clop

正体と来歴

Clop（Cl0p）は、2022 年以前にはロシアおよびウクライナ、現在はロシア語圏全域で活動する金銭目的の組織で、TA505 や FIN11 とも関係するとされる [s5]。「Clop」（Клоп）はロシア語で「南京虫」を意味する [s5]。同名のランサムウェアは CryptoMix ファミリの亜種で、ロシア連邦で開発されたと考えられている [s5]。MITRE はこれを S0611 と呼ぶ [s5]。CISA と FBI の共同勧告は、2019 年 2 月に CryptoMix から派生して登場した CL0P が RaaS として使われ、署名付きバイナリを使う大規模なスピアフィッシングで拡散したと説明する [s2]。Sophos は 2019 年に初めて観測されたとする [s5]。Unit 42 は、初観測の 2019 年 2 月時点ではリークサイトがなく、2020 年 3 月に「Cl0p^_- Leaks」を開設したと説明する [s6]。RansomLook の記録上の初出は 2021-09-09 である。TA505 は RaaS の運営だけでなく他の RaaS のアフィリエイト、初期アクセスブローカー（IAB）、他の IAB の顧客、金融詐欺とフィッシングに特化した大規模ボットネット運営者としても動いてきた [s2]。FBI と CISA は Clop と TA505 を同一とみなす一方、3 者は手法が重複するだけ、あるいは FIN11 は TA505 の一部という指摘もある [s5]。

手口

初期侵入は、フィッシングメール、エクスプロイトキット、ソフトウェアやシステムの脆弱性の悪用が通常の経路である [s5]。2019 年のキャンペーンでは、マクロ付き文書から Get2 ローダーが SDBot、FlawedAmmyy、FlawedGrace を取得し、Clop が最終ペイロードとして投下された [s2][s6]。侵入後は偵察、ラテラルムーブメント、データ窃取を経てランサムウェアを展開する [s6]。常駐には Cobalt Strike Beacon が使われ、Sophos の事例では SMB 接続の後に対話型 RDP セッションへ移行した [s5]。TA505 は Truebot で FlawedGrace や Cobalt Strike ビーコンを取得させた [s2]。窃取には megasync、rclone、Filezilla、Windows Secure Copy などの第三者ツールを使う [s5]。

2020 年から 2021 年にかけては、Accellion FTA にゼロデイで PHP の Web シェル DEWMODE を設置した [s2]。関連する CVE は CVE-2021-27101、CVE-2021-27102、CVE-2021-27103、CVE-2021-27104 である [s6]。2023 年 1 月下旬には GoAnywhere MFT のゼロデイ CVE-2023-0669 を悪用し、約 130 の被害組織から 10 日間でデータを窃取したと主張した [s2]。GoAnywhere 経由のラテラルムーブメントは確認されていない [s2]。2023 年 4 月には PaperCut サーバーを悪用し、GoAnywhere と同じ Truebot をインストールするのを Sophos が観測した [s5]。2023 年 5 月 27 日からは MOVEit Transfer の SQL インジェクション（CVE-2023-34362）を悪用し、C# 製の Web シェル LEMURLOOT を設置した [s2]。LEMURLOOT は当初 human2.aspx という名前で正規の human.aspx に偽装し、36 文字のランダムなパスワードと X-siLock-Comment ヘッダーで認証し、「Health Check Service」という管理者アカウントを作成・削除できる [s2]。CISA は 2023 年 6 月 2 日にこの脆弱性を KEV カタログへ追加した [s2]。

ランサムウェア本体は暗号化したファイルの拡張子を .clop、.CIIp、.Cllp、.C_L_O_P などに変え、ClopReadMe.txt、README_README.txt、Cl0pReadMe.txt、READ_ME_!!!.TXT を残す [s6]。バックアップやセキュリティ製品に関わるプロセスとサービスを停止し、仮想環境では実行されず、コード署名で検知を回避する [s6]。Sophos は README.TXT のランサムノートと、スケジュールタスクによる dwm.exe と sysinfo.exe の展開を報告している [s5]。2021 年以降の Clop は暗号化よりデータ窃取を重視し [s2]、Trend Micro は MOVEit の攻撃でデータ暗号化が確認されず、暴露による脅迫のみだったとされる点を特徴に挙げる [s4]。脅迫は二重脅迫が基本で、支払わない被害者のデータは Tor 上の「CL0P^_- LEAKS」で公開される [s2][s5]。圧力手段として、経営幹部の端末を狙い、従業員を doxxing し、報道機関に侵害を知らせる [s6]。侵入先サイトの顧客やパートナーに連絡して、身代金を支払うよう迫らせる手法もいち早く使った [s5]。Accellion の被害者には、被害者ごとの固有 URL を載せたメールで交渉を促し、無視すると Cl0p^_-Leaks での公開を予告した [s6]。GoAnywhere 後は経営幹部宛てに身代金要求メールを送り、ノートは「1 日 30〜50 千人のユニーク訪問者がある」ブログへの公開と闇市場での売却を警告し、連絡先として unlock@rsv-box[.]com と unlock@support-mult[.]com を挙げていた [s2]。2023 年 1 月の別のノートは、連絡期限を 2 週間とし、連絡が早いほど最終価格が下がると告げた [s5]。

