかどうかという点にあるようです。 より詳しい答えとしては、この2つを組み合わせたものになるようです。
では、こうした事象の追跡を担当している関係者に報告される攻撃件数が減少している背景には、どのような要因があるのでしょうか？ まず、これが単なる憶測ではないことを確かめるために、信頼できる情報源が報じている数値を見てみましょう。
ワシントン・ポスト紙の記事によると、「減少を示唆する最初の集計結果の一つは、先月、政府、産業界、学界、非営利団体の専門家で構成されるランサムウェア対策タスクフォースから発表されました。」 It documented (opens in a new tab)64 attacks on local government, hospitals and schools in 2022 to that point, compared with 150 incidents from the same period last year.”
また、この記事では、7月に、SonicWall （新しいタブで開きます）、、、、NCC Group （新しいタブで開きます）、、、および、GuidePoint Security （新しいタブで開きます）、、 の各社が、全般的に減少傾向にあることを指摘していたことも述べられています。 ただし、対象となった各社の対象期間はさまざまでした。
もちろん、すべての研究者がまったく同じ結論に達しているわけではありません。これは、私たちの業界ではよくあることです。 何と言っても、各企業はさまざまなテレメトリデータや情報源を利用できるからです。 さらに、研究者によって、真のランサムウェア事案とは何かという定義が異なっています。
例えば、 Avastは （新しいタブで開きます） 先週、ランサムウェアの発生件数が 2022 件のうちQ1 件からQ2 件に増加したと発表しました。ただし、Avastは、同社の研究者が2021 年の終わりから2022年の初めにかけて攻撃件数の減少を確認したことを認めざるを得ませんでした。 SecureWorksも同様の結論に達しました。
では、もしランサムウェアが実際に依然として猛威を振るっているとしたら、このデータセットに偏りが生じている可能性のある要因には、どのようなものがあるのでしょうか？
スタークス氏は、数字を歪めている可能性のある状況として、以下の動向を挙げています：
- 脅威アクターのTTPの変化： 多くのランサムウェア集団が、悪意のあるソフトウェアを使用しないランサムウェアのような戦術（暗号化を伴わない恐喝）を採用し始め、現在ではデータ窃取に注力し、必ずしも企業システムをロックすることなく、データを公開すると脅迫しています。
- 標的のシフト： 政策立案者や法執行機関の反感を買うことを避けるため、ランサムウェア集団は小規模な組織も標的にし始めています。 これは、昨年、JBS、Kaseya、コロニアル・パイプラインといった大手企業を標的とした、注目を集めたランサムウェア攻撃が相次いだことを受けたものです。
- 標的が小さければ、リソースも少ない： 被害規模が小さい企業ほど、ランサムウェア被害を、その状況を把握する役割を担う機関に報告する可能性は低くなります。
SecureWorksのCounter Threat Unitでインテリジェンス担当副社長を務めるドン・スミス氏は次のように述べています。「その［標的のシフト］により、中堅・大企業であっても、国のCERT（政府のコンピュータ緊急対応チーム）との連携関係がないという状況が生じかねません。」 「問題の解決のために、一流のインシデント対応会社に費用を支払う準備ができていないかもしれません。」 「したがって、そのような高みからの観察に基づくと、多くの人々に報告バイアスが生じている可能性があり、それがこの格差を説明できるのです。」
しかし、もし攻撃が減少していたとしたらどうでしょうか？
もちろん、現段階では、上述した要因の多くは依然として仮説の域を出ていません。 報告機関によって数値に時折わずかなばらつきは見られるものの、最近になってランサムウェア攻撃が実際に減少している可能性は依然として残っています。
もしそうであるならば、以下の点が要因として考えられるかもしれません：
- ロシアに対する制裁： ロシアは、国内で活動する数多くのランサムウェア集団にとって、長らく安全な避難所と見なされてきましたが、 この制裁がランサムウェアの運営者たちに打撃を与えた可能性があります。 （新しいタブで開きます）
- 大規模なランサムウェア組織が解散、あるいは活動が阻止されました： 特に活発な活動を展開していた多作なランサムウェアグループ「（Conti）」は、5月に解散した模様です。 （新しいタブで開きます） これは、同グループの内部事情を明らかにする内部情報漏洩や、ロシア・ウクライナ紛争におけるロシアとの同盟関係を公に表明した（そして非常に不評だった）メッセージが流出したことを受けたものです。
