ランサムウェア攻撃の被害者は今、まったく新しいスキームに直面しています。攻撃から間もなく、窃取されたデータについてすでに把握しているという正体不明の企業が接触してきて、報酬と引き換えに、そのデータを本来の犯罪者の手から削除すると持ちかけてくるのです。GuidePoint Securityの専門家によれば、「ランサムバスターズ(Ransom Busters)」を名乗るこの自称「救済者」の背後には、複数の異なる犯罪組織に同時に関与している人物がいるとみられています。
侵害の公表前から被害者に接触
Ransom Busters LTDの担当者らは、それぞれのインシデントに関するニュースが公になる前から組織に接触していました。この働きかけのメッセージの中で、送信者は経営陣やIT部門への取り次ぎを要求し、窃取されたファイルがランサムウェア攻撃者自身のサーバー上に存在することを突き止めたと主張していました。
Ransom Busters側は、犯罪サービスの管理パネルに脆弱性を発見し、基盤インフラをほぼ完全に制御下に置いたと主張しています。送信者らは、窃取されたファイルの返還、侵害されたデータのバックアップコピーの破棄、さらに復号鍵の提供まで約束していました。GuidePointのResearch and Intelligence Team(GRIT)は、DragonForce、Settra、Anubisに関連する攻撃を調査する中で、まさにこの手口に遭遇しています。
データ「削除」に2万ドルから6万ドルを要求
Ransom Bustersは、窃取された情報を削除する見返りとして2万ドルから6万ドルを要求していました。確認の過程で、送信者らは本来のランサムウェア攻撃者がすでに入手していたのとまったく同一のデータセットにアクセスできることを証明できていました。GRITの分析によれば、この事情通ぶりにはもっと単純な説明が成り立ちます。すなわち、Ransom Bustersはランサムウェアのアフィリエイトプログラムの参加者そのものであり、自らの犯罪パートナーから身代金の一部を横取りしようとしているというのです。
使用ツールの一致が同一犯を示唆
研究者たちがこの結論に至ったのは、2件の別々の調査によるものです。いずれの攻撃でも、脅威アクターはネットワークインフラの偵察にSoftPerfect Network Scannerを使用し、Amazon Web Servicesのクラウドストレージへのデータ持ち出しにs5cmdを用い、さらにPowerShell経由でリモート管理ツールRemotelyをインストールしていました。加えて、攻撃者は「Numlock!123」という同一のパスワードでローカルアカウントを作成し、両方のインシデントで「DESKTOP-BBETH6K」というコンピュータ名を使い回していました。
個々のツールの一致だけでは、攻撃間のつながりを証明するには不十分です。しかしGuidePointは、複数の異なるランサムウェアアフィリエイトプログラムに関連するインシデント群において、まったく同一の手口の組み合わせが出現し、いずれの場合もその後にRansom Bustersからの接触が続いていることを確認しました。この結果を踏まえ、GRITは、これらの「救済」を装った接触の試みが、複数のランサムウェア攻撃者と同時に活動する単一の人物にたどり着くとの見立てに、中程度の確信を持っています。
このスキームをめぐる法的な疑問
Ransom Bustersが犯罪者側のサーバーへ不正アクセスしたと主張していること自体も、重大な法的懸念を生んでいます。こうした行為は米国のコンピュータ詐欺・不正利用に関する法律に抵触する可能性があります。同法についてDOJ(米司法省)は別途、善意によるセキュリティ研究が金銭恐喝の隠れ蓑として利用されてはならないと強調しています。
GuidePointが組織に向けて発した警告
GuidePointは警告を発しています。Ransom Bustersに支払いを行っても、データが実際に削除される保証は一切ないというのです。犯罪者側が追加のコピーを保持し続けたり、情報を他所に売却したり、後日改めて支払いを要求してきたりする可能性もあります。窃取されたデータの「返還」や削除と引き換えに金銭を要求する不審な申し出を受け取った組織は、直ちにインシデント対応チームへ報告をエスカレーションし、法執行当局に通報すべきです。
翻訳元: https://meterpreter.org/ransom-busters-secondary-extortion-scheme/
