今週のまとめのトップは、ブロックチェーン分析企業Chainalysisがまとめた、 2022からのランサムウェアに関する最新の知見の分析です。 続いて、CTIは、米国中央情報局（CIA）の「Hive」プロジェクトの機能を流用した新たなバックドアについて、詳細に分析します。 最後に、中国の脅威アクター「BackdoorDiplomacy」による最近の攻撃の波について概観し、 Unit42からの報告をご紹介します。同報告によると、イラン政府のドメインに属するシステムが、以前この脅威アクターに関連していると特定されたマルウェアのインフラへの接続を試みていたことが確認されたとのことです。
1. 被害者が支払いを拒否したため、 2022 年のランサムウェアによる収益は40％減少しました
Year-end reporting from blockchain analytics company Chainalysis reveals that ransomware gangs successfully extorted roughly $456.8 million from victims in 2022 — a drop of about 40% compared to the record-setting $756 million pilfered from ransomware victims in the previous two years.
シャンパンを開ける前に、Chainalysis社は、ランサムウェア集団が管理する仮想通貨アドレスのうち、まだ特定されておらず、同社のデータに組み込まれていないものが常に存在するため、実際の総額はこれよりはるかに高い可能性が高いと指摘しています。
Chainalysisによると、利益の減少傾向は、ランサムウェア攻撃の頻度が減ったためではなく、むしろ、恐喝者の要求に従うことを拒否する被害者の数が増加しているためであるとのことです。
ランサムウェアの一般的な動向 2022
ランサムウェアは依然として活発に活動しています
ランサムウェアによる収益は減少したものの、 2022 年はランサムウェアの活動全体としては最も活発だった年のひとつだったと報じられています。 Thousands of different file-encrypting malware strains targeted organizations of all sizes across nearly all verticals, and 2022 saw several top-tier extortion syndicates retire, splinter into new operations, or simply rebrand, making way for the emergence of a wide range of new ransomware operations.
独自のランサムウェア亜種の急増
2022 saw a huge increase in the number of unique ransomware variants in operation. サイバーセキュリティ企業のフォーティネットによると、 10,000 unique 以上の亜種 が、 2022 年の上半期だけで活動していたとのことです。 Chainalysis社はこの見解を裏付けており、近年、アクティブな亜種の数が劇的に増加していると述べています。
しかし、ランサムウェアによる収益の大部分は、極めて効率的な少数のランサムウェア組織によって、一貫して独占されているようです。 とはいえ、この「業界のリーダー」と呼ばれるグループが、毎年同じ事業体で構成され続けているというわけではありません。Chainalysisの報告によると、年間を通じて、売上高上位の品種の間でかなりの入れ替わりが生じていたとのことです。
マネーロンダリングの手口にはほとんど変化が見られません
Chainalysisのデータによると、ランサムウェアの攻撃者の大半は、依然として不正に得た利益を主流の集中型取引所に送金し続けていることが示唆されています。この傾向は、ごく一部の例外を除き、少なくとも 2018年以降、ほとんど変化していないようです。 2022におけるランサムウェア攻撃者の主な資金洗浄手法に関して、恐喝グループは以下の手段や戦術に依存していました：
- リスクの低い取引所： ランサムウェアによる収益のうち、リスクの高い取引所に送金された割合は、 2022の期間において 10.9％から 6.7％に低下しました。
