ランサムウェア・アズ・ア・サービス（RaaS）の一種であるBeastは、ファイルを暗号化する前に73のWindowsサービスと52のプロセスを停止させます。さらにシャドウコピーを削除し、ごみ箱も空にするため、被害者がデータを復元しにくくなります。アフィリエイトは、組み込みのグラフィカルユーザーインターフェース（GUI）を通じて実行します。AttackIQは、セキュリティチームが自社の防御を検証できるよう、このランサムウェアのエミュレーションを公開しました。
Beastは2024年6月、アンダーグラウンドフォーラムのRAMPに登場しました。2022年3月に初めて確認されたMonsterランサムウェアの後継とみられています。
2024年8月、運営者はWindows、NASデバイス、VMware ESXi向けのペイロードを生成できるオフラインビルダーを宣伝しました。SymantecとCarbon Blackは、両ファミリーを「Hyadina」として追跡している開発者に関連付けています。
Symantecは2026年7月、このグループの新しいランサムウェア「GodDamn」について、悪意のあるドライバー「PoisonX」など防御回避機能を追加したBeastのリブランドだと指摘しました。元のBeastのリークサイトは現在も稼働しています。Beastの活動が最後に報告されたのは2026年8月30日です。
分析されたサンプルは、2024年8月9日にコンパイルされた81KBの32ビットWindows実行ファイルです。文字列は1バイトのXORキー（0x55）で隠蔽されています。設定情報はChaCha20で暗号化されたブロブに格納されており、研究者は静的解析で復元できます。
Beastはまず、BEAST HERE?という名前のミューテックスを作成し、複数のコピーが同時に動作しないようにします。CIS諸国のほか、ロシア、ウクライナ、ベラルーシ、ベトナムなど一部の国に設定されたシステムでは動作しません。
永続化には、被害者IDにちなんだ名前のHKCU\...\Runキーを利用できます。-Iフラグを指定すると、最初に自身を%ALLUSERSPROFILE%へ、ランダムな8文字の名前でコピーします。
GUIは、オペレーターがALT+CTRLを押して666と入力すると開きます。アフィリエイトは、ドライブ、共有、サブネットを検出して標的を選び、進捗を確認しながら暗号化の開始、一時停止、停止を行えます。コマンドラインのフラグで、組み込みの設定を上書きすることも可能です。
横展開では、BeastはARPキャッシュを読み取り、プライベートな/24サブネットの一覧を作成して、TCPポート445を調査します。応答したホストの共有を列挙しますが、ADMIN$は除外します。隠しボリュームもマウントします。
このサンプルは、https://iplogger[.]co/1v1i85.torrentにも2回接続します。User-Agentヘッダーには被害者IDが入ります。RefererヘッダーにはBEGINまたはENDが入り、オペレーターは暗号化の開始と終了のタイミングを把握できます。
停止対象の73のサービスと52のプロセスには、バックアップツール（Veeam、Acronis、Backup Exec）、データベースエンジン（SQL Server、MySQL、Oracle）、セキュリティソフト、Officeアプリが含まれます。
ファイルがロックされたままの場合、BeastはWindowsのRestart Managerを使い、そのファイルを保持しているプログラムを終了させます。続いて、管理者権限が必要なWMI経由でボリュームシャドウコピーを削除し、ごみ箱を空にします。
防御側は、サービスの大量停止、WMIによるシャドウコピーの削除、SMBスキャン、GUID名の新しいRunキーに注意する必要があります。
AttackIQのエミュレーションは、探索、永続化、共有の列挙、シャドウコピーの削除、暗号化をカバーしています。同社によると、同社のエミュレーションは本番環境でも安全に実行できるよう設計されています。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/beast-ransomware-disrupts-recovery/
