ロイヤルランサムウェアが活動を急速に激化させています。リークサイトではわずか2カ月間で約60件の被害組織を公表し、Qbot、Cobalt Strike、迅速な水平移動、二重恐喝を組み合わせた攻撃的かつ多段階のTTP(戦術・技術・手順)を用いています。
ロイヤルは2022年初頭に登場し、瞬く間に企業を標的とする有力なランサムウェア集団の一つへと成長しました。重要インフラを含む複数の分野の組織を継続的に攻撃しています。
同グループのTorリークサイトを分析したところ、2022年11月から12月だけで約60件の被害組織が掲載されており、この短期間で侵害の成功件数が急激に増加していることが分かります。
インシデント対応担当者によれば、被害を受けた組織のすべてがリークサイトに掲載されるわけではないため、この期間の実際の被害件数はさらに多い可能性が高いとしています。
ロイヤルは典型的な二重恐喝モデルに従っており、データの暗号化とデータ窃取、さらに公開による恥辱的圧力を組み合わせることで、被害者に身代金支払いを迫る圧力を高めています。
身代金要求額は、ロイヤルの場合、数十万ドルから数百万ドルに及ぶことが一般的で、交渉は暗号化されたシステム全体に投下されるREADME.txtの身代金要求メモに記載されたTorベースのポータルを通じて行われます。
ロイヤルの攻撃チェーンは、多くの場合、Qbot、IcedID、またはその他のローダーといった初期侵入用マルウェアを配布するフィッシングメールやスピアフィッシングメールから始まります。
観測された事例では、スピアフィッシングの添付ファイルやHTMLスマグリング手法を用いて、ISOイメージと隠しペイロードを含むパスワード保護されたアーカイブが配布されます。このペイロードはLNKファイル経由で起動され、最終的に被害端末上でQbotが実行されます。
初期アクセスが確立されると、攻撃者はWindowsコマンドシェルとエンコードされたPowerShellを利用してCobalt Strikeビーコンを配置・実行し、侵害したシステムへの対話的な制御を得ます。
永続化のため、ロイヤルの関係者はQbotのDLLをレジストリの実行キーに追加するとともに、複数のシステムにCobalt StrikeをWindowsサービスとしてインストールし、再起動や基本的な修復対応後もアクセスを維持できるようにしています。
攻撃者はドメインアカウントや特権クレデンシャルを、パスザハッシュなどの手法を含めて盛んに悪用し、SMBやC$などの管理共有を経由して水平移動を行います。
アカウント、ドメイン信頼関係、ネットワーク共有の探索には、PowerSploit、AdFind、Windows標準ツールがよく使われ、大規模な暗号化の前に環境を素早くマッピングします。
防御を回避するため、ロイヤルの攻撃者は正規のWindowsプロセスへのプロセスインジェクションやPowerShellの多用に加え、既定のスケジュールタスクを悪用して昇格権限でPowerShellを起動する注目すべきUACバイパス手法にも依存しています。
また、QbotとCobalt Strike用のHTTPSやピアツーピア通信用のSMB名前付きパイプなど、複数のバックドアとC2チャネルを使用しています。
最終段階を発動する前に、データはDropboxやMegaといったクラウドストレージサービスへ窃取されます。これにより、被害者がバックアップからの復旧を試みても、その後の恐喝の脅しが可能になるとInvictusは述べています。
ロイヤルの攻撃者はステルス性よりも速度を重視しており、初期アクセスからドメイン全体の侵害まで圧縮されたタイムラインで進めることが多いため、事前の検知と厳密な監視が不可欠となります。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めて対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/royal-ransomware-attack-surge/