- 違法サービスの減少： ダークネット市場などの違法サービスを通じてマネーロンダリングされた利益も、 2022年には数パーセントポイント減少しました。
- より一般的な取引所： 2022 によると、ランサムウェア集団による資金洗浄の目的で一般的な取引所への依存度が高まっており、39.3年の 2021 ％から昨年は48.3％へと上昇しました。
- さらなる多様化： 昨年は、クリーニングのために複数のサービスに同時に依頼するケースも増加しました。 この事実に加え、より多くの利益が信頼性の高い大手取引所に送金されているという状況からも、ランサムウェアの運営は成熟しつつあり、その資金管理のあり方は、正規の企業を彷彿とさせるものになっていると見受けられます。 「すべての卵を1つのカゴに盛る」ような人はほとんどおらず、違法なサービス（その不安定さで知られ、犯罪者によって運営されており、いつでも法執行機関の取り締まりの対象となり得るもの）に依存している人はさらに少ないのです。
被害者は支払っていません
ランサムウェア対策のベストプラクティスが定着し始めるまでには、多くの痛ましい教訓や数十億ドル規模の損失、そして世界中の法執行機関やサイバーセキュリティ機関からの数え切れないほどの警告が必要だったかもしれませんが、2021年（ 2023年）には、組織がランサムウェアや恐喝攻撃を予防・備え・対応する方法において、転機を迎えつつあるようです。
アマチュアの戦術
トップクラスのランサムウェア攻撃者が用いる戦術、手法、手順（TTP）は、かつてないほど高度化していますが、その要求に屈することを拒む被害者がますます増えています。 サイバー脅威インテリジェンス企業のCovewareによると、この傾向は 2019年の同社の統計データにおいて初めて明確な傾向として現れ、それ以来、被害者が身代金を支払う割合は着実に低下し続けているとのことです。
Covewareの場合、同社は支払件数の減少について、主にランサムウェア攻撃者による、同社が「素人じみた」と表現する手口の使用に起因していると分析しています。 こうした手口には、私たちのお気に入りの一つである、同じ攻撃者が数日あるいは数週間にわたって被害者に対して繰り返し攻撃を仕掛けるものがあります。その多くは、手口を隠蔽しようとする無駄な試みとして、異なる種類のマルウェアを多用することがよくあります。
参入障壁が低いことが、アマチュアのランサムウェア集団の急増につながっています
Coveware社によると、身代金の支払いを決断したランサムウェアの被害者の間では、攻撃者の指示に従い復号ツールを導入して被害を受けたシステムを迅速に復旧させようとした際、「品質と信頼性の低下」がますます顕著になっているとのことです。
これは間違いなく、ランサムウェアグループの数の急増と関連しています。経験がほとんど、あるいは全くないグループが雑草のように次々と現れ、ずさんな素人じみた手口を用いているのです。この状況は、主要なランサムウェア・アズ・ア・サービス（RaaS）事業者からのソースコードの流出、より専門性の高いRaaS事業者から契約社員が群れをなして離脱し、より高い利益を求めて独立して活動すること、そして最後になりますが、決して軽視できない要因として、 極めて安価なランサムウェア製品が氾濫していることです。こうした製品には通常、機能しない復号ツールが付属しており、アフィリエイトに対して実質的な技術サポートは一切提供されていません。 ねえ、値段相応ってやつですよね？
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「CTIが以前にも述べたように、 2023 はさまざまな理由から、ランサムウェアのエコシステムにとって転換点となりそうです。」 何よりもまず、201年（ 2022 ）は、身代金を支払わないことを選んだランサムウェアの被害者の数が、恐喝者の要求に従うことを選んだ被害者の数を上回った最初の年でした。 BleepingComputerが指摘しているように、この行動の変化は、「ランサムウェア攻撃への認識や対処法における変化を浮き彫りにしている」とのことです。
「この変化は、CTIやその他のセキュリティ専門家が、ランサムウェア関連の問題を取り上げる際に常に提唱してきた、ランサムウェア対策のベストプラクティスに少なからず影響を受けているようです。」 被害者たちはようやく、身代金を支払ってもデータの復旧が保証されるわけではないこと、また、攻撃者が盗んだファイルを削除してくれるわけでもないことに気づき始めています。 場合によっては、法的措置につながる可能性さえあります。特に、米国連邦政府による制裁対象となっている団体への支払いが行われた場合には、なおさらです。」
