「Ransom Busters」を自称する脅威アクターが、ランサムウェア被害者に対して欺瞞的な復旧支援を持ちかけていることが分かりました。暗号化されたファイルを復元し、ランサムウェアのインフラから窃取データを削除できると主張しています。
DataManagement
GuidePoint Securityの調査・インテリジェンスチーム(GRIT)は、この「復旧サービス」を名乗る存在は、実際には既存のRansomware-as-a-Service(RaaS)組織から強請の支払いを横取りしようとするランサムウェアアフィリエイトである可能性が高いと、中程度の確信度で評価しています。
非公開の侵害情報に基づいた不審な接触自体が、大きな警戒サインとなります。確認されたメールは「Ransom Busters LTD」の名義で送られており、このアクターはCEOやITリーダーへの接触を求め、犯罪組織のランサムウェアサーバーに侵入したと主張しています。
メールでは、被害者から窃取されたデータが侵害済みのランサムウェアインフラ上で発見されたこと、復号鍵の保管領域にアクセスしたこと、そして元の攻撃者が保持するバックアップを破壊しつつファイルを返却できることを主張しています。
Ransom Bustersはさらに、複数のRansomware-as-a-Service(RaaS)組織の管理パネルへアクセスしていると主張していますが、これらの主張は独自に検証されていません。
GRITは、DragonForce、Settra、Anubisに関連する侵入事案への対応中に、この活動を確認しました。
アクターとのやり取りを通じて、研究者らはRansom Bustersが各侵入事案の実行者であるランサムウェアアフィリエイトと同一の窃取データセットを保有していることを確認しました。
その上でこのアクターは、2万ドルから6万ドルの支払いと引き換えにデータを削除すると持ちかけていました。
この提案は、信頼できる復旧手段ではなく、別形態の強請にほかなりません。
正体不明の犯罪者仲介者に支払いを行ったとしても、窃取データのコピーが削除される保証も、復号鍵が本物である保証も、攻撃者がネットワークへのアクセス権をもはや保持していない保証も、何一つありません。
GuidePointの研究者らによれば、今回のキャンペーンが注目に値するのは、Ransom Bustersが攻撃の公表前に被害組織へ接触してくる点だといいます。正規のインシデント対応・サイバーセキュリティ企業であれば、通常は公に情報が開示された被害者に対して接触します。
ランサムウェアの実行者は、転売や後日の情報流出、再度の強請目的で、窃取したデータの複製をしばしば保持し続けます。
Ransom Bustersランサムウェア
Ransom Bustersは、ランサムウェアインフラへのアクセスを維持するために被害者への課金が必要だと主張しています。
しかしGRITは、この説明には説得力がないとしています。被害者が支払うかどうかは、論理的に見て、このアクターが犯罪組織のポータルへの不正アクセスを維持できるかどうかとは無関係だからです。
さらに、他者のシステムに対して無許可でアクセスや削除行為を行うこと自体が、米国のコンピュータ詐欺および濫用防止法(Computer Fraud and Abuse Act)の下で法的リスクを生じさせる可能性があります。
GuidePointのDFIRチームは、被害を受けた2つの環境を調査し、極めて類似した侵入の痕跡を確認しました。
両方の事案とも、内部偵察にはSoftPerfect Network Scannerが、AWSベースのクラウド経由でのデータ窃取にはs5cmdが使用され、さらにPowerShellスクリプトを用いてリモート監視・管理ツール「Remotely」が展開されていました。
調査担当者はまた、両方の侵入事案において、同一のパスワード「Numlock!123」が設定されたローカルのバックドアアカウントと、攻撃者が管理するホスト名「DESKTOP-BBETH6K」を発見しました。
アフィリエイトが共有の攻撃手順を使い回すことは珍しくありませんが、別々のRaaSブランドに関連付けられた事案間で、ツール・認証情報・ホストの痕跡という組み合わせが繰り返し確認されたことは、単一の実行者による犯行である可能性を裏付けています。
したがってGRITは、Ransom Bustersは複数のランサムウェアエコシステムにまたがって活動するアフィリエイトであり、犯罪組織による直接的なアクセスを、有償の「救済」サービスとして装い直している可能性が高いと評価しています。
この手口により、アフィリエイトは元のランサムウェア組織による交渉プロセスを妨害しつつ、被害者から独自に金銭を得られる可能性があります。
ランサムウェア被害の最中に不審な復旧支援の申し出を受けた組織は、そのメッセージを保存し、独自に交渉を行うことを避け、直ちにインシデント対応プロバイダーおよび法執行機関にその通信内容を提供すべきです。
データ削除や復号鍵アクセスに関する主張は、独自に検証されるまでは未確認のものとして扱う必要があります。
DataManagement
今回の事例は、ランサムウェアによる金銭化の手法が、暗号化やリークサイトによる脅迫にとどまらず進化していることを物語っています。
被害者は今や、支援者を装うアクターからの二次的な強請にも直面しかねない状況にあり、規律あるインシデント対応、証拠の保全、そして信頼できるDFIR専門家との連携が不可欠となっています。
[ライブウェビナー] ElasticとUnderDefenseが共催するウェビナーにご参加ください。少人数のセキュリティチームがAIの可視化とエージェント型対応を単一の運用モデルへ統合する方法を学べます。 -> 今すぐ登録
翻訳元: https://gbhackers.com/ransom-busters-ransomware/
