ランサムウェア「Hive」を使った脅威グループが、「Microsoft Exchange Server」の脆弱性を悪用して攻撃を展開している。
Hiveは2021年6月に初めて発見された。サービスとしてのランサムウェア（RaaS：Ransomware-as-a-Service）モデルで運営されている。サイバー攻撃者は攻撃で一連のHiveランサムウェアを利用できる。
この脅威アクターは、「.onion」アドレス経由でアクセスできるリークサイトを運営し、被害者について「公表して情報を暴露」するために利用しているようだ。さらに「二重脅迫」の手口を使い、ディスクを暗号化する前に、人質として企業の機密データを盗み出す。
被害者が支払いを拒否すると、サイバー攻撃者はリークサイトに名前を掲載し、データを漏えいするまでの時間を設定する恐れもある。被害者にさらなるプレッシャーをかけ、恐喝の機会を増やすことが狙いだ。
Hiveの被害者には、非営利団体、エネルギー業界、金融機関、ヘルスケア組織などが含まれる。
Hiveのこうした活動について、米連邦捜査局（FBI）は2021年8月に警告を発した。米国保健福祉省（HHS）は今週、このRaaSについて「極端に攻撃的な金銭目的のランサムウェアグループ」として注意喚起した。
Varonisのフォレンジックチームは米国時間4月19日、最近のインシデントを元に、このランサムウェアグループの戦術と手法を詳細に分析した新しい調査を公開した。
ある企業のネットワークが侵入され、攻撃は72時間で完了したという。
侵入には、Microsoft Exchange Serverの「ProxyShell」脆弱性が悪用された。Microsoftは2021年にこの脆弱性に対応するパッチを配布している。このセキュリティ上の問題により、Exchange Serverをリモートから完全に侵害できる可能性があった。
一旦侵入に成功すると、 ウェブシェル（Webshell）の悪質なバックドアスクリプトがExchangeサーバーのパブリックアクセス可能なディレクトリーに置かれる。これらのウェブスクリプトは、侵害されたサーバーで、SYSTEM権限で悪質な「PowerShell」のコードを実行する可能性がある。
悪質なPowerShellコードは、C2（コマンド＆コントロール）サーバーから「Cobalt Strike」フレームワークに関連するさらなるステージャーをダウンロードする。この脅威アクターは、SYSTEM権限を利用し、新しいシステム管理者「user」を作成する。そして認証情報を窃盗するツール「Mimikatz」を使い、ドメイン管理者のNTLMハッシュを取得する。
「ドメイン管理者のNTLMハッシュを盗むことで、パスワードを解読する必要がない。また、攻撃者はそれをPass-The-Hash攻撃で再利用し、ドメイン管理者アカウントを制御することに成功した」とVaronisの研究者は説明している。
攻撃者はそれから、サーバーの偵察を行い、情報を収集した後、ランサムウェアのペイロードを展開する。
プログラミング言語「Golang」で書かれているHiveのペイロードは、「windows.exe」という名のファイルに埋め込まれている。ファイルの暗号化、シャドウコピーの削除、セキュリティソリューションの無効化を行い、Windowsイベントログを消去する。さらに、「Security Accounts Manager」を停止し、SIEM（セキュリティ情報イベント管理）システムにアラートが送信されないようにする。
暗号化が完了すると、すべてのデータを暗号化し、ファイルを盗んだことを被害者に告げ、身代金を要求するランサムノートを用意する。「個人データ、財務報告書、重要文書」を流出できる状態だと脅す内容だ。
次に、この攻撃者の「営業部」に連絡し、暗号化キーを入手するように促す。連絡先は、Torネットワーク経由でアクセスできる.onionアドレスだ。
さらに、データが失われないよう、以下のような「ガイドライン」に従うよう指示する。
- 「*.key.」ファイルを修正、リネーム、削除しないように。データが復号できなくなる。
- 暗号化されたファイルを修正したり、名前を変更したりしないように。データを失うことになる。
- 警察やFBIなどに通報しないように。当局は企業のビジネスに関心はなく、単に身代金の支払いをしないよう命じるだけだ。その場合、企業はすべてを失うことになる。
Varonisの研究者は、「ランサムウェア攻撃は、ここ数年間で著しく増加しており、脅威アクターが利益を最大化するために、依然として好んで使用している手段だ」と指摘する。「攻撃は損害をもたらす可能性がある。組織の評判を損ない、通常業務を中断させ、機密データを一時的に、場合によっては永久に失う恐れがある」
Varonisは、Exchange Serverにパッチが適用されていることを確認するよう促している。また、定期的なパスワードの変更、SMBv1の無効化などを推奨している。
また、従業員が職務で必要なリソース以外アクセスできないようにすることを勧めている。アカウントが侵害された場合に、攻撃対象を制限できるためだ。
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
