2024 年 7～8 月の脅威動向と代表的な攻撃（後編）

前編に続いて、

7 月に多くの漏洩関係組織が判明したランサムウェアによる（株）イセトーへの攻撃

について解説します。

2024 年 7～8 月の脅威動向と代表的な攻撃（前編）

1-5. Who（誰が）

徳島県の資料から、イセトーは「8Base」ランサムウェアグループにより攻撃された可能性が高いと思われます。

以下では

Fortinet Blog の「Ransomware Roundup - 8base」
HC3「HC3 Analyst Note: 8Base Ransomware」
FalconFeeds.io「Ransomware Alart」

を参考にしています。

1-5-1 8Base ランサムウェアグループ（8Base, EightBase, 8Base Ransomware)

8Base はランサムウェアを使用した、いわゆる二重脅迫型ランサムウェアグループになります。データ漏洩サイトで被害者が多数いると主張している事から、急速に悪名⾼い存在となっています。2022 年 3⽉から活動しており、2023 年の夏に⾮常に活発になり、主に⽶国全⼟の複数のセクターを無差別にターゲットにしました。グループの起源と運営者の⾝元は謎のままです

過去 1 年間は活動が殆ど目立ちませんでしたが、2023 年 5 月以降に活動が急増しており、DailyDarkweb の調査によると 2023 年 7 月には LockBit や Cl0p についで４位になっています。

（画像は DailyDarkweb「Top 10 Ransomware Groups in June 2023 」より転載）

漏洩サイトでは⾃らを「正直で単純なペネトレーションテスター」であると称しており、従業員や顧客のデータのプライバシーと重要性を軽視している企業のみをターゲットにしていると主張しています。

（画像は SOCRadar「Dark Web Profile: 8Base Ransomware」より転載）

FalconFeeds.io の情報によると、6 月 21 日の情報では日本・中国・フィリピン・台湾の四カ国を標的にした攻撃を行ったと 8Base が主張しているようです。

（画像は FalconFeeds.io「Ransomware Alert (2024/06/21)」より転載）

＜参考情報＞

Fortinet「Ransomware Roundup - 8base」
HC3「HC3 Analyst Note: 8Base Ransomware」
SOCRadar「Dark Web Profile: 8Base Ransomware」
DailyDarkweb「Top 10 Ransomware Groups in June 2023」
FalconFeeds.io「Ransomware Alert (2024/06/21)」

1-6. Why（なぜ）

犯人が 8Base だとすると金銭目的の犯行だと思われます。

1-7. How（どのように）

現状ではイセトーから具体的にどの経路で侵入されたかが明らかにされていないため、前出の HC3 Analyst Note を主に参考にして説明します（仮に 8Base が犯行グループだとすると、一般的にはスピアフィッシング添付ファイルによる初期アクセスが考えられます）。

1-7-1 8Base ランサムウェアグループの概要

8Base の概要
名前	8Base, 8BASE, EightBase, 8Base ランサムウェア
種類	二重脅迫型ランサムウェアグループ
配布方法	フィッシングメール
	エクスプロイトキット
	ドライブバイダウンロード（ユーザーが Web サイトを閲覧することで、自動的にマルウェアをダウンロードし、インストールさせる攻撃手法）
ランサムウェアの種類	複数のランサムウェア（Phobos として知られる亜種を含む）
標的	さまざまな分野の中⼩企業（科学・技術・製造・建設・医療など）
主な標的国	⽶国、ブラジル、英国、中国、インド、オーストラリア、台湾、日本など

下記は 8Base の使用する脅迫用の Tor サイトと Telegram になります。

（画像は「HC3 Analyst Note: 8Base Ransomware」より転載）

1-7-2 8Base ランサムウェアグループによるイセトーへの脅迫メッセージ

2024/06/03 の HackManac 氏の X ポストで、8Base ランサムウェアグループによるイセトーへの脅迫メッセージが紹介されています。

（画像は HackManac 氏の X Post より転載）

1-7-3 他の攻撃者との関連性

8Base は RansomHouse および Phobos に関連するインシデントと幾つかの関連性があります。サイバーセキュリティ研究者は、8Base の使用する漏洩サイト・Telegram・Twitter ハンドルなどから RansomHouse に似ていると推測しています。

自然言語処理モデル Doc2Vec を使用したところ、8Base の身代金要求ドキュメントは RansomHouse のものと 99% 一致しています。
同様に自然言語処理モデル Doc2Vec を使用したところ、8Base の身代金要求ドキュメントで Phobos のものと 99% 一致するものが見つかりました。

（画像は「HC3 Analyst Note: 8Base Ransomware」より転載。左が 8Base、右が RansomHouse）

また、8Base は侵⼊・解凍・ランサムウェアの読み込み時の初期難読化に SmokeLoader を使⽤した Phobos ランサムウェア 2.9.1 を使⽤していたことが明らになっています。

