脅威の評価: Maze ランサムウェアのアクティビティ

年初以来パロアルトネットワークスは複数の業界でMazeランサムウェアのサンプル数上昇を検出しています。これを受け、Mazeランサムウェアのアクティビティに関する一般的脅威評価を解説するために本稿を執筆しました。またその戦術をよりわかりやすく視覚化した内容をUnit 42 Playbook Viewerからご覧いただけますので合わせて参照してください。

ChaChaランサムウェアの亜種であるMazeランサムウェアは、2019年5月に初めて発見され、北米、南米、ヨーロッパ、アジア、オーストラリアの組織を標的にしています。このランサムウェアは通常、兵器化されたWordまたはExcelの添付ファイルが添付された電子メールを介して配布されます。ただし、エクスプロイトキットを介して配布されることもあります（例えばCVE-2018-15982、CVE-2018-4878のFlash Player脆弱性を使うSpelevo エクスプロイトキットなど）。MazeランサムウェアもCVE-2019-11510 のPlus VPNの脆弱性やCVE-2018-8174 のInternet Explorerの脆弱性を悪用してネットワークに侵入します。同マルウェアは最初に対象環境内に足場を築きます。次に権限昇格により横展開を行い、すべてのドライブでファイルの暗号化を開始します。ただし、オペレータがデータ暗号化前にファイルを持ち出し、一般公開をちらつかせてさらに脅迫してくる場合もあります。適切な保護が行われなければ、Mazeランサムウェア感染により日常業務に支障が生じ、機密情報が危険にさらされ、金銭的損失が発生します。

Mazeは世界中で観測されているだけでなく、金融、テクノロジ、通信、ヘルスケア、政府、建設、サービス業、メディアおよび通信、公益事業およびエネルギー、製薬および生命科学、教育、保険、卸売、法律などさまざまな業界に影響を与えています。2020年3月26日にMcAfeeがMazeランサムウェアの詳細な概要報告を公開しています。

パロアルトネットワークスのCortex XDRには、ランサムウェア対策モジュール（ランサムウェアに関連した暗号化をベースとするアクティビティを対象とするモジュール）が用意されています。弊社製品をご利用中のお客様は、本脅威の概要に関連したアクティビティをAutoFocusでもご確認いただけます。

影響評価

本アクティビティでは複数の敵対的戦法が観測されています。

パロアルトネットワークス の製品・サービスでは、Mazeランサムウェアに対し、以下のような対策を行っています。

表 1. Mazeランサムウェア対策での行動方針
^† これらの機能は次世代ファイアウォールのサブスクリプションサービスの一部として提供されている

近年Mazeランサムウェア活動の背後にいる悪意のあるオペレータが複数のITサービスプロバイダに対するセキュリティ侵害を行いました。彼らは、安全でないリモートデスクトッププロトコルをはじめとするリモートサービス接続や、ローカル管理者アカウントのブルートフォース攻撃により、別の被害者のネットワーク内にも足場を築くことに成功していました。各組織はサードパーティソースを介した潜在的侵害に注意し、リモートアクセス可能なシステムにはもれなく強力なパスワードを使用すべきです。

また、Mazeの背後にいるオペレータは、侵害ネットワーク上のクラウドバックアップにとくに注意していることも報告 されています。ログイン認証情報が取得されれば、彼らの制御下にあるサーバーにすべてのバックアップデータがダウンロードされかねません。このため、各組織はクラウド上にバックアップされたファイルがすべて適切に保存・保護されていることを確認すべきです。

脅威に関するヒント

ランサムウェアとは

ランサムウェアは、悪意のあるソフトウェアを使用して身代金目的で重要ファイルなどのデータを人質にとる犯罪ビジネスモデルです。ランサムウェア攻撃を受けた組織は業務に支障が生じたり、事業を継続できなくなる可能性があります。

ランサムウェアとは何かについてさらに詳しくはパロアルトネットワークスのCyberpediaもご覧ください。
https://www.paloaltonetworks.com/cyberpedia/what-is-ransomware

パロアルトネットワークス製品をご利用中のお客様は、AutoFocusのMazeおよびSpelevoEKFlashContainerタグを使用して、本稿に説明した活動を確認できます。

パロアルトネットワークスCortex XDRにはランサムウェア対策モジュールが含まれています。このモジュールでは、ランサムウェアに関連した暗号化をベースとする活動を監視しています。Cortex XDRには定義済みのBIOC（振る舞いに関する指標）があり、これを使ってネットワーク内の異常を検出するように設計されています。

ランサムウェア関連の情報は、『2021 Unit 42 ランサムウェア脅威レポート』もあわせて参照してください。

参考資料

https://download.bitdefender.com/resources/files/News/CaseStudies/study/318/Bitdefender-TRR-Whitepaper-Maze-creat4351-en-EN-GenericUse.pdf
https://www.docdroid.net/dUpPY5s/maze-pdf#page=2

このレポートで推奨している行動方針は、パロアルトネットワークスが本稿執筆時点で得ていた情報とパロアルトネットワークスの製品およびサービス内の機能に基づいています。