MAZE のナビゲート: MAZE ランサムウェア インシデントに関連する戦術、テクニック、および手順

標的型ランサムウェア インシデントは、さまざまな業界や地域の組織に、破壊的および破壊的な攻撃の脅威をもたらしています。 FireEye Mandiant Threat Intelligenceは、ランサムウェア インシデント、 FIN6 アクティビティ、 OT ネットワークへの影響、および侵害後のランサムウェア展開のその他の側面にわたる傾向の調査で、この脅威を以前に文書化しました。 2019 年 11 月以降、ターゲットを絞ったランサムウェアの使用、被害者データの公開、およびアフィリエイト モデルを組み合わせた攻撃で、MAZE ランサムウェアが使用されていることが確認されています。

少なくとも 2019 年 5 月以降、悪意のある攻撃者が MAZE ランサムウェアを積極的に展開しています。このランサムウェアは、最初はスパム メールとエクスプロイト キットを介して配布された後、侵害後に展開されるようになりました。複数のアクターが MAZE ランサムウェアの操作に関与しています。これは、アンダーグラウンド フォーラムでの疑わしいユーザーの観察と、Mandiant のインシデント対応業務全体での明確な戦術、手法、および手順に基づくものです。 MAZE の背後にいる攻撃者は、恐喝料の支払いを拒否した被害者から盗んだデータを投稿する公開 Web サイトも維持しています。

これら 2 つの有害な侵入の結果 (機密データのダンプと企業ネットワークの混乱) と犯罪サービスの組み合わせにより、MAZE は多くの組織にとって顕著な脅威となっています。このブログ投稿は、多数の Mandiant インシデント対応エンゲージメントから得られた情報と、MAZE のエコシステムと運用に関する独自の調査に基づいています。

Mandiant Threat Intelligence は、5 月 21 日のウェビナーで、MAZE ランサムウェアの脅威に関する質問に答えることができます。

被害者学

2019 年 11 月以降、さまざまなメディアや MAZE の Web サイトで 100 人を超える MAZE の被害者とされる人が報告されていることを認識しています。製造、法律、金融サービス、建設、ヘルスケア、テクノロジー、小売、政府など、ほぼすべての産業セクターが影響を受けており、これらの業務の無差別な性質を示しています (図 1)。

MAZE ランサムウェア操作に関与する複数のアクターが特定される

Mandiant は、MAZE ランサムウェアを使用していると主張し、チーム内でさまざまな役割を担うパートナーを探していた複数のロシア語を話す攻撃者を特定しました。これらのアクターに関する追加情報は、 Mandiant Intelligence のサブスクライバーが利用できます。 MAZE ランサムウェアの展開の標的となった被害者を管理するために使用されるパネルには、アフィリエイト トランザクションのセクションがあります。この活動は、MAZE がアフィリエイト モデルで運営されており、単一のグループによって配布されていないという当社の評価と一致しています。このビジネス モデルでは、ランサムウェアの開発者は、マルウェアの配布を担当する他のアクター (アフィリエイトなど) と提携します。これらのシナリオでは、被害者が身代金の要求を支払うと、ランサムウェアの開発者は手数料を受け取ります。 MAZE ランサムウェアの直接の関連会社は、身代金の一部を支払うために特定のタスクを実行する他のアクターとも提携しています。これには、組織への初期アクセスを提供するパートナーや、偵察、権限昇格、横移動を担当するペンテスターが含まれます。特に、場合によっては、犠牲者の組織とその年間収入を決定するなどの特定のタスクを実行するために、俳優が給与ベースで（手数料に対して）雇われることがあります。これにより、サイバー犯罪エコシステム内での専門化が可能になり、最終的に効率が向上すると同時に、関係者全員が利益を得ることができます。

MAZE は当初、エクスプロイト キットとスパム キャンペーンを介して配布された

MAZE ランサムウェアは当初、2019 年後半までエクスプロイト キットとスパム キャンペーンを介して直接配布されていました。カナダ、イタリア、韓国の事業体にも配送されました。これらの電子メールには、税金、請求書、およびパッケージ配信のテーマが使用され、ドキュメントが添付されているか、Maze ランサムウェアをダウンロードして実行するドキュメントへのインライン リンクが含まれていました。

11 月 6 日と 7 日に、ドイツを標的とした Maze キャンペーンが、「Wichtige informationen uber Steuerruckerstattung」および「1&1 Internet AG – Ihre Rechnung 19340003422 vom 07.11.19」という件名を使用したマクロを含むドキュメントを配信しました (図 3)。受信者には幅広い業界の組織の個人が含まれており、金融サービス、ヘルスケア、および製造部門が最も頻繁に標的にされました。これらの電子メールは、登録者のアドレスgladkoff1991@yandex.ruで作成された多数の悪意のあるドメインを使用して送信されました.

