Last Updated on 2024-06-06 14:37 by 荒木 啓介
RansomHubの攻撃者が最近のランサムウェア攻撃で2020年のWindows Netlogon Remote Protocolの脆弱性であるZeroLogon（CVE-2020-1472）を悪用している。この脆弱性を利用することで、攻撃者は被害者の環境に初期アクセスを得ることができる。ランサムウェアを展開する前に、攻撃者はAteraやSplashtopのリモートアクセス製品やNetScanのネットワークスキャナーなど、複数の二重使用ツールを使用している。これらのツールはリモートアクセスを容易にし、ネットワークデバイスに関する情報を発見し取得するために使用された。
RansomHubはランサムウェア・アズ・ア・サービス（RaaS）運用とマルウェアの脅威であり、2023年2月に初めて登場して以来、注目を集めている。Symantecによると、RansomHubは現在、主張された被害者の数で4番目に多いランサムウェアである。RansomHubは、最近のLockbitやALPHV/BlackCatのようなランサムウェアの主要な法執行機関の摘発の後に現れたRaaSオペレーターの小さなグループの一つである。
Symantecの報告によると、RansomHubと以前に存在し、現在は機能していないランサムウェアファミリーであるKnightとの間には、いくつかのコードの重複がある。これらの重複は非常に広範囲にわたり、二つの脅威を区別することが非常に困難である。しかし、Knightの作成者が現在RansomHubを運用しているわけではなく、RansomHubのオペレーターがKnightのソースコードを購入し、再利用しているとSymantecは述べている。
このグループは急速に成長しており、2024年には最も多くのランサムウェアグループの一つになると予測されている。また、最近の成功と注目により、Blackcat/ALPHVランサムウェアグループの旧メンバーを募集することができ、このグループが使用していた知識とツールを活用してさらに能力を高めることができると指摘されている。
【ニュース解説】
最近、RansomHubというランサムウェアが注目を集めています。このマルウェアは、2020年に発見されたWindows Netlogon Remote Protocolの脆弱性であるZeroLogon（CVE-2020-1472）を悪用して、被害者の環境に初期アクセスを得ることができます。攻撃者は、リモートアクセス製品やネットワークスキャナーなどの二重使用ツールを使用して、この脆弱性を利用し、ランサムウェアを展開する前に情報を収集します。
RansomHubはランサムウェア・アズ・ア・サービス（RaaS）として運用されており、2023年2月に登場して以来、急速に被害者の数を増やしています。Symantecの報告によると、RansomHubは現在、主張された被害者の数で4番目に多いランサムウェアです。このグループは、最近のLockbitやALPHV/BlackCatなどのランサムウェアの主要な法執行機関の摘発の後に現れ、新しいアフィリエイトを引き付けるために、被害者から直接身代金を受け取り、その後RansomHubに10%のカットを支払うという、従来とは異なるモデルを提供しています。
さらに、Symantecの報告によると、RansomHubは以前に存在し、現在は機能していないランサムウェアファミリーであるKnightとの間にコードの重複があります。これらの重複は非常に広範囲にわたり、二つの脅威を区別することが困難です。しかし、RansomHubのオペレーターはKnightのソースコードを購入し、再利用しているとされています。
このニュースは、ランサムウェアの脅威がいかに進化し続けているかを示しています。ZeroLogonのような脆弱性が悪用されることで、攻撃者は簡単に組織のセキュリティを突破し、重要な情報を盗み出すことができます。このため、組織はセキュリティパッチの適用や脆弱性の監視を常に最優先事項として扱う必要があります。
また、RansomHubのようなRaaSの出現は、サイバー犯罪がより組織化され、専門化されていることを示しています。これにより、攻撃者はより効率的に、そして大規模に被害をもたらすことが可能になります。一方で、このような攻撃の増加は、サイバーセキュリティの専門家や法執行機関にとって新たな挑戦をもたらし、彼らは常に新しい脅威に対応するための戦略を練る必要があります。
最後に、RansomHubの急速な成長と、既存のランサムウェアグループのメンバーを引き入れる能力は、このグループが将来的にさらに大きな脅威となる可能性があることを示唆しています。これは、サイバーセキュリティコミュニティにとって注視すべき重要な動向です。
from RansomHub Actors Exploit ZeroLogon Vuln in Recent Ransomware Attacks.
