メインコンテンツへスキップ
CTIまとめ：脅威アクターがバックドア攻撃に自己解凍（SFX）アーカイブを使用
新たな課題

CTIまとめ：脅威アクターがバックドア攻撃に自己解凍（SFX）アーカイブを使用

新たなSFXエクスプロイトにより、検知されにくいバックドア攻撃が可能となり、ALPHVランサムウェアのアフィリエイトがVeritas Backup Execを標的にしており、CTIはRorschachランサムウェアの出現を追跡しています

今週、CTIでは、悪意のある自己解凍型（SFX）アーカイブを使用してバックドア攻撃を仕掛ける脅威アクターに関するCrowdStrikeのレポートについて、詳しく掘り下げていきます。 続いて、CTIは、ALPHV/BlackCatランサムウェアの関連グループが、3つの既知のVeritas Backupの脆弱性を悪用して標的のネットワークにアクセスしている様子を明らかにした、Mandiantのレポートについて検証します。 最後に、CTIは、これまで名称が公表されていなかったランサムウェアの亜種（現在は「Rorschach」と名付けられています）が、米国に拠点を置く企業に対して使用された最近の攻撃事例を紹介し、本稿を締めくくります。

1. ハッカーは、自己解凍型（SFX）アーカイブを悪用して、目立たないバックドア攻撃を仕掛けています

CrowdStrikeによる最近の調査結果によると、正体不明の脅威アクターが、 の悪意のある自己解凍型（SFX）アーカイブ (新しいタブで開きます) を利用して、プライベートネットワークへの持続的なバックドアアクセスを獲得していることが明らかになりました。 また、このアーカイブには、検知を回避するための無害なおとりファイルも含まれています。

SFXアーカイブとは何ですか？

自己解凍型アーカイブとは、WinRARや7-Zipなどの圧縮ソフトを使って作成された実行ファイルのことです。 これらには、アーカイブされたデータと、それを解凍するために必要なコードが含まれています。

  • 研究者からは、受信者や技術的な検知手段では必ずしも認識できない、隠された悪意のある機能が組み込まれたSFXアーカイブファイルを悪用する脅威アクターが確認されたという報告が、ますます増えています。
  • このファイルの実行部分は「デコムプレッサー・スタブ」と呼ばれており、標準的なアーカイブファイルを解凍・閲覧するためのソフトウェアを持っていない相手と、圧縮ファイルを共有するためのツールです。
  • SFXアーカイブを作成できる代表的なソフトウェアとして、WinRARと7-Zipの2つが挙げられます。 どちらも特定の種類のデコンプレッサ・スタブを使用しており、いずれも脅威アクターによって悪用される可能性のある機能を備えています。
  • SFXアーカイブには、場合によってはパスワードが設定されていることがあります。 これらは、ビジネス環境において活用される可能性が高く、そこでは市販の製品を使用してファイルが暗号化されているため、ファイルにアクセスするにはパスワードが必要となります。 このファイル保護の手法は、侵入を容易にするためにしばしば利用されます。

Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント

「CrowdStrikeは、パスワードで保護されていたり、無害なファイルを含んでいたりするSFXアーカイブの複数の悪意のあるサンプルを分析しましたが、これらのサンプルはWinRARのセットアップパラメータを利用して悪意のある実行を行っていました。」 同社の分析によると、これらのサンプルは検出率が比較的低かったことが判明し、幅広いセキュリティツールを回避できる能力が浮き彫りになりました。」

「SFXファイルが攻撃に悪用されたのは、今回が初めてではありません。」 昨年末、カスペルスキーは、パスワードで保護されたSFXファイルへのリンクを利用して「RedLine」ステラーを自動的に拡散させるマルウェアキャンペーンを分析しました。 とはいえ、CrowdStrike社は、SFXアーカイブの悪用は、近い将来も続く可能性が高い傾向であると考えています。」

2。 ALPHVランサムウェアは、初期アクセスを得るためにVeritas Backup Execの脆弱性を悪用しています

Mandiantは最近、ALPHV/BlackCatランサムウェアの関連グループが、 の「Veritas Backup （新しいタブで開きます） 」製品に存在する3つの脆弱性を積極的に悪用し、標的となるネットワークへの初期アクセス権を取得していることを確認しました。

ALPHVランサムウェアの活動（マンディアント社が「 UNC4466 」と呼んでいるもの）——は、 2021年12月 （新しいタブで開きます）で確認されており、法執行機関の圧力から逃れるために突然活動を停止した「Darkside」および「Blackmatter」プログラムの元メンバーによって運営されていると考えられています。 前述の2つのランサムウェア攻撃は、いずれも重要インフラや医療機関を標的としていたことが知られていましたが、ALPHVもこの傾向をしっかりと受け継いでいるようです。 （新しいタブで開きます）

