今週のまとめでは、CTIが、最近急増している経営幹部のクラウドアカウント乗っ取りの成功事例を取り上げています。 次は、現在医療業界を脅かしている「Rhysida」ランサムウェアの概要についてご説明します。 また、実環境で発見されたLOLKEKの新たなインスタンスや、このランサムウェアファミリーにおける最新の変更点についても取り上げています。
1. EvilProxyを用いたクラウド乗っ取りキャンペーンが、トップレベルの経営幹部を標的にしています
Proofpointによる新たな調査によると、 のクラウドアカウント乗っ取り事件の成功件数が最近増加しているとの警告が出されています。 （新しいタブで開きます） 主に上級幹部が被害を受けています。 現在、攻撃者は「EvilProxy」というフィッシングツールを使用して、 の多要素認証（MFA）で保護された認証情報 およびセッションクッキーを盗み出しています。
EvilProxyとは何ですか？
EvilProxyは、 2022年に登場したリバースプロキシ型のフィッシング・アズ・ア・サービス（Phishing-as-a-Service）プラットフォームです。 （新しいタブで開きます） この攻撃は、認証トークンを盗み出して多要素認証（MFA）を迂回できるとされており、技術力の低い攻撃者であってもオンラインアカウントを乗っ取ることが可能になるとされています。
MFAの導入が進むにつれ、このセキュリティ層を迂回することを目的として特別に設計されたフィッシングキットやツールが増加しています。 攻撃者は、EvilProxyのような「敵対者中間者（AitM）」型フィッシングキットをますます活用し、認証情報やセッションクッキーをリアルタイムで盗み出しています。
Proofpointのレポートにおける主な調査結果
3月上旬以来、Proofpointは、EvilProxyを利用してMicrosoft 365 のユーザーを標的とする、現在も継続中のハイブリッド型攻撃キャンペーンを監視しています。 このキャンペーンの展開の速さは驚くべきもので、3月から 2023年6月にかけて、世界中の数百の標的となった組織に対し、約 120,000 通のフィッシングメール（ ）が送信されました。
攻撃者は、以下のような注目すべき手法をいくつか用いました。具体的には：
- ブランドのなりすまし： このキャンペーンの送信元メールアドレスは、Concur Solutions、DocuSign、Adobe といった信頼できるサービスを装っていました。
- スキャンブロック： 攻撃者は、サイバーセキュリティスキャンボットに対する防御策を講じており、悪意のあるサイトの分析を困難にしていました。
- 多段階の感染経路： 攻撃者は、YouTubeを含む、公開されている正規のリダイレクターを経由してトラフィックをリダイレクトしました。 その後、悪意のあるクッキーや 404 リダイレクトなど、さらにいくつかの手順が続きました。
フェーズ1：EvilProxyの実動
攻撃者は当初、既知の信頼できるサービスを装い、なりすましメールを利用して、悪意のある「Microsoft 365 」フィッシングサイトへのリンクを含むフィッシングメールを送信しました。
DocuSign、Adobe Sign、およびConcurを装ったこれらのメールには、悪意のあるURLが含まれており、このURLをクリックすると、複数のリダイレクト、悪意のあるクッキー、そしてユーザーをEvilProxyフィッシングフレームワークへと誘導する 404 回のリダイレクトを含む、多段階の感染チェーンが開始されました。 ランディングページはリバースプロキシとして機能します。
このキャンペーンのリダイレクトページの一部を分析した際、Proofpointは、攻撃開始当初の段階で、このキャンペーンを他と一線を画す、些細ながらも重要な詳細を特定しました。 手がかりは、リダイレクト文字列にある小さなタイプミスでした。 攻撃者は、ユーザーをHTTPSページに転送する代わりに、誤って「hhttps」アドレスを指定してしまったため、リダイレクト処理が失敗しました。
この攻撃者は、自動スキャンツールからユーザーのメールアドレスを隠すために、特殊なエンコード手法を利用しました。 また、以前にハッキングされた正規のサイトを利用して、PHPコードをアップロードし、ユーザーのメールアドレスを復号化していました。 メールアドレスが復号されると、ユーザーは、標的となった組織向けに特別に作成されたフィッシングページである最終的なWebサイトにリダイレクトされます。
また、Proofpointは、特定の地域から複数のフィッシングページにアクセスした際、攻撃の流れに明らかな変化が見られることも確認しました。 トルコのIPアドレスから発信されたユーザートラフィックは、正規のウェブページに誘導されました。 もし意図的なものであるならば、このキャンペーンの背後にいる攻撃者はトルコを拠点としているか、あるいはトルコのユーザーを標的にすることを避けている可能性が示唆されます。
フェーズ 2：アカウントの乗っ取り
そのユーザーリストには、大手企業の最高経営責任者（Cレベル）や副社長など、多くの重要人物が含まれていました。
