マカフィーが「Babuk」ランサムウェアの最新動向について報告

今回は「マカフィーが「Babuk」ランサムウェアの最新動向について報告」についてご紹介します。

関連ワード（セキュリティ等）についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。

　McAfee Advanced Threat Research（McAfee ATR）は米国時間7月28日、ランサムウェアグループBabukに関するレポートを公開した。Babukは最近、Linux/UNIXや「VMware ESXi」、VMwareのシステムを標的とするクロスプラットフォームのバイナリーを開発すると発表していた。

　McAfeeのThibault Seret氏とNorthwaveのNoel Keijzer氏によるこのレポートでは、多くの企業の中核となるバックエンドシステムはこうした*nix系のOS上で稼働しているため、Babukはバイナリーに多くの問題があるにもかかわらず、それを使用して早々に有名企業のシステムをランサムウェアに感染させていると指摘されている。また、一部のランサムウェアグループが、クロスプラットフォームに対応する言語Golang（Go）でバイナリーの記述を試みているという。

　両氏は、「BabukはGolangによるバイナリーの開発、さらには（同言語による）復号プログラムの開発にあたって、被害者に対してライブでのベータテストを実施するという手法を採用したようだ。われわれは、欠陥のあるバイナリーや欠陥のある復号プログラムのせいで、復元不可能な状態で暗号化されている被害者のマシンを複数目にしている」と述べている。

　「被害者が要求に屈し、身代金の支払いに応じた場合であっても、ファイルを復元することはできなかった。われわれは、この粗悪なコードによってBabukとそのアフィリエイト仲間の関係が悪化することを強く望んでいる。ここで言うアフィリエイトとは、実際の攻撃活動を実行する犯人であり、彼らは現在、身代金を支払ったにもかかわらずデータを復元できない被害者とやり取りする状況に直面している。犯罪者の観点から見た場合、今回の1件はランサムウェア犯罪の力学を恐喝から、はるかに利益の少ない破壊へと本質的に変えるものとなっている」

　Babukのランサムウェアを用いる典型的な攻撃手法は、初期アクセスとネットワーク内での横展開、対象への作用という3つの段階を特徴としている。

　また、Babukはサービスとしてのランサムウェア（RaaS：Ransomware-as-a-Service）も運用していたが、4月に停止を表明している。Northwaveが調査したBabukの攻撃は、「Microsoft Exchange Server」に潜むリモートコード実行（RCE）の脆弱性「CVE-2021-27065」を突く。この脆弱性は脅威アクターHAFNIUMも悪用している。

　レポートによると、脅威アクターはアクセス権を取得した後、システム内に「Cobalt Strike」によるバックドアを仕込む。そしてたいていの場合、攻撃者はCobalt Strikeを用いてアクセスを繰り返す。Northwaveは「ネットワーク上の複数の重要なシステム」に対してバックドアが仕掛けられているのを発見したという。

　この攻撃者は、「zer0dump」のカスタム版を通じてドメイン管理者の認証を取得し、認証へのアクセスに「Mimikatz」を使っていたという。

　「攻撃のその後の段階で、脅威アクターは、さらなる永続性を得る手段として一部のシステムで新しいローカル管理者のアカウントを作成することを選択した。Windowsシステム間の横展開はRDPを使用して行われた」

　「攻撃者は、Linuxシステムへの接続には（『Putty』を使って）SSHを利用した。Linuxシステムへのファイルの移動は、Windowsシステムから『WinSCP』を使用して行われていた。一方で、Windowsシステムで使われたツールはインターネットからダウンロードされている。脅威アクターは、ウェブサイトをホストしている『temp.sh』『wdfiles.ru』ファイルを利用し、ほとんどのツールをホストしていた。ほかのツールは『GitHub』あるいはそれぞれの開発者のウェブサイトから直接ダウンロードされた」

　また、攻撃者は「ADFind」「NetScan」「LAN SearchPro」を使用して環境を偵察した。そしてデータを抽出し、ランサムウェアを展開した。

　データを圧縮した後、データを「Mega」「Googleドライブ」に抽出する。環境を完全に制御できるようになり、被害者からデータを盗み出した後、被害者のバックアップを破壊し、さらに被害者のESXiホストに移動して、プリコンパイルされたランサムウェアのバイナリーをデプロイする。

