Huntressの研究者らは、6月に初めて確認された比較的新しいランサムウェア「Settra」が関与する2件のインシデントについて詳細を明らかにし、防御担当者が暗号化が始まる前に脅威を察知するための、一貫した侵害後の手口パターンを公表しました。
今週公開されたブログ投稿の中で、Huntressの研究者であるHarlan Carvey氏とLindsey O’Donnell-Welch氏は、同社が7月以降にSettraによる攻撃を2件調査したと述べています。1件目は消費者サービス・小売業の組織で、2件目は9月に発生した製造業の企業でした。より最近のケースでは、Huntressのエージェントが導入された時点ですでに環境が侵害されており、攻撃者が当時もまだネットワーク内で活動していた可能性があります。
Huntressは、いずれのケースでも攻撃者が最初にどのように侵入したかを正確には特定できなかったとしています。ただし、インシデント対応会社MoxFiveが7月に公開した分析を含む過去の公開報告では、Settraによる活動は侵害されたVPNや盗まれた認証情報が初期侵入経路である可能性が高いと指摘されています。
再現性のある攻撃手順
2つの侵害はおよそ2カ月の間隔を置き、無関係の組織で発生したにもかかわらず、驚くほど類似したパターンをたどりました。いずれのケースでも、ランサムウェアの実行ファイルは被害組織自身のドメイン名に「_win64.exe」を付加した名前が使われており、また両インシデントとも、攻撃者は正規のリモート監視・管理(RMM)ツールであるMeshAgentを導入して永続的なアクセスを維持していました。
7月のインシデントでは、MeshAgentはmvtcs.exeという名前に変更され、45.13.122[.]7のコマンド&コントロールアドレスと通信していました。ランサムウェア本体はその翌日にC:\Perflogsフォルダから起動され、「.locked」拡張子でファイルを暗号化し、RESTORE_FILES.txtという名前の身代金要求メモを設置しました。攻撃者はさらに複数のWindowsイベントログを消去し、reagentc /disableコマンドでWindows回復環境を無効化し、DNSキャッシュをフラッシュした上で、diskpartを実行して回復パーティションを削除しました。また、Windows標準のcipherユーティリティを使ってディスクの空き領域を上書きし、ファイル復旧を著しく困難にしていました。
9月のインシデントでは、MeshAgentはデフォルトの名前のまま使用され、異なるC2アドレスである193.5.65[.]114を参照していました。このIPアドレスは、当該ツールの証明書メタデータや、侵害されたエンドポイント上で当時確立されていた通信先としても確認されています。暗号化されたファイルには「.locked_wip」拡張子が付与され、ランサムウェアはPerflogsではなく、侵害されたユーザーのDocumentsフォルダから起動されていました。7月のケースとは異なり、この侵害ではgdrv.sysという名前のドライバーを介した、BYOVD(Bring Your Own Vulnerable Driver)活動の痕跡が確認されており、これはエンドポイントセキュリティツールを無効化または機能不全に陥らせる際によく使われる手法です。
攻撃者の痕跡を残したタイプミス
Huntressのアナリストの目を引いた点が一つありました。9月の攻撃ではランサムウェアが12個のWindowsイベントログを個別に消去しようとしていましたが、そのリストのうち1件のエントリにスペルミスがあり、本来正しい「Microsoft-Windows-Windows-Defender/Operational」ではなく「Microsoft-Windows-Defender/Operational」と記載されていました。その結果、このログだけは消去処理を免れ、結果的に調査担当者にとって貴重なフォレンジック証拠の追加ソースとなりました。
Huntressはまた、9月の攻撃をWIN-LIVFRVQFMKOという名前のワークステーションと関連付けています。同社のアナリストによれば、このワークステーションは2024年12月にまでさかのぼる無関係のインシデントでも確認されており、さらに2025年11月の時点で同じ193.5.65[.]114というIPアドレスとの関連もすでに確認されていたということです。
広がるパターンの一部
Huntressは、SettraがCrux、KawaLocker、Cephalusといった系統に続き、同社のSOCが今年追跡してきた新興ランサムウェア亜種の最新の一例であると指摘しています。研究者らは、Settraがランサムウェア・アズ・ア・サービス(RaaS)方式で運営されているという公開された証拠は現時点では存在しないとしつつも、そこで見られる手口そのもの(RMMの悪用、BYOVD、Windowsイベントログの消去の試みなど)は、ブランド名にかかわらず多くのランサムウェア攻撃に共通するものであると強調しています。
研究者らは防御担当者に対し、予期しないRMMのインストールに目を光らせること、Windowsの回復オプションを無効化したりイベントログを消去したりする試みを監視すること、そして初期侵入の阻止のみに頼るのではなく、侵害後の挙動に対する強力な検知態勢を維持することを呼びかけています。
Huntressは、両インシデントの侵害指標(IOC)を公開しています。これには2つのMeshAgentのC2アドレス、悪用されたワークステーション名、RESTORE_FILES.txtの身代金要求メモ、gdrv.sysドライバー、そして暗号化ファイルに使われた2種類の拡張子が含まれます。
