Cactusランサムウェアがスペイン自動車部品メーカーを攻撃した | Fortinet VPNも標的

• LINEで送る
• Tweet
• 

脅威インテリジェンスサービスCognyteは、ダークウェブやTelegram、SNSなどから膨大な情報を収集し、情報漏洩や脅威アクターの活動を検知することによって、組織のサイバー・リスクを軽減させるサービスです。

 Cognyte CTI Research Group@Cognyte | 2023年12月

今月、Cactusランサムウェア・グループがダークウェブ上のリークサイトにCIEオートモーティブに関するページを公開しました。CIEオートモーティブはスペインの自動車関連企業であり、エンジン部品やギアボックス、トランスミッション、シャーシ、内外装トリム、ルーフシステム等を製造しています。

本レポートでは、Fortinet VPN既知の脆弱性もターゲットにするCactusランサムウェアについて解説します。

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)

Cactusランサムウェアとは

このランサムウェア・グループは攻撃した企業のネットワークから窃取したドキュメントのスクリーンショットを証拠として公開、また「証拠パッケージ」としてダウンロード・リンクを提供しました。
このパッケージには、NDA、秘密保持契約書、従業員のパスポート・スキャン、投資要望等が含まれています。

Cactusランサムウェアのスクリーンショット　出典：Cactusリークサイト

Cactusの戦術

Cactusランサムウェアの攻撃パターン　出典：当社にて作成

Cactusランサムウェアは2023年3月頃から活動する比較的新しいランサムウェアです。このグループは一般的な「二重恐喝」手法を採用しており、ファイル暗号化とデータ窃取を組み合わせて被害組織に対し身代金の支払いを要求します。

イニシャル・アクセス

CactusグループはFortinet VPN機器の脆弱性を悪用しイニシャル・アクセスを試みると考えられています。また2023年11月には、ビジネスインテリジェンス・プラットフォームQilk Senseの脆弱性を悪用していることが判明しました。

2023年12月には、被害組織に対しマルバタイジングを用いてDanabotマルウェアに感染させた後、Cactusランサムウェアを配送していることが判明しました。

侵害から特権昇格まで

攻撃者は、被害組織のネットワークを侵害後、SSHバックドアを設置し、タスクスケジュールを利用しC2サーバーと通信を行っています。
その他、このランサムウェア・グループは以下のようなTTPを採用しています。

• ネットワーク偵察とターゲット発見のためにSoftPerfect Network Scannerを利用
• エンドポイント数え上げ（Enumeration）にPowerShellを利用し
• ユーザーアカウントを特定するためにWindowsセキュリティイベント4624（「アカウントが正常にログオンしました。」）を確認
• PowerShellの結果をホストマシンにテキストファイルで保存し、後でランサムウェア実行に利用
• nmapに相当するPowerShellツールであるPSnmap.ps1を利用しネットワーク内のエンドポイントを特定
• リモートアクセスに正当なツールを利用し、ネットワーク内に持続性を確立
  • Splashtop
  • AnyDesk
  • SuperOps
• Cobalt StrikeおよびChiselによるC2通信（Chiselは、追加のスクリプト、ツールの配送にも利用）

攻撃者はネットワークに侵入後、ラテラルムーブメントを行います。このために、ユーザーのWebブラウザおよびLSASSからクレデンシャルをダンプした後、リモートのエンドポイントに対し特権アカウントを作成します。また、ハードディスク内を手動で検索し、パスワードを含むファイルを特定した形跡も残っています。

特権アカウントを取得した後、バッチスクリプトを実行しアンチウイルス製品を削除します。また、ラテラル・ムーブメントにはRDPやRMMを利用します。

ファイルの抽出と暗号化

攻撃者はRclone等のツールを利用し、暗号化されたネットワーク経由でファイルを窃取し、クラウドストレージに転送します。

データ抽出後、攻撃者はファイルの暗号化を行います。
PsExecコマンドによって自動的に暗号化を行うスクリプトTotalExec.ps1を利用します。暗号化バイナリ自体も検知を回避するため暗号化されており、、復号の際はスケジュールタスクを通じてntuser.datファイル（ランダムな文字列内に鍵が含まれている）を読み込みます。

暗号化されたファイルには.ctsX（Xには数字が入る）の拡張子が付与されます。
また、身代金交渉のための連絡先を記載したランサムノートcAcTuS.readme.txtが作成されます。

推奨策

Cognyteは、以下のセキュリティ対策を推奨します。

• Fortinet VPN製品のアップデート
• 次に示すIoCのセキュリティツールへの組み込み
• 各システムやアプリ、セキュリティツールの最新版へのアップデート

IoC

参考ソース

• https://www.bleepingcomputer.com/news/security/new-cactus-ransomware-encrypts-itself-to-evade-antivirus/
• https://www.kroll.com/en/insights/publications/cyber/cactus-ransomware-prickly-new-variant-evades-detection
• https://thehackernews.com/2023/11/cactus-ransomware-exploits-qlik-sense.html
• https://securityaffairs.com/155184/cyber-crime/danabot-spread-cactus-ransomware.html
• https://www.manageengine.com/products/active-directory-audit/kb/windows-security-log-event-id-4624.html

記事に関するご意見・お問い合わせはこちらへお寄せください。
(ＳＯＭＰＯホールディングス、損害保険ジャパンなどグループ各社へのお問い合わせはご遠慮下さい)