　ランサムウェアのバイナリーは、被害者のすべての仮想マシンを暗号化する。McAfeeのアナリストによると、「このランサムウェアバイナリーは実装が非常に不十分で、元に戻せないデータの破損につながるいくつかの異なる設計上の欠陥が含まれている」という。

　Babukの犯人は4月末、Babukは運用を停止し、別のビジネスモデルに切り替えると発表している。

　このグループは、システムを暗号化するのではなく、データの流出のみに注力すると述べていた。また、コードを公開し、ランサムウェアをオープンソースプロジェクトにするとした。

　「脅威アクターは、身代金の要求に反応しなかった被害者からのデータを公開することにフォーカスする可能性を示した。さらに、他のグループのデータをホストし、公開することも示唆した。そのようにして、Babukの脅威アクターはデータを管理する立場に移行しているようだ」

　「Northwaveは、脅威アクターがデータを暗号化して被害者を恐喝するスキームから、脅威アクターが被害者のデータを暗号化し、侵入する二重恐喝のスキームへとゆっくり移行する動きを見てきた。脅威アクターが、被害者を恐喝するために圧力をかける唯一の源が、機密データの流出というスキームに向かっていることが確認できる」

　Babukのランサムウェアは、非常に大きな損害を引き起こしたと両氏は指摘する。欠陥のあるランサムウェアを運用していたことから、復号プロセスが「回復不能なダメージ」を引き起こすことにつながっていた可能性があるためだ。

　両氏は、「ランサムウェアのこの不十分な設計が、攻撃者がデータを管理する立場に移行することを決定した理由だと考えられる」としている。

　レポートによると、「最終的に、Babukの開発者が、ESXiのランサムウェア開発で難しさに直面したことが、暗号化からデータの盗難と恐喝へとビジネスモデルを変更することにつながった可能性がある」という。

トレンドマイクロ製企業向けセキュリティ製品に「緊急」の脆弱性～Jvnが注意喚起 - 窓の杜

脆弱性ポータルサイト「JVN」は7月29日、トレンドマイクロ製企業向けエンドポイントセキュリティ製品に複数の脆弱性があると公表した ...

https://forest.watch.impress.co.jp/docs/news/1341120.html

セキュリティシステムのおすすめ製品を比較!導入するメリットとは | マイナビニュース

IT化が進んだ現代では、あらゆる業種の企業が機密性の高いデータを保持し、それを狙うサイバー攻撃が増加しています。大切なデータを守るためにも、セキュリティシステムでの対策が必須です。本記事では、セキュリティシステムのメリットやおすすめ製品の比較を紹介します。

https://news.mynavi.jp/article/20210729-1932702/

次世代セキュリティ「Sase」実現への5ステップ（ニュースイッチ）Sase（サシー）は、2021年のit・セキュリテ ...

次世代セキュリティ「SASE」実現への5ステップ（ニュースイッチ）SASE（サシー）は、2021年のIT・セキュリティ分野において、注目されている流行語の1つだ。ただ、そのメリットを実現するためには…

http://topics.smt.docomo.ne.jp/article/newswitch/business/newswitch-28145

スマホのセキュリティ対策はどうするべき？iPhoneとAndroidにおけるセキュリティ対策の違い｜セキュリティ通信

【セキュリティ通信】コンピューターセキュリティ事業を展開する株式会社カスペルスキーの石丸傑さんへお話を伺う第5回目。今回は、iPhoneやAndroidのモバイル端末のセキュリティをどのように対策していくべきか、サイバーセキュリティのプロフェッショナルの観点からお答えいただく。

https://securitynews.so-net.ne.jp/topics/sec_20160.html

米国のバイデン大統領が署名したことで話題となった「国家のサイバーセキュリティ改善に関する大統領令」とは ...

