Kitten.gif: Sabbath ランサムウェア アフィリエイト プログラムの再会

2021 年 9 月、Mandiant は、exploit.in で新しいランサムウェア アフィリエイト プログラムのパートナーを探している投稿を発見しました。 2021 年 10 月 21 日までに、54BB47h (Sabbath) ランサムウェア シェイミング サイトとブログが作成され、すぐにセキュリティ研究者の話題になりました。他のほとんどのアフィリエイト プログラムとは対照的に、Mandiant は、ランサムウェア オペレーターがアフィリエイトに事前構成済みの Cobalt Strike BEACON バックドア ペイロードを提供した 2 つの事例を観察しました。 BEACON の使用はランサムウェアの侵入では一般的な方法ですが、BEACON を提供するランサム アフィリエイト プログラム オペレーターの使用は珍しいものであり、アトリビューションの取り組みに対する課題を提供すると同時に、追加の検出手段も提供します。

Mandiant Advanced Practices は、過去の Mandiant Consulting の取り組み、Advanced Practices の外部の敵対者発見プログラム、および市販のマルウェア リポジトリで、同様の BEACON インフラストラクチャを積極的に特定し始めました。この分析を通じて、Advanced Practices は新しい Sabbath グループを、Arcane や Eruption などの以前に使用されていた名前で身代金を要求する活動に関連付けました。

Arcane and Sabbath として活動する UNC2190 は、2021 年 6 月以降、米国とカナダの教育、健康、天然資源などの重要なインフラストラクチャを標的にしています。国家安全保障レベルの脅威としてのアクターを、重要なインフラストラクチャを標的にして混乱させるグループに特に注意を払います。

ステルスランサムウェア

2020 年 7 月、UNC2190 は Eruption というブランド名で ROLLCOAST ランサムウェアを展開しました。 Mandiant は、2021 年に UNC2190 で展開されたランサムウェアのサンプルを確認しておらず、ROLLCOAST のサンプルが VirusTotal に送信されたことはありません。以下のセクションでは、UNC2190 のランサムウェアがキャプチャと検出を回避した技術的な理由のいくつかについて説明します。

ネクスト レベルの恐喝と「バックアップ キラー」

安息日が最初に明るみに出たのは、2021 年 10 月、このグループがRedditと現在停止中の Twitter アカウント @ 54BB47hで米国の学区を公に侮辱し、強要したときでした。この最近の恐喝では、攻撃者はランサムウェアを展開した後、数百万ドルの支払いを要求しました。メディアの報道によると、このグループは教職員、保護者、さらには生徒に直接電子メールを送信するという異常に攻撃的な措置を講じ、学区にさらに世論の圧力をかけました。

UNC2190 は多面的な恐喝モデルを使用しており、ランサムウェアの展開の範囲が非常に限定されている可能性があり、大量のデータが盗まれて悪用され、攻撃者が積極的にバックアップを破壊しようとします。

脅威アクターは、公開データ漏洩を利用して、被害者に身代金要求を支払うよう強要しました。 Sabbath は公共の恥辱のブログを運営していますが、Mandiant は、2021 年 11 月中旬から被害者が公的に強要されていることを確認しただけで、2 日間で 6 人の被害者が追加されました。以前は Arcane ブランドでしたが、Mandiant は 2021 年 6 月に 3 人の被害者が公然と強要されたことを確認しました。

アルケイン リブランド

Mandiantは、2021 年 10 月に最初に公開された新しい Sabbath 公開の恥辱の Web ポータルとブログが 2021 年 6 月の Arcane のものとほぼ同じであることを発見しました。これには、同じテキスト コンテンツと、名前、配色、およびロゴへのマイナーな変更が含まれていました。脅威アクターは、更新された Web フォーラムで一貫した文法エラーを保持していました。

舞台裏では、Arcane から Sabbath へのブランド変更の間、攻撃を実行するために使用されるアフィリエイト モデルに技術的な変更がほとんど加えられていません。両方のランサムウェア アフィリエイト サービスの BEACON サンプルとインフラストラクチャは変更されていません。マルウェア サンプル PE のコンパイル時間は、攻撃者が使用した Themida パックの BEACON ドロッパー (md5 6bd1a3849bb9d5f9ac5b4f4049081334 や 38667bc3ad2dcef35a5f343a5073e3f2など) で同じでした。

UNC2190 BEACON サンプルのハンティング

2020 年 7 月以降、UNC2190 はBEACONを使用して、以下を含む独自の可鍛性プロファイル要素を使用しています。

• 次のような、kitten.gif で終わる GET 要求:
  • hxxps://markettc.biz/gifs/ZsoCzxU-X-5D3ZhV2zzKgc8SHhygCYmWpBRCS_mRV_SZxyWaaSPw7FFtcZ66twQ_uTDp5Edls
    mRa6K8GPtMVBnKOHhM6EgcnE4znZPiyXskZJXmHLSYAnkpLwOrxyCorkFthelDg
    VnuW7k3UVzDjEz3W4xuxSKBq2DuseaG-F0dob1M/kitten.gif
• POST 変数「image_url」は、ロシアの人気ソーシャル メディア サイト VK でホストされている特定の画像を指します: hxxps://sun9-23.userapi.com/G4JvdZDEfLdIPlNN1-JkMGQ2unf2KEIV54Om5g/abJ70jGHfVk.jpg
• ユーザー エージェント: ” Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML、Gecko など) Chrome/80.0.3987.163 Safari/537.36 “

