【ブログ】自動車関連メーカーを攻撃するQilinランサムウェア（2/14）

• LINEで送る
• Tweet
• 

サイバー脅威インテリジェンスサービスCognyteは、ダークウェブやTelegram、SNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、組織のサイバー・リスクを軽減させるサービスです。

 Cognyte CTI Research Group@Cognyte | 2025年2月

2025年2月5日、Qilinランサムウェア・グループは、ダークウェブ上にホストするリークサイトに、日本の車載部品メーカーに関するエントリを追加しました。
本記事はQilinランサムウェアの概要および現在判明しているIoCについてご紹介します。

お手頃価格で効率的に脅威をモニタリング。脅威インテリジェンスサービス「Cognyte」はこちら

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)

車載部品メーカーへの攻撃

Qilinランサムウェアは、当該車載部品メーカーに関する電子メールのやり取り、契約書、図面、財務情報、従業員のデータ、顧客データなど、約900 GB相当のデータを同社から盗んだと主張しています。また、流出には日系大手完成車メーカーに関連するデータも含まれていると主張しています。

今回の攻撃は、Qilinランサムウェアが日本の精密自動車部品メーカーである別企業のデータを公開したわずか数日後に行われました。

 図　Qilinのリークサイトにおける投稿　出典：Cognyte Luminar

Qilinランサムウェア

このランサムウェアは、暗号化機能の改修を行っており、認証情報を窃取するカスタムマルウェアの利用、セキュリティ対策の回避やバックアップ妨害策にも秀でた強力なアクターです。

Qilinランサムウェア・グループは、以前はAgendaランサムウェアとして知られており、2022年7月から活動しています。2022年8月下旬には、Ransomware-as-a-Service (RaaS) モデルでの活動を開始しました。
このランサムウェアは当初Golangで作成されていましたが、ある時点でRust言語に移行しました。

Qilinは、Windowsをターゲットとする亜種とVMware ESXiをターゲットとする亜種の両方を持っており、ダークウェブ上でリークサイトを運営しています。そこでは、被害者を明らかにし、お金を払わない被害者のデータを公開します。

過去には、フィッシングメールや、リモートデスクトッププロトコル (RDP) などの公開されたアプリケーションやインターフェイスを悪用して、最初のアクセス権を取得することが確認されています。
最近では、2024年8月に、多要素認証 (MFA) で保護されていなかったVPNポータルの認証情報を侵害して、被害者のシステムにイニシャル・アクセスすることが確認されました。さらに、Google Chromeブラウザに保存されているアカウント認証情報を盗む目的で、カスタムされたインフォスティーラー（情報窃取マルウェア）を展開していることも判明しました。

2024年10月、セキュリティ研究者はQilinランサムウェアの新しい亜種を発見し、Qilin.Bと命名しました。この亜種は以前のバージョンのQilinをベースに構築されていますが、AES-256-CTR暗号化と、旧バージョンで既に使用されていたChacha20暗号化を組み合わせた、強化された暗号化機能を具備します。
さらに、Qilin.Bは、OAEPパディング（RSA暗号の強化手法）を備えたRSA-4096を使用して暗号化キーを保護しており、秘密キーや取得したシード値がなければファイルを復号できません。

Qilin.Bは強化された防御回避技術を組み込んでいます。これには、セキュリティに関連するサービスのシャットダウン、Windowsイベントログのクリア、自己消去機能などが含まれており、痕跡を隠し検出と分析を困難にします。またこのバージョンのランサムウェアはボリュームシャドウコピー (VSS) を削除し、システムのバックアップを中断し、被害者がファイルを復元できないようにすることも可能です。

推奨策

Cognyteは、Qilinランサムウェア等からの攻撃を予防するために以下の対策を推奨します。

• 本記事末尾に掲載の技術的なIOCをセキュリティシステムに実装します。
• 可能な場合は、各システムに多要素認証 (MFA) を適用します。
• 組織で使用されているソフトウェアとシステム用にリリースされたセキュリティ更新プログラムとパッチを定期的に適用し、最新バージョンに更新されていることを確認します。
• すべてのセキュリティシステムが更新され、同期されていることを確認します。

重大なランサムウェア被害を防ぐためには、普段から継続的に自社のサイバーリスクを監視しておくことが効果的です。
サイバー脅威インテリジェンス（CTI）ソリューションは、自社のIT資産やアタックサーフェスをモニタリングし、また脅威アクターによる攻撃の兆候や断片的な情報漏洩を早期に検知する上で非常に効果的な手段です。

貴社のデジタルリスクの実際の状況を見てみませんか？こちらからデモ要望ください。

Cognyteお問い合わせフォーム

IoC

参考ソース

• https://www.bleepingcomputer.com/news/security/qilin-ransomware-now-steals-credentials-from-chrome-browsers/
• https://www.halcyon.ai/blog/new-qilin-b-ransomware-variant-boasts-enhanced-encryption-and-defense-evasion

お手頃価格で効率的に脅威をモニタリング。脅威インテリジェンスサービス「Cognyte」はこちら

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)