New Spirals ransomware encrypts victim network in under 24 hours

「Spirals」と呼ばれる新たなランサムウェア攻撃グループが、初期アクセスからデータの窃取、暗号化に至るまでの企業への侵入を、24時間以内に完了させた。

この攻撃は6月に発生し、パブリックWeb上に公開されていたInternet Information Services（IIS）サーバーを侵害した後、南アジアのITサービス企業への侵入に成功した。

シマンテックのThreat Hunter Teamの研究者によると、攻撃者は初期アクセスを獲得し、ASP.NETウェブシェルをアップロードした後、迅速に動作を進めたという。

image

その後、「Spirals」のオペレーターはユーザーアカウント制御（UAC）を迂回し、リモートデスクトップを有効化し、持続的なアクセスを維持するためにローカルアカウントを作成した。また、攻撃者は認証情報を抽出しようと、SAMレジストリハイブとLSASSプロセスのメモリをダンプした。

シマンテックの調査担当者によると、この脅威アクターはホスト上のセキュリティソフトウェアを削除しようとし、WMIを使用して十数台以上のシステムへ横方向の移動を行い、revsocks、Chisel、およびCloudflareトンネルを使用して冗長なリモートアクセスチャネルを確立した。

PowerShellペイロードは、暗号化段階に備えて、Microsoft Defenderを無効化し、その脅威定義を削除するとともに、Veeam、VMware、Hyper-V、SQL Server、Oracle、PostgreSQLを含む23のバックアップ、データベース、仮想化製品に関連するサービスを停止させました。

シマンテックの報告によると、Spiralsのペイロード（bitsadmin.exe）の展開は、最初の侵害から24時間以内に発生した。

「攻撃者は、SYSTEM権限で実行されるPsExecを使用して、被害者のネットワーク全体にランサムウェアのペイロードを展開し始めた」と研究者らは説明している。

「ペイロードはbitsadmin.exeという名前が付けられており、これは『Background Intelligent Transfer Service』に関連する正規のWindowsユーティリティを装い、影響を受けたマシン上のファイルを暗号化するためと考えられる。」

SpiralsはRustベースのランサムウェアファミリーであり、攻撃者が管理するECDH P-256公開鍵によって保護されたAES-128鍵を使用する。

このランサムウェアは、5MBを超えるファイルに対して間欠的な暗号化を行い、処理を高速化している。

RECOVERY_SECTION.log という名前の身代金要求メッセージが C: ドライブに配置され、身代金の交渉に関する指示が含まれている。

被害者には、身代金が支払われない限り、6日以内に盗まれたデータが公開されると脅迫される。

身代金要求ポータルが存在するにもかかわらず、シマンテックがこれまでに確認した「Spirals」の事例は1件のみであるため、この新しいランサムウェアファミリーがサイバー犯罪においてより広範な展開を意図したものなのか、それとも当該ITサービス企業への攻撃のために特別に作成されたカスタムペイロードだったのかは不明である。

シマンテックのレポートでは、記録された Spirals 攻撃に関連するネットワーク指標やファイルハッシュが提供されており、世界中の組織がこの脅威グループに対する防御策を講じるのに役立てることができます。