標的となったユーザーがフィッシングページを通じて認証情報を入力すると、攻撃者は数秒以内にそのユーザーのMicrosoft 365 アカウントにログインします。これは、このプロセスが自動化されていることを示しています。
フィッシングの罠にかかったすべてのユーザーに対して、脅威アクターがアクセスできたわけではありません。 この攻撃キャンペーンでは、攻撃者はVIPの標的のみを優先し、重要度の低い標的は無視しました。
この攻撃で被害を受けた数百人のユーザーのうち、約 39％がC級幹部でした。 このうち、 17％がCFOであり、 9％が社長およびCEOでした。 また、攻撃者たちは、下位管理職に対しても関心を示していました。
フェーズ 3：侵害後のエクスプロイト
アカウントへのアクセスに成功した後、攻撃者はクラウド環境内で持続的な存在を確立しました。 複数の事例において、攻撃者はMicrosoft 365 のネイティブアプリケーションを利用して、MFAの改ざんを行っていました。
「マイサインイン」機能を利用することで、攻撃者は永続化のために独自の多要素認証（MFA）方法を追加することができました。 これらの脅威アクターが好んで用いた認証方法は、通知機能と認証コードを備えた認証アプリでした。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「このキャンペーンは、管理職、役員、およびその他の『VIP』クラスの役職者を主な対象としています。」 「攻撃者は、これらの上級幹部に属さない、収集された認証情報を、わざわざ避けたり無視したりしているようです。」
「もちろん、攻撃者はこれらの他の認証情報を販売したり、悪質な活動を行ったりしている可能性があります。」 しかし、今回のキャンペーンに関しては、彼らはあまり興味がないようです。 この標的選定の手法は、組織内のあらゆる個人や、フィッシングページに認証情報を入力しようとする人なら誰でも標的にしようとする、多くの機会主義的なフィッシングキャンペーンとは異なります。」
2。 医療業界を標的とした新たなランサムウェア「Rhysida」の概要
トレンドマイクロの最新レポートでは、医療業界を標的として活発に活動しているランサムウェアの一種である「 Rhysida」（ （新しいタブで開きます））に焦点を当てています。 このニュースは、HHS保健セクターサイバーセキュリティ調整センター（HC3） が、新たなランサムウェアの亜種に関するセキュリティアラート （新しいタブで開きます） を公開してからわずか数日後に報じられたものです。
Rhysidaはサイバーセキュリティチームを装い、被害者に対し、ネットワークの脆弱性を特定する手助けを申し出ます。 以前は、教育、政府、製造、テクノロジー業界を標的としていたことで知られていましたが、その後、医療や公衆衛生関連の組織に対しても攻撃を行っています。
この変化は、ここ数年、医療業界で増加しているランサムウェア攻撃の件数と一致しています。 この作戦は、インドネシア、ドイツ、米国を含む世界中の組織を対象としています。
ライシダの攻撃コンボ
Rhysidaランサムウェアは通常、フィッシングの罠を通じて被害者のコンピュータに侵入し、その後Cobalt Strikeを利用して横方向の移動を行います。
トレンドマイクロは、脅威アクターがPsExecを実行して、PowerShellスクリプトとRhysidaランサムウェアのペイロードを展開していることを確認しました。 PowerShellスクリプトは、ウイルス対策関連のプロセスやサービスをすべて終了させ、シャドウコピーを削除し、RDPの設定を変更し、ADのパスワードを変更します。
このランサムウェアは、ファイルの暗号化に4096ビットのRSA鍵とAES-CTRを使用しています。 暗号化が正常に完了すると、ファイル名に「.rhysida」を付加し、「CriticalBreachDetected.pdf」というタイトルの身代金要求メッセージを配置します。
この身代金要求文は、Rhysidaサイバーセキュリティチームからの警告という形で提示され、被害者に情報漏洩を通知している点で、かなり異例のものとなっています。
Rhysidaの暗号化ルーチン
Rhysidaランサムウェアは、暗号化ルーチンを実装するために、オープンソースライブラリのLibTomCryptを使用しています。 LibTomCryptの擬似乱数生成器（PRNG）は、鍵および初期化ベクトルの生成に使用されます。
PRNGを初期化した後、Rhysidaは組み込みのRSA鍵を読み込み、ファイルの暗号化に使用するアルゴリズムを宣言します。 その後、暗号ハッシュ構築機能についてAESを登録・宣言する手順に進みます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「現在、Rhysidaランサムウェアを運営しているのが誰なのかについては、情報が限られています。」 興味深いことに、この脅威グループはサイバーセキュリティチームを装い、被害者にセキュリティ上の脆弱性を特定する手助けをすると申し出ています。 このグループが初めて登場した際、被害者向けのサポートチャットポータルが設けられており、まるで被害者たちに恩恵を与えているかのような印象を与えることで、彼らとの親近感をさらに深めていました。」