2021年3月、ベリタスは、のセキュリティアドバイザリ （新しいタブで開きます）を公開し、Veritas Backup Exec 16.x、 20.x、および 21.x に存在する3つの重大な脆弱性について詳述しました。 当時、Veritas社は、この脆弱性に対する既知のエクスプロイトが実環境に出回っていることを明らかにしました。

セキュリティ上の不具合は、以下の通りです：

1. Veritas Backup Exec では、SHA 認証方式を悪用することで、攻撃者が BE エージェントに不正にアクセスできる可能性があります。

2。 Veritas Backup Exec では、SHA 認証方式を悪用することで、攻撃者が BE エージェントに不正にアクセスできる可能性があります。

3。 Veritas Backup Exec Agent には、攻撃者がデータ管理プロトコルのコマンドを利用して、BE Agent が動作しているマシン上で任意のコマンドを実行できる可能性があります。

Veritasは、バージョン 21.2で修正プログラムをリリースしたと報じられています。 しかし、マンディアント社によると、「ある商用インターネットスキャンサービスにより、現在インターネットに公開されているVeritas Backup Execのインスタンスが 8,500 件以上確認され、その一部は依然としてパッチが適用されておらず、脆弱な状態にある可能性があります」とのことです。

BleepingComputerによると、これらの脆弱性を悪用するために設計されたMetasploitモジュールが、 2022年9月に一般に公開されたとのことです。 このコードにより、攻撃者はセッションを確立し、侵害されたエンドポイントと通信することが可能になります。

UNC4466 は、この特定のモジュールが利用可能になってから1か月後に、その使用を開始したとされています。

ALPHVランサムウェア攻撃の詳細

  • UNC4466 はまず、一般に公開されているMetasploitモジュールを使用して、Veritas Backup Execを実行しているインターネットに公開されたWindowsサーバーへの侵入に成功しました。
  • UNC4466 はこの方法でホストへの持続的なアクセスを維持し、最初の侵入に成功した後、「Advanced IP Scanner」および「ADRecon」というユーティリティを活用して、被害者の環境に関する情報を収集しました。
  • その後、UNC4466 は、Background Intelligent Transfer Service（BITS）を介して、Lazagne、Ligolo、WinSW、RClone、そして最終的にはALPHVランサムウェアの暗号化モジュールを含む追加のツールを、侵害されたホストにダウンロードしているのが確認されました。
  • コマンド＆コントロールサーバーとの通信を維持するため、 UNC4466 はSOCKS5 トンネリングプロトコルを活用しました。 これに加え、BITSを介した他のツールのダウンロードや、ランサムウェアのペイロードの展開は、デフォルトのドメインポリシーに即時タスクを追加し、セキュリティソフトウェアを無効化し、暗号化プログラムを実行することで行われました。
  • 権限を昇格させるため、 UNC4466 はMimikatz、LaZagne、Nanodumpを利用して、有効なユーザー認証情報を盗み出しました。
  • 最後に、この攻撃者は、イベントログを消去し、Microsoft Defenderのリアルタイム監視機能を無効化することで、検知を回避しました。

Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント

「マンディアントが、このALPHVの関連グループが既知の脆弱性を狙った機会主義的な攻撃を行っていることを確認する以前、マンディアントが調査したALPHVによる侵入のほとんどは、盗まれた認証情報に起因するものでした。これは、この関連グループの手法に変化が生じている可能性を示唆しており、ALPHVが従来採用してきたTTPからの転換を意味しています。」

「セキュリティ研究者たちは、ランサムウェア攻撃を受けた後の復旧を可能にし、ダウンタイムを最小限に抑えるために、適切なバックアップを維持することの重要性を常に強調してきました。」 残念ながら、この事例は、バックアップユーティリティにパッチを適用せず、インターネットにさらされたままにしておくと、どのような事態を招きかねないかを改めて思い知らせてくれるものです。」

3。 「Rorschach」ランサムウェアが出現し、専門家らが高度な検知回避戦略について警告を発しています

Check Point Researchは、これまで名称が明らかになっていなかったランサムウェアの亜種—— （現在は「Rorschach」と命名されています） （新しいタブで開きます） ——を発見しました。このランサムウェアは、高速な暗号化速度に加え、ダイレクトシステムコールの使用など、独自の技術的構成要素や手法を特徴としています。

チェック・ポイントは、米国に拠点を置く企業を標的としたランサムウェア事件への対応中に、Rorschachを発見しました。 これまでに確認された他の多くのランサムウェア事例とは異なり、この脅威アクターは偽名を使って身元を隠そうとはせず、また、既知のランサムウェアグループのいずれとも関連があるようには見えませんでした。