連絡手段とリークサイト

RansomLook は連絡手段を email とし、SUPPORT@IN2PAY[.]COM、UNLOCK@GOTO-PAY[.]COM、support@he1p-center[.]com、unlock@cl-leaks[.]com、unlock@he1p-me[.]com、support@pubstorm[.]net、support@pubstorm[.]com、support@cryptohox[.]com、support@cypherhex[.]com を記録している。リークサイト（dls）は hxxp://ekbgzchl6x2ias37[.]onion で、いずれも停止中と記録されている。ミラーは次の 11 件で、いずれも停止中である。hxxp://santat7kpllt6iyvqbr7q4amdv6dzrh6paatvyrzl7ry3zm72zigf4ad[.]onion、hxxp://3ws3t4uo7fehnn4qpmadk3zjrxta5xlt3gsc5mx4sztrsy7ficuz5ayd[.]onion、hxxp://amnwxasjtjc6e42siac6t45mhbkgtycrx5krv7sf5festvqxmnchuayd[.]onion、hxxp://qahjimrublt35jlv4teesicrw6zhpwhkb6nhtonwxuqafmjhr7hax2id[.]onion、hxxp://npkoxkuygikbkpuf5yxte66um727wmdo2jtpg2djhb2e224i4r25v7ad[.]onion、hxxp://6v4q5w7di74grj2vtmikzgx2tnq5eagyg2cubpcnqrvvee2ijpmprzqd[.]onion、hxxp://l4rdimrqyonulqjttebry4t6wuzgjv5m62rnpjho3q22a6maf6d5evyd[.]onion、hxxp://frgp3f3u2ddafv4ny7tqn6tc674m6fyymyywoaxot7xskbjmiyhhsyqd[.]onion、hxxp://htmxyptur5wfjrd7uvg23snupub2pbtlfelk45n37b3augl2w4eearid[.]onion、hxxp://2vi357dgf4246nvrcsavrt5jsrm7pfqim4t2n3ykzedjim5bzqezmlyd[.]onion、hxxp://clopofffr7tth6hsvxx3cys4qkshrbbiitnxfwts6hj64mtnaovjieyd[.]onion。

標的と主な被害

Clop は米国、カナダ、南米、アジア太平洋、ヨーロッパの組織を主な標的とし、年間売上高 500 万ドル以上の大企業を優先して狙う [s5]。Unit 42 は、卸売・小売、運輸・物流、教育、製造、エンジニアリング、自動車、エネルギー、金融、航空宇宙、通信、専門・法務サービス、医療、ハイテクの各業種への影響を報告した [s6]。2020 年 10 月には Software AG に対し、サイバーセキュリティ史上初めて 2,000 万ドルを超える身代金を要求したことで知られる [s5]。2021 年 3 月 8 日には、Accellion の脆弱性を介して侵害された Flagstar Bank のデータを、暗号化を伴わずにブログへ掲載した。Flagstar は同日、Accellion 利用に起因するデータ流出を公表した [s7]。Flashpoint は、窃取データを別の恐喝に転用するこの手法を他グループも採用するとみた [s7]。MOVEit の被害者として、銀行・金融サービス、教育、医療の大手企業の名が挙がった [s5]。Sophos は 2023 年 7 月 3 日時点で身代金を支払った被害者を確認していない [s5]。Trend Micro によれば、2023 年 1〜5 月に標的となった組織の約半数は北米／米国拠点で、米政府機関への攻撃が確認された 2023 年 5 月に検出数が激増した [s4]。日本国内の検出数はまだ限定的だが、海外で流行した攻撃が日本でも増える可能性があり警戒が必要とされる [s4]。出典に日本の被害組織名や時期の記述はない。

動向

2023 年上半期の Clop は、2 月の GoAnywhere、4 月の PaperCut に続いて、MOVEit で 3 件目の大規模事案を起こした [s5]。MOVEit の脆弱性は少なくとも 2021 年 7 月にテストされていたとする報告もある [s5]。CISA は 2023 年 6 月 15 日にセキュリティアラートを発令し、翌 16 日に米国政府機関が Clop の情報へ最大 1,000 万ドルの報奨金を設定した [s4]。同じ 6 月中旬、Clop は MOVEit 攻撃の被害団体に向けて、政府・市・警察のサービスのデータはすべて消去したので連絡不要で公開もしないと声明を出した [s5]。法執行機関は積極的に動き、メンバーの複数が逮捕・起訴されて活動が一時停止したこともあるが、勢いはほとんど変わらないと Sophos はみる [s5]。ハクティビズムに関連する事例では DDoS を併用したものもあるが、その動機は不明とされる [s5]。Clop は他グループと協力する傾向があり、DarkSide や FIN7 との共同攻撃が挙げられ、ランサムウェア自体が RaaS サイトで販売されることもある [s5]。