11 月 8 日のキャンペーンでは、主に米国の金融サービスおよび保険会社に Maze が配信されました。これらの電子メールは、侵害された、またはなりすましのアカウントから送信されたもので、Maze 実行可能ペイロードをダウンロードするためのインライン リンクが含まれていました。

11 月 18 日と 19 日に、Maze キャンペーンが、米国とカナダのさまざまな業界で働く個人を標的とし、電話料金と小包の配達をテーマにしたマクロ ドキュメントを使用しました (図 4 と図 5)。これらの電子メールは、「荷物が配達されませんでした」および「AT&T ワイヤレス請求書を表示する準備ができました」という件名を使用し、登録者アドレスが Abusereceive@hitler.rocks の多数の悪意のあるドメインを使用して送信されました。特に、この登録者のアドレスは、2019 年 11 月末にかけて複数のイタリア語ドメインを作成するためにも使用されました。

侵害後の配布への移行が影響を最大化

MAZE を使用する攻撃者は、侵害後にランサムウェアを展開する方向にますます移行しています。この方法論は、被害者の環境内のより多くのホストに感染し、データを盗み出す機会を提供します。これは、恐喝料金を支払うように組織に追加の圧力をかけるために活用されます.特に、少なくとも一部のケースでは、これらの操作の背後にいるアクターが、盗まれたデータを公開しないために、復号化キーに加えて追加料金を請求しています。

MAZE ランサムウェアの配布に先立つ高レベルの侵入シナリオはおおむね類似していますが、異なるチームへの帰属を示唆する侵入ごとに顕著な違いが見られます。これらのチーム内でさえ、サイバー犯罪者はタスク指向であるように見えます。つまり、1 人のオペレーターがライフサイクル全体に責任を負っていません。次のセクションでは、インシデントのサブセットで見られる TTP を強調し、これらの操作のさまざまなフェーズに多数の異なるアクターが関与しているという事実のために発生する可能性のある相違を説明するのに役立ちます。特に、最初のセキュリティ侵害から暗号化までの時間も、数週間から数か月と大きく異なります。

最初の妥協

分析された MAZE ランサムウェア インシデント全体で、侵入ベクトルの明確なパターンはほとんどありません。これは、ネットワーク アクセスを持つ MAZE 勧誘パートナーを使用する複数のアクターの観察結果と一致しています。以下は、いくつかの Mandiant インシデント対応業務からの観察結果のサンプルです。

• ユーザーは、最終的に BEACON のインスタンスを実行するために使用された IcedID ペイロードを起動するマクロを含む、履歴書をテーマにした悪意のある Microsoft Word ドキュメントをダウンロードしました。
• 攻撃者が RDP 経由でインターネットに接続しているシステムにログインしました。最初のアクセスを許可するために使用されたアカウントは、汎用サポート アカウントでした。攻撃者がどのようにしてアカウントのパスワードを取得したかは不明です。
• 攻撃者は、インターネットに接続されたシステムの構成ミスを悪用しました。このアクセスにより、攻撃者はツールを展開して内部ネットワークにピボットできました。
• アクターが脆弱なパスワードを使用して Citrix Web ポータル アカウントにログインしました。この認証されたアクセスにより、攻撃者は内部システムで Meterpreter ペイロードを起動できました。

足場を確立し、プレゼンスを維持する

正当な認証情報を使用し、被害者の環境全体に BEACON を広く配布することは、攻撃者が被害者のネットワークに足場を築き、MAZE ランサムウェアを展開するという最終的な目的を達成しようとする際にプレゼンスを維持するために使用する一貫したアプローチのようです。これらの一般的な動作にもかかわらず、攻撃者が独自のドメイン アカウントを作成して後期操作を可能にすることを確認しました。

• 複数のインシデントで、MAZE を展開する脅威アクターは、多くのサーバーやワークステーションに BEACON ペイロードをインストールすることで、被害者の環境に足場を築きました。
• Web シェルは、インターネットに接続されたシステムに展開されました。これらの Web シェルによって付与されたシステム レベルのアクセスは、初期の権限昇格とバックドアの実行を可能にするために使用されました。
• 侵入オペレーターは、さまざまな権限を持つ複数のドメインおよびローカル システム アカウントへのアクセスを定期的に取得し、維持してきました。これらのアカウントは、操作全体で使用されていました。
• 攻撃者が新しいドメイン アカウントを作成し、それをドメイン管理者グループに追加しました。

