今週のまとめでは、CTIが、進化を続け、脆弱性を悪用し続けている「Raspberry Robin」ワームに関する最新情報を提供しています。 続いて、CTIは、 UNC4990 として追跡されている金銭目的の脅威アクターについて調査を行います。このアクターは、さまざまなキャンペーンにおいて、初期アクセス手段としてUSBデバイスを使用していることが確認されています。 最後に、CTIは、パロアルトが『 2023』向けに発表した最新のランサムウェアに関する振り返りレポートを取り上げます。
1. 「Raspberry Robin」マルウェアは脆弱性を悪用します
Check Point Researchは、 の「Raspberry Robin」ワーム（ （新しいタブで開きます） ）が、2つの新たな1日目のローカル特権昇格エクスプロイトを、それらが一般に公開される前に悪用していることを確認しました。
Raspberry Robinは、脆弱性を悪用するだけでなく、以前のバージョンに基づく行動シグネチャによる検知を回避するため、そのTTPの多くを変更しています。
「ラズベリー・ロビン」とは何ですか？
- Raspberry Robin (新しいタブで開きます) は、通常、USBメモリを介して拡散するワームです。 このマルウェアは、msiexec.exe を利用して自身のインフラに接続し、悪意のある DLL をダウンロードします。
- ラズベリー・ロビンは 2021 年に初めて発見され、それ以来、そのTTPは進化を続けています。 これは、エコシステム全体にわたる他のマルウェアファミリーに対するIAB（初期アクセスブローカー）としての役割を果たしています。 このため、さまざまな脅威グループが「Raspberry Robin」と関連付けられてきました。
- チェック・ポイント・リサーチでは、10月以降、顧客を標的とした「Raspberry Robin」攻撃が相次いでいることを確認しています。 最も注目すべき点は、このマルウェアが、脆弱性が公表される前、あるいは公表直後に、さまざまなエクスプロイトを継続的に利用していることです。
- これまでの「Raspberry Robin」攻撃では、マルウェアはいくつかの異なる初期侵入経路を利用していましたが、最も一般的なものは、USBやネットワーク共有を装ったLNKファイルでした。
Raspberry Robin が脆弱性を悪用する方法
Raspberry Robin には権限昇格の手法が数多くありますが、その一つがカーネルのローカル権限昇格エクスプロイトの利用です。 これらのエクスプロイトは暗号化されて保存されており、デバイスがそれらのエクスプロイトに対して脆弱である場合にのみ利用されます。 より最近のサンプルでは、このマルウェアはカーネルエクスプロイトをcleanmgr.exeに注入し、メモリ上に常駐する独自のローダーを挿入して、実際にはエクスプロイトそのものである外部のPEファイルをロードします。
このマルウェアは最近、Microsoft Streaming Service Proxy に存在する脆弱性「 CVE-2023-36802 」を悪用し、これによりSYSTEM権限への昇格が可能となっていました。 この脆弱性に対するエクスプロイトが、 2023年2月 のダークウェブのフォーラムで販売されているのが確認されましたが、 2023年9月 になるまで、その存在は公表されず、修正パッチも適用されませんでした。 そのわずか数週間後、Raspberry Robinはこの脆弱性を悪用した攻撃を開始しました。
Raspberry Robinの最新アップデート
Raspberry Robinの全体的な流れは、ほぼ変更されていません。 このマルウェアの複数の段階は、独自の形式でメモリ内に格納されており、ペイロード自体を含め、すべての段階でコードが高度に難読化されています。 このマルウェアには、さまざまな段階でメインステージに移行すべきかどうかを判断するために使用される、いくつかの新しい解析回避手法が追加されています。
また、このマルウェアには、いくつかの新しい検知回避機能が追加されています：
- 最初の手法は、システムのシャットダウンが発生してもマルウェアが停止しないようにする、シャットダウン回避の手法です。
- 次は、被害者がリモートデスクトップを利用しているかどうかを単に確認するリモートデスクトップチェックです。
- 最後は、UWFフィルタードライバーが発生した場合に実行を停止する機能です。
このマルウェアは、横方向の移動ロジックをわずかに変更し、PsExec.exeの代わりにPAExec.exeを使用するように切り替えました。
最後に、ラズベリー・ロビンのコミュニケーション方法が変更されました。 これから、正規のTorドメインに接続を開始し、応答があるかどうかを確認します。 応答が得られない場合、実際の C2 台のサーバーとの通信を試みません。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