Mandiant は、UNC2190 が利用する次のような追加のインフラストラクチャの類似点を発見しました。

• クラウド サービスを使用してマスクされた実際の IP。
• 自己署名 TLS 証明書の通称「 Microsoft IT TLS CA 5 」

ウイルス対策検出を回避するための進化

2021 年 3 月、Mandiant Consulting は、Mandiant が UNC2190 に帰属する BEACON ペイロードをロードしようとする 2 つの試みをアンチウイルスが検出してブロックした、追跡対象の別の UNC グループへの侵入を観測しました。その後、別の追跡された攻撃者が、この被害者に別のランサムウェアを展開し、より多くの成功を収めました。 2021 年 7 月 6 日以降、Mandiant は Themida を使用して UNC2190 BEACON マルウェアをパックし、検出から保護していることを検出しました。

ROLLCOAST ランサムウェアの詳細

2020 年 7 月、Mandiant は UNC2190 による ROLLCOAST ランサムウェアの使用を初めて検出しました。ロールコースト

システムに接続された論理ドライブ上のファイルを暗号化するランサムウェア プログラムです。 ROLLCOAST は、名前付きエクスポートを持たないダイナミック リンク ライブラリ (DLL) です。 Mandiant が観察したところ、序数エクスポート 0x01 が 1 つしかありませんでした。これは、おそらくアフィリエイトに提供された BEACON を通じて、サンプルが検出を回避し、メモリ内で呼び出されるように設計されていることを示唆しています。同様の侵入に取り組んでいるインシデント対応者は、分析のためにメモリをキャプチャする必要があります。 ROLLCOAST は、この侵入中にディスクに書き込まれず、Mandiant によってメモリ内でのみ検出されました。

マルウェアは、システム言語のチェックから開始し、以下の表からサポートされていない言語コードを検出すると終了します。他の多くのランサムウェア ファミリーは、ロシアやその他の独立国家共同体加盟国でシステムの暗号化を回避するための同様のチェックを行っています。おそらく、ランサムウェア オペレーターや関連会社が存在する可能性が高い国で法執行機関の注意を引くことを避けるためです。

言語の除外

システム言語が次のいずれかに一致する場合、ROLLCOAST は終了します。

タイクーンとの類似点

Mandiant は ROLLCOAST の要素をTycoon ランサムウェアの要素と比較し、いくつかの類似点を発見しました。

• どちらのランサムウェア ファミリも、GCM モードで AES を使用してファイルを暗号化します
• 無視されたディレクトリ、ファイル、および無視された拡張子「.lolz」を含む拡張子が重複しています。

これは、開発者が ROLLCOAST をモデル化したか、Tycoon ランサムウェアから要素をコピーしたことを示唆しています。 ROLLCOAST と TYCOON は全体的な実装が異なります。TYCOON は Java ベースのランサムウェアですが、ROLLCOAST はそうではありません。さらに、公に報告された TYCOON には、ROLLCOAST にはないように見える機能があります (シェル コマンド、バックアップの改ざん、ファイアウォールの改ざん、wmic)。

ロールコースト弦

ROLLCOAST 暗号化ファイル命名規則

ファイルは暗号化され、次の形式に名前が変更されます。

VirusTotal から復元された暗号化ファイルの例:

covid の結果 <編集済み>.pdf.[6EEC0F355072<編集済み 4 桁>].54bb47h

結論

UNC2190 は知名度が低く、小規模なランサムウェア アフィリエイト グループである可能性がありますが、規模が小さく、ブランド変更を繰り返すことで、一般の人々の精査を避けることができました。 Mandiant の 2021 年の傾向と 2022 年の予測レポートでは、医療に影響を与えるランサムウェアによるデータ窃盗活動が 2020 年 1 月から 2021 年 6 月にかけて増加したと指摘されていますが、一部のグループは病院を標的にすることは避けると主張しています。 UNC2190 は、商用パッカーの導入やサービス提供のブランド変更など、戦略とツールにわずかな変更を加えながら、過去 1 年間運用を続けてきました。これは、BEACON などのよく知られているツールが、あまり知られていないグループによって利用された場合でも、影響力があり収益性の高いインシデントにつながる可能性があることを強調しています。

謝辞

Joshua Shilko の分析的貢献、Barry Vengerik、Tufail Ahmed、Isif Ibrahima、Andrew Thompson、Jake Nicastro、Nick Richard、Moritz Raabe のテクニカル レビュー、およびすべての Mandiant 研究者、コンサルタント、Advanced Practices External Collectors、FLARE RE に感謝します。この投稿のコンテンツを作成するためのサポート、調査、および支援。

MITRE ATT&CK

Mandiant は、UNC2190 が次の手法を使用していることを確認しています。

屋良署名

注: FE_Hunting ルールは、疑わしいファイルを広くキャプチャするように設計されており、特定のマルウェアや脅威を検出するようには設計されていません。

指標