metaencryptor

MetaEncryptor は、リークサイトで被害組織を公開するランサムウェア運営グループである。RansomLook の記録では初出は 2023-08-17 で、連絡手段は tox とされる。RansomLook に記録された tox ハンドルは 725035DCFC870A8088F3EB12D597D4D78F4024BF99F8F270AD0E8DCC70CEAB2253E31742ACD2 である。SentinelOne は、MetaEncryptor の活動は 2022 年初頭に遡ると述べている [s4]。同社の分析では、MetaEncryptor のペイロードは SFile の暗号化プログラムを基にしている [s5]。SFile と Mindware は同じ系譜にあり、MetaEncryptor、LostTrust、SFile、Mindware の 4 者は似た運用と手口を持つという [s5]。Druva は、MetaEncryptor に関する公開技術情報は限られており、リークサイトを通じて追跡していると述べている [s6]。

手口については、MetaEncryptor 固有の詳細な技術報告は少ない。SentinelOne は、後継とされる LostTrust のペイロードに MetaEncryptor 由来のマークアップや文字列が残っていると報告している [s4]。LostTrust のペイロードは、Exchange、MSSQL、SharePoint、Tomcat、postgresql などのサービスやプロセスを停止する [s5]。その際、非表示の CMD.EXE を複数起動し、WMIC、NET、SC、taskkill、VSSADMIN、wevtutil のコマンドを実行する [s5]。VSSADMIN でボリュームシャドウコピーを削除し、wevtutil で Windows イベントログを消去する [s5]。コマンドライン引数として --enable-shares（ネットワークボリュームの探索と暗号化）と --onlypath（指定パスのみ暗号化）に対応する [s5]。暗号化対象と除外対象の指定は MetaEncryptor と似ており、除外はパターン文字列で処理される [s5]。以上は LostTrust のペイロード分析に基づくもので、MetaEncryptor の初期侵入経路を示す記述は出典にない。二重脅迫については、SentinelOne が MetaEncryptor の多重脅迫モデルを LostTrust が引き継いでいると述べ [s4]、Druva もリークサイトの掲載内容からデータ窃取と公開の脅迫による二重脅迫型の活動とみている [s6]。

標的と被害について、Druva はリークサイト上の被害投稿を 31 件と記録している [s6]。SentinelOne の調査時点では、MetaEncryptor のブログに 13 件の被害が掲載されていた [s5]。出典に日本の被害組織名や発生時期の記載はない。LostTrust の運営は、医療や教育を含む複数の業種を区別なく狙うと SentinelOne は述べている [s4]。

動向としては、2023 年 9 月に LostTrust が MetaEncryptor の発展形として登場し、9 月下旬に別名義の被害者向けブログが開設された [s4]。LostTrust の Tor ブログは MetaEncryptor のブログと同じ書式で、連絡先の TOX も一致していた [s5]。両者の被害者に直接の重複はない一方、LostTrust の被害者の一部は Royal、LockBit 3、Medusa のリークサイトにも掲載されていた [s5]。SentinelOne の調査時点では両方のブログが稼働しており、MetaEncryptor のブログも最近更新されていた [s5]。LostTrust のブログには 53 件の被害が掲載されていた [s5]。Druva は、同グループが 31 件の被害投稿を主張していると記している [s6]。