ランサムウェアの発生件数が一見減少しているように見える理由が何であれ、CTIは引き続き状況を注視してまいります。 今後もランサムウェアを最重要の脅威として捉え続け、年が経過するにつれて、報告されている攻撃件数の背景にある要因について、より明確な見通しを立ててまいります。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ティム・スタークス氏は、さまざまな情報筋や政府機関が報告する統計が、時折ばらつきを見せ、時には大きく異なることがあるという点を、見事に明らかにしてくれました。」 目の前に提示されるデータを盲目的に信じるというパターンに陥ってしまいがちですが、特にそのデータが、これまで信頼できる情報源であることが実証されてきた組織から提供されている場合はなおさらです。
CTIは、ランサムウェアに関する統計情報をさまざまな情報源から引き続き注視し、恐喝グループによるTaniumおよびそのサプライヤー、パートナー、顧客に対するリスクの程度に影響を及ぼす可能性のある重要な動向に目を光らせてまいります。
2。 ウクライナを標的とした活動を行っているロシアの「Shuckworm」APTグループにとって、情報窃取型マルウェアは主要なペイロードとなっています。
シマンテック社のブログ「 」の最近の投稿（ （新しいタブで開きます） ）では、同社が観測した「Shuckworm」の新たな活動について詳しく説明されています。これまでのところ、この活動はウクライナを標的としており、標的となったネットワークに情報窃取型マルウェアを配布しているものとみられます。
シマンテックによると、この活動は 2022年8月8日時点でも続いており、このキャンペーンで観測された活動の多くは、 でCERT-UA （新しいタブで開きます）が 2022年7月26日で指摘した活動と一致しています。
Shuckworm：ロシアと関連のあるグループが「 」を運営しています #Ukraine 注目情報 - #Gamaredon, #Armageddon 悪意のある活動は続いています #infostealer は、最新の活動におけるペイロードです。 最新のIoCについては、以下のブログ記事をご覧ください： symantec-enterprise-blogs.security.com/blogs/threat-i… #Russia #cyberattacks #Shuckworm
「シャックワーム」とは何ですか？
Shuckworm（別名：Gamaredon または Armageddon）は、ロシアと関連のあるグループであり、 2014年に初めて出現して以来、その活動をほぼウクライナに限定して展開してきました。 これは一般的に、による国家主導のスパイ活動であると見なされています。 （新しいタブで開きます）。ウクライナ保安庁（SSU）は、この活動をFSBと関連付けています。
ウクライナの諜報機関は、同グループが、情報収集、業務妨害、および重要インフラの標的の掌握を目的として、国内の数千に及ぶ公共・民間・政府機関を標的としたサイバー攻撃を行ったと指摘しています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「この物語には、取り上げる価値のある注目すべきテーマが二つあります。 第一に、あらゆる種類の脅威アクターの間で、情報を窃取するマルウェア（一般に「インフォスティーラー」と呼ばれます）の利用が増加していることです。 Intel 471 によると、2022年初頭以降、このサイバー脅威インテリジェンス企業は、ダークウェブ （新しいタブで開きます） 上で入手可能な情報窃取型マルウェアの数が、 2021年の同時期と比較して 150％増加したことを確認しています。 これは、サイバー脅威の攻撃者たちの間でこうした製品に対する需要が高いことを明確に示しているだけでなく、こうしたソフトウェアが攻撃の成功率を著しく高める一因となっていることも示唆しています。
2つ目の注目すべき点は、シマンテックの報告書によると、Shuckwormはこれまでのところ、ウクライナの組織を標的とする活動に限定しているということです。 同グループの活動については、さまざまな報告が公表されていますが、Shuckwormはこうした注目をものともせず、その活動は依然として衰えることなく続いています。 Shuckwormは、ロシアの国家支援型脅威アクターの階層において、最も洗練された組織とは言えないかもしれませんが、シマンテック社が指摘しているように、その技術的な不足分は、粘り強さ、執拗さ、そして被害者に対して容赦なく攻撃を仕掛ける姿勢によって、十二分に補っていると言えます。
ロシア・ウクライナ紛争の当事者たちが使用するマルウェアやTTPのほとんどと同様に、主なリスクは西側の組織、ネットワーク、および重要インフラへの「波及」です。この脅威については、 CISAおよびその「Shields Up」イニシアチブによって、継続的に詳細が報告されています。 （新しいタブで開きます）」