権限の昇格

Mandiant は、MAZE 侵入オペレーターが Mimikatz を使用して認証情報を収集し、権限昇格を可能にする複数のケースを観察しましたが、これらの取り組みは、複数のケースで Bloodhound の使用、および認証情報を含むファイルのより多くの手動検索によっても強化されています。

• 最初のアクセスから 2 週間も経たないうちに、攻撃者はmimi.zipという名前のアーカイブをダウンロードして操作しました。このアーカイブには、資格情報収集ツール Mimikatz に対応するファイルが含まれていました。翌日、影響を受けた環境の 2 つのドメイン コントローラで同じmimi.zipアーカイブが特定されました。
• 攻撃者は、環境内で「password」という単語を含むファイルを見つけようとしました。さらに、資格情報の収集活動を示唆するファイル名でいくつかのアーカイブ ファイルも作成されました。
• 攻撃者は、KeePass パスワード セーフ ソフトウェアを実行しているホストを特定しようとしました。
• 複数のインシデントで、Bloodhound ユーティリティが使用されました。これはおそらく、ドメイン管理者権限で資格情報を取得する方法を評価するためでした。
• 攻撃者は、主に Procdump と Mimikatz を使用して、後の段階の侵入を可能にするために使用される認証情報を収集しました。特に、Bloodhound と PingCastle の両方が使用されたのは、攻撃者が影響を受ける組織の Active Directory 構成を理解できるようにするためと考えられます。この場合、責任者は、収集した認証情報を複数の異なるクラウド ファイル ストレージ サービスに流出させようとしました。

偵察

Mandiant は、観察された MAZE インシデント全体で、ネットワーク、ホスト、データ、および Active Directory 偵察への幅広いアプローチを観察してきました。これらのインシデントにまたがるさまざまなツールとアプローチは、責任者が被害者のネットワークとやり取りするさまざまな方法を最もよく示しています。

• 一部の侵入では、被害者のネットワークへの最初のアクセスを取得してから 3 日以内に偵察活動が行われました。攻撃者は、Cobalt Strike を介して多数の偵察スクリプトを実行し、ネットワーク、ホスト、ファイル システム、およびドメイン関連の情報を収集しました。
• 影響を受けた環境のネットワーク、アカウント、およびホストの偵察を可能にするために、複数の組み込みの Windows コマンドが使用されましたが、攻撃者は Advanced IP Scanner と Adfind も提供および使用して、この段階の操作をサポートしていました。
• 一連の nslookup コマンドを含む「2.bat」という名前のバッチ スクリプトを使用して、予備的なネットワーク偵察が行われました。このスクリプトの出力は、「2.txt」という名前のファイルにコピーされました。
• 攻撃者は、暗号化された PowerShell スクリプトを介して、攻撃者が制御する FTP サーバーに IT 環境に関連する偵察コマンドの出力データとドキュメントを盗み出しました。
• 攻撃者は数日間にわたり、Bloodhound、PowerSploit/PowerView (Invoke-ShareFinder)、および内部ホスト全体のディレクトリを列挙するように設計された偵察スクリプトを使用して偵察活動を行いました。
• 攻撃者は adfind ツールとバッチ スクリプトを使用して、ネットワーク、ホスト、ドメイン、およびユーザーに関する情報を収集しました。このバッチ スクリプト (2adfind.bat) からの出力は、7.exe という名前の 7zip アーカイブ ユーティリティのインスタンスを使用して、「 ad.7z 」という名前のアーカイブに保存されました。
• 攻撃者はツールsmbtools.exeを使用して、環境全体でアカウントがシステムにログインできるかどうかを評価しました。
• 攻撃者は、影響を受けた環境全体のファイル サーバーからディレクトリ リストを収集しました。約 1 か月後にデータ流出の証拠が観察されました。これは、これらのディレクトリ リストの作成が前兆活動であり、攻撃者が将来の流出のために機密データを特定するために使用した可能性のあるデータを提供した可能性があることを示唆しています。

横移動

MAZE ランサムウェア インシデントの大部分で、水平移動は Cobalt Strike BEACON と以前に収集された認証情報を使用して行われました。この均一性にもかかわらず、いくつかの代替ツールとアプローチも観察されました。

