brain cipher

正体と来歴

Brain Cipher は2024年6月初旬に登場したランサムウェアグループで、Tor 上のリークサイトを運営し、多重恐喝を行う [s5]。Group-IB は少なくとも2024年4月から活動していたとみており、最初に確認した脅迫状は2024年6月16日付である [s6]。RansomLook は初出を2024-07-02と記録しており、出典間で時期に開きがある [s1]。ペイロードは流出した LockBit 3.0 ビルダーで生成され、機能は LockBit 3.0/LockBit Black の出力と同一とされる [s5]。Group-IB は、脅迫状の文面、連絡先、Tor サイトの類似から、EstateRansomware、SenSayQ、グループ名が示されない "Noname" を Brain Cipher と同じ人物が管理していると判断した [s6]。インドネシアの被害者向けに公開された Linux 版復号ツールは、Babuk の亜種だった [s6]。

手口

初期侵入について SentinelOne は、インターネットに露出したアプリケーションやインタフェースの悪用を挙げ、Windows CLFS ドライバの権限昇格の脆弱性 CVE-2023-28252 の悪用と、初期アクセスブローカー（IAB）への依存を指摘した [s5]。一方 peris[.]ai は、主な配布経路をフィッシングメールとしている [s7]。実行時には Windows Defender や VSS に関連するサービスの停止を試み、Windows イベントログも消去する。ペイロードは UPX や Python 製クリプターでさらに難読化されることがある [s5]。peris[.]ai は ATT&CK 手法として、実行の T1059.003 と T1204.002、権限昇格の T1548.002、認証情報アクセスの T1539、T1555.003、T1552.001、探索の T1012、T1082、T1518、影響の T1486 を挙げた [s7]。脅迫状には Tor 上のサポートページとサポート用メールが記され、被害者は脅迫状の暗号化 ID を入力してチャットに入り、支払額と暗号資産の種類が提示される [s6]。脅迫状とリークサイトの規約には「FBI、CIA、NSA 等の関与は禁止」「第三者の交渉人の関与は禁止」とあり、リークサイトの各掲載にはタイマーが付くことがある [s5][s6]。Group-IB は、監視した被害者の大半でデータが公開されなかったことから、主張どおりにはデータを窃取していない可能性があるとみている [s6]。

連絡手段とリークサイト

RansomLook は連絡手段を email とし、brain[.]support[@]cyberfear[.]com、brain[.]dataleak[@]cyberfear[.]com、brain[.]decrypt[@]cyberfear[.]com を記録している [s1]。SentinelOne は、cyberfear[.]com のメールエイリアスを被害者との連絡に使う点が Risen や SenSayQ と共通すると述べた [s5]。リークサイト（dls）として RansomLook が記録するのは hxxp://mybmtbgd7aprdnw2ekxht5qap5daam2wch25coqerrq2zdioanob34ad[.]onion で、停止中である [s1]。ミラーは多数記録され、大半が停止中だが、hxxp://inzk64xcf3sm6qzkehmio7piwhkslhnab3rlviniyg7alcgsxvy7kcyd[.]onion、hxxp://mejouwrwja4iou7myj34rqi7cixyhn7vsa42e2n2dhxzc5mmkiaki3yd[.]onion、hxxp://zztabnlnggxpbeiyvpievqtxl6te4amttfobwusmgo2l3hcabfpcgyad[.]onion、hxxp://hv5on6i3k3g24qtu3ac6vtbrcgl2imz3sasakhfslhbnbqbcri73mqad[.]onion は停止中の表記がない [s1]。Group-IB は、リークサイトへの onion リンクがフィリピンの被害者のものとみられる脅迫状に記載されていたと報告した [s6]。

標的と主な被害

SentinelOne によると、標的は医療、教育、製造の各分野に加え、政府機関や法執行機関にも及ぶ [s5]。最大の被害は、2024年6月20日のインドネシア国家データセンター（PDN）への攻撃である。税関や入国管理を含む約210の国・地方政府サービスが停止し、空港で旅行者に大幅な遅れが出た [s6]。SentinelOne は入国管理と新入生登録システムの混乱を挙げている [s5]。PDN は Telkom Sigma を通じて Telkom Group が運営し、攻撃者は8百万米ドル（約 Rp 131 billion）を要求した [s7]。Group-IB が確認した被害者の所在は、インドネシア、フィリピン、ポルトガル、イスラエル、南アフリカ、タイである [s6]。EstateRansomware、SenSayQ、Noname の被害者はフランス、マレーシア、香港、米国、イタリア、レバノンで確認された [s6]。

動向

Group-IB によると、Brain Cipher は当初8百万米ドルを要求したが、その後復号ツールを無償で公開した [s6]。2024年7月には、脅迫状の形式が似た RebornRansomware による攻撃が確認された。連絡先メールが変わり、Tor サイトは Tox アカウントに置き換わっている [s6]。リークサイトの主ページには2024年8月13日時点で7社の掲載があり、同月にも Brain Cipher の被害者が見つかった [s6]。RansomLook の記録ではリークサイト本体と大半のミラーが停止中である [s1]。