ここ数カ月、「BLACKNET-00」を名乗る集団は、工場や発電所、水道インフラを攻撃できる万能型サイバー兵器の供給元として、自らをほぼターンキー製品のように売り込んできました。しかし実際のツールサンプルを調査した研究者たちは、この恐ろしげな兵器庫の大部分が、見栄えの良いインターフェースにすぎないことを突き止めました。ボタンの多くは何の機能も持たず、宣伝文句の「AES-256」暗号化は実際には原始的なXOR処理であり、産業用コントローラーの停止・起動を行うはずのツールは、両方の操作に対してまったく同一のコマンドを送信していたのです。それでも研究者たちは、BLACKNET-00を完全に軽視すべきではないと注意を促しています。いくつかのコンポーネントは実際に機能しており、経験の浅い攻撃者にとっては十分に有用となり得るためです。
Ransom-ISACによる詳細な分析
8月19日、Ransom-ISACのチームはBarricade Cyber SolutionsおよびCrystal Intelligenceと協力し、この集団の活動に関する詳細な技術分析を公開しました。研究者たちは、同集団の中核となる3つのツール、すなわちBLACKNET-00ランサムウェアビルダー、クラウドデータベーススキャナーのShadow Ghost、そして産業システム向けツールキットTRK-25を調査しました。総合的な評価は、この集団の開発者にとってかなり屈辱的なものとなりました。BLACKNET-00は宣伝活動に大きく依存しており、技術力はお世辞にも高いとは言えず、コードに実装されていない機能を平然と謳っていることが常態化していました。とはいえ、実際に機能するコンポーネントもいくつか存在しており、それらは中程度のリスク評価を得ています。
Infrastructure Destruction Squadとは何者か
Infrastructure Destruction Squadは遅くとも2025年夏には出現しており、政治的な主張と、ありふれた商業的サイバー犯罪とを織り交ぜた活動を展開しています。メンバーは侵害済み組織へのアクセス権、マルウェア、産業システムを探し出すためのツールを販売してきました。同集団は中国出身を自称し、中国語で資料を公開しており、中核メンバーは中国を拠点にしていると主張していますが、この帰属を裏付ける独立した確証は存在しません。著名なオペレーターの一人は「@blacknetransom」というエイリアスを使用しており、プロフィールにビリー・アイリッシュへの言及を頻繁に盛り込む傾向があります。研究者は、こうした細部はアカウント同士を関連付ける上では有用だとしつつも、誰かの国籍や実際の身元を証明するものではないと述べています。
2,000ドルから300ドルへ――ランサムウェアビルダーのビジネスモデル
以前、KELAのアナリストはBLACKNET-00を低価格帯のRansomware-as-a-Serviceプラットフォームと位置づけていました。ランサムウェアビルダーは当初約2,000ドルで販売されており、後に300ドルまで値下げされました。購入者にはグラフィカルインターフェース、ワンクリックでの悪性ファイル生成、Windowsの防御機構の無効化、パスワードおよび暗号資産ウォレットの窃取、Tor経由での運用、複数の暗号化方式が提供されると謳われていました。今回のRansom-ISACの新たな分析は、このビジネスモデルの実態をさらに明らかにしています。研究者たちは、収益分配を伴う適切なアフィリエイトプログラムが存在する証拠を見つけられませんでした。BLACKNET-00はむしろツールやアクセス権を直接販売する形態を取っているとみられ、ビルダー自体も最終的には無料で公開されていました。
ランサムウェア本体は本物――ただし物足りない出来
ビルダーによって生成されるランサムウェア自体は、実際に機能することが確認されました。ビルダーが生成する悪性ファイルは、文書ファイルの検索、ファイルの暗号化、Windowsシステムポリシーの変更、自動起動による永続化の確立、スクリーンショットの取得、脅迫文の表示、そしてTelegram経由での被害者情報の窃取が可能です。派手なインターフェースの裏側で、開発者は60を超える機能を謳っていましたが、研究者が実際に意味のある機能群として確認できたのは10未満にとどまりました。搭載を謳う7種類の「情報窃取(stealer)」機能はインターフェース上の要素として存在するだけで実体はなく、宣伝されている三重恐喝機能も単なるラベルにすぎず、統計タブに至っては完全に空でした。