• 攻撃者は Cobalt Strike BEACON に大きく依存して、影響を受ける環境を横方向に移動しましたが、ngrok ユーティリティを使用して RDP をトンネリングし、tscon を使用して正当な rdp セッションをハイジャックして、横方向の移動と権限昇格の両方を可能にしました。
• 攻撃者は、最初の足がかりを得たシステムから取得した侵害されたサービスとユーザー アカウントを利用して、一部のネットワーク全体を横方向に移動しました。これにより、追加のシステムにすぐにアクセスできるようになりました。盗まれた資格情報は、RDP を介してネットワーク全体を横方向に移動し、BEACON ペイロードをインストールするために使用され、約 100 のホストへのアクセスを攻撃者に提供しました。
• 攻撃者は、Metasploit を使用して横方向に移動し、その後、ローカル管理者アカウントを使用して Cobalt Strike ペイロードをシステムに展開しました。
• 2019 年の前半と後半に、少なくとも 1 人の攻撃者が EternalBlue を使用して横方向の動きを試みました。ただし、これらの試みが成功したという証拠はありません。

ミッションを完了する

分析されたほとんどの MAZE ランサムウェア インシデントで、データの流出を示唆する証拠がありました。悪意のあるアクターはさまざまな方法で盗んだデータを収益化できますが (アンダーグラウンド フォーラムでの販売、詐欺など)、MAZE を使用するアクターは、被害者の組織が恐喝料金を支払わない場合、盗まれたデータを公開すると脅迫することが知られています。

• ハードコーディングされたユーザー名とパスワードを使用して、ファイル拡張子が .7z の任意のファイルを定義済みの FTP サーバーにアップロードするように設計された、base64 でエンコードされた PowerShell スクリプトを使用して、FTP サーバーにデータを盗み出す攻撃者が観察されています。このスクリプトは、2013 年に Microsoft TechNet に最初に投稿されたスクリプトのわずかな変形のようです。
• 別のインシデントでこの機能を有効にするために、base64 でエンコードされた別の PowerShell コマンドも使用されました。
• MAZE ランサムウェアを展開する攻撃者は、WinSCP ユーティリティを使用して、攻撃者が制御する FTP サーバーにデータを盗み出しました。
• 攻撃者がファイル レプリケーション ユーティリティを使用し、盗んだデータをクラウド ファイル ホスティング/共有サービスにコピーしていることが確認されています。
• MAZE ランサムウェアを展開する前に、攻撃者は 7zip ユーティリティを使用して、さまざまな企業ファイル共有からデータをアーカイブしていました。これらのアーカイブは、WinSCP ユーティリティを使用して、FTP 経由で攻撃者が制御するサーバーに流出しました。

データの盗難に加えて、攻撃者は MAZE ランサムウェアを展開して、被害者のネットワークで特定されたファイルを暗号化します。特に、前述の MAZE パネルには、身代金の要求が 2 倍になる日付を指定するオプションがあり、要求に切迫感を与える可能性があります。

• 被害者の環境からデータが流出してから 5 日後、攻撃者は MAZE ランサムウェア バイナリを被害者の環境内の 15 のホストにコピーし、これらのシステムの一部で実行に成功しました。
• 攻撃者は、ホスト名を含む txt ファイルにバッチ スクリプトと一連のファイルを使用して、被害者の環境全体の多くのサーバーとワークステーションに MAZE ランサムウェアを配布および実行しました。
• 攻撃者は MAZE ランサムウェアを数十のホストに展開し、侵入で以前に作成されたドメイン管理者アカウントを使用して各システムに明示的にログインしました。
• 機密データが流出した直後に、攻撃者は MAZE ランサムウェアをネットワーク全体のホストに展開し始めました。場合によっては、何千ものホストが最終的に暗号化されました。暗号化プロセスは次のように進行しました。
  • xaa3x.batやxab3x.batなどの名前を持つ一連のセカンダリ バッチ スクリプトを実行するために、 start.batという名前のバッチ スクリプトが使用されました。
  • これらのバッチ スクリプトにはそれぞれ、コピー コマンド、WMIC、および PsExec を使用する一連のコマンドが含まれており、影響を受ける環境全体のホストで、強制終了スクリプト (windows.bat) と MAZE ランサムウェア (sss.exe) のインスタンスをコピーして実行します。
  • 特に、影響を受けた環境のフォレンジック分析により、最終的に暗号化された数の 10 倍のホストをターゲットとする MAZE 展開スクリプトが明らかになりました。

