(例) ペースの変化: UNC2596 で観測された、脆弱性を悪用してキューバ ランサムウェアを展開

2021 年、Mandiant は、ランサムウェアを展開する一部の攻撃者が、最初の感染ベクトルとして脆弱性を悪用する方向にますます移行していることを観察しました。 COLDDRAW ランサムウェア (Cuba Ransomware として一般に知られている) を展開する脅威アクターである UNC2596 は、この傾向を実証しています。公開レポートでは、これらのランサムウェア インシデントの前兆として CHANITOR キャンペーンが強調されていますが、Mandiant は、早ければ 2021 年 8 月に可能性が高い UNC2596 によって利用される別のアクセス ポイントとして、ProxyShell や ProxyLogon などの Microsoft Exchange の脆弱性の悪用も特定しています。 COLDDRAW ランサムウェアの展開につながった UNC2596 アクティビティについて。

UNC2596 は、現時点で Mandiant が追跡している COLDDRAW ランサムウェアを使用する唯一の脅威アクターであり、グループのみが使用していることを示唆している可能性があります。侵入中、これらの攻撃者は Webshell を使用して TERMITE インメモリ ドロッパーをロードし、その後、複数のバックドアと組み込みの Windows ユーティリティが関与するアクティビティを実行しました。 UNC2596 は、Cobalt Strike BEACON や NetSupport などの一般的なツールを超えて、エンドポイント保護を無効にする BURNTCIGAR、アクティブなホストを列挙する WEDGECUT、BUGHATCH カスタム ダウンローダーなどの新しいマルウェアを使用しています。 COLDDRAW が展開されたインシデントでは、UNC2596 は、COLDDRAW ランサムウェアを使用した暗号化に加えて、グループの恥ずべき Web サイトでデータが盗まれて漏えいする多面的な恐喝モデルを使用しました。 COLDDRAW の運用は、重要なインフラストラクチャ内の組織を含め、10 か国以上の数十の組織に影響を与えています。

被害者学

COLDDRAW ランサムウェア攻撃の背後にいる脅威アクターは、機密性の高い標的を避けていません (図 1)。彼らの被害者には、公益事業者、政府機関、非営利団体や医療機関を支援する組織が含まれますが、緊急治療を提供する病院や団体を攻撃することは確認されていません。被害を受けた組織の約 80% は北米を拠点としていますが、ヨーロッパのいくつかの国や他の地域にも影響を与えています (図 2)。

恥ずべきウェブサイト

少なくとも 2021 年初頭以降、COLDDRAW ランサムウェアの被害者は、盗んだデータを公開または販売すると脅迫する脅威アクターによって、公然と強要されてきました (図 3)。各恥ずべき投稿には、「ファイルを受け取った日付」に関する情報が含まれています。シェーミング サイトは 2021 年初頭までランサム ノートに含まれていませんでしたが、サイトのエントリの 1 つは、ファイルが 2019 年 11 月に受信されたと述べています。これは、パブリック マルウェア レポジトリにアップロードされた最も初期のサンプルと一致しており、ランサムウェア。特に、このサイトにリストされている被害者のほとんどに関連するデータは無料で提供されていますが、公開時に被害者を 1 人だけリストした有料セクションがあります。

攻撃のライフサイクル

COLDDRAW ランサムウェアの展開につながった UNC2596 インシデントには、公開ツールと非公開ツールが混在しており、そのうちのいくつかは非公開であると考えられています。攻撃者は、NetSupport、Cobalt Strike BEACON、PsExec、RDP、PowerShell などの組み込みの Windows 機能、WICKER などの購入可能なマルウェア、公開されている証拠のあるエクスプロイトなど、公開されているいくつかのマルウェアとユーティリティを使用します。コンセプトコード。 UNC2596 は、BUGHATCH、BURNTCIGAR、WEDGECUT、COLDDRAW など、これまでに他の脅威活動クラスターで使用されていないいくつかのツールとスクリプトも使用しています。詳細については、「注目すべきマルウェアとツール」セクションを参照してください。

初期偵察 / 初期侵害

Mandiant は、UNC2596 が、公開されている Microsoft Exchange インフラストラクチャに影響を与える脆弱性を、最初のベクトルが特定された最近の COLDDRAW 侵入の最初の侵害ベクトルとして頻繁に利用していることを観察しました。脅威アクターは、最初の偵察活動を実行して、悪用に対して脆弱な可能性のあるインターネットに接続されたシステムを特定する可能性があります。

足場を固める

Microsoft Exchange の脆弱性を介して最初のアクセスが得られた COLDDRAW ランサムウェア インシデントでは、UNC2596 はその後、被害者のネットワークに足場を築くために Web シェルを展開しました。 Mandiant はまた、これらの攻撃者がさまざまなバックドアを展開して足場を確立することも観察しました。これには、公開されている NetSupport RAT や、TERMITE インメモリ ドロッパーを使用して展開された BEACON や BUGHATCH が含まれます。

