脅威の評価: BlackByteランサムウェア

This post is also available in: English (英語)

概要

BlackByteは2021年7月に初めて登場したRaaS(ランサムウェア・アズ・ア・サービス)で、オペレータはProxyShellの脆弱性を悪用して被害環境への足がかりを築きます。BlackByteはLockbit 2.0など他のランサムウェア亜種同様、ロシア語を使用するシステムやキリル文字を使う数々の東欧系言語のシステムを回避します。

このランサムウェアの背後にいるオペレータのアクティビティは同ランサムウェアの出現当初から非常に活発で、2021年11月以降、米国と世界中のエネルギー・農業・金融サービス・公共セクタを含む複数の組織を標的にしてきました。2021年7月～9月と比べた2021年10月～12月のRaaS関連の攻撃件数もめざましく増加(300％)しており、その普及具合がうかがえます。

最近では米国連邦捜査局(FBI)と米国シークレットサービスによる共同勧告が「ランサムウェアグループが重要インフラを標的にしている」と指摘しています。

パロアルトネットワークスでは、Cortex XDRおよび次世代ファイアウォール(WildFireなどのクラウド提供型セキュリティサブスクリプションを利用)製品・サービスでBlackByteランサムウェアを検知・防止しています。

目次

BlackByteの概要
ランサムウェアのハイライト
標的の選定
最近の主な攻撃
行動指針
結論

BlackByteの概要

BlackByteは攻撃に二重恐喝を利用するRaaSです。このランサムウェアの背後にいる脅威アクターは、Torの.onionオークションサイトを運営し、盗んだ被害者データを販売することで被害者を晒し者にして恥をかかせる「ネーム・アンド・シェイム」手法を採用しています。このオペレータはわざわざ身代金要求メモにオークションサイトのリンクを貼り込んで被害者を脅します。

Unit 42は、Goと.NETで書かれた亜種や、GoとCの両プログラミング言語をミックスして書いたと思われる亜種など、複数のBlackByteの亜種を実地に観測しています。観測サンプル全体でこれら亜種は難読化やアンチデバッグ機能が複数使用されています。ランサムウェアのペイロードはUPXでパックされていて、ワーム機能が備わっており、すくない手間で攻撃範囲を拡大できます。

BlackByteの以前のバージョンでは共通暗号方式のAESでファイルを暗号化しており、同一鍵でファイルを暗号化するシンプルな暗号化ルーチンを使用しています。この亜種は暗号化前にIPアドレス185[.]93.6.31と45[.]9.148.114から.pngファイルをダウンロードします。SpiderLabsのセキュリティリサーチャーがBlackByte用復号ツールを開発し、後にGitHubで公開しました。

この公開復号ツールに気づいたランサムウェアグループはセッションごとに複数のキーを使う新バージョンのBlackByteを作ることにし、そこでの暗号化は外部IPとの通信なしに行われます。

また、BlackByteは自身のファイルを著名製品に見せかけた製品説明を使います。これにはおそらく、それらのファイルを合法的なものに見せかける狙いがあると思われます。

ランサムウェアのハイライト

BlackByteの亜種を分析した結果、複数の戦術・技術・手順(TTP)の再利用が確認されました。

初期アクセス:

• Microsoft Exchange Serverの既知の脆弱性(ProxyShellの脆弱性CVE-2021-34473、CVE-2021-34523、CVE-2021-31207)を利用して被害ネットワークにアクセスする。ある事例では、185[.]219.52[.]229(RU)、198[.]144.189[.]74(US)、45[.]137.190.193(RU)、185[.]70.184.42(NL)、198[.]54.131.44(US)の各IPアドレスから、本脅威アクターによる攻撃試行が確認された。このうちもっとも持続的なアクセスが行われたIPは185[.]70.184.42。

永続化:

• リモートコード実行を可能にする悪意のあるWebシェルを配信する。
• 永続化の維持のため、BlackByteランサムウェアは主要システムやアプリケーションフォルダ、主要コンポーネントを暗号化対象から外し、システムやランサムウェアが動作不能に陥らないようにする。除外されるフォルダを以下に記載する。

ランサムウェアが無視するファイル:

BlackByte, ntdetect[.]com, bootnxt, NTLDR, recycle.bin, bootmgr, thumbs.db, ntuser.dat.log, bootsect.bak, autoexec.bat, iconcache.db, bootfont.bin, Bitdefender, Trend Micro, Avast Software, Intel, 共通ファイル, ProgramData, WindowsApps, AppData, Mozilla, アプリケーションデータ, Google, Windows.old, システムボリューム情報, プログラムファイル (x86), boot, Tor ブラウザ, Windows, PerfLogs, MSOCache

このほかにランサムウェアが除外する拡張子一覧:

url, msilog, log, ldf, lock, theme, msi, sys, wpx, cpl, adv, msc, scr, key, ico, dll, hta, deskthemepack, nomedia, msu, rtp, msp, idx, ani, 386, diagcfg, bin, mod, ics, com, hlp, spl, nls, cab, exe, diagpkg, icl, ocx, rom, prf, themepack, msstyles, icns, mpa, drv, cur, diagcab, cmd, shs

防衛回避:

