MOST POPULAR
CRPx0は、詐欺サービスから夏場にかけてClickFix経由のランサムウェア・仮想通貨窃取ビジネスへと急速に進化したサイバー犯罪集団です。同グループが運営するクリアウェブ上のリークサイトによると、被害者数は6月の10件未満から、本稿執筆時点で48組織へと膨れ上がったと主張しています。
ただし念のため申し添えておくと、犯罪者の主張が常に信頼できるとは限りません。相応の割り引きをして受け止める必要があります。
とはいえ、このランサムウェアビジネスが事業を拡大し続けていること、独自のペイロードを使用していること、そしてホワイトレーベルのハッキングサービスを提供していることを踏まえると、CRPx0は注視すべき存在だと言えます。実際、最近公開されたいくつかの分析では、防御側がこの犯罪集団をIT環境から締め出すためのヒントが示されています。
サイバー犯罪の捜査についてブログ「TheRavenFile」で発信している脅威インテリジェンスアナリストのRakesh Krishnan氏は、今月初めにCRPx0の詳細を公表した最初の研究者の一人で、これまで未公開だったマルウェアのサンプルも含めて報告しています。
運営者はハッキングサービスを提供しており、被害組織からの「データベースの完全な抽出」や「要望に応じたオプションの公開リーク調整」をうたっています。このプラットフォームはさらに、「初期アクセスからラテラルムーブメント、ドメイン全体の侵害に至るまで」のネットワーク完全侵害と、被害組織のインフラ全体にわたる持続的なアクセスも宣伝しています。
もう一つの、ホワイトレーベル型のランサムウェア・アズ・ア・サービス(RaaS)プラットフォームは、駆け出しの犯罪者でもデータ窃取・恐喝ビジネスに簡単に参入できるようにするものです。CRPx0は、コマンド&コントロール(C2)インフラから交渉用パネル、マルウェアに至るまで一式を構築・展開・設定してくれるため、犯罪者である顧客は自分たちのブランドイメージをそのまま自らのオペレーションに反映できます。当初はこれらのサービスを一括10,000ドルの料金で提供していました。
当初、運営者はアフィリエイトに利益の100パーセントを保持させると約束していました。これはランサムウェア・アズ・ア・サービスの世界では前代未聞のことです。しかしその後、70対30モデルへと移行し、アフィリエイトは(一度限りの333ドルの登録料を支払った上で)恐喝による支払いの70パーセントを受け取り、残りの30パーセントを運営者が得る形になりました。
CRPx0のルールでは、アフィリエイトが独立国家共同体(CIS)加盟国およびこれらの国を拠点とする組織を攻撃することを禁じています。これはロシアを拠点とするランサムウェア組織の間ではよくあるルールで、以前The Registerが行ったインタビューでも、Recorded Futureの脅威インテリジェンスアナリストAllan Liska氏はこれを「ランサムウェアクラブの第一の掟――独立国家共同体内の組織は攻撃しない」と表現していました。
また同グループは、ビットコイン(BTC)よりもモネロ(XMR)による支払いを好む傾向にあります。
ClickFix経由のランサムウェア配布
アフィリエイトは、独自のClickFixペイロード配布方法をカスタマイズすることもできます。木曜日に公開されたRansom-ISAC研究チームの分析によると、運営者は偽のWindows Updateと偽のGoogle reCAPTCHAという2種類のおとりを用意しており、被害者を社会工学的にだまして最初のコマンドを実行させています。
Windows用のおとりは、被害者をだましてPowerShellコマンドを「ファイル名を指定して実行」ダイアログに貼り付けさせます。これによりDLLステージャーのチェーンが投下され、最終的にPythonベースのランサムウェアが展開されます。
一方macOS用のおとりは、curl|bashコマンドを使用し、ポータブル版Pythonとランサムウェアを直接ダウンロードします。
これらのおとりを含むCRPx0のマルウェア一式はWindowsとmacOSの両方で動作し、研究者によれば、ペイロードの形式は4種類存在します。「2種類のHTMLおとりに加え、単体のDLLと単体のEXEがあり、後者2つは社会工学的な手順を完全に省いている」とのことです。