権限の昇格

COLDDRAW ランサムウェア インシデントでは、主に、有効なアカウントの資格情報を使用して権限を昇格させることが含まれています。これらの資格情報のソースが不明な場合もあれば、UNC2596 が Mimikatz や WICKER などの資格情報盗難ツールを利用した場合もあります。また、これらの攻撃者が Windows アカウントを操作または作成し、ファイル アクセス許可を変更することも確認しています。ある侵入では、UNC2596 がユーザー アカウントを作成し、それを管理者および RDP グループに追加しました。

内部偵察

UNC2596 は、暗号化の候補となるアクティブなネットワーク ホストを特定し、多面的な恐喝スキームで使用するために盗み出すファイルを特定することを目的として、内部偵察を実行しました。攻撃者は、一般的にファイル名が check.exe の偵察ツールである WEDGECUT を使用しています。 Get-ADComputer コマンドレットを使用して Active Directory を列挙するcomps2.ps1という名前の PowerShell スクリプトによって生成されたホストのリストに PING 要求を送信することにより、アクティブなホストを識別します。攻撃者は、ファイル システムを対話的に参照して、対象のファイルを特定しています。さらに、UNC2596 は、 shar.batという名前のスクリプトを日常的に使用して、すべてのドライブをネットワーク共有にマップしており、ユーザー ファイルの検出に役立つ可能性があります (図 4)。

横移動/プレゼンス維持

COLDDRAW インシデントの間、UNC2596 のアクターは、RDP、SMB、PsExec などの横方向の移動に複数の方法を使用しており、この移動を容易にするために BEACON を頻繁に使用しています。横方向の動きに続いて、攻撃者は一般に公開されている NetSupport RAT や、多くの場合 TERMITE インメモリ ドロッパーを使用して展開される BEACON や BUGHATCH など、さまざまなバックドアを展開します。これらのバックドアは、PowerShell ランチャーを使用して実行されることがあり、場合によっては予測可能なファイル名を使用しています。たとえば、COLDDRAW インシデント中に観察された NetSupport 関連のスクリプトと実行可能ファイルは通常、ファイル名raまたはra<#>を使用していますが、BUGHATCH スクリプトと実行可能ファイルはファイル名komarまたはkomar<#>を使用しており、その後に適切な拡張子が続きます。

ミッションを完了する

UNC2596 は、多面的な恐喝という任務を完了するために、関連するユーザー ファイルを盗み、ネットワークに接続されたマシンを特定して暗号化しようとします。暗号化を容易にし、収集作業を支援するために、攻撃者は、各ドライブをネットワーク共有にマップするshar.batという名前のバッチ スクリプトを使用しました (図 4)。これらの新しく作成された共有は、COLDDRAW による暗号化に使用できます。 COLDDRAW が関与する最近の侵入では、UNC2596 はav.batという名前のバッチ スクリプトを使用して BURNTCIGAR ユーティリティを展開しました。 BURNTCIGAR は、2021 年 11 月に初めて確認されたユーティリティで、エンドポイント セキュリティ ソフトウェアに関連するプロセスを終了させ、ランサムウェアやその他のツールを無制限に実行できるようにします。 UNC2596 は、被害者のシステムを暗号化する前にデータを盗み出すことも確認されています。現在のところ、UNC2596 がクラウド ストレージ プロバイダーを使用してデータを盗み出すことは確認されていません。むしろ、BEACON インフラストラクチャにデータを盗み出すことを好みます。その後、脅威アクターは、身代金を支払わない組織のデータを恥ずべきサイトで公開すると脅迫します (図 5)。

注目すべきマルウェアとツール

公開されているマルウェアと組み込みユーティリティの使用に加えて、Mandiant は、UNC2596 が、WEDGECUT、BUGHATCH、BURNTCIGAR、および COLDDRAW など、これらの脅威アクターにプライベートであると考えられているマルウェア、またはTERMITE などの限られた数の脅威アクターによって使用されます。

ウェッジカット

ファイル名check.exeで確認されている WEDGECUT は、ホストまたは IP アドレスのリストを含む引数を取り、ICMP パケットを使用してそれらがオンラインかどうかをチェックする偵察ツールです。このユーティリティの機能は、IcmpCreateFile、IcmpSendEcho、および IcmpCloseFile API を使用して実装され、文字列「Date Buffer」を含むバッファを送信します。実際には、WEDGECUT に提供されるリストは、Get-ADComputer コマンドレットを使用して Active Directory を列挙する PowerShell スクリプトを使用して生成されています。