• 侵害したExchangeサーバーにCobalt Strikeがドロップされ、wuauclt.exeなど別プロセスにインジェクトされる。
• BlackByteは実行時の難読化・アンチデバッグ機能を複数実装している。たとえばコマンドライン経由で、被害者の一意な識別子をSHA256ハッシュとして渡すよう要求する。
• 難読化されたPowerShellコマンドでtaskmg、resmonを削除してWinDefendを停止する。

資格情報へのアクセス:

• Cobalt Strikeを使って資格情報のダンプなどの機能を追加している。

特権昇格:

• BlackByteは特権昇格のためにレジストリを変更することが確認されている。
  • ローカルの特権昇格: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
  • OSによる異なる権限レベル間でのネットワーク接続共有の有効化: HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLinkedConnections /t REG_DWORD /d 1 /f

探索:

• このランサムウェアは実行・暗号化前に、対象がロシア語を使用するシステムあるいは東欧系言語を使うシステム(これらの言語ではキリル文字を使うことが多い)かどうかを確認し、該当する場合は終了する。

影響:

• ランサムウェア自体に漏出機能はない。ただし脅威アクターがその準備としてWinRARでローカルデータを圧縮している様子が確認されている点に注意。
• 旧バージョンでは暗号化アルゴリズム内で使うとおぼしきRSA公開鍵がBlackByte内にハードコードされていた。これはコマンド＆コントロール(C2)サーバー障害時バックアップキーとして使われたのかもしれないし、ホスティングすることでキーを簡単に取得されてしまうことを脅威アクターが嫌ったのかもしれない。ただし新しいバージョンでは外部のIPアドレスと通信することなく暗号化が行われていた。

標的の選定

このランサムウェアグループとそのアフィリエイトプログラムは、米国と世界中のエネルギー・農業・金融サービス・公共セクタを含む複数の組織を侵害したとされています。また2021年7月～9月と比べた2021年10月～12月のRaaS関連の攻撃件数も目立って増加しており、その普及具合がうかがえます。

この脅威アクターは「BlackByte Auction」と呼ばれるサイバー犯罪市場と被害者を晒し者にして恥をかかせる「ネーム・アンド・シェイム」ブログを運営しています。このサイトはTorネットワーク上でホストされ、ここにBlackByteランサムウェアグループが暗号化済みの被害ネットワークをリストアップしています。

最近の主な攻撃

2022年2月13日、BlackByteのオペレータは米国のナショナルフットボールリーグ(NFL)のSan Francisco 49ersを侵害し、同チームの財務データを盗んだと発表しました。

このSan Francisco 49ersへの攻撃が、2022年のスーパーボウル前後という特定のタイミングで発生していたことを考えると、BlackByteのオペレータは、タイミングをうまく利用して攻撃に注目を集め、利益を増やそうとした可能性が高いと考えられます。

またBlackByteは身代金支払期間を30日間から17日間に短縮した後さらに12日間に短縮しています。リークサイトのアドレスも複数回変更しています。

最近の漏えいサイトデータとUnit 42のインシデント対応データによると、少なくとも2021年8月以降、以下の業種がBlackByteの影響を受けていたことが判明しています。

被害は米国の組織に多くみられますが、BlackByteの被害は全世界に及んでおり、米国、カナダ、南米、オーストラリア、ヨーロッパ、アフリカ、アジアの組織が標的とされていることが確認されています。

行動指針

今回のアクティビティでは複数の攻撃テクニックが確認されています。パロアルトネットワークス製品・サービスでは、以下の対策を取ることで、BlackByteランサムウェアならびに類似手法のマルウェアに関連する脅威を緩和することを推奨します。

†これらの機能は次世代ファイアウォールのサブスクリプションサービスの一部として提供されている

結論

BlackByteランサムウェアのオペレータは遅くとも2021年7月には活動を始めています。2022年初めに世界中で確認されたBlackByteの攻撃は注目度が高く、安定的に確認されており、このRaaSの背後にいるオペレータやアフィリエイトは今後も組織への攻撃や恐喝を続ける可能性が高いと考えられます。

パロアルトネットワークスはBlackByteランサムウェアを次の方法で検出/防止します。

• WildFire: 既知のサンプルはすべてマルウェアとして識別されます。
• Cortex XDR:
  • BlackByteに関連する指標を識別します。
  • ランサムウェア対策モジュールでWindows上でのBlackByteによる暗号化の振る舞いを検出します。
  • Windows上でのローカル分析によりBlackByteバイナリを検出します。
• NGFWの各シリーズ: DNSシグネチャが既知のC2ドメインを検出し、Advanced URL FilteringおよびURL Filteringが同ドメインを「マルウェア」として分類します。

侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、infojapan@paloaltonetworks.com まで電子メールにてご連絡ください(ご相談は弊社製品のお客様には限定されません)。

IoC(侵害指標)とBlackByteに関するTTPはUnit 42 ATOMビューア(こちら)をご確認ください。

パロアルトネットワークスはファイルサンプルや侵害の兆候などをふくむこれらの調査結果をCyber Threat Alliance (CTA サイバー脅威アライアンス) のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使用して、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害することができます。詳細については Cyber Threat Alliance からご覧ください｡

追加リソース

• 2022Unit 42 ランサムウェア脅威レポートからの注目ポイント: 依然として主要な脅威