Huntressによる最近の調査によると、あるランサムウェア共犯者がセーフモードで被害者のシステムを再起動してセキュリティツールを無効化しようとしたところ、この手口が裏目に出て、マルウェアが標的のファイルを暗号化できなくなってしまったとみられます。
このマネージドセキュリティ専門企業は8月12日のブログ投稿で、Akiraの共犯者が8月上旬に被害者を攻撃したことを明らかにしました。
多要素認証(MFA)が導入されていなかったSonicWall SSL VPNに対する認証情報スプレー攻撃により、初期アクセスが可能になりました。
攻撃者はその後、リモートデスクトッププロトコル(RDP)経由でドメインコントローラーにアクセスし、Active Directory(AD)の列挙を開始しました。Huntressによると、これは多くのAkira攻撃で見られる典型的な手口だといいます。
その後、脅威アクターはアプリケーションサーバーに移動し、ファイルの収集を開始しました。収集したファイルは、高速なS3転送ユーティリティであるs5cmdを使ってクラウドストレージに転送されました。
「これは典型的な二重恐喝の手口です。暗号化する前に被害者のファイルをすべて盗み出しておくことで、被害者が身代金の支払いを拒否した場合に、いかがわしいアンダーグラウンドフォーラムやダークネットのリークサイトに公開すると脅すことができるのです」とHuntressは述べています。
EDR回避に関する関連記事: ランサムウェアグループ、EDRキル技術の展開が増加
しかし、今回の攻撃はここからAkiraの通常の手口とは異なる展開を見せました。ランサムウェアのペイロードを展開する前に、脅威アクターはmsconfig.exeを実行し、「ネットワーク機能を有効にしたセーフモード」への強制再起動を行ったのです。
「セーフモードでは、Huntressエージェントを含むサードパーティのサービスは起動しません」とHuntressは指摘しています。「Defenderのリアルタイム保護も停止していました。セーフモードが続いていた間、ホストには機能するEDRが存在せず、AVも機能しない状態でした」
これはランサムウェアの攻撃者がよく使う手法であり、実際、MITRE ATT&CKでは「防御機能の妨害:セーフモードブート」(T1688)としてリストに挙げられています。Akiraに関連してこの手法が確認されたのは今回が初めてですが、Huntressによると、SnatchやAvosLockerといったグループでは「何年も前から」用いられてきたといいます。
攻撃者にとって不運だったことに、この行動はホストのメモリエラーを引き起こし、結果的にランサムウェアの起動を妨げることにもなりました。
「セーフモードは、機能を絞り込んだ環境と制限された仮想メモリの下で起動します。Akiraのプロセスツリーはこの環境でメモリを使い果たしてしまったようで、『仮想メモリ不足』のポップアップと、それに続くPowerShellのハードエラーの連鎖のタイミングは、ペイロードが動作を開始しようとした瞬間とちょうど一致しています」とHuntressは述べています。
「この結果は、少し複雑な教訓を残します。セーフモードは私たちのセキュリティ管理機能を無力化しましたが、それと同時に、本来意図されていた暗号化そのものを妨げた可能性もあるのです。これは今回のケースにおいて、攻撃者自身のミスがもたらした幸運な副作用に過ぎず、計画的に頼れる防御策ではありません」
この戦いに勝つには
Huntressは、今後Akiraの被害に遭う組織が同じように幸運とは限らないと強調しています。
「結局のところ、今回は『戦闘には勝ったが、戦争には勝っていない』というケースかもしれません。物理メモリがより多いホストや、より大きなページファイルを持つホストであれば、akira.exeがセーフモードでもエンドポイントを暗号化するのに十分な仮想メモリを確保できた可能性があります」と同社は説明しています。
「Akiraの開発者や共犯者たちが、メモリ消費量を抑えるよう暗号化ツールを改良したり、セーフモードでの起動シーケンスをより確実なものに作り変えたりする可能性は十分にあります。つまり、今後の侵入では同じ失敗が再現されないかもしれないのです」
こうした点を踏まえ、組織はこの種の攻撃から身を守るため、レポートが示す以下のガイダンスに従うべきです。
- 単一の送信元から発生するVPNログイン失敗の急増を検知し、認証情報スプレー攻撃をブロックする
- 失敗した試行を、その直後に同一のIPまたはASNから行われた成功ログインと関連付ける
- すべてのVPNアカウントにMFAを導入し、攻撃時にはSSL VPNを無効化するかIPアローリストを適用する
- 侵害された場合は、ADおよびVPNの認証情報をすべてローテーションする
- 準備段階の活動は監視対象外のホストで行われることが多いため、すべてのホストでEDRを使用する
- SIEMを導入し、VPNおよびWindowsイベントログを取り込む。これらはランサムウェア起動前の早期警告となる
- 次のようなブート構成の変更やセーフモードでの起動にフラグを立て、「セーフモード戦術」を警戒する:「msconfig.exe/bcdeditの活動、SAFEBOOTロードオプションを伴うKernel-Boot EID 27、BootMode=2のKernel-General EID 12、サードパーティのセキュリティサービスの停止(System EID 7036)」
- セーフモードの最小サービスのレジストリリストにツールが追加されていないか注意する
翻訳元: https://www.infosecurity-magazine.com/news/akira-affiliate-crashes-ransomware/
