ブラックファイル(BlackFile)、金融関連企業への最近の攻撃詳細が判明

プライベートエクイティ企業、法律事務所、金融格付け機関を狙った一連の攻撃を実行したサイバー犯罪集団が依然として活動を続けており、先週末時点でも新たな標的への攻撃を継続していることが研究者らの調査で明らかになりました。

Google Threat Intelligence GroupがUNC6671として追跡しているブラックファイルは、より広範にはThe Comと関連付けられているグループで、年初から活動を続けており、標的とする業界を次々と変えてきました。

「金融セクターへの標的化は継続しており、それに加えて医療テクノロジー分野を含む他の組織への標的化も見られます」と、GTIGの主席脅威アナリストであるオースティン・ラーセン氏はCyberScoopに語りました。

この恐喝グループは、ボイスフィッシングやソーシャルエンジニアリング攻撃においてITサポートになりすます手口を使っており、最近ではインフラを共有する4つのブランド、Redact、Pink、Helix、Falconに恐喝活動を分散させています。

Googleによると、複数の組織が過去1週間のうちにRedactから新たな恐喝要求を受け取ったといいます。

ブラックファイルとその関連組織は、医療、テクノロジー、運輸、物流、卸売、小売・接客業など、複数の業界の組織に被害を与えています。

「ブラックファイルは標的とするセクターの中でも最大級の組織を狙っています。小規模な企業を狙っているわけではありません」とラーセン氏は述べています。「これは大物狩り(ビッグゲームハンティング)です」

Googleによると、同グループの恐喝要求額は当初300万ドル前後から始まることが多く、過去数週間に行われた複数の支払いを含め、実際の支払額は交渉の結果100万ドル未満にまで下がるのが通例だといいます。

Flashpointの研究者らはCyberScoopに対し、Blackstone、Bain Capital、Moody’s、CME、Apolloを標的とする悪意あるインフラを確認したと述べていますが、これらの企業のいずれかが実際に侵害されたかどうかは不明だとしています。

研究者らによると、ブラックファイルは1日平均1.5件の新たな被害者を生み出しており、その着実な活動ペースは同グループが依然として持続的な脅威であることを裏付けています。

Googleによると、同グループの最近の被害者の中には、脅迫メッセージや、The Comの複数の下位集団が採用している手口であるスワッティング(虚偽通報による武装警察出動)といった、さらなるエスカレーション行為の対象になったケースもあるといいます。

攻撃者は初期アクセスを得るためのボイスフィッシング通話を行う人員として、数百人の実行役を使っています。これらの多くは、わずかな報酬やグループ内での信用を得る機会と引き換えに勧誘された下位レベルの人員です。ラーセン氏の推定では、ブラックファイルという傘下の各ブランドを運営する中核メンバーは10数人に満たないとみられます。

「私たちが目にしている侵入データから判断すると、これらは基本的に同一のグループだと考えられます」と同氏は述べ、各ブランドの運営には別々の人員が関わっている可能性はあるものの、いずれも共有インフラを使う同一の脅威クラスターにつながっていると付け加えました。

Mandiantのインシデント対応チームはブラックファイルに頻繁に遭遇しており、1月以降、同脅威グループによって実際に侵害された20超の組織から対応を依頼されています。今月に入ってからも、金融セクターの新たな被害組織がMandiantに支援を求めて連絡してきています。

データ窃取による恐喝を目的としたボイスベースのフィッシング攻撃自体は、高度でも目新しいものでもありません。しかしブラックファイルをはじめとするサイバー犯罪集団は、業界や組織の種類を問わず、その手口が依然として効果的であることを一貫して証明し続けています。「彼らはまさに人間の弱さという要素を突いてきているのです」とラーセン氏は語りました。