inc ransom

INC Ransom（Inc. Ransomware）は、2023年に登場した二重脅迫型のランサムウェア攻撃グループである。RansomLookの記録では初出は2023年8月9日である[s1]。SentinelOneは2023年7月に出現した恐喝オペレーションと説明し[s5]、Secureworksは2023年8月に出現したと記述している[s6]。出現時期は出典によって7月と8月に分かれている。SentinelOneによれば、運営者は自らを被害者へのサービスとして位置づけ、身代金を払えば「評判を守れる」と主張し、自らの手口を明かすことで被害環境が「より安全になる」とも示唆している[s5]。Secureworksは本グループをGOLD IONICとして追跡しており[s6]、アフィリエイトを使うRaaSではなく、閉じたグループとして運営されているように見えると評価した[s6]。ロシアまたはCIS諸国を拠点とするとみており、その根拠は欧米の組織が被害に遭う一方、CIS諸国の被害者が見当たらないことである[s6]。

手口について、初期侵入の経路は一定せず、スピアフィッシングメールや脆弱なサービスの悪用が観測されている[s5]。Citrix NetScalerのCVE-2023-3519の悪用も確認されている[s5]。Secureworksが対応したある事案では、Citrix Bleed（CVE-2023-4966）の悪用が初期侵入になった可能性がある[s6]。この経路はLockBit RaaSのアフィリエイトも好んで用いてきたものである[s6]。侵入後は市販ツールやLOLBINを使って内部偵察と横展開を進める[s5]。SentinelOneは関連ツールとして、NETSCAN.EXE、MEGAsyncSetup64.EXE、ESENTUTL.EXE、AnyDesk.exeを挙げている[s5]。Secureworksの事案では、p443x64.exeでMeterpreterシェルを導入し、AdFindでActive Directoryを列挙した[s6]。続いてWinRARでファイルをアーカイブし、Megasyncで70GB超を持ち出した[s6]。その後、500台超のシステムにINCランサムウェアの実行ファイルを複製し、PsExecで遠隔実行した[s6]。実行ファイル名は被害組織ごとに固有で、組織名を含んでいた[s6]。

暗号化では、ファイルに.inc拡張子が付き、身代金要求文書INC-README.txtが置かれる[s6]。SentinelOneの分析では、要求文書はINC-README.TXTとINC-README.HTMLの2形式で暗号化対象の各フォルダに書き込まれ、HTML版は接続されたプリンターやFAXにも出力しようとする[s5]。ペイロードは--file、--dir、--sup、--ens、--lhdなどのコマンドライン引数に対応する[s5]。--ensはネットワーク共有を暗号化し、--lhdは隠しブートボリュームと回復ボリュームを暗号化するため、実行すると起動不能になる[s5]。引数を省略すると、ローカル端末の全ボリュームとファイルの暗号化を試みる[s5]。ボリュームシャドウコピーの削除も試みるようだが、SentinelOneのテストでは再現できなかった[s5]。解析サンプルにはデバッグ文字列C:\source\INC Encryptor\Release\INC Encryptor.pdbが残っていた[s5]。

交渉の圧力手段は、データを窃取してから暗号化し、公開をちらつかせる二重脅迫（多重恐喝）である[s5][s6]。被害者は要求文書に記載された個別IDを使い、TORベースのポータルから連絡するよう指示される[s5]。要求文書にはTorの.onionアドレスと個別IDがあり、72時間以内に連絡しなければ機微データをリークサイトに公開すると警告する[s6]。リークサイトの構成とデザインはLockBitのものに似ているが、両グループの関連を示す他の兆候はない[s6]。

標的は特定の業種に偏らず、医療、教育、政府機関にも及ぶ[s5]。リークサイトの掲載数は、Secureworksによれば2023年8月から2024年3月までに72件、4月には公表時点で7件である[s6]。被害の大半は米国で、英国が大きく離れて続き、その後は世界へ広がっている[s6]。業種別では産業、医療、教育が目立つ[s6]。教育機関の割合は、同期間の全ランサムウェアグループ平均の5%の2倍超だが、サンプル数が少なく意味のある結論は引き出しにくい[s6]。日本の被害組織名と時期は、今回の出典には記載がない。

動向としては、INCのリークサイトに他のランサムウェア攻撃の被害者が掲載された例が確認されている[s6]。ある侵害環境では、実行ファイルと要求文書のファイル名形式（RECOVER-＜ランダム7文字＞-FILES.txt）がGOLD BLAZERのALPHVランサムウェアと一致した[s6]。データ窃取の時期は、法執行機関の措置でALPHVのTorインフラが到達不能になった時期と重なる[s6]。この間、LockBit側がALPHVのアフィリエイトを勧誘し、自らのリークサイトの利用を提案していた[s6]。そのため、この投稿はGOLD IONICがアフィリエイト型で運営している結果とは限らない[s6]。Donut Leaksのリークサイトには、窃取データを改変した連絡先付きで他サイトに投稿した人物への警告があり、INCにも言及しているが、関係は不明確である[s6]。GOLD IONICに複数のアフィリエイトが関与する証拠は乏しいと評価されている[s6]。