cicada3301

正体と来歴

Cicada3301（別名 Repellent Scorpius）は、Rust 製のロッカーを提供するランサムウェア・アズ・ア・サービス（RaaS）である。Group-IB は 2024年6月に初めて観測されたと記した [s5]。Unit 42 は、同社のインシデント対応の時系列から活動開始を 2024年5月と推定し、Repellent Scorpius をこのランサムウェアの配布者とみなした [s6]。Truesec は、リークサイトへの最初の掲載を 2024年6月25日付とし、その 4 日後の 6月29日にアフィリエイト募集がフォーラム Ramp に投稿されたと記した [s7]。Group-IB によれば、募集投稿は 29-June 2024 に「Cicada3301」というユーザーが RAMP に立てたトピックである [s5]。RansomLook の記録上の初出は 2024-06-19 である。

名称は、2012年から 2014年にかけて 4chan に現れた「3301」署名の暗号パズルに由来するように見える。Truesec は、このランサムウェアグループをそのパズルに結び付ける材料は無いと述べた [s6][s7]。

運営の特徴として、アフィリエイトに Rust 製ロッカー、Tor 上の管理パネル、交渉支援、Windows・Linux・ESXi・NAS・PowerPC 向けのビルドを提供する [s5]。Group-IB が翻訳した募集文では、募集対象はペンテスターとアクセス広告者（アクセスブローカー）で、報酬は身代金総額の 20%、参加には「ミニインタビュー」が必要とされる [s5]。身代金が US$1.5-million を超える場合はウォレットを 2 つ使い、アフィリエイト用と運営用に分ける [s5]。パネルのアクセスをサポートの承認なしに第三者へ共有することは禁止されている [s5]。

Truesec は、ALPHV（BlackCat）との類似点を挙げた。Rust 製であること、ChaCha20 を使うこと、VM 停止とスナップショット削除のコマンドがほぼ同一であること、ノート名が「RECOVER-<拡張子>-FILES.txt」から「RECOVER-<拡張子>-DATA.txt」に変わっただけであることなどである [s7]。ただし、ALPHV の改名なのか、同じ開発者が作ったのか、コードを流用しただけなのかは断定できないとし、さらなる調査が必要としている [s7]。Unit 42 は、過去の侵害で得たデータをこのグループが持つ兆候を観測した。Unit 42 は、以前に別ブランドで活動していたのか、他グループからデータを購入または継承したのかは分からないとしている [s6]。

手口

Unit 42 が対応した事案では、同一ホストで複数の RDP ログオンが記録された。Unit 42 は、侵入は盗まれた認証情報による可能性が高く、IAB から購入された可能性もあると評価した [s6]。主に関連した公開 IP アドレスは 103.42.240[.]37 で、ホスト名 WIN-RMM48SHAUPR の RDP サーバであった。パキスタンのホスティング事業者 0DAYHOST (SMC-PRIVATE) LIMITED に関連付けられ、割り当ては Serverius Holding B.V. が管理していた [s6]。Truesec が調べた事案では、盗まれたか総当たりで得た有効な認証情報で ScreenConnect にログインしていた [s7]。使われた IP アドレス 91.92.249[.]203 は、ScreenConnect を含む VPN 製品へのパスワード推測キャンペーンに関連する「Brutus」ボットネットと結び付けられていた [s7]。Truesec は、Brutus の背後の攻撃者が Cicada3301 と直接つながっている可能性と、2 つの攻撃者が偶然同じ IP を使った可能性の両論を示した [s7]。

Unit 42 の事案では、攻撃者が 1.bat というバッチスクリプトで複数ホストに対してランサムウェアを実行した [s6]。横展開には正規ツールの PsExec が使われた。PsExec はランサムウェア本体に埋め込まれており、C:\Users\Public\psexec0.exe として展開される [s6]。収集段階では C:\ProgramData\found_shares.txt が作成され、PowerView でも同じパスにファイル共有の列挙結果が保存されるとされる [s6]。データ窃取には Rclone が使われ、C:\ProgramData\rclone.exe と rclone.conf が置かれた [s6]。窃取通信に使われた IP アドレス 91.238.181[.]238 は、ホスティング事業者 VDS&VPN services に由来する。この IP は以前に Cobalt Strike の活動（ウォーターマーク 674054486）で指摘され、2023年に Bashful Scorpius（Nokoyawa）や Ambitious Scorpius（ALPHV/BlackCat）との関連も指摘された。2024年2月には ScreenConnect の脆弱性（CVE-2024-1708 と CVE-2024-1709）の悪用試行も観測された [s6]。

暗号化は ChaCha20 と RSA を使い、Full、Fast（1 MB のブロック 15 個）、Auto のモードがある [s5]。Unit 42 の解析では、実行に key 引数が必須で、埋め込まれた暗号化ノートを鍵で復号し、文字列 ***is_ok*** の有無で検証する [s6]。続いて vssadmin.exe Delete Shadows /all /quiet や wmic.exe Shadowcopy Delete でシャドウコピーを削除し、bcdedit で回復機能を無効化し、wevtutil でイベントログを消去する [s6]。ESXi 版では esxcli による VM の強制終了と vim-cmd によるスナップショット全削除を行う [s7]。ファイルは新しい拡張子に変更され、解析された検体では kcr5umw であった [s6]。