『 2023年1月』で、Raspberry Robin（ ）について初めて取り上げました。 それ以来、この脅威はここ1年ほどの間、依然として顕著な脅威として存在し続けており、その一因として、この脅威が急速に進化し、TTP（戦術・技術・手順）を変化させる能力があることが挙げられます。
Raspberry Robinは、特にまだ公に開示されていないものや、最近開示されたばかりのエクスプロイトなど、さまざまなエクスプロイトへと迅速に切り替え、対応を転換してきました。
彼らがこうしたエクスプロイトをどのようにして継続的に入手できているのかについては、依然として議論の余地があります。 彼らが自らそのエクスプロイトを開発した可能性もあれば、単にエクスプロイトを開発している人々とのつながりがあるだけかもしれません。 いずれにせよ、Raspberry Robinはその適応力を絶えず証明してきました。
2。 ハッカーは、ニュースやメディアのホスティングサイトを利用して、USBマルウェアのペイロードを拡散させています
金銭を目的とした脅威アクター（ UNC4990 （新しいタブで開きます） ）が、初期アクセス手段としてUSBデバイスを利用する攻撃キャンペーンに関与していることが確認されました。
この脅威アクターは、GitHub、Vimeo、Ars Technicaといった正当なプラットフォームを悪用し、無害なコンテンツに埋め込まれた暗号化されたペイロードをホストしています。 また、この脅威アクターは、技術系ニュースサイトのフォーラムのユーザープロフィールや、動画共有プラットフォームの動画説明欄にペイロードを配置することで、目立つ場所に隠しています。
「 UNC4990」とは何ですか？
UNC4990 (新しいタブで開きます) は、Mandiant により、主に USB デバイスを初期アクセス手段として利用する攻撃主体として追跡されています。
この脅威アクターは最近、少なくとも 2020年から続いているとみられるキャンペーンを展開しています。 攻撃者は、初期アクセスにUSBデバイスを利用するだけでなく、そのTTPを絶えず進化させており、現在では、広く利用されている正規のプラットフォーム上にペイロードをホストする方向へと移行しています。
初回アクセス
前述の通り、この脅威アクターは、初期アクセス手段としてUSBデバイスを利用します。 マンディアット社の調査によると、感染は、被害者がリムーバブルUSBデバイス上の悪意のあるLNKショートカットファイルをダブルクリックしたことから始まったことが確認されました。
このLNKファイルの名前は、通常、デバイスのベンダー名に、括弧内にストレージ容量が記載されたものでした。 この名前は、より信頼性が高く見えるように、Microsoft Windowsのデフォルトアイコンと組み合わせて使用されました。 ファイルをクリックすると、PowerShellスクリプト「explorer.ps1」が実行されます。
PowerShell スクリプトについて
研究者らは、 のこの PowerShell スクリプト の複数のバージョンが確認されました。 このスクリプトは、追加のペイロード（多くの場合、EMPTYSPACEダウンローダーでした）のダウンロードと復号化を行う役割を担っています。
一部のバリエーションでは、GitHub上でホストされた中間段階を経て、スクリプトが更新されました。 PowerShellスクリプトの最近の亜種は、リバース Base64 エンコードされた文字列としてメモリに読み込まれていました。
EMPTYSPACEダウンローダーのダウンロードが完了すると、PowerShellスクリプトはループ処理でpython.exeの存在を確認し、python.exeが存在しない場合は1秒ごとに新しくダウンロードされたマルウェアを実行します。
UNC4990 の合法的なプラットフォームへの転換
この脅威アクターは、 2023年のある時点で、ペイロードのホスティング先をGitHubからVimeoへと切り替えました。 Vimeoでは、 2023年3月にVimeoにアップロードされたピンク・フロイドの動画の説明欄に、エンコードされたペイロードが含まれています。 このスクリプトは、特定区切り文字の間にペイロードが含まれているVimeoのJSONブロブを取得します。 このペイロードは、実行される前に復号されます。
2023年11月において、攻撃者は「 C2」に関連して、再び攻撃の矛先を変えました。 Vimeoの動画が正式に削除されると、攻撃者は「Ars Technica」という技術ニュースサイトを利用し始めました。