含意

MAZE ランサムウェアが複数のアクターによって配布されているという私たちの考えに基づいて、このランサムウェアに関連するインシデント全体で使用される TTP は、特に最初の侵入ベクトルに関して、多少変化し続けると予想されます。ランサムウェアに対処するためのより包括的な推奨事項については、ランサムウェアの保護と封じ込め戦略のブログ投稿およびリンクされているホワイト ペーパーを参照してください。

Mandiant のセキュリティ検証アクション

組織は、 Mandiant Security Validationを使用して、20 を超える MAZE 固有のアクションに対してセキュリティ コントロールを検証できます。詳細については、 Mandiant Security Validation カスタマー ポータルの Headline Release Content Updates – April 21, 2020 を参照してください。

• A100-877 – Active Directory – BloodHound、CollectionMethod すべて
• A150-006 – コマンドアンドコントロール – ビーコン、チェックイン
• A101-030 – コマンド アンド コントロール – MAZE ランサムウェア、C2 ビーコン、亜種 #1
• A101-031 – コマンド アンド コントロール – MAZE ランサムウェア、C2 ビーコン、亜種 #2
• A101-032 – コマンド アンド コントロール – MAZE ランサムウェア、C2 ビーコン、亜種 #3
• A100-878 – コマンド アンド コントロール – MAZE ランサムウェア、C2 チェックイン
• A100-887 – コマンド アンド コントロール – MAZE、DNS クエリ #1
• A100-888 – コマンド アンド コントロール – MAZE、DNS クエリ #2
• A100-889 – コマンド アンド コントロール – MAZE、DNS クエリ #3
• A100-890 – コマンド アンド コントロール – MAZE、DNS クエリ #4
• A100-891 – コマンド アンド コントロール – MAZE、DNS クエリ #5
• A100-509 – エクスプロイト キット アクティビティ – フォールアウト エクスプロイト キット CVE-2018-8174、Github PoC
• A100-339 – エクスプロイト キット アクティビティ – フォールアウト エクスプロイト キット CVE-2018-8174、ランディング ページ
• A101-033 – エクスプロイト キット アクティビティ – Spelevo エクスプロイト キット、MAZE C2
• A100-208 – PII データの FTP ベースの流出/アップロード (さまざまな圧縮)
• A104-488 – ホスト CLI – 収集、流出: SharpHound、CollectionMethod を使用した Active Directory の偵察
• A104-046 – ホスト CLI – 収集、抽出: PowerShell を使用したローカル ドライブからのデータ
• A104-090 – ホスト CLI – コレクション、影響: ボリューム シャドウ コピーの作成
• A104-489 – ホスト CLI – コレクション: PowerUp による権限昇格チェック、Invoke-AllChecks
• A104-037 – ホスト CLI – クレデンシャル アクセス、検出: ファイルとディレクトリの検出
• A104-052 – ホスト CLI – クレデンシャル アクセス: Mimikatz
• A104-167 – ホスト CLI – クレデンシャル アクセス: Mimikatz (2.1.1)
• A104-490 – ホスト CLI – 防御回避、検出: プロセスの終了、マルウェア分析ツール
• A104-491 – ホスト CLI – 防御回避、持続性: MAZE、Target.lnk の作成
• A104-500 – ホスト CLI – 検出、防御回避: デバッガ検出
• A104-492 – ホスト CLI – 検出、実行: WMI、PowerShell を使用したウイルス対策クエリ
• A104-374 – ホスト CLI – 検出: Active Directory フォレストの列挙
• A104-493 – ホスト CLI – 検出: ネットワーク共有の列挙
• A104-481 – ホスト CLI – 検出: PowerShell を使用した言語クエリ、現在のユーザー
• A104-482 – ホスト CLI – 検出: reg クエリを使用した言語クエリ
• A104-494 – ホスト CLI – ディスカバリ: MAZE、ランサムウェア ノート書き込みディレクトリをドロップ
• A104-495 – ホスト CLI – 検出: MAZE、ディレクトリのトラバースとランサムウェアのドロップ、DECRYPT-FILES.html バリアント
• A104-496 – ホスト CLI – 検出: MAZE、ディレクトリのトラバースとランサムウェアのドロップ、DECRYPT-FILES.txt バリアント
• A104-027 – ホスト CLI – ディスカバリ: プロセス ディスカバリ
• A104-028 – ホスト CLI – 検出: PowerShell によるプロセス検出
• A104-029 – ホスト CLI – 検出: リモート システム検出
• A104-153 – ホスト CLI – 検出: タスクリストによるセキュリティ ソフトウェアの識別
• A104-083 – ホスト CLI – 検出: システム情報
• A104-483 – ホスト CLI – 流出: PowerShell FTP アップロード
• A104-498 – ホスト CLI – 影響: MAZE、デスクトップ壁紙ランサムウェア メッセージ
• A104-227 – ホスト CLI – 初期アクセス、横移動: リムーバブル メディアを介したレプリケーション
• A100-879 – 悪意のあるファイル転送 – Adfind.exe、ダウンロード
• A150-046 – 悪意のあるファイル転送 – BEACON、ダウンロード
• A100-880 – 悪意のあるファイル転送 – Bloodhound Ingestor ダウンロード、C Sharp 実行可能ファイルの亜種
• A100-881 – 悪意のあるファイル転送 – Bloodhound Ingestor ダウンロード、C Sharp PowerShell バリアント
• A100-882 – 悪意のあるファイル転送 – Bloodhound Ingestor ダウンロード、PowerShell バリアント
• A101-037 – 悪意のあるファイル転送 – MAZE ダウンロード、亜種 #1
• A101-038 – 悪意のあるファイル転送 – MAZE ダウンロード、亜種 #2
• A101-039 – 悪意のあるファイル転送 – MAZE ダウンロード、亜種 #3
• A101-040 – 悪意のあるファイル転送 – MAZE ダウンロード、亜種 #4
• A101-041 – 悪意のあるファイル転送 – MAZE ダウンロード、亜種 #5
• A101-042 – 悪意のあるファイル転送 – MAZE ダウンロード、亜種 #6
• A101-043 – 悪意のあるファイル転送 – MAZE ダウンロード、亜種 #7
• A101-044 – 悪意のあるファイル転送 – MAZE ダウンロード、亜種 #8
• A101-045 – 悪意のあるファイル転送 – MAZE ダウンロード、亜種 #9
• A101-034 – 悪意のあるファイル転送 – MAZE ドロッパー ダウンロード、亜種 #1
• A101-035 – 悪意のあるファイル転送 – MAZE ドロッパー ダウンロード、亜種 #2
• A100-885 – 悪意のあるファイル転送 – MAZE ドロッパー ダウンロード、亜種 #4
• A101-036 – 悪意のあるファイル転送 – MAZE ランサムウェア、悪意のあるマクロ、PowerShell スクリプトのダウンロード
• A100-284 – 悪意のあるファイル転送 – Mimikatz W/ Padding (1MB)、ダウンロード
• A100-886 – 悪意のあるファイル転送 – Rclone.exe、ダウンロード
• A100-484 – スキャン アクティビティ – Nmap smb-enum-shares、SMB 共有列挙