バグハッチ

BUGHATCH は、C&C サーバーからダウンロードされた侵害されたシステムで任意のコードを実行するダウンローダーです。 C&C サーバーから送信されるコードには、PE ファイルと PowerShell スクリプトが含まれます。 BUGHATCH は、PowerShell で記述されたドロッパーによってメモリ内に読み込まれたか、リモート URL から PowerShell スクリプトによって読み込まれました。

バーンシガー

BURNTCIGAR は、アバスト ドライバーの文書化されていない IOCTL コードを利用して、カーネル レベルでプロセスを終了するユーティリティです (表 1)。このマルウェアは、DeviceIoControl 関数を使用してターゲット プロセスを終了し、ドキュメントに記載されていないアバスト ドライバーの 0x9988C094 IOCTL コードを悪用します。このコードは、指定されたプロセス ID で ZwTerminateProcess を呼び出します。私たちは、バイナリ ファイル C:windowstemp aswArPot.sys (SHA256 ハッシュ 4b5229b3250c8c08b98cb710d6c056144271de099a57ae09f5d2097fc41bd4f1 を持つ正当なアバスト ドライバー) をロードする aswSP_ArPot2 というカーネル サービスを作成および開始するバッチ スクリプト ランチャーを観察しました。

被害者に BURNTCIGAR を展開するために、攻撃者は脆弱なアバスト ドライバーの独自のコピーを持ち込み、それをサービスにインストールします。

コールドドロー

COLDDRAW は、Mandiant がキューバ ランサムウェア オペレーションで観察されたランサムウェアを追跡するために使用する名前です。このランサムウェアは、暗号化されたファイルに .cuba ファイル拡張子を追加します。実行されると、一般的なサーバー アプリケーションに関連付けられたサービスを終了し、組み込みの RSA キーを使用して、ローカル ファイル システムおよび接続されたネットワーク ドライブ上のファイルを暗号化します。暗号化されたファイルは、暗号化されたファイルのコンテンツの前に、COLDDRAW で生成されたヘッダーで書き換えられます。大きなファイルの場合、ファイルの最初と最後だけが暗号化されます。

シロアリ

TERMITE は、暗号化されたシェルコード ペイロードを含む、パスワードで保護されたメモリのみのドロッパーです。観察されたペイロードには、BEACON、METASPLOIT ステージャー、またはバグハッチが含まれていました。 TERMITE が正常に動作するには、アクターはClearMyTracksByProcessエクスポートを指定し、コマンド ライン オプションとしてパスワードを指定する必要があります (図 6)。 Mandiant は、TERMITE が複数のグループで利用可能であり、UNC2596 だけが使用しているわけではないのではないかと考えています。

シロアリの追跡

COLDDRAW が関与する UNC2596 の侵入中に、アクターは、通常 BEACON にも使用される Web アクセス可能なシステムからツールとマルウェアをロードします。 Mandiant Advanced Practices は、パスワード 11985756 を使用してさまざまな BEACON ペイロードをデコードする TERMITE ローダーを hxxp://45.32.229[.]66/ new.dllで約 6 か月にわたって追跡しました。この期間中に収集された TERMITE ペイロードの継続的な分析により、TERMITE が検出を回避するために変更を受けていることが示されました。 UNC2596 は、2021 年 10 月に TERMITE パスワード 11985757 の使用も開始しました。

Mandiant は、CHANITOR マルウェアが COLDDRAW ランサムウェアにつながることを直接確認した侵入には対応していません。ただし、CHANITOR 関連の操作と COLDDRAW インシデントの重複を特定しました。これらには、インフラストラクチャの重複、共通のコード署名証明書、共有パッカーの使用、ドメイン、ファイル、URL パスの命名の類似性などが含まれます。

• 一般名 FDFWJTORFQVNXQHFAH のコード署名証明書は、COLDDRAW ペイロードと、CHANITOR によって配布される SENDSAFE ペイロードの署名に使用されています。 Mandiant は、他の攻撃者が使用する証明書を確認していません。
• CHANITOR によって配布される COLDDRAW ペイロードと SENDSAFE ペイロードは、 LONGFALL と呼ばれる共有パッカーを使用しています。 CryptOne としても知られる LONGFALL は、さまざまなマルウェア ファミリで使用されています。
• WICKER スティーラーは、同じコマンド アンド コントロール (C&C) サーバーを共有するサンプルを含む、CHANITOR 関連のエクスプロイト後のアクティビティと COLDDRAW インシデントの両方で使用されています。
• CHANITOR を介して配布されたペイロードと、COLDDRAW ランサムウェア インシデントで特定されたペイロードは、mDNSResponder や Java を含む同じ正当なアプリケーションになりすました。
• COLDDRAW と、CHANITOR 経由で配布されたと報告されている別のランサムウェアである ZEPPELIN の間のいくつかの重複も、公開レポートで強調されています。