スクリプト「explorer.ps1」が更新され、Ars Technicaのサイトへの固定URLが組み込まれました。 Ars Technica に対しても、Vimeo と同じ手法が用いられましたが、主な違いは、エンコードされたデータが、特定のユーザープロフィールの「about」セクション内の画像 URL に追加されたという点です。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンは、脅威アクターが検知を回避し、目立たずに活動するための新たな手法を模索していることを示す、もう一つの例です。
このキャンペーンでは、GitHubやVimeo、テクノロジー系ニュースサイトなど、ユーザーがアクセスしても通常は不審に思われないような正当なプラットフォームを特に活用しています。 正当なサイトやコンテンツにペイロードを埋め込む手法を用いることで、脅威アクターは正当なトラフィックに紛れ込み、検知を困難にすることができます。
マンディアント社はこの攻撃キャンペーンが数か月にわたって変化していく様子を観察していたため、この脅威アクターが近い将来、そのTTPをさらに進化させていくとしても、驚くことではないでしょう。
3。 パロアルト市によると、ランサムウェアの被害件数が 49％増加したとのことです
パロアルトは、「 」ランサムウェアに関する事後分析レポートを公開しました。 （新しいタブで開きます） for 2023。 重要なポイントは、ランサムウェアのリークサイトが報じているように、昨年のランサムウェア被害者数が 49％増加したということです。
重大な脆弱性
パロアルト社は、身代金要求関連のリークサイトで 3,998 件の投稿を特定しましたが、2022 件のうちわずか2,679 件にとどまっていました（49％の増加）。
彼らは、この大幅な増加の原因を、年間を通じて多数発見されたゼロデイ攻撃にあると指摘しています。 主な貢献事例としては、GoAnywhereの脆弱性やMOVEitの脆弱性などが挙げられます。
ランサムウェアの新規参入者
パロアルト市は、 2023 カ所のうち25 カ所の新たな漏水箇所を特定しました。その内訳は以下の通りです：
- 8Base
- アビス
- アキラ
- BlackSuit
- サボテン
- CiphBit
- クローク
- クロスロック
- CryptNet
- サイクロプス
- ダークレース
- ハンターズ・インターナショナル
- INC
- ナイト
- LostTrust
- NoEscape
- ニャー
- マネー・メッセージ
- RAグループ
- ランコズ
- Rasomed.Vc
- Rhysida
- ThreeAM
- トリゴナ
- U爆弾
この 25 人の新規参加者のうち、少なくとも5人は2023 年の後半に投稿が一切見られず、およそ12 人はその年の後半になるまで一度も姿を見せませんでした。 これらの新規ランサムウェアは、 2023件のランサムウェア関連投稿のうち、約 25％を占めました。
活動停止
2023年のどこかの時点で、いくつかのランサムウェア組織が活動を停止したようです。 活動が停止した理由としては、法執行機関による摘発、インフラの差し押さえ、および主要人物の逮捕などが挙げられます。
2023 年の間に活動を停止したと思われるグループには、Hive、Ragnar Locker、Ransomed.Vc、Trigonaなどが挙げられます。
統計
- LockBitは、 2023において最も活発なグループであることが判明し、リークサイトへの投稿総数の約 23％を占めていました。
- LockBitに続き、BlackCatが 9.7％、 CL0P が9.1％となりました。
- 年間を通じて、週平均で約 77 件の投稿があり、MOVEitの脆弱性の影響により、7月が最も投稿数が多かった月となりました。
- 2023 年において、製造業は最も標的とされた業種であり、投稿総数の14％を占めました。 これに続いて、専門職・法務分野、そしてテクノロジー分野が続きました。
- 米国は、投稿の約 47％を占め、最も標的とされた地域でした。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
パロアルト社の分析からは、検討すべき点が数多くあります。 全体的な傾向として、ランサムウェアグループの興亡がある中でも、ランサムウェアの被害は増加の一途をたどっています。
彼らの研究における重要な点は、ゼロデイ攻撃や重大な脆弱性を標的とした攻撃が、ランサムウェアの情勢にどれほど影響を与えたかという点です。 このデータは興味深いものです。なぜなら、脆弱性の影響はランサムウェア攻撃だけにとどまらず、はるかに広範囲に及ぶからです。しかし、サイバー脅威の全体像におけるある側面に対して、それがどれほどの影響を与えているのか、今や理解できるようになりました。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、の最近のサイバー脅威インテリジェンスまとめ記事をご覧ください。
