サイバー犯罪
取引相手すら信用できないとは、ランサムウェアギャングもたいへんなようです
あるランサムウェアのアフィリエイトが、被害者から金を搾り取る新たな手口を見つけたようです。「善玉」を装い、共犯者を出し抜くという手口です。
GuidePoint Securityの研究者らによると、「Ransom Busters」を名乗る組織が、攻撃が公になる前にランサムウェア被害者に接触し、暗号化されたファイルの復旧と窃取データの削除を、当初の恐喝要求額よりもかなり低い金額で請け負うと持ちかけているといいます。
GuidePointの調査・インテリジェンスチーム（GRIT）によれば、Ransom Bustersの正体は、意欲的なランサムウェアハンター集団などではまったくありません。研究者らが「中程度の確信度」で評価するところによると、これは複数のRansomware-as-a-Service（RaaS)事業にまたがって活動するランサムウェアのアフィリエイトであり、犯罪パートナーから支払いを横取りしようとしているというのです。
GuidePointは、DragonForce、Settra、Anubisに関連する攻撃を調査している最中にRansom Bustersの存在に気づきました。この組織は被害者にメールを送り、ランサムウェアギャング自体をハッキングし、犯罪者側のサーバー上に盗まれたデータを発見したと主張していました。
Ransom Bustersは、そのデータを削除し暗号鍵を取り戻せると主張し、20,000ドルから60,000ドルという破格の値段を提示しました。さらに、GuidePointによると、この組織は攻撃を仕掛けたランサムウェアのアフィリエイトが保持しているのと同じデータセットへのアクセス権を持っていることも示してみせたといいます。
この時点ですでに疑わしさは十分でしたが、法医学的な証拠はさらに言い逃れの難しいものでした。
GuidePointは、Ransom Bustersが被害者に接触した2件のインシデントを調査し、両者の侵入に異様なほど特徴的な痕跡が共通していることを発見しました。いずれの侵入でも、偵察にはSoftPerfect Network Scannerが使われ、データをAWSクラウドストレージへ送り込むにはs5cmdが使われ、リモート管理ツールのRemotelyがPowerShell経由でインストールされていました。
さらに決定的だったのは、攻撃者が両方の環境で「Numlock!123」というパスワードを使ってローカルのバックドアアカウントを作成していたことです。攻撃者が管理する同一のホスト名「DESKTOP-BBETH6K」も、両方の侵入で確認されました。
これだけであれば、ランサムウェアの運営者同士がツールや構築済みの攻撃環境を共有している、という説明もつくかもしれません。しかしGuidePointは、複数の独立したRaaSプログラムにまたがって同一の活動を確認したとしており、あるアフィリエイトが複数のギャングを掛け持ちしつつ、雇い主を出し抜いて報酬を横取りしている可能性が高いと結論づけています。
GuidePointはまた、この「救済者」を自称する相手に支払いをしたとしても、盗まれた情報が実際に消える保証はまったくないと警告しています。
というわけで、誰にも知らせていないはずのランサムウェア被害を、なぜか正体不明の何者かがすでに把握していて、20,000ドルで問題をすべて解決してあげようと親切に申し出てきたなら――そもそもどうやって連絡先を知ったのか、まず疑ってかかったほうがよいでしょう。®
