ランサムウェアの脅威評価:『2021 Unit 42ランサムウェア脅威レポート』の手引き

This post is also available in: English (英語)

脅威の評価：Defray777ランサムウェア

概要

Defrayは2017年に最初に発見され、ユーザーをだましてMicrosoft Word文書などの悪意のあるファイルをダウンロードさせる、小規模で的を絞ったフィッシングキャンペーンを介して伝播することが確認されています。Defray 2018、Target777、Ransom X、RansomEXXともよばれるDefray777は、Defrayよりはるかに洗練され、2018年からアクティブです。この新しいマルウェア亜種は、それまでにはない技術を使って検出されにくくすることが確認されており、Sprite Spider、GOLD DUPONTと呼ばれる脅威グループに帰属します。

Defray777ランサムウェアの概要

2020年のDefray777ランサムウェアは、フィッシングキャンペーンなどの一般的ランサムウェア攻撃ベクトルを使わず、VatetローダやPyXie RAT、Cobalt Strikeなどのツールと連携して、複数の組織に対し、少数の標的型攻撃によって配信されました。

Defray777は完全にメモリ内で実行される点に特徴があり、セキュリティリサーチャーに追跡されにくいものになっています。Defray777はその実行中、特定の「望ましくない」スレッドやプロセスを強制終了する機能を備えています。この対象となるのはpowershell.exe、rundll32.exe、vmnat.exe、wefault.exe、explorer.exeなどです。暗号化処理中の検出を避けるため、システムのコアとなる機能に影響を与えることなくAES-256暗号でファイルを暗号化する機能をもち、暗号化の完了後にのみコマンドを実行します。このため、EDRプラットフォームなどのセキュリティツールがDefray777の悪意のあるアクティビティを警告できるようになるころには、ファイルはすでに暗号化されてしまっています。2020年、Defray777は最近の移植を通じてWindowsプラットフォームだけでなくLinuxも対象とするように進化し、WindowsとLinuxの両方でスタンドアロンの実行可能ファイルを持つ最初のランサムウェアになりました。これにより脅威アクターは、VMWare ESXI サーバーのようにELFバイナリを実行できるインフラストラクチャに対してDefray777を活用できるようになりました。

2020年、Defray777の脅威アクターは、米国、カナダ、オーストラリア、日本、フランス、ブラジルのヘルスケア、教育、製造、政府、建設、エンジニアリング、ハイテクセクタを標的にしていました。身代金の要求額は通常、その特定の被害者ごとに調整されます。

詳細な分析は、「知られざるマルウェアファミリ、Vatet、PyXie、Defray777 の詳細」に公開済みですのでこちらからご確認ください。

Defray777の被害者学の詳細については、2021 Unit 42ランサムウェア脅威レポートを参照してください。

行動方針

このセクションでは、Defray777のアクティビティに関連する戦術と手法を文書化し、それらを弊社製品・サービスに直接マッピングします。また、お客様にてデバイスの構成が正しく行われているかどうかを確認する方法についてもご説明します。

^{表1 Defray777ランサムウェアの行動方針
†これらの機能は、NGFWセキュリティサブスクリプションサービスの一部です}

結論

Defray777は、いかにランサムウェアファミリが時間の経過とともに進化し、まったく新しいやりかたで深刻な損害を与えうるのかを示す格好の例となっています。さらにこの新たな亜種の始まりは、脅威攻撃者が独自戦術を活用し、最新検出手法を回避することで、捕捉を回避できるということも強調しています。Linuxの例のように、このランサムウェアファミリが拡張され、さらに追加のプラットフォームに影響を与えるようになれば、今後さらに大きな影響を与えうる可能性があります。

パロアルトネットワークスはDefray777を次の方法で検出/防止します。

• WildFire: 既知のサンプルはすべてマルウェアとして識別されます。
• Cortex XDR:
  • Defray777のインジケータを含みます。
  • ランサムウェア対策モジュールでDefray777の暗号化の振る舞いを検出します。
  • ローカル分析・検出機能によりDefray777バイナリを検出します。
• 次世代ファイアウォール: DNSシグネチャが既知のコマンド&コントロール（C2）ドメインを検出し、URLフィルタリングで同ドメインをマルウェアとして分類します。
• AutoFocus: 関連アクティビティをDefray777の別名であるRansomXタグで追跡します。

Defray777 に関連する指標は、こちらのGitHubから利用可能です。Unit 42のTAXIIフィードにも公開済みです。

追加資料

• New Defray Ransomware Targets Education and Healthcare Verticals
• This Particular Ransomware Group is Going Unnoticed
• Sprite Spider emerging as one of the most destructive ransomware threat actors
• Hypervisor Jackpotting: CARBON SPIDER and SPRITE SPIDER Target ESXI Servers With Ransomware to Maximize Impact
• 知られざるマルウェアファミリ、Vatet、PyXie、Defray777 の詳細

トップに戻る