脅威の評価: 米国のヘルスケア・公衆衛生セクタを標的とするRyuk ランサムウェアとTrickbot

概要

2020年10月28日、Cybersecurity and Infrastructure Security Agency （CISA）、連邦捜査局（FBI）、保健社会福祉省（HHS）は、米国のヘルスケアシステムに対するサイバーセキュリティの脅威の増大と差し迫った問題について共同サイバーセキュリティアラートを公開しました。

脅威オペレーターはヘルスケア・公衆衛生セクタの標的化に高い関心を示しており、ヘルスケアサービスとその運用に混乱をまねく可能性があります。観測された活動内容には悪名高い情報窃取型マルウェアTrickbotの使用も含まれており、ここからRyukランサムウェアなどの悪意のあるファイルのインストールにつながる可能性があります。

このアラートは、Universal Health Services（UHS）によるRyukランサムウェア攻撃の報告直後に公開されています。このランサムウェア攻撃では、全米のUHSサイトが何週間にもわたり混乱に見舞われました。他の米国を拠点とする病院でも同様のランサムウェア攻撃が報告されており、それにはオレゴンのある病院や、ニューヨークのまたべつの病院も含まれます。同様に、フィラデルフィアにある医療技術系組織も、ランサムウェア攻撃の標的となりました。

パロアルトネットワークス次世代ファイアウォールのWildFireを含むセキュリティサブスクリプションは、TrickbotとRyukに関連するアクティビティを検出します。Cortex XDRもアンチランサムウェアモジュール、アンチマルウェアモジュールを備えています。これらのモジュールは、ランサムウェアなどの悪意のあるファイルの振る舞いに関連した暗号化関連アクティビティを対象にしています。さらに、AutoFocusをご利用中のお客様は、次のタグを使用して本脅威に関連するアクティビティを確認できます: Ryuk、Trickbot、BazaLoader

ランサムウェア関連の情報は、『2021 Unit 42 ランサムウェア脅威レポート』もあわせて参照してください。

マルウェアの概要

Trickbotはモジュラー型のマルウェアで、バックドアへのアクセスを提供したり、脅威オペレーターが被害システムに追加でマルウェアを配布したりできるようにます。これにはまた、ワーム機能やシステム列挙などの他の機能も含まれています。最新のモジュールの1つであるAnchor_DNSは、コマンド&コントロール（C2）アクティビティでのDNSトンネリングに使用されます。

Anchor_DNSモジュールはPowerShellを使ってスクリプトを実行し、とくに差し障りのない正当なドメインへの接続チェックを含む、複数のDNSリクエストを出します。脅威オペレーターは、マルウェアによるC2アクティビティ中、感染システムとの通信を可能にするアクティブなネットワーク接続があるかどうかを確認する目的で、こうしたことをよく行います。このチェックでは、次の正当なドメインが使用されることがあります。

表1 TrickbotのAnchor_DNSモジュールがインターネット接続チェック実行用に使用する正当なドメイン

通常、Ryukランサムウェアは、システムに配置された「RyukReadMe」という名前のファイルがあることによりその存在を知ることができます。このランサムウェアはTrickbotなどのマルウェアが関与する多段階攻撃の最終段階でよく見られるもので、最近ではBazaLoader （「BazarLoader」とも呼ばれる）でも確認されました。多くの場合、Ryukは初回感染から数週間ないし数か月が経過してはじめてシステムにロードされます。Ryukのオペレーターは、PowerShellやWindows Management Instrumentationなどの対象環境にもとからありそうなツールを使用して侵害した環境を列挙することで、被害を受けたネットワークについて学習します。

暗号化前に次のコマンドが侵害システム上で実行されることがあります。

ヘルスケア・公衆衛生セクタの標的化に関連するRyukとTrickbotの活動内容については共同サイバーセキュリティアドバイザリからその詳細を確認できます。

TrickbotとBazaLoaderの両感染の初期侵入ベクトルは、悪意のある電子メール経由のものが最も頻繁に観測されています。

また、最近確認されたTrickbotのサンプルはMalwareBazaarから確認できます。このほか、Trickbotモジュールに関する追加情報はUnit42ブログでも確認できます。

Ryuk、BazaLoader の最近のサンプルは、MalwareBaazarにもあります。

行動方針

このセクションでは、RyukおよびTrickbotのアクティビティに関連する戦術と手法を文書化し、それらを弊社製品・サービスに直接マッピングします。パロアルトネットワークス製品をご利用中のお客様は、この表を利用して、環境内の現在の構成を確認できます。

表2 RyukとTrickbotに対する行動方針

これらの機能は次世代ファイアウォールのサブスクリプションサービスの一部として提供されている

結論

Ryukランサムウェアの感染は、TrickbotやBazaLoaderなどのマルウェアによる多段階脅威活動の結果として起こることがよくあります。バックドアマルウェアが確立されると、攻撃者はPowerShellやCobaltStrikeなどのツールを使用してリモートから接続し、最初の感染から数週間から数か月後に、侵害システムにRyukをドロップします。

米国政府は、この脅威活動をヘルスケア、公衆衛生セクタ業界に対する差し迫った脅威と見なしています。

本脅威評価と上記共同サイバーセキュリティアラートに関連する指標は、こちらのGitHubから利用可能です。Unit 42のTAXIIフィードにも公開済みで、ATOMビューアで表示できます。
https://unit42.paloaltonetworks.com/atoms/ryuk-ransomware/

https://unit42.paloaltonetworks.com/atoms/trickbot/

パロアルトネットワークス次世代ファイアウォールのWildFireを含むセキュリティサブスクリプションは、TrickbotとRyukに関連するアクティビティを検出します。Cortex XDRもアンチランサムウェアモジュール、アンチマルウェアモジュールを備えています。これらのモジュールは、ランサムウェアなどの悪意のあるファイルの振る舞いに関連した暗号化関連アクティビティを対象にしています。さらに、AutoFocusをご利用中のお客様は、次のタグを使用して本脅威に関連するアクティビティを確認できます: Ryuk、Trickbot、BazaLoader

パロアルトネットワークスは本稿で見つかったファイルサンプルや侵害の兆候などをふくむ調査結果をCyber Threat Alliance(CTA サイバー脅威アライアンス)のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使用して、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害することができます。Cyber Threat Allianceの詳細については、次のWebサイトをご覧ください: www.cyberthreatalliance.org

追加資料

• Mitre ATT＆CKフレームワーク
• Alert (AA20-302A) – Ransomware Activity Targeting the Healthcare and Public Health Sector（アラート（AA20-302A）– ヘルスケアおよび公衆衛生セクタを対象としたランサムウェア活動）
• Unit 42によるTrickbot関連レポート