テクニックの検出

MITRE ATT&CK マッピング

Mandiant は現在、侵入後の MAZE ランサムウェアの配布に関与する 3 つの別々の活動クラスターを追跡しています。今後のデータ収集と分析の取り組みにより、MAZE 操作をサポートする侵入活動に関与する追加のグループが明らかになるか、代わりにこれらのグループの一部をより大きなクラスターに折りたたむことができるようになる可能性があります。これらのマッピングには「初期アクセス」フェーズの手法が含まれていることにも注意してください。ただし、場合によっては、このアクセスが別の攻撃者によって提供された可能性があります。

MAZE グループ 1 MITRE ATT&CK マッピング

MAZE グループ 2 MITRE ATT&CK マッピング

MAZE グループ 3 MITRE ATT&CK マッピング (FIN6)

MAZE ランサムウェア インシデントで確認されたコマンドの例

ディレクトリの列挙に使用される PowerShell 偵察スクリプト

デコードされた FTP アップロード PowerShell スクリプト

デコードされた FTP アップロード PowerShell スクリプト

windows.bat kill スクリプトからの抜粋

MAZE 配布スクリプトのコマンド例

MAZE配信スクリプト例

侵害の痕跡

Mandiant Threat Intelligence は、2020 年 5 月 21 日木曜日の午前 8 時 (PT) / 午前 11 時 (ET) に独占ウェビナーを開催し、MAZE ランサムウェアの脅威に関する最新の洞察と情報を提供し、参加者からの質問に回答します。今すぐ登録して、スポットを予約してください。