「さらに、一般の人々のランサムウェア攻撃に対する見方も変化したようです。」 こうした考え方の変化は、ランサムウェア被害者が、被害発生後に一般市民に対してますます率直かつ誠実に対応するようになったことが要因であると考えられます。 そうした状況から、顧客、クライアント、パートナー、そして業界全体が、このニュースに対する反応の仕方において、成熟してきたようです。 「批判や非難が以前より少なくなっており、その結果、かつては注目を集めるランサムウェア攻撃の必然的な結果と見なされていた、ブランドの評判への悪影響や消費者の信頼の低下が、著しく軽減されています。」
「また、あらゆる分野の組織が（サイバー攻撃やランサムウェアに対する保険会社による要件の厳格化も一因となり）より優れたバックアップ戦略を導入していることも追い風となっており、これにより、攻撃を受けた場合でも、インフラを独自に復旧させることが真に現実的な選択肢となっています。」
「もちろん、前述の統計や文化的な変化は確かに心強いものですが、ランサムウェア攻撃は、規模の大小を問わず、あらゆる業界およびそれを構成する組織にとって、依然として世界的な脅威であり続けています。」 「中小企業は依然として高いリスクにさらされており、さらなる攻撃を助長する可能性のあるデータを保有する組織や、 のソフトウェアサプライチェーンにおいて広く利用されている構成要素を製造する組織も同様です。。」
2。 流出したCIAの「Hive」マルウェアを利用して作成された新たなバックドアが、実環境で発見されました
2017年11月において、 CIAがマルウェアを制御するために使用している主要なツールであるHive — — のソースコードおよび開発ログが公開され 、誰でも閲覧できるようになりました。 Hiveは、「CIAのさまざまなマルウェアが、盗み出した情報をCIAのサーバーに送信し、CIAのオペレーターから新たな指示を受け取るための、隠蔽された通信プラットフォーム」を提供しています。 Hiveは、標的となるコンピュータ上の複数のインプラントから情報を取得し、またそれらに情報を送信することで、複数の操作を同時に実行することができます。
この一連の出来事における最新の懸念すべき展開として、セキュリティ企業「 360Netlab 」の研究者らが、CIAの「Hive」プロジェクトの機能を流用した新たなバックドアを発見しました。
Hiveバックドアについて
360Netlab は、2022の終盤に不審なELFファイルを発見しました。 このファイルは、 F5 の脆弱性を悪用して拡散し、偽造されたカスペルスキーの証明書を使用してSSL経由で通信を行いました。
このサンプルについてさらに調査を行った結果、このサンプルはCIAから流出したHiveプロジェクトのサーバー用ソースコードを基に改変されたものであることが確認されました。 研究者たちは、このバックドア（あるいはその亜種）を「 “xdr33」と名付けました。
このバックドアの主な目的は、情報を収集し、将来的な攻撃のための足掛かりを確保することにあります。 その2つの主な役割は、ビーコンとトリガーです。
- ビーコンは、ハードコードされたビーコンのコマンド・アンド・コントロール（C2）に対して、デバイスに関する情報を定期的に報告し、そこから送信されるコマンドを実行します。
- トリガーは、トリガー C2のトラフィックを監視し、トリガー C2との通信を確立し、トリガー102から発行されたコマンドの実行を待ちます。
- 360Netlab 人の研究者は、xDR型33 may がすでに数回にわたる反復的な更新を経ていると見なしています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「ご関心のある方へ、 360Netlab’s レポートにはxdr33に関する詳細な技術情報が記載されています。 xdr33 の機能は必ずしも目新しいものではありませんが、360Netlabs では、「実環境においてCIA Hive攻撃キットの亜種を検知したのは今回が初めてである」と述べられています。
3。 イランの政府機関が、新たな「BackdoorDiplomacy」攻撃の波に襲われています
パロアルトのUnit 42 が最近発表したレポート『』では、「BackdoorDiplomacy」として知られる中国の脅威アクターによるものとされる、新たな攻撃の波について詳しく解説されています。
