米サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)、複数州情報共有分析センター(MS-ISAC)は共同勧告を発表し、Medusaランサムウェアの運営者が引き続き重要インフラ組織を標的に、データ窃取、エンドポイントセキュリティの回避、ネットワーク全体の暗号化攻撃を仕掛けていると警告しました。
AA25-071Aとして追跡されているこの#StopRansomware勧告によると、Medusaの開発者と関係者は2025年2月時点で300以上の組織に被害を及ぼしているとのことです。
被害が確認されている業種には、医療、教育、法律サービス、保険、テクノロジー、製造業が含まれます。連邦当局の捜査官は、Medusaはランサムウェアファミリーの「MedusaLocker」やモバイルマルウェアの「Medusa」とは無関係であると強調しています。
Medusaは2021年6月に初めて確認され、当初は単一のグループが開発と侵入の両方を統括する、クローズドなランサムウェア運営として始まりました。
その後、関係者(アフィリエイト)を募る「Ransomware-as-a-Service(RaaS)」運営へと進化しましたが、身代金交渉といった重要な機能については中核の開発者が引き続き管理権を握っています。
このグループは二重恐喝(ダブルエクストーション)モデルを採用しています。アフィリエイトはまずデータを窃取したうえで暗号化を実行し、被害者が支払いに応じない場合は、Torベースのリークサイトを通じてデータを公開または販売すると脅迫します。
被害者は、TorのライブチャットポータルまたはToxという暗号化メッセージングプラットフォームを通じて、48時間以内に運営者へ連絡するよう指示されます。
また、Medusaは窃取したデータセットを買い手候補に対して宣伝することもあり、被害者が仮想通貨で10,000ドルを支払えば、リーク開始までのカウントダウンを1日延長できる仕組みも用意されています。
初期アクセスブローカーは、この運営体制において中心的な役割を果たしています。勧告によると、Medusaの実行犯は犯罪フォーラムやマーケットプレイスでブローカーを募集し、企業ネットワークへのアクセスに対して100ドルから100万ドルの報酬を提示しているとのことです。
認証情報の窃取手段としては、依然としてフィッシングが主要な手法ですが、アフィリエイトはインターネットに公開されている脆弱性も悪用しています。これには、ConnectWise ScreenConnectの脆弱性(CVE-2024-1709)やFortinet FortiClient EMSの脆弱性(CVE-2023-48788)が含まれます。
アクセスを獲得した後、Medusaの実行犯は検知を回避するために環境寄生型(Living-off-the-Land)の手法を用います。捜査官は、PowerShell、cmd.exe、Windows Management Instrumentation、Certutil、そして正規のネットワークスキャンユーティリティが、探索やペイロード配送のために広範に利用されていることを確認しています。
CISAによると、攻撃者は侵害したネットワーク内を横方向に移動する際、AnyDesk、Atera、ConnectWise、SimpleHelp、Splashtop、PDQ Deploy、N-ableといった正規のリモート管理ツールも利用しているとのことです。
Mimikatzは LSASSの認証情報をダンプする目的で使用されており、Rcloneは攻撃者が管理するインフラへのデータ持ち出しを支援します。一部の侵入事例では、実行犯がエンドポイント検知・対応(EDR)ツールを無効化または削除するために、脆弱なドライバーや署名済みドライバーを展開していました。
一般にgaze.exeという名称で呼ばれるランサムウェアの暗号化プログラムは、PsExec、PDQ Deploy、BigFixを使って配布されます。暗号化を実行する前に、バックアップ、セキュリティ、データベース、通信、ファイル共有、Web関連の各種サービスを停止させます。
さらに、ボリュームシャドウコピーを削除し、AES-256でファイルを暗号化したうえで、拡張子を.medusaに変更します。運営者は仮想マシンをシャットダウンして暗号化することもあり、業務への支障を最大化しようとします。
連邦当局は、インターネットに公開されているシステム、特に既知の悪用済み脆弱性について直ちにパッチを適用するとともに、横方向の移動を封じ込めるためのネットワークセグメンテーションを推奨しています。
各組織は、リモートアクセスツールの利用を制限・監視し、外部からアクセス可能なサービスに対して多要素認証(MFA)を必須化すべきです。また、特権アカウントを監査し、見覚えのないドメインアカウントやRMM(リモート監視管理)ツールの展開についても調査する必要があります。
防御側は、暗号化された不変(イミュータブル)かつオフラインのバックアップを複数保持し、復元手順を定期的にテストしておくべきです。
また、セキュリティチームは、異常なPowerShellの活動、PsExecやRcloneの不審な使用、許可されていないRDPの有効化、コマンド履歴の削除、EDRやアンチウイルスサービスを無効化しようとする試みについても監視する必要があります。
注: IPアドレスおよびドメインは、誤って解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化(defang)されています(例: [.])。再有効化(re-fang)は、MISP、VirusTotal、SIEMなど、管理されている脅威インテリジェンスプラットフォーム内でのみ行ってください。
不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに提供しましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/cisa-warns-of-medusa-ransomware-as-a-service-attacks/