とりわけ滑稽な失敗が見られたのは暗号化機能です。BLACKNET-00はAES-256、AES-128、Fernet、あるいはRSA/AESのハイブリッド方式から選択できると謳っていますが、この選択は実際に生成されるマルウェアの挙動に何の影響も及ぼしません。すべてのファイルは、32文字を繰り返すXORキーによって変換されているだけなのです。さらに悪いことに、このランサムウェアは復号キーを平文のまま、被害者のデスクトップ上に作成される「READ_ME_BLACKNET.txt」というファイルに直接書き込みます。キーのコピーはTelegram経由で攻撃者側に送信される場合もあります。Ransom-ISACは汎用の復号ツールを独自に構築し、統制された検証環境において、事前にキーの情報を一切持たない状態でも、統計的解析のみによって277件のテストファイルすべての復元に成功しました。ただしこの結果は、今回調査した特定バージョンのBLACKNET-00に対するものであり、将来のアップデートに対しても復号が成功する保証はありません。
Shadow Ghost――唯一まともに機能するツール
2つ目のツールであるShadow Ghostは、はるかに高い実用性を備えていることが判明しました。このプログラムは設定に不備のあるFirebaseプロジェクトを探索し、Firebase Storage、Firestore、Realtime Databaseに匿名での読み取りアクセスが可能な状態になっていないかを確認します。Shadow Ghostは、サイトのHTMLやJavaScriptから直接Firebaseの設定パラメータを抽出し、対応するクラウドストレージバケットを自動的にチェックします。このツールは未知のFirebase脆弱性を悪用しているわけではなく、単に所有者が過度に緩いアクセス権限を設定したまま放置しているプロジェクトを探し出す作業を自動化しているにすぎません。とはいえ結果として、Shadow Ghostの機能する部分は、ユーザーアカウントやテレメトリ、ファイル、アプリケーション内部のデータを含む公開状態のデータベースを犯罪者が発見する手助けとして、実際に役立ち得るものです。
TRK-25「Advanced SCADA」――張りぼての殻の中に本物のコアあり
BLACKNET-00の兵器庫の中で最も声高に宣伝されているのが、産業インフラへの侵入と無効化のためのツールとして売り込まれているTRK-25 Advanced SCADAです。Ransom-ISACが調査したファイルは、13個のタブと、SCADA・HMI・産業用コントローラーを標的とする物々しい数のボタンを備えたPythonアプリケーションでした。しかし、この提供されたインスタンスを通常の方法で実際に動作させることは不可能でした。ソースファイルはちょうど102,400バイトの地点で行の途中で途切れており、プログラムにはメインのエントリーポイントすら存在せず、10個を超えるボタンが、開発者が実際には実装していない関数を呼び出す作りになっていました。ソースコードのおよそ60%は、単なるインターフェースのスタイリングに関する記述で占められています。研究者たちは、このコードベースが生成または流用された断片を寄せ集めて作られたことを示す痕跡を多数発見しており、その中にはAIによる支援が使われた可能性を示唆する特徴的な痕跡も含まれていました。ただし、ソースコードのみからその作成方法を確定的に特定することはできません。
特に恐ろしげに聞こえる機能のいくつかは、単なる見せかけにすぎないことが判明しました。Siemens製S7コントローラーを攻撃するモジュールは、「PLC停止」コマンドと「PLC起動」コマンドの両方に同一のネットワークパケットを使用しており、少なくとも一方のコマンドは確実に誤動作することになります。「メモリ読み取り」および「コード書き込み」機能は、単にログメッセージを記録するだけの処理でした。VNCパスワードの総当たり攻撃機能は、通常のTCP接続が単に成功しただけの状態を認証成功と誤認しており、実際のVNC認証プロトコルはまったく実装されていません。産業用HMI画面を偽装するボタンは、存在しない関数を呼び出すよう設定されています。宣伝されているSYNフラッド機能は、SYNパケットの連続送信ではなく通常のTCP接続を確立するだけであり、Slowlorisの実装は接続をあまりに早く切断してしまうため、攻撃自体が実質的に機能不全に陥っています。
