身代金支払いを狙う「復旧業者」を装う不正ランサムウェアアフィリエイト

「Ransom Busters」と名乗るランサムウェア復旧サービスを装う不審なランサムウェアアフィリエイトが確認されました。攻撃が公になる前に被害者に接触し、料金と引き換えに復号鍵を提供し、窃取されたデータを削除できると主張しています。

GuidePoint Securityの調査・脅威インテリジェンスチーム(GRIT)は、最近対応した複数のランサムウェア攻撃において、被害者がRansom Bustersから攻撃からの復旧を手伝うという内容のメールを受け取っていたことを受け、この活動を公表しました。

これらのメッセージが不審視されたのは、攻撃がまだ公になっていない段階で被害者に送られていたためです。そもそもRansom Bustersがどうやってサイバー攻撃の発生を知ったのかという疑問が浮上しました。

Ransom Bustersは、ランサムウェア・アズ・ア・サービス(RaaS)事業が使用する管理パネルの脆弱性を悪用し、暗号化鍵や被害者から窃取されたデータへのアクセス権を得たと主張していました。

同グループは、DragonForce、Settra、Anubisなどのランサムウェアサーバーから窃取データを削除するとして、2万ドルから6万ドルの料金を提示していました。

しかし、2件のインシデントから得られた証拠により、GRITはRansom Bustersが本物の復旧業者ではなく、むしろ攻撃を実行した当のランサムウェアアフィリエイトである可能性が高いと見ています。

両方のケースで、攻撃者は同じソフトウェア(SoftPerfect Network Scanner、s5cmd、リモート監視ツールRemotely)を使用していました。また、パスワード「Numlock!123」を用いたローカルバックドアアカウントの作成や、同一の攻撃者管理下のホスト名「DESKTOP-BBETH6K」の使用など、手口も共通していました。

GRITは複数のRaaS事業にまたがって活動が重複している点を確認しており、Ransom Bustersは自らが関与しているランサムウェアギャングから身代金の支払いを横取りしようとする単一のランサムウェアアフィリエイトである可能性が中程度の確度であると見ています。

GRITはBleepingComputerに対し、Ransom Bustersに実際に支払いを行った被害者は確認されておらず、被害者に支払わないよう呼びかけていると説明しました。ただし、Ransom Bustersが関与したあるインシデントでは、被害者はRansom Bustersではなく、攻撃の背後にいたRaaS事業側に支払いを行っていました。

研究者らによると、このケースでは被害者名も窃取データもランサムウェア事業のリークサイトに公開されておらず、Ransom BustersがRaaSの環境外で窃取データを流出させた証拠も見つかっていないとのことです。

ランサムウェア交渉会社のCoveware社もBleepingComputerに対し、同一とみられるグループまたは個人が被害者に接触した事例に、最近少なくとも1件対応したことを認めました。

Coveware社でIR部門のシニアディレクターを務めるElizabeth Cookson氏はBleepingComputerに対し、「この第三者はメールで被害者に接触し、復号鍵と窃取データの両方にアクセスできると主張しました」と述べています。

Coveware社によれば、同様の「仲介者」が別の名称を使う事例は2024年にまで遡って確認しているものの、今回の活動は、攻撃が公に明らかになった後にのみ被害者に接触する典型的な「アンビュランスチェイサー(火事場泥棒的業者)」とは性質が異なるといいます。

Cookson氏(Lizzie氏)はBleepingComputerに対し、「非公開のインシデントに対してこうした介入が行われるのは、はるかに深刻な懸念事項です」と語りました。

Coveware社によれば、窃取データにアクセスできる不正な第三者による介入は、被害者にとってのリスクを高めます。ランサムウェア事業者に身代金を支払ったとしても、データにアクセスできる全員がリークしないという合意を守るとは、もはや保証できなくなるためです。

同社は、ランサムウェア・アズ・ア・サービス事業内での不信感が高まることで、アフィリエイトがランサムウェア事業者との通常の収益分配の枠組み外で追加の利益を得ようとし、こうした行動が今後さらに増える可能性があると見ています。

BleepingComputerはこれまでにも、第三者のランサムウェア復旧サービスがフォーラムアカウントを作成し、ランサムウェア被害を公に開示した被害者に個別に接触して、感染ファイルを復号できると主張する事例について警告してきました。

ただし、そうした従来のサービスは概して公に知られた被害者に接触するものでした。それに対し、Ransom Bustersが非公開のインシデントについても把握している点は、はるかに深刻な懸念材料といえます。