1-7-4 MITRE ATT&CK TTP

8Base ランサムウェアグループの MITRE ATT&CK TTP（参考： SOCRadar）
偵察	アクティブスキャン（T1595）
偵察	情報フィッシング（T1598）
リソースの開発	インフラストラクチャの取得 (T1583)
リソースの開発	開発能⼒（T1587）
初期アクセス	フィッシング : スピアフィッシング添付ファイル (T1566.001)
実行	スケジュールされたタスク / ジョブ (T1053)
	コマンドおよびスクリプト (T1059)
	共有モジュール (T1129)
持続性	スケジュールされたタスク / ジョブ (T1053)
	ブートまたはログオン時の⾃動実⾏ (T1547)
	レジストリ実⾏キー / スタートアップフォルダー (T1547.001)
権限昇格	スケジュールされたタスク / ジョブ (T1053)
	ブートまたはログオン時の⾃動実⾏ (T1547)
	レジストリ実⾏キー / スタートアップフォルダー (T1547.001)
防御回避	マスカレード（T1036）
	ファイルの削除 (T1070.004)
	レジストリの変更 (T1112)
	間接コマンド実⾏ (T1202)
	ファイルとディレクトリの権限の変更 (T1222)
	仮想化 / サンドボックス回避 (T1497)
	防御の弱体化（T1562）
	ツールの無効化または変更 (T1562.001)
	システムファイアウォールを無効にするか変更する (T1562.004)
	アーティファクトを隠す (T1564)
	隠しファイルとディレクトリ (T1564.001)
資格情報アクセス	OS 資格情報のダンプ (T1003)
資格情報アクセス	⼊⼒キャプチャ (T1056)
発⾒	プロセス発⾒ (T1057)
	システム情報検出 (T1082)
	ファイルとディレクトリの検出 (T1083)
	仮想化 / サンドボックス回避 (T1497)
	セキュリティソフトウェア検出 (T1518.001)
水平移動	共有コンテンツの汚染 (T1080)
収集	ローカルシステムからのデータ (T1005)
	⼊⼒キャプチャ (T1056)
	ステージングされたデータ (T1074)
	収集されたデータのアーカイブ (T1560)
C&C	アプリケーション層プロトコル (T1071)
C&C	Web プロトコル (T1071.001)
流出	C2 チャネルを介した漏洩 (T1041)
影響	データ破壊 (T1485)
影響	システム回復の禁⽌ (T1490)

8Base ランサムウェアの MITRE ATT&CK TTP ( 参考： VMWare)
Tactics	Technical	説明
TA00003 持続性	T1547.001 レジストリ実⾏キー / スタートアップフォルダー	以下を追加：
		%AppData%\Local\{malware}
		%ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup\{malware}
		%AppData%\Roaming\Microsoft\Start
		Menu\Programs\Startup\{malware}

TA0007 発見	T1135 ネットワーク共有の検出	WNetEnumResource() を使⽤してネットワークリソースをクロール
TA0004 特権昇格	T1134.001 トークンのなりすまし / 盗難	DuplicateToken() を使⽤してトークン権限を調整します
TA0005 防衛回避	T1562.001 ツールの無効化または変更	多数のプロセス（MS Office 等よく使⽤されるアプリケーションとセキュリティソフトウェアが混在）を終了します。
TA0005 防衛回避	T1027.002 難読化されたファイルまたは情報 : ソフトウェアのパッケージ	SmokeLoader は Phobos を解凍してメモリにロードします
TA0040 影響	T1490 抑制システム回復	下記を実行：
		wmic shadowcopy delete
		wbadmin delete catalog -quiet
		vssadmin delete shadows /all /quiet bcdedit /set {default}
		recoveryenabled no bcdedit /set {default} bootstatuspolicy
		ignoreallfailures
	T1486 データの暗号化	AES を使⽤してファイルを暗号化する

1-7-5 IoC

HC3 の「HC3 Analyst Note: 8Base Ransomware」にファイルや IP アドレスなどの IOC が載っていますので、そちらを参照してください。

1-7-6 防御と緩和策

HC3 のドキュメントにまとめられていますが、8Base に関する防御と緩和策は以下の手順を含む多層防御になります。

既知のマルウェアを検出してブロックできるマルウェア対策ソフトウェアやその他のセキュリティツールを使⽤します（振る舞い検知や AI なども使用）。
. ネットワークトラフィックを監視し、異常なネットワークトラフィックパターンや既知の C&C サーバーとの通信などの侵害の兆候を探します。
ネットワークとシステムの脆弱性を特定するために定期的なセキュリティ監査と評価を実施します。
サイバーセキュリティのベストプラクティスについて従業員をトレーニングします。

従業員は、ランサムウェアのリスク、フィッシングメール、悪意のある添付ファイル、その他の脅威を識別して回避する⽅法について教育を受ける必要があります。疑わしいメールや添付ファイルを報告し、それらを開いたり、リンクやボタンをクリックしたりしないようにさせる必要があります。

組織がデータのコピーを確実に維持できるように、堅牢なバックアップおよびリカバリ計画を実施します。
強⼒なパスワードの導⼊。組織はすべてのアカウントに強⼒で⼀意のパスワードを導⼊する必要があります。
多要素認証の有効化。組織はセキュリティを更に強化するために、全てのユーザーアカウントに対して多要素認証 (MFA) を有効にする必要があります。
システムの更新とパッチ適⽤。組織は定期的にシステムを更新し、パッチを適⽤して、既知の脆弱性を検出し、悪⽤されるのを防ぎます。これには全てのデバイスの OS、アプリ、ファームウェアを更新し、不要なサービスや使⽤されていないプロトコルを無効にすることが含まれます。
バックアップと災害復旧の実装。組織はランサムウェア攻撃やその他の災害から確実に復旧できるように、定期的なバックアップと災害復旧プロセスを実装する必要があります。