海外法人は要注意！LockBitランサムウェアがメキシコ法人を攻撃

• LINEで送る
• Tweet
• 

脅威インテリジェンスプラットフォームCognyteは、ダークウェブやTelegram、SNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、組織のサイバー・リスクを軽減させるサービスです。
Cognyteが持つ機能の一例として本記事を紹介します。

 Cognyte CTI Research Group@Cognyte | 2023年5月

2023年5月11日、LockBit3.0がダークウェブ上のリークサイトにおいて、日系製造メーカーのメキシコ法人に関する情報をアップロードしました。当該メーカーは自動車関連部品を中心に製造しています。

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)

リークサイトに掲載された情報

LockBit3.0は、下図のとおり当該企業に関する情報と窃取データの一部を公開しました。 

リークサイトに掲載された被害企業の情報　出典：Cognyte Luminar

全てのデータはまだ公開されていません。しかし、脅威アクターは身代金支払い期限を2023年6月10日に設定し、一部データのスクリーンショットを公開しています。

• パスポートのスキャン
• 秘密保持契約

LockBitが公開したスクリーンショットの例

LockBit3.0について

出現

LockBitランサムウェアは2019年に出現が確認されました。RaaS形態で運用されており、アフィリエイト（構成員）に対して、開発済みの攻撃ツールを提供します。
アフィリエイトは、回収した身代金をランサムウェア開発チーム側と分配します。
マシンがLobkBitに感染した場合、マルウェアサンプルが手動でデプロイされ、AESキーによるファイルの暗号化が行われます。その後攻撃者はバックアップを削除し、ランサムノート（脅迫文章）を感染マシンに配置します。

LockBit3.0とバグ・バウンティプログラム

2022年6月、2か月間のテスト期間を経て、LockBit運用者は「LockBit3.0（あるいはLockBit Black）」を導入しました。LockBit3.0はアンチ・アナリシス機能を搭載しており、実行にはパスワードが要求されます。
LockBit3.0の導入と並行して、グループはバグ・バウンティプログラムを開始しました。このような試みはランサムウェアグループでは初です。
調査によれば、LockBit3.0は新しい恐喝モデルを利用しており、他の脅威アクターに対して、Torrentやリークサイト経由での窃取データ販売・ダウンロードを提供しています。

2022年11月には、Amadey Botを通じたLockBit3.0の拡散が確認されました。Amadey Botは2018年から活動が観測されているマルウェアであり、ハッキング・フォーラムで販売されています。

TTPの一例

LockBitアフィリエイトは、Backstab等の正当なペンテストツールを悪用していることが報じられています。BackstabはSOCアナリストがモニタリングに用いるツールですが、このケースでは、Microsoft社のプロセス・エクスプローラを利用した保護プロセスの終了、EDR機能の無効化等に利用されます。

LockBitアフィリエイトは、他にも以下のツールを利用することが確認されています。

• GMER…無料ルートキット検知ツールのアンチ・フッキング機能を利用
• Netscan…標的ネットワークに対するプローブ
• Mimikatz…クレデンシャルダンピング
• Cobalt Strike…クレデンシャル・ダンピング

LockBit Green

2023年1月、新たな改良型であるLockBit Greenが公開されました。このランサムウェアはクラウドベースのサービスをターゲットに作成されており、ESXi対応型を改良したものだと推測されています。
また、LockBit GreenとContiランサムウェア（以前にソースコードが流出）との間に、著しい類似が指摘されています。

海外法人の対策が重要

LockBitを始めとするランサムウェアは国内外の企業・組織を攻撃しており、海外法人も頻繁に被害に遭っています。
特に海外法人のセキュリティは、サプライチェーンリスク管理にも通じるガバナンスの難しさがあり、多くの組織で課題となっています。

Cognyteでは、本記事の最後に示すIoCがセキュリティツールに組み込まれていることを確認するとともに、一般的なランサムウェア対策を講じることを推奨します。

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)

IoC

参考ソース

• https://www.hhs.gov/sites/default/files/lockbit-3-analyst-note.pdf 
• https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/ransomware-spotlight-lockbit 
• https://www.bleepingcomputer.com/news/security/lockbit-30-introduces-the-first-ransomware-bug-bounty-program/ 
• https://asec.ahnlab.com/en/41450/ 
• https://news.sophos.com/en-us/2022/11/30/lockbit-3-0-black-attacks-and-leaks-reveal-wormable-capabilities-and-tooling/ 
• https://securityaffairs.com/141666/cyber-crime/lockbit-green-ransomware-variant.html