ランサムウェア「Hive」のハッカー、「Microsoft Exchange Server」狙う

今回は「ランサムウェア「Hive」のハッカー、「Microsoft Exchange Server」狙う」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 ランサムウェア「Hive」を使った脅威グループが、「Microsoft Exchange Server」の脆弱性を悪用して攻撃を展開している。

 Hiveは2021年6月に初めて発見された。サービスとしてのランサムウェア(RaaS:Ransomware-as-a-Service)モデルで運営されている。サイバー攻撃者は攻撃で一連のHiveランサムウェアを利用できる。

 この脅威アクターは、「.onion」アドレス経由でアクセスできるリークサイトを運営し、被害者について「公表して情報を暴露」するために利用しているようだ。さらに「二重脅迫」の手口を使い、ディスクを暗号化する前に、人質として企業の機密データを盗み出す。

 被害者が支払いを拒否すると、サイバー攻撃者はリークサイトに名前を掲載し、データを漏えいするまでの時間を設定する恐れもある。被害者にさらなるプレッシャーをかけ、恐喝の機会を増やすことが狙いだ。

 Hiveの被害者には、非営利団体、エネルギー業界、金融機関、ヘルスケア組織などが含まれる。

 Hiveのこうした活動について、米連邦捜査局(FBI)は2021年8月に警告を発した。米国保健福祉省(HHS)は今週、このRaaSについて「極端に攻撃的な金銭目的のランサムウェアグループ」として注意喚起した。

 Varonisのフォレンジックチームは米国時間4月19日、最近のインシデントを元に、このランサムウェアグループの戦術と手法を詳細に分析した新しい調査を公開した。

 ある企業のネットワークが侵入され、攻撃は72時間で完了したという。

 侵入には、Microsoft Exchange Serverの「ProxyShell」脆弱性が悪用された。Microsoftは2021年にこの脆弱性に対応するパッチを配布している。このセキュリティ上の問題により、Exchange Serverをリモートから完全に侵害できる可能性があった。

 一旦侵入に成功すると、 ウェブシェル(Webshell)の悪質なバックドアスクリプトがExchangeサーバーのパブリックアクセス可能なディレクトリーに置かれる。これらのウェブスクリプトは、侵害されたサーバーで、SYSTEM権限で悪質な「PowerShell」のコードを実行する可能性がある。

 悪質なPowerShellコードは、C2(コマンド&コントロール)サーバーから「Cobalt Strike」フレームワークに関連するさらなるステージャーをダウンロードする。この脅威アクターは、SYSTEM権限を利用し、新しいシステム管理者「user」を作成する。そして認証情報を窃盗するツール「Mimikatz」を使い、ドメイン管理者のNTLMハッシュを取得する。

 「ドメイン管理者のNTLMハッシュを盗むことで、パスワードを解読する必要がない。また、攻撃者はそれをPass-The-Hash攻撃で再利用し、ドメイン管理者アカウントを制御することに成功した」とVaronisの研究者は説明している。

 攻撃者はそれから、サーバーの偵察を行い、情報を収集した後、ランサムウェアのペイロードを展開する。

 プログラミング言語「Golang」で書かれているHiveのペイロードは、「windows.exe」という名のファイルに埋め込まれている。ファイルの暗号化、シャドウコピーの削除、セキュリティソリューションの無効化を行い、Windowsイベントログを消去する。さらに、「Security Accounts Manager」を停止し、SIEM(セキュリティ情報イベント管理)システムにアラートが送信されないようにする。

 暗号化が完了すると、すべてのデータを暗号化し、ファイルを盗んだことを被害者に告げ、身代金を要求するランサムノートを用意する。「個人データ、財務報告書、重要文書」を流出できる状態だと脅す内容だ。

 次に、この攻撃者の「営業部」に連絡し、暗号化キーを入手するように促す。連絡先は、Torネットワーク経由でアクセスできる.onionアドレスだ。

 さらに、データが失われないよう、以下のような「ガイドライン」に従うよう指示する。

 Varonisの研究者は、「ランサムウェア攻撃は、ここ数年間で著しく増加しており、脅威アクターが利益を最大化するために、依然として好んで使用している手段だ」と指摘する。「攻撃は損害をもたらす可能性がある。組織の評判を損ない、通常業務を中断させ、機密データを一時的に、場合によっては永久に失う恐れがある」

 Varonisは、Exchange Serverにパッチが適用されていることを確認するよう促している。また、定期的なパスワードの変更、SMBv1の無効化などを推奨している。

 また、従業員が職務で必要なリソース以外アクセスできないようにすることを勧めている。アカウントが侵害された場合に、攻撃対象を制限できるためだ。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
「SoftEther VPN」などにサイバー攻撃 開発者の登大遊さん、アップデートと設定確認を呼び掛け
セキュリティ
2021-08-17 10:16
オンライン中継、分散開催……コロナ2年目の入社式
IT関連
2021-04-03 11:03
インテック、EDI2024年問題を解決する「閉域モバイルサービス」を提供開始
IT関連
2021-08-06 22:05
Yahoo!ニュースとLINE NEWSは統合せず 川邊社長「混ぜるな危険」
くわしく
2021-03-02 02:32
トランプ氏、サイバー攻撃へのクラウド悪用を防ぐための大統領令に署名
IT関連
2021-01-21 10:31
人気クリエイターがファンに素に近いリアルな姿の写真を有料で公開するアプリ「Roll」
IT関連
2022-02-08 23:02
動画配信「TELASA」、一時視聴しづらい状態に 仮面ライダー特番で視聴者殺到 運営元「YouTube見て」
企業・業界動向
2021-02-10 22:21
国内クラウド市場規模、2021年の4兆2000億円から5年後の2026年には11兆円へ急成長。IDC Japan
クラウド
2022-06-20 21:10
ツイッター、クリエイターが収益を管理・分析するための新ツールをリリース
IT関連
2022-03-10 18:46
コロナワクチン接種をVRで“研修” 筋肉の動きも見える「注射シミュレーター」
DX
2021-04-28 12:45
「LibreOffice 7.2」公開、「MS Office」との互換性向上など–企業に有料版の利用促す
IT関連
2021-08-23 22:34
マイクロソフト、Webブラウザで3Dゲームがびゅんびゅん動く「Babylon.js 5.0」正式リリース、WebGPUにフル対応、iOS/Androidなどクロスプラットフォーム展開も
JavaScript
2022-05-18 08:23
USB Type-C、240W電力供給をサポートへ
IT関連
2021-05-28 19:56
機械学習のフィーチャーストアTectonがオープンソースの同サービスFeastを併合
人工知能・AI
2021-04-17 06:07