このランサムウェアをさらに詳しく調査したところ、いくつかのかなりユニークな特徴が明らかになりました。

  • このランサムウェアは部分的に自律的であり、ドメインコントローラー（DC）上で実行されると自動的に拡散します。
  • また、このランサムウェアは極めて柔軟性が高いことも判明しており、いくつかのオプション引数に基づいて動作し、操作者のニーズに応じて挙動を変えることが可能でした。
  • Rorschachは、ランサムウェアのファミリーではあまり見られない、直接的なシステムコールを利用しています。

研究者がロールシャッハについて把握していること

実行フロー

Rorschachの実行には、3つのファイルが使用されます：

  1. Cy[.]exe：パロアルトのCortex XDRダンプサービスツール――winutils[.]dllをサイドロードするために悪用されています。
  2. Winutils[.]dll：圧縮されたRorschachローダーおよびインジェクター――ランサムウェアの復号およびインジェクションに使用されます。
  3. Config[.]ini：Encrypted Rorschachランサムウェア – すべてのロジックと設定が含まれています。

cy[.]exe が実行されると、winutils[.]dll がメモリに読み込まれ、cy[.]exe のコンテキストで実行されます。 その後、Rorschachのメインペイロードであるconfig[.]iniも同様にメモリに読み込まれます。 復号化された後、メモ帳に挿入され、そこでランサムウェアの処理が開始されます。

回避戦術

このランサムウェアは、かなり珍しい方法でプロセスを生成し、それらをSUSPENDモードで実行するとともに、偽の引数を渡すことで、分析や対策の実施を困難にしています。 この偽造された引数は、実際の引数の長さに基づいて、数字「 “1” 」が繰り返し並んだ文字列で構成されています。 メモリ上で書き換えられ、実際の引数に置き換えられます。

また、あらかじめ定義されたサービスを停止させようとしたり、正規のWindowsツールを使用してシャドウボリュームやバックアップを削除したり、Windowsのイベントログを消去したり、Windowsファイアウォールを無効にしたりします。

自己伝播

Windows PC上でランサムウェアが実行されると、自動的にグループポリシーが作成され、ドメイン内の他のマシンへと拡散します。

そのために、そのファイルをドメインコントローラーの「scripts」フォルダにコピーし、元の場所からそのファイルを削除します。 次に、ドメイン内のすべてのワークステーションの %Public% フォルダに自身をコピーするグループポリシーを作成します。 その後、タスクキル[.]exe を実行するスケジュールされたタスクを通じて、特定のプロセスを強制終了するための別のグループポリシーを作成します。 最後に、ユーザーがログオンした直後に実行されるスケジュールされたタスクを登録するためのグループポリシーをもう1つ作成します。

Rorschachが他のランサムウェアとどのように似ているか

前述のロルシャッハのハイブリッド暗号化方式は、Babukランサムウェアの流出したソースコードから流用されたものとみられています。

Babukから得た着想は、プロセスやサービスの停止など、さまざまな処理に見られます。 サービス制御マネージャーを通じてサービスを停止するために使用されたコードは、Babukのソースコードからそのままコピーされたもののようです。 同様に、Rorschachの構成において停止される予定のサービスの一覧は、Babukのソースコードから流出したものと 1:1 で一致しています。

Rorschachは、LockBitからも着想を得ています。 このマルウェアを阻止するために使用される言語の一覧は、LockBit v2.0 のリストと同一です。 Rorschachにおける暗号化されたファイルの最終的なファイル名変更も、LockBit v2.0 とまったく同じ方法で実装されています。

Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント

「Rorschachは、かつてオンライン上でソースコードが流出したランサムウェアのファミリーから、多くの特徴を取り入れているようです。」 「開発者たちは、さまざまな機能を厳選して組み合わせ、流出したランサムウェアの亜種が持つ優れた機能をすべて備えた、新しく複雑なランサムウェアを作成したようです。」

「Rorschachは、グループポリシーを介した自己増殖機能により、手動による操作をほとんど、あるいはまったく必要とせずに急速に拡散することができます。」 その高速な暗号化速度は印象的ですが、最近の研究によると、ランサムウェアの攻撃者が暗号化から離れ、暗号化を一切行わない純粋な恐喝へと移行し始めていることが指摘されていることを考えると、暗号化の改良にこれほど力を入れるのは不釣り合いに思えます。

「ロルシャッハもまた、暗号化から距離を置き始めるのか、それともその機能において十分に独自性があり、絶えず変化する脅威の状況下でも生き残り、成功し続けることができるのかは、時が経てば明らかになるでしょう。」

さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。