3。 LOLKEKランサムウェア：新たなサンプルと進化する手口
SentinelOneは最近、実環境においてLOLKEK（別名GlobeImposter）の新たな感染事例を発見し、このランサムウェアファミリーに見られる変化について指摘しました。 SentinelOne社は、 の新たなLOLKEKペイロードに関する調査結果を公開しました。 （新しいタブで開きます）。この調査では、新機能や戦略の変更点について詳しく解説されています。
LOLKEKは 2016年に初めて登場しました。 当時、「GlobeImposter」という名称は、このランサムウェアがGlobeランサムウェアの手口を模倣していたことを巧みに表現したものでした。
LOLKEKは、ある程度「既製のランサムウェア」と見なすことができます。 これは頻繁に変更され、スキルやリソースが限られている人々によって利用されています。 最近の事件では、要求された身代金は2,000ドル未満でしたが、これは「 Cl0P 」や「LockBit」といったグループが通常要求する金額に比べると、かなり低い水準です。
LOLKEKは、主に中小企業（SMB）および個人ユーザーを対象としています。 しかし、このランサムウェアが、より複雑で周到に計画された金融攻撃の一端を担った事例も存在します。
技術的な詳細
- SentinelOneの研究チームは、実環境において2つの新たなLOLKEKサンプルを特定しました。 これらのサンプルは、自身を「 W3CRYPTO LOCKER」と名乗り、被害者を新しいTor用被害者ポータルへと誘導しました。
- 2つの新しいサンプルはどちらも 2023年5月でコンパイルされましたが、完全に機能しているのはそのうちの1つだけのようです。 新しいLOLKEKペイロードが実行されると、ローカルで利用可能なドライブ（マウントされたネットワーク共有を含みます）を順次検出して暗号化します。
- また、ペイロードには、このランサムウェアの以前の亜種からの除外項目も含まれています。 これには、「Windows」、「System Volume Information」、および「ProgramData」フォルダが含まれます。 このペイロードは、ボリュームシャドウコピーを検出して削除できるようです。 しかし、サンプルの1つを動的に解析した際には、この挙動は見られませんでした。 サンプルコードには、VSS を削除するための WMIC 形式のコマンドが含まれています。 暗号化されたファイルには、拡張子「.MMM」が付きます。
- これらの暗号化されたファイルをさらに詳しく調査した結果、研究者たちは、これらを以前のLOLKEK/GlobeImposterの亜種と結びつける別の特徴を特定しました。 暗号化されたファイルには、以前のバージョンで見られたのと同じ「CRYPTO LOCKER」という文字列が含まれていました。
被害者向けポータルサイトと注意事項
LOLKEKの身代金要求メッセージは「ReadMe.txt」という名前で、暗号化されたファイルやデータが含まれるすべての場所に配置されます。 身代金要求メッセージは、以前の亜種とほぼ同じ内容です。 提供された .onion URI の末尾には、ランサムウェアの実行ごとに一意となる文字列が含まれています。
被害者には、Torの被害者ポータルにアクセスするよう指示され、そこでアカウントを作成して、攻撃者と非公開チャットを行う必要があります。 この新しいポータルは、このランサムウェア組織がこれまで運営してきた被害者向けポータルと機能的に同一です。
この攻撃者は、復号機能が正常に動作することを証明するため、小さなファイルであれば無料で復号できると述べています。 被害者がポータル内でチケットを作成すると、身代金の詳細が被害者のチャットを通じて直接通知されます。
LOLKEKのOPSEC上の失態
このキャンペーンの運営者は、Apacheの設定ミスに関する過去のキャンペーンと同様に、非常に似た手順、プロセス、およびテンプレートに従っています。 サーバーのステータスページは、Torの被害者ページで確認できます。 研究者たちは、このサーバーが 2023年5月23日 で公開されたことを突き止めました。これは、関連するサンプルがコンパイルされてからわずか数日後のことでした。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「LOLKEKランサムウェアは、変化の激しい脅威情勢の中で 2016 年以来生き残ってきたという点で、実に興味深いものです。」 「運営陣は今もなお、新たな戦略を模索するために懸命に取り組んでおり、時代に合わせて進化し続ける能力を証明しています。」
「LOLKEKの存在は、LockBitや Cl0pといった著名なランサムウェアグループがこの分野を席巻している一方で、規模は小さいものの粘り強い活動を続けるグループを見逃してはならないということを、改めて思い起こさせてくれます。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ および Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。
