Settraランサムウェアの新亜種、最近の攻撃で使用を確認

セキュリティ研究者らは、Settraと呼ばれる新たに発見されたランサムウェアの亜種が、仮想プライベートネットワーク(VPN)環境や侵害された認証情報を初期侵入の足がかりとして標的にし、その後リモート監視管理(RMM)ツールを展開して標的環境への永続的なアクセスを確保していると警告しています。

Huntressの研究者らは、消費者サービス・小売業の企業を狙った7月のインシデントと、製造業企業を狙った9月のインシデントを含む、ここ数カ月で2件の具体的な攻撃を確認したと、木曜日に公開されたブログ記事で述べています。

Huntressのプリンシパル・テクニカル・コミュニティ・エンゲージメント・ライターであるLindsey O’Donnell-Welch氏は、次のように述べています。「攻撃者は、高度というよりは有能と表現できるでしょう。彼らは、永続化のためのMeshAgent、防御機能を弱体化させうる脆弱なドライバー、ログの消去、復旧妨害といった、効果的で確立されたランサムウェアの手口を使用していました」

MoxFiveの研究者らによると、Settraは侵害されたVPN認証情報を使って初期アクセスを獲得し、多数の被害組織を自らの暴露サイトに掲載しているといいます。同グループは、未パッチのシステムや脆弱なアクセス管理といった悪用可能な弱点を持つ組織を標的にしていると主張していると、MoxFiveのブログ記事は伝えています。

両攻撃ともに、ハッカーは被害組織のドメイン名と同じ名前を付けたランサムウェア実行ファイルを使用しました。Huntressによると、7月のインシデントでは対象組織が既存の顧客であり、9月のインシデントでは同社が攻撃の途中でエージェントを導入したとのことです。ただし、Huntressはいずれのケースにおいても初期アクセスの手口を確認できませんでした。

7月の攻撃では、HuntressはMeshAgentのRMMツールの使用を確認しました。これはmvtcs.exeという名前に変更されており、コマンド&コントロール(C2)アドレスへの接続につながっていました。Huntressによると、翌日にランサムウェアの実行ファイルが起動されました。ファイルは暗号化されて名前を変更された後、ハッカーが身代金要求メッセージを送りつけてきたとのことです。

ハッカーは、Windowsイベントログの消去、Windows回復環境の無効化、回復パーティションの削除など、痕跡を隠すためにいくつかの手段を講じていました。

9月のインシデントでは、Huntressは搭載されたセキュリティツールを無力化するために、ハッカーが「Bring Your Own Vulnerable Driver(BYOVD)」の手法を用いた形跡を発見しました。このランサムウェア実行ファイルには、復旧オプションを無効化し、複数のWindowsイベントログを消去するように設計されたコマンドも含まれていました。