この4種類はいずれも同一のランサムウェアを配布します。それは1,769行のPythonスクリプトで、価値の高いファイルを窃取してからAES-128-CBC(Fernet)で暗号化します。このマルウェアはWMI/schtasksを介してラテラルムーブメントを行い、身代金要求メモを残します。被害者には支払いの猶予として48時間の期限が設定されており、支払わなければファイルが公開されるとされています。
「完全でプロフェッショナルな攻撃コントロールセンター」
8月23日、CRPx0の運営者はグループのクリアネットのリークサイト上でv3.0のアップデート告知を公開し、「単一のWebダッシュボードから侵害済みのリモートマシンを管理できる、完全でプロフェッショナルな攻撃コントロールセンター」を提供すると謳っています。
これにより犯罪者は、価値の高いファイルや認証情報、ウォレットのリカバリーフレーズや鍵を窃取するツールを手に入れると同時に、「盗んだ仮想通貨ウォレットアドレスに資金が流れ込む様子」を監視できるようになります。このサービスはさらに、リモートコマンドを実行するスクリプトも提供しており、コントロールパネルでは「標的側で何か価値のある事象が発生した際に自動的に発動する攻撃アクション」を設定できます。
運営者は次のように述べています。「すべては技術的な知識を持たない人間でも操作できるように作られている。クリック操作だけで済むパネル、平易な言葉で書かれたルール、分かりやすいステータス表示。背後にある攻撃エンジンは、洗練されたダークテーマのインターフェースの裏に隠されている」
仮想通貨窃取から暗号化ツール、ネットワーク全体の侵害まで、あらゆる用途に対応するCRPx0のハッキング・ランサムウェアサービスについて、Bitdefenderの脅威リサーチャーJade Brown氏は8月12日付の分析の中で、「新規の協力者を惹きつけるための戦略的な動きである可能性もあれば、サイバー犯罪サービスを求める幅広いアフィリエイト志望者を狙った詐欺である可能性もある」と指摘しています。
防御側が取るべき対策
それでも「他の脅威アクターが同様の手口を採用する可能性がある」と同氏は警告しています。「これは、組織があらゆる種類の侵害に備えて検知能力のバランスを取るべきだということを改めて示す事例だ。仮想通貨窃取と暗号化処理の双方に合致する不正な挙動を検知・ブロックできるよう、各種技術を設定しておく必要がある」
Ransomware-ISACのチームは、防御側が優先すべき対策として5つの行動を、この順序で挙げています。「最初の3つはコストがかからず、CRPx0に限らずClickFix系の攻撃全体を鈍らせる効果がある」と同チームは述べています。
第一に、一般ユーザーからは「ファイル名を指定して実行」ダイアログを取り除くことです。これによりWindows経由の攻撃経路を完全に遮断できます。macOSユーザーについては、技術に詳しくない従業員向けにMDMを使ってターミナルの利用を制限すべきです。
次に、脅威インテリジェンスアナリストたちは、powershellやcurl、あるいは長いbase64文字列を含むRunMRUへの書き込みに対してアラートを設定するよう勧めています。「ClickFixの被害者は例外なくHKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRUに痕跡を残す」と同チームは記しています。「これは現時点で入手可能な中で最も精度の高いClickFix検知方法であり、導入も容易だ」
同チームはまた攻撃者側のネットワーク侵害指標(IOC)も一覧化しており、それらのブロックを推奨しています。
暗号化前のデータ窃取段階における侵害指標や不正な挙動を積極的に探すことも重要です。Ransomware-ISACによれば、「データは1件のファイルが暗号化されるより前に流出するため、.crpx0拡張子や身代金要求メモはあくまで事後的な指標であり、事前の警告にはならない」とのことです。
最後に、侵害された可能性のあるアカウントからバックアップにアクセスできない状態になっているかを確認し、被害者の認証情報でアクセス可能なものはすべて「破壊された」ものとして扱うべきです。®
