GuidePoint SecurityのResearch and Intelligence Team(GRIT)は、サイバー攻撃が公になる前に被害者に接触する「Ransom Busters」という自称復旧サービスを使ったランサムウェア恐喝の手口を発見しました。
このグループは、盗まれたファイルの回収、犯罪者側のバックアップの破壊、そしてランサムウェアの復号キー提供が可能だと主張しています。
しかしGRITは、Ransom Bustersの正体は実際にはランサムウェアの実行犯(アフィリエイト)であり、本来のランサムウェア運営組織から支払いを横取りしようとしているとの見方を、中程度の確度で示しています。
この手口は、DragonForce、Settra、およびAnubisランサムウェアの活動に関連する事案で確認されています。
この容疑者側は、通常の脅迫状を送りつけるだけでなく、ランサムウェア犯罪集団のインフラに侵入したとする、いわば「善意の第三者」を装って被害者に接触します。
被害者は「Ransom Busters LTD」を名乗る組織から、CEOやIT責任者への連絡を求めるメールを受け取ります。メールには、ランサムウェアのサーバー上で盗まれた企業データを発見し、料金を支払えば削除できると記載されています。
また、この組織は犯罪集団の暗号鍵保管庫や管理パネルへのアクセス権も持っていると主張しています。
この申し出は不審です。正規のサイバーセキュリティ企業は通常、インシデントが公になった後にのみランサムウェア被害者に連絡するためです。
ところが、Ransom Bustersは攻撃がまだ非公開の段階にある組織に接触していました。これほどの情報を把握していることは、この攻撃者がすでに盗まれたデータや侵入の詳細にアクセスできていたことを強く示唆しています。
GRITは、Ransom Bustersが被害者に接触した2件のランサムウェア事案を分析しました。調査の結果、両方の侵入事案の間にいくつかの技術的な共通点が見つかりました。
どちらの環境にも、内部ネットワーク偵察に使われるSoftPerfect Network Scannerが存在していました。
攻撃者はまた、盗んだデータをAWSクラウドストレージに移すためにs5cmdを使用し、PowerShellスクリプトを通じてリモート監視・管理ツールRemotelyを展開していました。
さらに重要な点として、攻撃者はNumlock!123という同一のパスワードを使ってローカルのバックドアアカウントを作成していました。ホスト名DESKTOP-BBETH6Kも両方の侵入事案に登場しています。
これらの痕跡はそれぞれ単独では、共通のランサムウェア攻撃手順を反映しているだけとも考えられます。しかし、これらが揃うことでより強い相関関係が浮かび上がります。
GRITは、同様の活動が複数のRansomware-as-a-Service(RaaS)運営組織にまたがって確認されていると指摘しており、Ransom Bustersが独立した復旧業者である可能性は低いとみられます。
この容疑者側は、ランサムウェアのサーバーから盗まれたデータを削除する見返りとして、2万ドルから6万ドルの支払いを要求していました。また、犯罪インフラへのアクセスを維持するために支払いが必要だと主張していました。
GRITはこの説明を説得力に欠けると判断しています。被害者が支払いを行うかどうかは、論理的に見て、その攻撃者がこれらのシステムにアクセスできるかどうかとは無関係だからです。
この事案は、ランサムウェアのビジネスモデルが進化していることを浮き彫りにしています。実行犯が、データを盗んだ後に独自の判断で被害者を再び恐喝しようとするケースもあり得るのです。
攻撃者は復旧サービスを装うことで、被害者がデータ流出を恐れる心理につけ込みながら、別の支払い経路を作り出しています。
支払いを受け取った後に犯罪者が盗んだデータを削除するという確実な保証は一切ありません。脅威アクターは、将来の売却や流出、あるいは再度の恐喝のためにデータのコピーを保持し続ける可能性があります。
こうした身に覚えのない復旧の申し出を受け取った組織は、直ちにインシデント対応プロバイダーに通知し、メール本文や送信元ドメイン、支払い要求、関連する痕跡情報を保全すべきです。身元不明の第三者と直接交渉することは避けるべきです。
ランサムウェア事案が発生した際に頼れる最も安全な相手は、法執行機関や信頼できるデジタルフォレンジック・インシデント対応(DFIR)企業であることに変わりはありません。
特に非公開の侵害を把握している組織から、料金と引き換えにデータを「復旧」するという申し出は、詐欺、あるいは追加の恐喝手段である可能性が高いとみなすべきです。
Detect, investigate, and respond faster with in-browser data inspection from ANY.RUN-> Power your SOC with ANY.RUN
翻訳元: https://cyberpress.org/ransomware-affiliate-re-extorts-victims/
