Picus Blue Report 2026のデータで、Playランサムウェアが最も低い予防結果を記録しました。テストされた攻撃活動のうちセキュリティ対策によって阻止できたのはわずか13%でした。
この結果は、防御側にとって深刻化する問題を示しています。組織は多数のセキュリティ製品を導入していても、それらのツールが実際の侵入で攻撃者が使う手口を必ずしも防げるわけではないのです。
Picusは予防スコアが最も低かったランサムウェアファミリー10種を分析しました。対象はPlay、BlackByte、LockBit、BabLock、Magniber、FAUST、Sodinokibi/REvil、Hive、BlackKingdom、Maoriです。予防スコアはPlayの13%からHive、BlackKingdom、Maoriの38%まで幅がありました。
今回の調査では、MITRE ATT&CKの2つの領域、すなわち「ステルス」と「防御機能の妨害」に焦点を当てています。これらの戦術は、ランサムウェアが検知を逃れて潜伏し、エンドポイントセキュリティを弱体化させ、暗号化を開始する前に証拠を消去するのに役立ちます。
最も多く見られた手口はT1027(難読化されたファイルまたは情報)でした。ランサムウェアの攻撃者は、暗号化・エンコード・実行時の再構築といった手法でペイロード、コマンド、設定データ、悪意あるコードを隠蔽します。
例えばSodinokibiは、実行の直前にメモリ上で組み込みコンポーネントを復号します。BlackKingdomは数値から再構築されたPowerShellコマンドを使用しており、静的スキャナーによる悪意ある活動の検知を困難にしています。
2番目に多く見られた手口はT1685(ツールの無効化・改変)です。これには、セキュリティサービスの停止、エンドポイント保護の除去、ロギングの無効化、Windowsイベントログの消去が含まれます。
BabLockは正規のアンインストーラーを使ってセキュリティソフトウェアを削除し、バックアップサービスやデータベースサービスを停止させ、セキュリティログとシステムログを消去することが確認されています。
LockBit 5.0は、報告によればWindows用のイベントトレーシング(ETW)を妨害し、セキュリティツールが取得できるテレメトリを減らしているとされています。
T1055(プロセスインジェクション)も広く使用されていました。この手法は、悪意あるコードを正規の実行中プロセスに注入することで、その活動が信頼されたアプリケーションから発生しているように見せかけます。
Magniberはスレッドハイジャッキングを使用します。対象プロセスのスレッドを一時停止させ、悪意あるコードをメモリに書き込み、実行先をリダイレクトしたうえでスレッドを再開させる手口です。
攻撃者はT1070(痕跡の削除)を通じて法的証拠も消去します。BlackByte 2.0は実行後に自身のファイルの削除を遅延させたり削除したりできるほか、暗号化済みファイルや身代金要求メモのタイムスタンプも改変します。
BlackKingdomはPowerShellのコマンド履歴ファイルを削除しており、インシデント対応者が攻撃中に使用されたコマンドを確認することを困難にしています。
Playランサムウェアは、T1036(偽装)を用いて自らの活動を正規のものに見せかけます。信頼できそうに見える公開ディレクトリにツールを配置し、Sysinternalsの PsExec サービスに似せたサービス名を使用します。
これにより、悪意あるファイルやサービスが通常の管理業務に紛れ込む可能性があります。BlackByteも、コマンド&コントロール経由で配布される鍵素材をPNG画像ファイルに偽装していたと、picussecurityは述べています。
その他によく見られる手口としては、レジストリの改変、リフレクティブなコードのロード、隠蔽されたアーティファクト、信頼済みWindowsバイナリの悪用、実行時のガードレールなどが挙げられます。Magniberは.NETアセンブリを直接メモリにロードでき、ディスクベースの検知を回避できます。
また、regsvr32.exeやmsiexec.exeといった署名済みのWindowsユーティリティを使って悪意あるコンポーネントを実行することもあります。
LockBitとBabLockは、意図しない地域や自動解析環境での実行を避けるための実行チェックを使用しています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を完全に確保し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/play-ransomware-evades-defenses/