ホーム » サイバー犯罪 » ランサムウェア

ランサムウェアビジネスに新たに採用された「フランチャイズ」方式を解説

投稿日:2021年11月2日
脅威カテゴリ:ランサムウェア, 攻撃手法
執筆:Senior Threat Researcher - Fernando Mercês

トレンドマイクロは、ランサムウェアグループ「XingLocker Team」の活動を調査するなかで、フランチャイズ事業にヒントを得たと見られる比較的新しく興味深い「ビジネスモデル」を発見しました。具体的には、「RaaS」と呼ばれるランサムウェアサービス（Ransomware as a Service）を利用する攻撃者が、RaaSで提供されたランサムウェアをそのまま使用するのではなく、そのランサムウェアを展開する前にリブランディングします。ランサムウェアを使用する攻撃者たちは創意工夫を凝らして身代金を獲得するためのビジネスを展開することで知られており、標的とする企業や組織がランサムウェアに対して対策を行うセキュリティソリューションを採用するにつれて、さらに高度化し続けます。

「XingLocker」は、Windowsシステムを標的とするランサムウェアファミリの1つです。XingLockerは、ランサムウェア「Mount Locker」がリブランディングされたものです。そのランサムノートでは、オリジナルのMount Lockerとは異なるOnionサービス（匿名ネットワークTorを介してのみアクセスできる匿名性の保たれたサイト）が被害者に示されています。

図1：XingLockerの被害者向け「サポート」ページ
ランサムノート上のリンクをクリックした場合に表示される

(さらに…)

ランサムウェア「Cring」の攻撃手法を解説

本ブログでは、ランサムウェア「Cring」の攻撃が国内で拡大する状況であったことを、2021年5月の記事でお伝えしました。その際のCringの攻撃活動では初期アクセスを取得するために、安全性の低いリモートデスクトップ（RDP）機能、または仮想プライベートネットワーク（VPN）の脆弱性が悪用されていました。そして今回、CringはWebアプリケーションサーバ「Adobe ColdFusion 9」（11年前のバージョン）に内在する脆弱性を突く攻撃に用いられた脅威として再び注目されており、トレンドマイクロでもその攻撃を確認しました。本ブログ記事では、Cringの攻撃手法で用いられている技術および最も被害を受けている地域・業界について報告いたします。トレンドマイクロ製品では、Cring本体の実行ファイルを「Ransom.Win32.CRING.C」などとして、C#ベースで作成されたCringの検体を「Ransom.MSIL.CRYNG.A」などとして検出します。

■ Cring攻撃で用いられる技術

図1：Cring攻撃の感染チェーン

(さらに…)

「侵入を前提」としたランサムウェア攻撃：2021年上半期の脅威動向を分析

トレンドマイクロでは2021年上半期（1~6月）における国内外での脅威動向について分析を行いました。2020年から続く新型コロナウイルス（COVID-19）のパンデミックは2021年に入っても大きな影響を与え続けています。このコロナ禍の状況において起こっている「テレワーク推進」と「クラウド化」という組織ネットワークの変化の加速を、サイバー犯罪者は「利用」しているかのように見えます。

組織のネットワークへ侵入し気づかれぬように内部活動を行う標的型攻撃の手法は、ランサムウェア攻撃においても常套手段化しています。この6ヶ月の間に、ランサムウェアグループは米国の大手ガス供給会社を操業停止させ、米国東海岸の半分が燃料不足に陥るという事件が発生しました。また、他のランサムウェアの攻撃者は、二重恐喝の手口を用いて企業から100万ドルの支払いを得ました。ランサムウェアの甚大な被害を防ぐには、ランサムウェアを展開される前にネットワーク内で発生している不審な活動を可視化し、適切な対応を迅速に行う必要があります。

図：ランサムウェアの暴露サイト上で確認した暴露投稿とそのうちの日本企業関連投稿の件数推移
（トレンドマイクロ調べ)

(さらに…)

ランサムウェア攻撃で悪用された正規ツールを解説

セキュリティリサーチやシステムの運用管理、ペネトレーションテスト（侵入テスト）などの正当な目的で使用される様々な正規ツールがあります。しかし、昨今ではサイバー犯罪者たちはそれらをランサムウェア攻撃に悪用しています。現在では、正規ツールはランサムウェア攻撃を行う際の典型的な構成要素となっています。

サイバー犯罪者にとって、ランサムウェア攻撃で正規ツールを使用すると都合が良い理由はいくつかあります。まず、正規ツール自体は不正なものではないため、セキュリティソリューションによる検出を回避できる可能性があります。次に、ほとんどのツールがオープンソースであり、誰もが無料でアクセスして使用できる点です。そして、ツールの機能が優れており、セキュリティリサーチャだけでなくサイバー犯罪者にとっても有用性が高い点です。これらの要因によって、図らずも正規ツールを諸刃の剣へと変化させています。

この記事では、悪用されることが多い正規ツールであるCobalt Strike、PsExec、Mimikatz、Process Hacker、AdFind、MegaSyncについて解説します。

(さらに…)

Chaosランサムウェア：潜在的に危険なアプリケーションに付随する概念実証（PoC）

2021年6月以降、トレンドマイクロでは「Chaos」と呼ばれる開発中のランサムウェアビルダーを監視しています。これは、あるアンダーグラウンドのフォーラムでテスト用に提供されており、バージョン1.0ではRyukの.NETバージョンを名乗っていましたが、そのサンプルをよく調べてみると昨今の悪名高いランサムウェアとの共通点はあまりないことがよくわかります。事実、現在のChaosは4代目ですが、それ以前のバージョンはランサムウェアというよりも破壊活動を行うトロイの木馬と言うべき活動内容でした。

本ブログ記事では、Chaosランサムウェアビルダーの特徴および世代が更新されるごとにどのような能力が新たに付加されているかを解説します。

(さらに…)

Trend Micro Vision One™による「Cobalt Strike」の調査を解説

2021年5月下旬、トレンドマイクロの「Managed XDR」は、お客様のエンドポイントにおいて注目すべき「Trend Micro Vision One™（以下、Vison One）」のアラートを通知しました。その後、他の類似した感染端末でもCobalt Strikeの検出が確認されたため、詳細な調査を実施しました。

この記事では、今回の調査で実施した戦術および手順を説明します。今回の事例では、あるエンドポイントからのアラートをきっかけにして、さらに他の感染端末のエンドポイントを示す証拠や手がかりを収集することで、最終的に攻撃元を明らかにしました。

Cobalt Strikeは商用のペネトレーションテストツールですが、近年の標的型攻撃においてそのRAT機能が悪用される事例が目立っており、「Ryuk」、「DoppelPaymer」、「Povlsomware」などのランサムウェア攻撃でも悪用事例が確認されています。この記事では今回の調査事例を元に、Cobalt Strikeを悪用するこれらのランサムウェア攻撃の被害を阻止および除去するために必要な痕跡解明の手順を解説します。

図1：被害を受けた環境でのCobalt Strikeによる活動のマッピング

(さらに…)