含意

識別され公開された脆弱性の数が年々増加し続けているため、Mandiant はまた、ランサムウェア攻撃者による最初の侵害ベクトルとしての脆弱性の使用の増加を観察しており、その活動にはゼロデイ脆弱性と nデイ脆弱性の両方が利用されています。 ;注目すべき例には、 UNC2447とFIN11が含まれます。被害者が悪意のあるリンクやドキュメントとやり取りするなど、制御不能な要因に依存する悪意のある電子メール キャンペーンと比較して、初期アクセスの脆弱性に移行することで、攻撃者はより正確なターゲティングと高い成功率を得ることができます。ゼロデイ攻撃の増加は、エクスプロイトの研究開発や信頼できるブローカーからのエクスプロイトの購入に向けられている、ランサムウェア オペレーターが自由に使える多額の資金とリソースを反映している可能性があります。ただし、攻撃者は効果を発揮するためにゼロデイを使用する必要はありません。 n-day 脆弱性のサブセットは、公開された製品の影響、エクスプロイトが成功した後のコード実行を容易にする機能、重要な技術的詳細やエクスプロイト コードが公共の場で利用可能であることから、攻撃者にとって魅力的なターゲットと見なされることがよくあります。公開された脆弱性の数が増え続けているため、ランサムウェア オペレーターを含む攻撃者が、その運用において脆弱性を悪用し続けると予想されます。

のおかげで Thomas Pullen と Adrian Hernandez がテクニカル リサーチを担当し、Nick Richard がテクニカル レビューを担当しました。

MITRE ATT&CK

Mandiant は、COLDDRAW への侵入に次の技術が関与する COLDDRAW 活動を観測しています。

Mandiant のセキュリティ検証

以前にリリースされたアクションに加えて、Mandiant Security Validation (Validation) Behavior Research Team (BRT) は VHR20220223 を作成しました。これも UNC2596 に関連する戦術用に本日リリースされます。

A102-561、悪意のあるファイル転送 – TERMITE、ダウンロード、亜種 #3

A102-560、悪意のあるファイル転送 – TERMITE、ダウンロード、亜種 #4

A102-559、コマンド アンド コントロール – TERMITE、DNS クエリ、バリアント #1

A102-558、悪意のあるファイル転送 – WEDGECUT、ダウンロード、亜種 #1

A102-557、悪意のあるファイル転送 – TERMITE、ダウンロード、亜種 #2

A102-556、悪意のあるファイル転送 – TERMITE、ダウンロード、亜種 #1

A102-555、悪意のあるファイル転送 – BURNTCIGAR、ダウンロード、亜種 #4

A102-554、悪意のあるファイル転送 – BURNTCIGAR、ダウンロード、亜種 #3

A102-553、悪意のあるファイル転送 – BURNTCIGAR、ダウンロード、亜種 #2

A102-552、悪意のあるファイル転送 – BURNTCIGAR、ダウンロード、亜種 #1

A102-572、悪意のあるファイル転送 – BUGHATCH、ダウンロード、バリアント #4

A102-551、悪意のあるファイル転送 – BUGHATCH、ダウンロード、亜種 #3

A102-550、悪意のあるファイル転送 – BUGHATCH、ダウンロード、亜種 #2

A102-549、悪意のあるファイル転送 – BUGHATCH、ダウンロード、亜種 #1

A101-830 コマンドとコントロール – COLDDRAW、DNS クエリ

A101-831 悪意のあるファイル転送 – COLDDRAW、ダウンロード、亜種 #2

A101-832 悪意のあるファイル転送 – COLDDRAW、ダウンロード、亜種 #3

A101-833 悪意のあるファイル転送 – COLDDRAW、ダウンロード、亜種 #4

A101-834 悪意のあるファイル転送 – COLDDRAW、ダウンロード、亜種 #5

A101-835 悪意のあるファイル転送 – COLDDRAW、ダウンロード、バリアント #6

A104-800 保護劇場 – COLDDRAW、処刑

A151-079 悪意のあるファイル転送 – COLDDRAW、ダウンロード、亜種 #1

A100-308 悪意のあるファイル転送 – CHANITOR、ダウンロード

A100-309 コマンドアンドコントロール – CHANITOR、ポストシステム情報

A150-008 コマンドとコントロール – CHANITOR、チェックインと応答

A150-047 悪意のあるファイル転送 – CHANITOR、ダウンロード、亜種 #2

A150-306 悪意のあるファイル転送 – CHANITOR、ダウンロード、亜種 #1

次の YARA ルールは、適切なパフォーマンスを確保し、誤検知のリスクを制限するために、組織独自の内部テスト プロセスを通じて最初に検証することなく、運用システムで使用したり、ブロック ルールを通知したりすることを意図したものではありません。これらのルールは、サンプルを特定するためのハンティング作業の開始点として機能することを目的としていますが、マルウェア ファミリが変更された場合、時間の経過とともに調整が必要になる場合があります。

指標