RansomHub

RansomHubの正体と来歴

RansomHubはRaaS(Ransomware as a Service)型のランサムウェアで、CISAの勧告は旧称をCyclopsおよびKnightとしている[s2]。2024年2月に活動が始まり[s2][s6]、RansomLookの記録でも初出は2024-02-10である。トレンドマイクロは活動開始を2024年2月頃とし、2024年下半期に最も活発だったグループと位置づけている[s5]。運営側はLinuxとWindows向けのペイロードや専用ツールをアフィリエイトに提供し、支払額に応じて上位の「レベル」を設けている。上位レベルにはより多くの支援と追加ツールが与えられる[s6]。運営者はDLSサイト、フォーラム投稿、Telegramなどで他の犯罪組織のアフィリエイトを公然と募集してきた[s6]。CISAによると、LockBitやALPHVといった有力な変種の高名なアフィリエイトを呼び込んでいる[s2]。ALPHVの崩壊後には複数のアフィリエイトがRansomHubへ移ったという[s6]。また他のランサムウェア運営とも協力している[s6]。RansomLookが記録する連絡手段はtoxで、ハンドルは次のとおり。tox: 4D598799696AD5399FABF7D40C4D1BE9F05D74CFB311047D7391AC0BF64BED47B56EEE66A5284E4781574FAB76B417F106F8E3DEFFD0D8E826F47D3BD9219B4EC9520C20CE68257E179403B0。

手口

初期侵入はアフィリエイトごとに異なる[s6]。CISAは、フィッシングメール(T1566)、既知の脆弱性の悪用(T1190)、パスワードスプレー(T1110.003)を挙げる。パスワードスプレーは過去の情報漏えいで侵害されたアカウントを狙い、悪用に使うPoC exploitはExploitDBやGitHubから入手する[s2]。SentinelOneは、スピアフィッシングや音声フィッシングなどのソーシャルエンジニアリング、VPNやRDPへの攻撃、IAMへのブルートフォースも挙げる[s6]。観測された脆弱性は、Citrix ADCのCVE-2023-3519、FortiOSのCVE-2023-27997、Apache ActiveMQのCVE-2023-46604、ConfluenceのCVE-2023-22515、F5 BIG-IPのCVE-2023-46747、FortiClientEMSのCVE-2023-48788、SMBのCVE-2017-0144、NetlogonのCVE-2020-1472、CVE-2020-0787である[s2]。SentinelOneはこのほかVeeamのCVE-2023-27532を挙げ、FortiClientEMSの番号をCVE-2024-48788と記載している(CISAはCVE-2023-48788)[s2][s6]。

侵入後は、AngryIPScanner、Nmap、PowerShellで探索する[s2]。アカウントの作成や再有効化を行い、Mimikatzで認証情報を取得してSYSTEMへ昇格する[s2]。横展開にはRDP、PsExec、AnyDesk、ConnectWise、N-Able、Cobalt Strike、Metasploitを使う[s2]。防御回避では、実行ファイルを無害な名前に偽装し、ログを消去し、WMIでウイルス対策を無効化し、独自ツールでEDRを停止させた例もある[s2]。上位アフィリエイトにはTDSSベースのEDR killerが提供され、標準レベルにはimpacketのSecretsdumpとSMBEXECが提供される[s6]。トレンドマイクロも多様なアンチEDR技術を確認している[s5]。

データ窃取の方法はアフィリエイト次第で、PuTTY、AWS S3、HTTP POST、WinSCP、Rcloneなどが使われた[s2]。暗号化はCurve 25519が中心で、被害組織ごとに固有の鍵を用いる[s2]。SentinelOneによればAESとの組み合わせが基本で、ESXi向けはChaCha20を使う[s6]。ペイロードはWindows、Linux/NAS、ESXi、SFTP向けにオペレーターパネルで生成でき、Windows版はセーフモード実行やVSSADMINによるシャドウコピー削除にも対応する[s6]。

二重脅迫を採用し、身代金要求書には当初金額や支払い手順が書かれず、クライアントIDと固有の.onion URLが示される。支払い猶予はアフィリエイトにより3〜90日で、期限後にTorのリークサイトで公開する[s2]。SentinelOneは、被害者へのメール送付や、医療機関など高額被害者への再恐喝にも関連づけている[s6]。

標的と主な被害

CISAによれば、2024年2月の開始以来、水道・下水、IT、政府施設、医療、緊急サービス、食品・農業、金融、商業施設、重要製造業、運輸、通信の各分野で少なくとも210の被害者のデータを暗号化・窃取した[s2]。SentinelOneはIT、緊急サービス、食品・農業、通信を頻繁な標的とし、小売、製造、医療、政府、金融も多いとする[s6]。出典に日本の被害組織名や時期の具体的な記述はない。ただしトレンドマイクロは、2024年に日本の組織を攻撃した新興グループの一つとしてRansomHubを挙げている[s5]。

動向

トレンドマイクロのリークサイト監視では、RansomHubを含む新興グループが2024年下半期から急拡大し、10月時点で上位10グループによるリーク数の90%を占めた[s5]。CISAはFBIの対応活動と第三者報告に基づき、2024年8月までの情報として本勧告を公表した[s2]。アフィリエイトの流入が続く一方で、運営側の摘発や解体に関する出典の記述はない。