Unit 42 は、イラン政府のドメインが、以前この脅威アクターに関連付けられていたマルウェアのインフラストラクチャへの接続を試みているのを確認したと主張しています。
「BackdoorDiplomacy」について
BackdoorDiplomacy（別名： APT15、Vixen Panda、KeChang、NICKEL、Playful Taurus）は、サイバー諜報活動を行っていることが知られている、中国政府の支援を受ける高度な持続的脅威（APT）グループです。 このグループは、少なくとも 2010年以降活動していたとみられており、これまで北米、南米、アフリカ、中東において、北京当局が関心を寄せる政府機関や外交機関を標的にしてきました。
2021年半ば、 のESETは、「BackdoorDiplomacy」（ ）および、このAPTがアップグレードしたツールキットについて詳細な調査を行いました。当時、このツールキットには「Turian」と呼ばれる新しいバックドアが含まれていました。 Turianは現在も活発に開発が進められている模様であり、Unit 42 は、このツールがBackdoorDiplomacyという脅威アクターによって独占的に使用されていると考えています。 それ以来、このバックドアの新たな亜種に加え、新たなコマンド＆コントロール（C2）インフラも確認されています。
BackdoorDiplomacyのインフラストラクチャ
ドメイン「vpnkerio[.]com」は、以前は「 」として知られており、アフリカおよび中東の外交機関や通信会社を標的とした「BackdoorDiplomacy」キャンペーンの一環 として特定されていました。 このドメインおよび関連するサブドメインは、その後ホスティング先を変更し、さまざまな新しいIPアドレスを採用するようになりました。多くのサブドメインが単一のIPアドレスに解決されるようになっています。
あるIPアドレスを分析したところ、セネガル外務省に関連する、有効期限が切れたX.509 証明書が判明しました。 2021年4月 では証明書の有効期限が切れていますが、それでもなお、最近の関連インフラストラクチャに関連付けられています。
ユニット 42 は、この証明書に関連付けられているすべてのIPアドレスを詳細に調査した結果、この証明書はもともとセネガル政府の正規のインフラに関連付けられていたものだと考えています。 有効期限が切れた後、この証明書は9つの異なる（そして明らかにセネガル政府とは無関係の）IPアドレスに関連付けられていました。そのうち8つは、それぞれの時期に「BackdoorDiplomacy」のドメインをホストしていました。
ユニット 42 は、この悪意のあるインフラへの接続を監視し、2022年7月から12月の間に、4つのイランの組織が、悪意のあるIPアドレスの1つへの接続を試みていたことを確認しました。
有刺鉄線の内側
また、第 42’s ユニットの調査により、2019年5月から11月にかけてイラン外務省が所有していた、正規のドメインと思われるホストされたIPアドレスも判明しました。 このドメインも、他のイラン政府関連ドメインがホストされているネットブロック上に存在しており、これは同ドメインが実際にイラン政府に属していることを示唆しています。
ここで注目すべき点は、 2021年9月以降、このIPアドレスが、不審なドメイン「mfaantivirus[.]xyz」もホストしているということです。 この特定のアドレス空間でホストされている他の政府系サイトの正当性を考慮すると、xyzというTLDは少し奇妙に思えます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「BackdoorDiplomacyは、アップグレードされた『Turian』バックドアや新たな『 C2 』インフラストラクチャからも明らかなように、その戦術やツールを絶えず進化させ続けているようです。」
「ユニット 42が指摘しているように、ツールやインフラの強化は、BackdoorDiplomacyがサイバー諜報活動において引き続き成果を上げていることを示唆している可能性があります。」 また、Unit 42 は、このキャンペーンはイラン政府機関を標的としているように見えますが、「BackdoorDiplomacy」はこれまで、南北アメリカ、アフリカ、中東の各地域の組織に対しても同様のTTP（戦術・技術・手順）を用いてきたと指摘しています。
が提供する最新のサイバー脅威インテリジェンスに関するニュースを、まとめレポートのライブラリをご覧いただき、常に最新情報を入手してください。
