新たなランサムウェア亜種「Settra」、小売・製造業への攻撃で展開が確認される

Huntressによると、Settraという名称の新しいランサムウェア亜種が、小売業および製造業を標的としたインシデントで展開されていることが確認されました。

この亜種は6月に初めて観測されており、Huntressの研究者は、7月に消費者サービス・小売業界の組織を、9月に製造業の企業を狙った攻撃においてSettraを展開した脅威アクターが用いた、注目すべき侵害後の手口を明らかにしています。

これらの手口には、持続的なアクセスを確保するためのリモート監視・管理(RMM)ツールの展開、被害者の復旧手段を無効化しようとする試み、そして侵害を受けたシステムへのBYOVD(脆弱なドライバーの持ち込み)の導入などが含まれます。

9月17日に公開されたHuntressのブログでは、Settraに関するこれまでの調査結果として、この亜種が二重恐喝の手口に使われており、攻撃者はシステムを暗号化すると同時に、機密性の高い企業情報を公開すると脅迫していたことが指摘されています。

研究者らは、現時点ではSettraがRaaS(Ransomware-as-a-Service)型の運用であると断定できるだけの証拠は揃っていないと述べています。

侵害後に見られた主な活動

Huntressによれば、今回の2件のインシデントにおいて、攻撃者がどのように初期アクセスを獲得したかは確認できなかったとのことです。

7月に発生した小売企業への攻撃では、脅威アクターが被害組織の環境内にMeshAgentというRMMツールをインストールし、これが指揮統制(C2)インフラに関連するIPアドレスに接続していました。

翌日、ランサムウェアの実行ファイルがC:\Perflogsフォルダから起動されました。これにより被害者のファイルが暗号化され、拡張子が.lockedに変更された後、身代金要求メッセージが作成されました。

EDRのテレメトリからは、ランサムウェアの実行ファイルが起動された直後、脅威アクターが被害組織の復旧を妨害する行動を取っていたことが判明しています。具体的には、複数のWindowsイベントログの消去、Windows回復環境の無効化、ipconfig /flushdnsを用いたDNSキャッシュのクリア、そしてスクリプト経由でWindows標準ユーティリティのdiskpartを実行し、回復パーティションを削除するといった行為です。

さらに脅威アクターは、cmd.exe /c cipher /w:D:\ >nul 2>&1というコマンドを使用し、Windows標準のcipherユーティリティを起動して複数のファイルボリューム上の空き領域を上書きしていました。これは削除済みデータの復旧をより困難にするための措置です。

9月に発生した製造業への攻撃でも、脅威アクターはMeshAgent RMMのインストールや、ランサムウェア実行ファイル起動後の復旧手段の無効化など、同様の手口を用いていました。ただし、1点注目すべき違いとして、BYOVDの使用が見られました。こうしたドライバーは、搭載されているセキュリティツールへの影響や、アンチウイルスアプリケーションに関連するサービスのクラッシュなど、さまざまな目的でインストールされます。

研究者らによると、攻撃者は消去しようとしたWindowsイベントログの1つの名称を誤って入力しており、そのためこの操作は実行されずに終わったとのことです。

9月のインシデントで確認された不正な活動には、WIN-LIVFRVQFMKOというワークステーション名が関連付けられていました。この名称は、Huntressが2024年12月まで遡って追跡している他のインシデントでも、以前から関連付けられて観測されているものです。

両方のインシデントにおいて、ランサムウェアの実行ファイルは、被害組織のドメイン名に_win64.exeを付加した名前が付けられていました。

研究者らは次のように述べています。「MeshAgent RMMの命名規則やC2のIPアドレス、脅威アクターが活動拠点としたフォルダなど、2件のインシデントの間には多少の違いが見られたものの、攻撃全体の手口は驚くほど酷似していました」

防御側への提言

研究者らは、新たなランサムウェア亜種は次々と登場しており、それぞれが独自の戦術・技術・手順(TTP)を伴うと指摘しています。

そのため、セキュリティチームはこうした亜種の動向や、侵害後に用いられる手口について常に最新の情報を把握し、こうした攻撃の検知・対応に役立てるべきだと呼びかけています。

また同ブログは、防御側はこうした攻撃の発生を防ぐため、サイバー防御の「基本」に引き続き重点を置くべきだと付け加えています。