こんにちは、吉田です。今回は、5月12日に米国のバイデン大統領が署名した「国家のサイバーセキュリティ改善に関する大統領令(Executive Order on Improving the Nation’s Cybersecurity)」について、その内容を解説していきます。

https://thinkit.co.jp/article/18611

保護者の約6割が「Gigaスクールで配布された端末にどんな対策が施されているか知らない」トレンドマイクロ ...

トレンドマイクロの「GIGAスクールにおけるセキュリティ実態調査2021」によると、子どもが端末を受け取った保護者は41.2％、教員は70.7％。そのうち、子どもがサイバー犯罪などのトラブルを経験した割合は保護者の22.0％、教員の38.5％だった。

https://www.atmarkit.co.jp/ait/articles/2107/30/news040.html

航空および防衛サイバーセキュリティ市場は、2021年から2027年の間に着実なペースで成長すると予測されています ...

航空および防衛サイバーセキュリティ市場は、2021年から2027年の間に着実なペースで成長すると予測されています. quella | 7月 30, 2021. この航空および防衛サイバーセキュリティ市場レポートに示されている市場データは、主要な市場動向とともにマクロ経済の ...

https://securetpnews.info/2021/07/30/%E8%88%AA%E7%A9%BA%E3%81%8A%E3%82%88%E3%81%B3%E9%98%B2%E8%A1%9B%E3%82%B5%E3%82%A4%E3%83%90%E3%83%BC%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E5%B8%82%E5%A0%B4%E3%81%AF%E3%80%812021/

Chrome 設定 - セキュリティ -プライバシーとセキュリティ- セーフブラウジングを試す - もと桜ヶ丘いま ...

設定-セキュリティ-プライバシーとセキュリティ-セーフブラウジングを試すGoogleChrome★標準から保護強化機能に変更して効果の様子を見ますChrome設定-セキュリティ-プライバシーとセキュリティ-セーフブラウジングを試す

https://blog.goo.ne.jp/askitdeki/e/fd9ec3e62dff4fae1d0a9455a2a02b44

「2020年と2021年に悪用された脆弱性トップ30」をfbiなどアメリカ・イギリス・オーストラリアのサイバー ...

連邦捜査局(FBI)などアメリカ・イギリス・オーストラリアのサイバーセキュリティ当局が2021年7月28日に、2020年と2021年に最も悪用された脆弱性(ぜいじゃくせい)を公開し、これらの脆弱性に対するパッチの適用や特に重点的な警戒について呼びかけました。

https://gigazine.net/news/20210730-cisa-fbi-vulnerabilities/

エレコムリモートワークの効率性を高めるセキュリティストレージとはデータ保護と管理負担を軽減するセキュアな ...

エレコムのセッションでは、営業本部営業企画課法人営業企画チームのチームリーダーである三木孝仁氏が登壇。「10年間の実績に基づいた『安全性』と『管理者の負担軽減』を追求！リモートワークの効率性を高めるセキュリティストレージとは？」と題して講演した。

https://www.weeklybcn.com/journal/issue/detail/20210729_183828.html

バイデン政権、重要インフラのサイバーセキュリティ強化に向け対策求める - ZDNet Japan

バイデン大統領は、重要インフラのサイバーセキュリティに関する覚書に署名した。米サイバーセキュリティ・インフラストラクチャーセキュリティ庁（CISA）、米国立標準技術研究所（NIST）らに、これらのセキュリティに関する実績目標を策定するよう命じた。

https://japan.zdnet.com/article/35174524/

世界のIotセキュリティ市場は2030年まで24.8%のCAGRで成長する見込み：時事ドットコム

［Report Ocean］2021年7月28日にREPORTOCEANが発行した新しいレポートによると、-世界のIotセキュリティ市場は、2020年から2030年にかけて年率24.8%で成長し、2030年には1,156億ドルに達すると予測世界のIoTセキュリティ市場は、IoTデバイスへのマルウェア攻撃の増加、認証プロセスのためのクラウドベースのサービスへの需要の高まり、IoTセキュリティ規制の増加、重要インフラに対するセキュリティ懸念の高まり、世界各地での5Gネットワークの急速な発展などを背景…

https://www.jiji.com/jc/article?k=000002360.000067400&g=prt