あるランサムウェアアフィリエイトが、自らも実行に関与したとみられる攻撃の被害者に接触するという興味深い手口を使っています。皮肉なことに、これは自身のビジネスモデルを損なう結果につながりかねません。
GuidePoint Research and Intelligence Team(GRIT)によると、「Ransom Busters」を名乗る悪意ある主体が、サイバー攻撃の被害者に対してメールを送りつけ、複数の犯罪グループのサーバーに侵入し、その被害者に関するデータを発見したと主張しているといいます。メールの内容によれば、Ransom Bustersは料金と引き換えに「あなたのファイルを取り戻し、当該グループが保持するすべてのバックアップを破棄することができる」としています。さらに、このメールでは攻撃者が暗号化キーへのアクセスも得ており、被害者がファイルを復元する助けになるとも主張しています。
「私たちは、DragonForce、Settra、Anubisといった脅威グループのインシデント対応にあたる中で、この挙動を確認しました」と、本日公開されたブログ記事には記されています。「この脅威アクターは、このアクセス権限によって『ほぼすべてのインフラ』を掌握できたと主張しています。ランサムウェア・アズ・ア・サービス(RaaS)のグループと同様に、Ransom Bustersの動機も金銭的なものであるとみられます。追及した際、Ransom Bustersはランサムウェアのアフィリエイトが保有していたのとまったく同じデータセットへのアクセスがあることを認めました。同グループは、被害者から盗み出したデータをランサムウェアグループのサーバーから削除する見返りとして、2万ドルから6万ドルの料金を提示しています」
Ransom Bustersに潜む危険信号
GuidePoint Securityの主任脅威インテリジェンス・コンサルタントであるJustin Timothy氏がブログ記事で説明しているとおり、この「支援の申し出」の裏にはいくつもの危険信号が潜んでいます。まず、GRITが確認した事例では、Ransom Bustersはランサムウェア攻撃が公になる前の段階で被害者に接触していました。通常、インシデント対応会社が支援を申し出るのは、攻撃が公表された後です。
また、Ransom Bustersは連絡の中で、ランサムウェア・アズ・ア・サービス(RaaS)アクターの管理パネルにアクセスしたとも主張しています。Timothy氏は、第三者によるこうした攻撃的な行為は、米国政府のコンピュータ詐欺・濫用防止法(Computer Fraud Abuse Act)違反とみなされる可能性があると指摘しています。
「正規の組織が犯罪行為に及ぶこと自体考えにくいですし、ましてやその見返りとして料金を請求することなど、まず考えられません」とTimothy氏は記しています。
GuidePointのデジタル・フォレンジック&インシデント対応(DFIR)チームは、Ransom Bustersが被害者に接触した2件のインシデントに対応しましたが、いずれの侵入も顕著な類似性が見られました(Timothy氏によれば、多くの侵入事案には共通の要素がみられるものの、「通常、それぞれの攻撃には、使用されるツールや被害者ネットワーク内での永続化の仕組みという点で、独自の特徴がある」とのことです)。内部偵察、データの窃取、そしてリモート監視・管理(RMM)に使われたツールには重複が見られました。さらに、ローカルのバックドアアカウントは同じパスワードを共有しており、複数の攻撃で同一の攻撃者管理下にあるホスト名が確認されています。
GRITは最終的に、Ransom Bustersは真の第三者研究者ではなく、複数のRaaSアクターと協働し、被害者環境全体で同一の手口を用いる単独のランサムウェアアフィリエイトである可能性が高いと、中程度の確信度で評価しました。GRITは、Ransom Bustersの最終的な狙いは「アフィリエイトとしてのアクセス権を利用し、身代金支払いの交渉を本来のランサムウェア運営組織から逸らすこと」にあるとみています。
多くのRaaSの運営形態では、アフィリエイトが盗み出したデータのすべてのコピーや、より広範な恐喝インフラを単独で管理しているわけではありません。そのため被害者側には、データが実際に削除されたのか、あるいは情報にアクセス可能なすべての当事者がそれを手放したのかを確認するすべがほとんどありません。
GRITは、この活動がアフィリエイトによる、従来のRaaSの支払い構造の外で被害者から金銭を得ようとする試みであり、ランサムウェア運営組織本体から収益を逸らしている可能性があるとみています。
「バスターズ」に「バスト」されないために
Timothy氏はDark Readingの取材に対し、Ransom Bustersの手口は実のところ、RaaSの中核的なビジネスモデルそのものを損なうものだと語っています。
「身代金交渉の標準的な流れには、支払いと引き換えに脅威アクターが窃取したデータを削除するという約束が含まれます。しかし、RaaS運営組織とRansom Bustersの両方が盗み出したデータのコピーを保持しているとすれば、被害者にはすべてのコピーが確実に破棄されるという合理的な保証は一切ありません」と同氏は述べています。「それだけで、データ隠蔽のための支払いは事実上無意味なものになりかねません。財務的な観点から見ても、Ransom Bustersの活動は、自らが関与しているRaaS運営組織の信用と収益の可能性を直接的に損なっています」
Timothy氏は、こうした手口が実際に成功した事例は把握していないとしながらも、インシデントの最中に法執行機関以外の主体から連絡が来ること自体が極めて異例だと強調しています。正規の連絡であれば通常、企業のメールドメインから届くものであり、ProtonMailのような無料・プライバシー重視のサービスからは来ません(同氏によると、Ransom Bustersは検証可能なドメインを持たない、プライバシー重視のメールアドレスを使用していたとのことです)。
「正規のインシデント対応会社は、初回のスコーピング(範囲確認)の通話を行う前に料金を提示することもありません。何かを見積もる前に、まずインシデントの内容を把握する必要があるからです。これに対しRansom Bustersは、やり取りの早い段階から金銭の要求を持ち出しており、これは実在のランサムウェアアクターの行動パターンと酷似しています」とTimothy氏は述べています。「そして最後に、信頼できるサイバーセキュリティベンダーがビットコインでの支払いを要求することはありません。この一点だけでも、悪意ある意図を示す強力な兆候として扱うべきです」
