サイバー犯罪者は現在、ワークステーション、Linuxサーバー、企業の仮想インフラを同時に攻撃できる独自ツールを保有しています。ハッカーはすでに新型ランサムウェア「GenieLocker」をロシアの組織に対して展開しています。さらに、産業企業が頻繁にこの破壊的な攻撃の被害に遭っています。このマルウェアは仮想マシンを効果的に停止させることができます。その後、ドライブを暗号化し、アクセス可能なネットワーク共有上のファイルもロックします。
Toy Ghoulsグループが独自マルウェアを展開
Kasperskyの専門家は、GenieLockerを金銭目的のToy Ghoulsグループと関連付けています。セキュリティ研究者はこの集団を、Bearlyfy、Labubu、Laboo.booという名称でも追跡しています。これまで、この犯罪グループはRedAlert、LockBit、Babukといったサードパーティ製ランサムウェアを利用してきました。しかし現在は、Windows、Linux、VMware ESXiハイパーバイザー向けに独自開発したツールを使用しています。この転換により、外部のマルウェア開発者への依存が大幅に減少しました。また、多様なプラットフォームにわたる統一的な暗号化メカニズムも実現しています。この進化に関する詳細な知見は、最新のGenieLocker ransomware for Windows, Linux, and ESXiのレポートで報告されています。
信頼された接続を悪用したネットワークアクセス
研究者たちは2026年3月からGenieLockerの活動を継続的に追跡しています。3月下旬に発生した注目すべき侵害事例では、攻撃者が外部パートナーのOpenVPN接続を介して企業ネットワークに侵入しました。専門家は、このグループが企業間に存在する既存の信頼関係を悪用したと見ています。さらに、有効なまま残っていた盗難認証情報も利用したとみられます。
足場の確立と認証情報の窃取
初期侵入の後、侵入者はOpenSSHとプロキシサーバーをインストールしました。また、SoftPerfect Network ScannerとMimikatzツールも展開しています。このスキャナーは、内部インフラを徹底的にマッピングするのに役立ちました。一方、攻撃者はMimikatzを使ってパスワードや重要な認証情報を抽出しました。さらに、複数の侵害されたマシン上でKeePassXCパスワードマネージャーのデータベースへのアクセスが試みられた形跡も確認されています。
横方向への移動と暗号化の準備
ネットワーク内を移動するため、犯罪者はRDP経由でWindowsマシンに接続しました。また、SSHを使ってLinuxサーバーにもアクセスしています。正規のPsExecおよびPAExecユーティリティを使用して、GenieLockerの大規模な展開を実行しました。リバースSSHトンネルにより、コマンドサーバーとの通信が常時維持されました。これにより、さまざまなネットワーク制限を回避することが可能になりました。
Windowsの防御機能を体系的に無効化
Windowsシステム上では、このランサムウェアが妨げとなるプロセスやサービスを体系的に終了させます。対象となるアプリケーションには、Microsoft Office、メールクライアント、データベース、バックアップシステムなどが含まれます。また、1Cのコンポーネントや仮想マシン管理サービスも停止させます。入念な準備を終えた後、GenieLockerはアクセス可能なドライブとネットワークフォルダを積極的にスキャンします。その後、複数の暗号化スレッドを同時に起動します。ただし、オペレーティングシステムを機能させ続けるため、重要なシステムディレクトリは意図的にスキップします。
高度な回避と暗号化の手法
Windows版は、特定のシークレット引数を受け取った場合にのみ実行されます。この巧妙な防御メカニズムにより、研究者が自動化されたサンドボックス環境で誤ってランサムウェアを起動させてしまう事態を防いでいます。さらに、権限のない犯罪者がこのツールを使用することも制限しています。GenieLockerは500ミリ秒ごとにアクティブなデバッガーの有無もチェックします。コードへの干渉を検知すると、即座に動作を停止します。
ひそかな身代金要求と暗号技術
他の多くの脅威とは異なり、GenieLockerは感染したコンピューター上に身代金要求文を残しません。交渉のための連絡先情報も一切含まれていません。代わりに、犯罪者は要求条件を被害者に別途伝える必要があります。開発者らは、大量のファイル作成がセキュリティソリューションに警告を発することが多いため、テキストによる要求文を採用しなかったとみられます。データの暗号化には、GenieLockerはXChaCha20-Poly1305アルゴリズムを使用します。さらに、各ファイルの鍵はCurve25519-XSalsa20-Poly1305で保護されます。このランサムウェアは、ランダムなデータブロックを標的にすることで、ファイルを部分的に破損させることも可能です。この部分暗号化により、大規模なデータベースに対する攻撃が大幅に高速化されます。
LinuxおよびVMware ESXiへと拡大する脅威
LinuxおよびESXi向けの亜種は、はるかにシンプルな仕組みで動作します。シークレット引数、アンチデバッグ防御、除外リストは備えていません。このビルドの主な標的は、VMware ESXiサーバーである可能性が高いとみられます。標準のデフォルトパスは、仮想ディスクを格納する/vmfs/volumesディレクトリに直接つながっています。このマルウェアは、実行の遅延やワーカースレッドの設定にも対応しています。そのヘルプメニューはLockBitと非常によく似ています。そのため研究者は、GenieLockerを従来使用されていたツールに代わる、直接的な独自開発の後継ツールとみなしています。
仮想インフラの運用を妨害
攻撃の過程で、犯罪者は稼働中の仮想マシンを積極的に停止させます。その後、基盤となる仮想ディスクを暗号化します。専門家は、ロック段階に先立つデータ窃取は検知していません。Toy Ghoulsは二重恐喝の手口を用いていません。また、盗んだデータを公開するための専用リークサイトも保有していません。したがって、彼らはもっぱらインフラの機能停止とデータ喪失によって被害者に圧力をかけています。
ロシアの産業企業に照準
Kasperskyのテレメトリによると、GenieLockerの検知事例の大多数はロシア国内のシステムで発生しています。産業セクターが主要な標的となっています。それに続いて、建設会社、金融機関、小売企業も標的となっています。独自開発のクロスプラットフォーム型ランサムウェアの投入により、Toy Ghoulsの攻撃能力は大幅に拡大しました。その結果、企業インフラに対する破壊的攻撃のリスクが著しく高まっています。
翻訳元: https://meterpreter.org/genielocker-ransomware-attacks/