3. UNC3890 イランのハッカーによる活動が、イスラエルの海運、医療、政府、エネルギー各分野を標的としている疑いがあります
マンディアント社の最近の報告書では、同社が追跡している「 UNC3890」 （新しいタブで開きます）について詳しく説明されています。これは、ソーシャルエンジニアリングによる誘引や、ウォーターホール攻撃の可能性がある手法を用いて、イスラエルの海運、政府、エネルギー、医療関連組織を標的とした一連の活動です。 マンディアート社は、この攻撃主体がイランと関連しており、イランの利益を守るために諜報活動を行っている可能性が高いと見ています。
「 UNC3890」とは何ですか？
- UNCは「未分類」の略で、一連の活動を指します。 この攻撃では、Metasploit、Unicorn、NorthStar C2といった一般に公開されているツールのほか、少なくとも2つの独自ツール、すなわち「SUGARUSH」と呼ばれるバックドアと、「SUGARDUMP」という名前のブラウザ認証情報窃取ツールが活用されています。
- マンディアントは 2021年後半に初めて「 UNC3890 」の追跡を開始し、同グループがイスラエルの組織を標的にしており、政府、海運、エネルギー、航空、医療などの分野に関心を示していることが確認されました。 標的の大部分はイスラエルに集中しているようですが、同グループが海運業界で標的とした組織の中にはグローバル企業も含まれており、その影響はイスラエル以外にも波及する可能性があります。
- マンディアントは、主に「 UNC3890 」が利用した攻撃後のインプラントを突き止めることに成功しましたが、同グループの初期侵入手法についての手がかりとなり得るいくつかの発見も特定することができました。
- の潜在的な「ウォーターホール」 （新しいタブで開きます）が、正規のイスラエルの運送会社のログインページにホストされていることが確認されました。研究者らは、このサイトが UNC3890によって乗っ取られた可能性が高いと見ています。 正規のログインページにアクセスすると、ユーザーはログイン中のユーザーに関する予備データを伴うPOSTリクエストを攻撃者に送信することになります。 この「ウォーターホール」は、当該海運会社の顧客や利用者を標的にするために利用されていたと考えられています。 マンディアットは、このグループによる、別のイスラエルの大手海運会社に対する新たな標的型攻撃の試みを確認しました。この攻撃は、ウォーターホール攻撃の手口と一致しています。
- UNC3890’s C2 サーバーに解決されるいくつかのドメインは、LinkedIn、Pfizer、Facebook、Office 365 など、正規のサービスや組織を装っていました。 これらのドメインは、正規のサービスへの認証情報を収集したり、「 」を装ったフィッシングメール（）を送信したり、あるいは通常のネットワークトラフィックに紛れ込ませようとする目的で利用されていた可能性が高いと考えられます。 また、マンディアント社は、実在する個人のFacebookおよびInstagramアカウントからスクレイピングされたコンテンツを含む複数のZIPファイルをホストしている UNC3890 台のサーバーを特定しました。
- この手口では、偽の求人情報で被害者を誘い込むように仕組まれたXLSファイルが利用されていることが確認されています。 このファイルは、認証情報を収集するツールである「SUGARDUMP」をインストールします。 この偽の採用案内は、LexisNexisのソフトウェア開発者のポジションに関するものです。
- 初期アクセスを獲得した後、このグループは幅広いツールセットを活用して、環境へのアクセスと制御を行います。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「偽の求人情報を餌にした手口は、最近、脅威アクターの間で人気が高まっているようです（特にイランと関連のある脅威アクターの間では、以前からよく使われてきた手法であることは言うまでもありません）。そして、 UNC3890 はこの傾向に加わった最新のグループに過ぎません。」
UNC3890 の少し異なる点は、海運会社をターゲットにしていることです。 イスラエルの海運会社に対してウォーターホール攻撃を展開したと報じられている脅威アクターが、具体的にどのようなデータにアクセスしたのかが不明であるため、その最終的な目的が何であったのかも定かではありません。 とはいえ、この攻撃において特注の認証情報収集ツールやバックドアが使用されていることは、攻撃者の手口がより高度であることを示唆しています。
当社のサイバーセキュリティコンテンツライブラリをご覧ください
サイバーセキュリティの最新動向について、もっと詳しく知りたいですか？ 弊社では、サイバーセキュリティに関する記事、ブログ、動画などを幅広くご用意しております。 当サイトの注目記事をご覧ください。
