ランサムウェアの脅威評価:『2021 Unit 42ランサムウェア脅威レポート』の手引き

This post is also available in: English (英語)

脅威の評価：Phobosランサムウェア

概要

Phobosは、比較的ベーシックかつ多作のランサムウェアファミリで、2018年12月に最初に公に特定されました。その基本設計と実装により、Phobosは脅威アクターの間で変わらず人気があります。Phobosは確立された感染ベクトルを使用します。たとえばハッキングを受けたか、販売されているか、安全でないか、あるいはその他の脆弱性のあるリモートデスクトッププロトコル（RDP）接続を利用したり、フィッシングメールの悪意のある添付ファイルを使ったりします。Phobosは他のランサムウェアファミリDharmaと非常によく似ていて、この亜種と見なされています。Dharmaと共有しているコードの類似性に加え、Phobosはその一部がDharmaを配布したのと同じアクターグループにより配布されている可能性があります。

Phobosランサムウェアの概要

Phobosは技術面では比較的ベーシックですが、これを興味深いものにする注目すべき機能がいくつかあげられます。Phobosの昇格乱用手法にユーザーアカウント制御（UAC）バイパスは直接含まれていませんが、UACバイパスの確認が定期的にポップアップ表示されます。

ポップアップを受け入れ、AES-256キーを使用した暗号化プロセスが完了すると、感染エンドポイント上にinfo[.]txtのファイル名で.HTAおよび.TXTの身代金メモが表示されます。Phobosは引き続きバックグラウンドで実行され、コードが暗号化するように指示された新しいファイルをエンコードします。

Phobosは、感染ホストに接続されているすべてのローカル共有とネットワーク共有に身代金を要求しようとします。感染した各ファイルは個別のキーで暗号化され、暗号化されたファイルの拡張子は.acuteです。Phobosの永続化メカニズムには、％APPDATA％への自身のインストール、自動起動へのレジストリキーの追加が含まれ、再起動後もマルウェアプロセスが永続化されるようにします。その機能の興味深い部分の1つは、大きなファイルに使用されるさまざまなファイルエンコーディング手法です。Phobosは大きなファイルの特定の部分のみを暗号化するため、大きなファイルの暗号化にかかる時間が短縮されます。

Phobosは、2020年10月に発見されたEkingランサムウェアのような後の亜種の基盤の役割を果たしてきました。

Phobosは、ほとんどの場合、アンダーグラウンドのサービスとしてのランサムウェア（RaaS）製品で販売されています。Phobosはこれまでさまざまな規模の組織を標的にしてきましたが、一部の孤発例では個人にも感染していました。Phobosの総被害者数はいまのところ不明のままです。

PhobosとDharmaは、一部、アクターとコードの類似点を共有しています。両ファミリは感染後の身代金メモが同じです。さらに被害者から両アクターへの最初の通信が同じです。これらの共有された機能は、DharmaとPhobosが持つコーディングの類似性とともに、このマルウェアが同じアクターによって開発されていることを示唆しています。

ただし、特にファイル構造のコードの違いにより、これは亜種と定義されています。具体的には、モジュラー構成のサポートを追加している、対象フォルダを手動で暗号化する機能を提供しているなど、Phobosにはいくつかの顕著な違いがあります。

Phobosの2020年の平均身代金支払い額は13,955ドル（日本円で152万円）でした。パロアルトネットワークスは、金融、教育、製造、専門的および法務サービス、保険、ハイテク、建設およびエンジニアリング、ヘルスケア、エネルギーの各セクタで被害者への攻撃を観測しました。Dharma同様、脅威のアクターは中小企業に焦点を当てています。Phobosの被害者の所在地は、米国、ポルトガル、ブラジル、セイシェル、ルーマニア、インドネシア、ドイツ、日本などです。

Phobosの被害者学の詳細については、2021 Unit 42ランサムウェア脅威レポートを参照してください。

行動方針

このセクションでは、Phobosのアクティビティに関連する戦術と手法を文書化し、それらを弊社製品・サービスに直接マッピングします。また、お客様にてデバイスの構成が正しく行われているかどうかを確認する方法についてもご説明します。

^{表1 Phobosランサムウェアの行動方針
†これらの機能は、NGFWセキュリティサブスクリプションサービスの一部です}

結論

Phobosは、Unit42がこれまで観測・分析してきた他のランサムウェアファミリとよく似ています。RaaS特有の使いやすさから、Phobosを配布するアクター像は多種多様です。マルウェア作成者とコード再利用の類似性は、Phobosランサムウェアファミリに共通しています。これは、共有と共通のRaaSアフィリエイトモデルの上に繁栄し、進化を続ける脅威エコシステムを表すもので、このおかげでランサムウェアアクターは最小限の時間投資で利益をあげることができます。

パロアルトネットワークスはPhobosを次の方法で検出/防止します。

• WildFire: 既知のサンプルはすべてマルウェアとして識別されます。
• Cortex XDR:
  • Phobosのインジケータを含みます。
  • ランサムウェア対策モジュールでPhobosの暗号化の振る舞いを検出します。
  • ローカル分析・検出機能によりPhobosバイナリを検出します。
• 次世代ファイアウォール: DNSシグネチャが既知のコマンド&コントロール（C2）ドメインを検出し、URLフィルタリングで同ドメインをマルウェアとして分類します。
• AutoFocus: 関連アクティビティを Phobosタグで追跡します。

Phobos に関連する指標は、こちらのGitHubから利用可能です。Unit 42のTAXIIフィードにも公開済みです。

追加資料

• A deep dive into Phobos ransomware
• Phobos Ransomware Recovery, Payment & Decryption Statistics

続きを読む: Dharma

トップに戻る