張りぼての殻の内側――実際に機能する偵察スキャナー
しかし、TRK-25の張りぼての外殻の内側に、研究者たちは実際に機能する偵察スキャナーを発見しました。このプログラムは、Modbus、S7comm、EtherNet/IP、DNP3、OPC UA、BACnet、PROFINET、IEC 60870-5-104に関連する数十のポートを探査します。サービスからの応答をもとに、TRK-25はSiemens、Rockwell、Schneider Electric、ABB、Honeywell、Mitsubishi、Omronなど各社の機器を識別しようと試みます。コード内にはWinCC、FactoryTalk、CompactLogix、TIA Portal、Ignitionを含む、50を超える産業製品・技術名が組み込まれています。この組み合わせにより、このツールはインターネットに露出したSCADAやHMIシステムを迅速に発見し、その技術スタックをフィンガープリント化した上で、後続の攻撃に向けて結果を引き渡すことが可能です。
ソースコードには、大規模スキャン用のランダム範囲生成機能に加え、ハードコードされた4つの公開/24ネットワークレンジも含まれています。この4つのアドレス範囲が重要インフラ事業者に属するものかどうかは、研究者もまだ特定できていません。Modbusモジュールについては、レジスタやコイルに対する読み取り・書き込みコマンドを構築できる点で、より完全に近い機能を備えているとみられます。ただし、実際の産業用ハードウェアに対してパケットの正当性が検証されたわけではありません。Ransom-ISACの推計では、機能しないインターフェースの中から実際に有用なコードとしておよそ200行を比較的容易に抽出し、別のツールに組み込むことが可能だとされています。したがってTRK-25は、完成された「インフラ破壊兵器」としてよりも、むしろ偵察用のツールとして危険性を持つと言えます。
拡大を続けるが、裏付けのないポートフォリオ
その一方でBLACKNET-00は、提供サービスの拡大を続けています。同集団はDDoS攻撃の請負を宣伝しており、航空、防衛、通信、金融、公益事業といった各分野の組織を侵害したと主張しています。8月には、サードパーティのTelegramチャンネルが、インドの通信事業者に対するDDoS攻撃をBLACKNET-00によるものだとする投稿を行いました。Ransom-ISACはDDoS用ツールの提供を受けておらず、主張されている攻撃能力はおろか、その攻撃が実際に発生したかどうかさえ確認できていません。研究者たちは、水道事業者や産業システム、大手企業ネットワークを侵害したという同集団の主張についても、同様の懐疑的な姿勢で臨んでいます。BLACKNET-00の発信内容には、大量のスキャンログや大げさな脅迫文が頻繁に含まれており、これは実際の技術的裏付けが示す規模や能力をはるかに超えた、大規模で強力な組織であるかのような印象を演出する狙いがあるとみられます。
特異な種類の脅威
結局のところ、BLACKNET-00は特異な部類の脅威を体現していると言えます。ボタン一つで発電所を停止させられるようなエリート集団でもなければ、完全な作り話のプロジェクトでもありません。その作者たちは、実際に機能するわずかなコンポーネントの周囲を、脆弱で往々にして完全に壊れたソフトウェア群で覆い、その全体を攻撃的なマーケティングで包み込んで作り上げたのです。安価なランサムウェアビルダー、露出したFirebaseインスタンスの自動探索機能、そして産業システム向けの偵察スキャナーは、いずれも技術力の低い犯罪者にとっての参入障壁を引き下げるものです。BLACKNET-00の誇大な宣言は懐疑的に受け止めるべきですが、そのツールキットの中で実際に機能する部分だけでも、すでに現実世界での攻撃を可能にするだけの能力を十分に備えているのです。
翻訳元: https://meterpreter.org/blacknet-00-exposed-fake-cyberweapon/