脅迫は二重脅迫で、データを窃取して公開すると脅す [s6]。ランサムノートには、会社データを %SIZE% GB 以上ダウンロードしたという記述がある [s6]。パネルにはデータ漏えい専用のランディングページ（暗号化なし）を設定する機能もある [s5]。アフィリエイトパネルのニュース欄では、2024年6月15日に独自のファイルサーバを導入して窃取データのアップロードを呼びかけ、6月18日にはコールセンターの準備完了を告げ、被害組織への電話に使う連絡先や身代金文面の提供を求めた [s5]。

連絡手段とリークサイト

Group-IB のアナリストは、Tox を通じて「Cicada3301」と接触し、アフィリエイトパネルへのアクセスを得た [s5]。募集投稿は Tox ID をフォーラムの PM で送るよう求め、保証金の支払い先として xss[.]is のメンバーページを示していた [s5]。Tor 上のパネルにはチャット、サポート、サブアフィリエイト用アカウント、ビルダー、ランディング生成の機能がある [s5]。秘密鍵はサーバに保存しないと主張しているが、この主張は検証されていない [s5]。

リークサイトの所在は、Group-IB が示した専用リークサイト（DLS）のオニオンドメインが hxxp://cicadabv7vicyvgz5khl7v2x5yygcgow7ryy6yppwmxii4eoobdaztqd[.]onion/ である [s5]。RansomLook は、このドメインを dls（停止中）として記録している。RansomLook はミラーとして次の 15 件も記録しており、すべて停止中である。cicadacnft7gcgnveb7wjm6pjpjcjcsugogmlrat7u7pcel3iwb7bhyd[.]onion、cicadaxousmk6nbntd3ucxefmfgt2drhtfdvh7gmdeh3ttvudam6f2ad[.]onion、cicadafhqpjwm2sblkfbuwn7sglbibuejr3m7fildpqpjv3hghlhb4id[.]onion、zf6bl4dczp5z7uaba2lhm5wrhrpflwvzsx2nhf7zyf63tpsfzc54tbad[.]onion、hgannromwuui7n2jvphpteposc3gioqkuo2ncb6fzopasgcq7ixcjeqd[.]onion、osd6tsgegts2xaqo3o2hrpqatwlslqfyc3msvyksad4iucauif3oqqad[.]onion、uds75egfqi7mfpxckf2un742qsj6rh3kfrydqaldwgkrqp2a37lk6fyd[.]onion、wuyfbttjjzsmr5ghl5hoi75ytse3bwrqgk63c6guv3lhw7hwtxbgveid[.]onion、bmfyfxl74qb6rsukgwymv7e22ua4uvhszsamqwx7jmj57qkamxwlhbid[.]onion、yaoehn32c2s5pwsuzhaa4lsu2a4seycpwyvn5gfz3bn4i74t2jo3frad[.]onion、5atqn4dwosjauijzj445mm7t6bqrcvzlzcylpmpnx243jxvlimyb6aid[.]onion、ruzislhpcuvfzw3t2xfqu7gog3gs5j2u65ysaq3ybqkzri3hjddaqgad[.]onion、leakshrlgof456tiw4ww5moiqlnrcork7q7r3cjgmsvex6zazpluhlad[.]onion、cicadapkh4vg2qh4qcoelszhftota5cdcgrwbjcesdyiwjwmsfzgobid[.]onion、sia5sekp5vokknfigbnef53mrb677lm2vy42wgnespkr5af4z4y4stad[.]onion。

標的と主な被害

Group-IB は、発見から 3 か月以内に重要分野の 30 組織を標的にし、米国と英国に特に集中していたと記した [s5]。Unit 42 は、被害者数がまだ限られていて特定の業種や地域を狙うと断言するのは早いとした [s6]。ただし、アフィリエイトパネルの FAQ に「CIS 諸国の標的化は厳禁」との趣旨の記載があるとも述べた [s6]。募集投稿も CIS 諸国での活動を厳禁している [s5]。Truesec が調べた事案では、ESXi 向けの暗号化機能が使われた [s7]。

動向

Unit 42 は、リークサイトで 6月19日から約 1 か月活動が見られなかったが、その後に再開したと記した [s6]。同社は Cicada3301 の活動が増え、被害者数も増えると予測した [s6]。一方、Truesec は、BlackCat/ALPHV が 3月初旬に出口詐欺（exit scam）と見られる形で活動を止め、その 2 週間後の 3月18日に Brutus ボットネットの活動が始まった経緯に注目し、これらが関連している可能性を示した [s7]。BlackCat が停止時にソースコードを 5 million ドルで売ると述べていたことも指摘している [s7]。RansomLook は、全てのリークサイトとミラーを停止中と記録している。