標的になる日本企業　～RoyalランサムウェアのIoCで今すぐ対策を～

• LINEで送る
• Tweet
• 

2023年4月10日、Royalランサムウェアがダークウェブ上のリークサイトにおいて、日本企業の米国法人に関する告知を掲載しました。
当該企業の主要顧客には、日本・米国等の自動車メーカーが複数含まれています。

Royalランサムウェアは、当該企業から2TB以上のデータを抽出することができたと記載しています。説明によれば、窃取された業務データは以下を含みます。

• 当該企業の顧客情報（日本メーカーや金融機関等）
• 従業員個人情報
• 契約に関する情報
• その他

Royalランサムウェア・リークサイトの当該企業に関するエントリー　出典：Luminar

この記事では、Royalランサムウェアの概要およびIoCを掲載します。
Cognyteは、以下に示すIoCを組織のセキュリティツール等に反映させ、攻撃に備えることを推奨します。

脅威インテリジェンスプラットフォームCognyteは、ダークウェブやTelegram、SNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、組織のサイバー・リスクを軽減させるサービスです。
Cognyteが持つ機能の一例として本記事を紹介します。

 Cognyte CTI Research Group@Cognyte | 2023年4月

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)

Royalランサムウェア

出現

Royalランサムウェアは2022年1月に初めて観測された比較的新しいランサムウェアです。運用者は、BlackCat/ALPHV等の別のランサムウェア運用に関わっていました。このメンバーらは自分たちのランサムウェアに移行し、Zeonランサムウェアとして開始させました。
その後2022年9月に名称をRoyalに変更し、専用のリークサイトをダークウェブ上に開設しました。

イニシャル・アクセス

Royalランサムウェアの侵入経路、すなわちイニシャル・アクセス手法としては以下が判明しています。

• マルバタイズメント
• フィッシング・メール
• 偽のフォーラムページ
• 悪性リンクを含むブログコメント

ブログに投稿されたコメント上の悪性リンクをクリックすると、偽のソフトウェア（ZoomやMicrosoft Teams等）インストーラあるいはアップデートに誘導されます。
フィッシング用のリンク先には、正当な署名を付与された悪性ファイルが存在し、ターゲットに対しダウンローダーであるBATLOADERを配送します。
別の事例では、攻撃者はQbotマルウェアを用いて攻撃を開始しています。

他の侵入手口としては、コールバック・フィッシングが観測されています。
ターゲットに対し、食品デリバリーやソフトウェア事業者等になりすました、偽のサブスクリプション更新メールを送り、騙されたターゲットが、メールに記載された電話番号に連絡するよう誘導します。
攻撃者の意図は、ソーシャルエンジニアリングによってターゲットに遠隔操作ソフトをインストールさせることです。攻撃者はこのソフトを通じてネットワークへのアクセスを達成することができます。

攻撃と暗号化

ターゲットのネットワークに侵入後、攻撃者はさらに行動を続けます。CobaltStrikeをデプロイし、内部に持続性を確立し、ラテラルムーブメントを行います。この過程で、NetScanツールを用いたシステム探索を実行します。

さらに攻撃者は、PCHunterやGMER等のツールを用いて、感染したシステム内のセキュリティ・サービスを無効化し、Rcloneツールによってデータを抽出します。

最終的に、攻撃者はPsExecを用いて感染システム上でランサムウェアを実行します。
ランサムウェアはユーザーによる復元を阻止するためにシャドウコピーを削除し、ファイル暗号化プロセスを実行します。暗号化にはAESを利用し、対象ファイルのサイズに応じて全部または一部を暗号化します。
暗号化されたファイルには「.royal」の拡張子が付与され、対象となったディレクトリごとにランサム・ノートが配置されます。

ESXi対応の亜種も存在

2023年2月にはRoyalランサムウェアのLinux対応バージョンが検知されました。この亜種はVMWare ESXiをターゲットにしています。この動向は、他のランサムウェアと軌を一にするものであり、ESXiマシンの利用増を反映したものです。

対策とまとめ

Cognyteは、以下に示すIoCを組織のセキュリティツール等に反映させ、攻撃に備えることを推奨します。
また、以下に示す一般的なランサムウェア対策を再度確認することを推奨します。

• RDP（Remote Desktop Protocol）アクセスの安全性を確保する
• 使用されていないポートを無効化またはブロックする
• アクセス権を見直し、ユーザや管理者に必要なアクセス権のみを付与する
• すべてのセキュリティシステムが適切に更新および同期されていることを確認する
• 使用しているソフトウェアやシステムに対してリリースされているセキュリティアップデートを定期的に実装し、最新版にアップデートされていることを確認する
• 脅威インテリジェンスサービスやサプライチェーンリスク評価サービスを活用する
• 従業員に対する教育を行う（フィッシング攻撃や脆弱なパスワード等）

マルウェア、ランサムウェア感染でお困りの方は当社インシデントサポートにぜひお問い合わせください。

サイバー事故などインシデントでお困りの方（24時間・365日対応）

情報漏洩・不審なメール・ウイルス感染など、今すぐご相談されたい方、インシデント対応の相談と初動のアドバイスを無料でサポート。 ＳＯＭＰＯ サイバーインシデントサポートデスクはこちら

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)

IoC

参考サイト

• https://www.bleepingcomputer.com/news/security/new-royal-ransomware-emerges-in-multi-million-dollar-attacks/
• https://www.avertium.com/resources/threat-reports/everything-you-need-to-know-about-royal-ransomware
• https://www.cybereason.com/blog/royal-ransomware-analysis
• https://securityscorecard.pathfactory.com/research/the-royal-ransomware#page=1
• https://www.trendmicro.com/en_us/research/22/l/conti-team-one-splinter-group-resurfaces-as-royal-ransomware-wit.html
• https://www.bleepingcomputer.com/news/security/linux-version-of-royal-ransomware-targets-vmware-esxi-servers/