ransomexx

RansomEXX は、2018 年に Defray777 として登場したランサムウェアである[s3]。2020 年に政府機関や製造業への攻撃が広く報じられ、その頃にバイナリ内の文字列「ransom.exx」から RansomEXX と呼ばれるようになった[s3]。同じ 2020 年に、窃取データを公開するリークサイトも開設した[s3]。RansomLook の記録上の初出は 2021 年 9 月 9 日である[s1]。ランサムウェア・アズ・ア・サービス(RaaS)として運営され、発見以来継続的に活動してきた[s3]。Secureworks は Defray を、攻撃者が手作業で侵入先を操作する「侵入後型」ランサムウェアの初期の系統に挙げ、「777」を GOLD DUPONT と対応づけて、名指しで晒す恐喝(ネーム・アンド・シェイム)を行う活動の一覧に載せている[s6]。Trend Micro は、2018 年から活動する金銭目的の犯罪集団 Gold Dupont と関連づけている。その主な武器は RansomEXX(Defray777)、Cobalt Strike、Metasploit、Vatet Loader である[s3]。

手口は RaaS の性質上、標的や実行役(アフィリエイト)によって侵入の流れが変わる[s3]。Trend Micro は初期侵入にマルスパムを使うと述べ、実行段階では IcedID、TrickBot、Cobalt Strike ビーコン、PyXie RAT を確認した[s3]。PyXie RAT には情報の持ち出し機能もある[s3]。横展開では SMB 通信が多数観測され、Vatet Loader の配布に使われた[s3]。認証情報の窃取には Mimikatz と LaZagne を用いる[s3]。攻撃前に偵察を行ってツールを選び、IcedID と Vatet Loader を使った事例では、初期侵入から 5 時間でランサムウェアを展開した[s3]。正規ツールをトロイの木馬化して使うことも、Gold Dupont の攻撃の典型とされる[s3]。

バイナリには標的の名前が埋め込まれており、ランサムノートや暗号化後の拡張子に標的の略称が入る。事前準備を伴う標的型の攻撃であることを示す[s3]。暗号化は AES で行い、その AES 鍵を RSA で暗号化する[s3]。システムフォルダや実行ファイルなどは暗号化を避ける一方、データベース、メール、バックアップ(Veeam、Acronis、Backup Exec など)、仮想化関連のプロセスやサービスを停止する[s3]。Windows 版に加え、2020 年後半に確認された Linux 版がある。主要な Windows 向けランサムウェアが Linux に拡張した最初の既知の例とされる[s3]。データ窃取を伴う二重脅迫を行い、リークサイトで盗んだデータを公開する[s3]。

標的は世界各地に及ぶ。Trend Micro の 2021 年 3 月 31 日〜2022 年 3 月 31 日のテレメトリでは、米国とフランスが最多で、ブラジルが続いた。この集中は、2021 年の台湾の大手ハードウェアメーカーへの攻撃が背景にある[s3]。業種別では製造業が最多で、教育、銀行が続いたが、差は小さく標本数も少ない[s3]。過去の標的には政府機関やブラジルの大手衣料品店がある[s3]。2022 年 3 月にはスコットランドのメンタルヘルス系慈善団体を攻撃し、12GB のデータを公開した。支払い能力で標的を選ぶ傾向からは外れた事例と評されている[s3]。

動向として、Trend Micro は 2022 年時点で RansomEXX を LockBit や Conti と並ぶ現役の名称と位置づけている[s3]。一方、SentinelOne は Defray777 すなわち RansomEXX が 2023 年にリブランドしたと記している[s5]。