Crypto24ランサムウェア、カスタムEDR回避ツールで大企業を襲う

Crypto24ランサムウェア・グループは、侵入されたネットワークのセキュリティ・ソリューションを回避し、データを流出させ、ファイルを暗号化するカスタム・ユーティリティを使用してきた。

この脅威グループの最も初期の活動は、2024年9月にフォーラムで報告されましたが、目立った知名度には至りませんでした。

Crypto24の活動を追跡しているトレンドマイクロの研究者によると、このハッカーは米国、ヨーロッパ、アジアの複数の大組織を攻撃し、金融、製造、エンターテイメント、ハイテク分野の価値の高いターゲットに焦点を当てている。

セキュリティ研究者の報告によると、Crypto24は知識も経験も豊富なようで、現在では消滅しているランサムウェア活動の元中核メンバーによって結成された可能性が高いという。

侵害後の活動

最初のアクセスを獲得した後、Crypto24のハッカーは、企業環境内のWindowsシステムでデフォルトの管理者アカウントをアクティブにするか、ステルスで持続的なアクセスのために新しいローカル・ユーザー・アカウントを作成します。

カスタムバッチファイルと、アカウントの列挙、システムハードウェアのプロファイル、ディスクレイアウトを行うコマンドを使用した偵察フェーズに続いて、攻撃者は悪意のあるWindowsサービスとスケジュールタスクを作成し、永続化します。

1つ目はキーロガー・サービスのWinMainSvc、2つ目はランサムウェア・ローダーのMSRuntimeです。

次に、Crypto24のオペレーターは、オープンソースツールRealBlindingEDRのカスタムバリアントを使用します。これは、カーネルドライバを無効化することで、複数のベンダーのセキュリティエージェントをターゲットにします：

• トレンドマイクロ
• カスペルスキー
• ソフォス
• SentinelOne
• マルウェアバイト
• サイネット
• マカフィー
• ビットディフェンダー
• ブロードコム（シマンテック）
• シスコ
• フォーティネット
• アクロニス

Crypto24のカスタムRealBlindingEDRは、ドライバのメタデータから会社名を抽出し、ハードコードされたリストと比較し、一致するものがあれば、カーネルレベルのフック/コールバックを無効にして、検出エンジンを「盲点化」する。

特にトレンドマイクロ製品に関しては、攻撃者が管理者権限を持っている場合、正規の「XBCUninstaller.exe」を起動するバッチスクリプトを実行し、Trend Vision Oneをアンインストールすることに言及している。

「攻撃者がgpscript.exeを介してTrend Vision OneのアンインストーラであるXBCUninstaller.exeを実行するケースを確認しました。

「問題のファイルは、トレンドマイクロがトラブルシューティングのために提供している正規のツールで、具体的には、Trend Vision Oneの導入環境におけるエージェントの不整合の修正などの問題を解決するためのものです。

“その使用目的は、メンテナンスまたはサポートのために必要な場合に、Endpoint BaseCampをきれいにアンインストールすることです。”

このツールは、カスタムツールであるキーロガー（WinMainSvc.dll）やランサムウェア（MSRuntime.dll）のような後続のペイロードの検出を基本的に防ぎます。

Microsoft Help Manager」を装ったキーロガーは、アクティブなウィンドウのタイトルと、コントロールキー（Ctrl、Alt、Shift、ファンクションキー）を含むキー押下の両方を記録します。

攻撃者はまた、SMB共有を横方向の移動に使用し、ファイルを抽出するためのステージングを行います。

盗まれたデータはすべて、WinINET APIを活用してGoogleのサービスとやり取りするカスタムツールを使用してGoogle Driveに流出します。

ランサムウェアのペイロードは、Windowsシステム上のボリュームシャドウコピーを削除した後に実行され、容易な復旧を防ぎます。

トレンドマイクロは、暗号化スキーム、ランサムノート、通信方法、標的となるファイルパス、言語、ブランディングの手がかりなど、攻撃のランサムウェア部分に関する詳細を提供していません。

サイバーセキュリティ企業は、他の防御者がCrypto24ランサムウェア攻撃を検知し、最終段階に達する前にブロックするために使用できる侵害の指標のリストをレポートの最後に共有している。

.ia_ad { background-color：#width: 95%; max-width: 800px; margin: 15px auto; border-radius: 8px; border：1px solid #d6ddee; display: flex; align-items: stretch; padding: 0; overflow: hidden; }：0; overflow: hidden; } .ia_lef { flex: 1; max-width: 200px; height: auto; display: flex; align-items: stretch; } .ia_lef a { display: flex; width: 100%; height: 100%; } .ia_lef a img { width: 100%; height: 100%; object-fit: cover; border-radius: 8px 0 0 8px; margin: 0; display: block; } .ia_rig { flex: 2; padding：display: flex; flex-direction: column; justify-content: center; } .ia_rig h2 { font-size: 17px !important; font-weight: 700; color：#line-height: 1.4; font-family：margin: 0 0 14px 0; } .ia_rig p { font-weight: bold; font-size: 14px; margin: 0 0 clamp(6px, 2vw, 14px) 0; } .ia_button { background-color：#border：1px solid #3b59aa; color: black; text-align: center; text-decoration: none; border-radius: 8px; display: inline-block; font-size: 16px; font-weight: bold; cursor: pointer; padding：width: fit-content; } .ia_button a { text-decoration: none; color: inherit; display: block; } @media (max-width: 600px) { .ia_ad { flex-direction: column; align-items: center; } .ia_lef { max-width: 100%; } .ia_lef a img { border-radius: 8px 8px 0 0; } .ia_rig { padding：15px;
width: 100%;
}

.ia_button {
width: 100%;
margin: 0px auto;
}
}

パイカス・ブルー・レポート2025年版はこちらパスワード・クラッキングが2倍増加

46％の環境でパスワードがクラックされ、昨年の25％からほぼ倍増。

今すぐPicus Blue Report 2025を入手して、予防、検出、データ流出の傾向に関するその他の調査結果を包括的にご覧ください。

ブルーレポート2025を入手する