●ここでも「発覚の経緯」に着目します
既に「Thegentlmenランサムウエアグループ」について、ざっくりとした調査リポートを掲載させて頂いておりますが、私が常に「着目」している「発覚の経緯」については、ここで改めて語らせて頂きたいと思います。
ランサムノート（発覚させるための手段の一つ）
ランサムノートとは、ランサムウェアによる攻撃が完了した後に、攻撃者が被害者へ表示・配置する「身代金要求書」のことです。
この文書には、ファイルが暗号化されたことやデータを窃取したこと、身代金の支払い方法、攻撃者への連絡先、支払い期限などが記載されています。近年のランサムウェアでは、ランサムノートを各フォルダへ配置したり、デスクトップ画面に表示したりして、被害者が必ず気付くよう工夫されています。
つまり、ランサムノートは「攻撃が成功したことを被害者へ知らせ、身代金交渉へ誘導するための通知書」と言えます。
このランサムノートの提示によって、攻撃者自らが攻撃の事実を宣言し「発覚させる」ことになります。
●ユニークなランサムノートの活用手法
ここでは、過去のランサムウエアグループのランサムノートの活用手法とThegentlmenのそれを対比してご紹介したいと思います。
LockBit、Ragnar Lockerと、今回のThe Gentlemenはいずれも基本的には「暗号化後」にランサムノートを被害者へ提示します。違いは「どのように被害者へ確実に気付かせるか」という通知方法にあります。
| 項目 | LockBit | Ragnar Locker | The Gentlemen |
|---|---|---|---|
| 暗号化 | 実施 | 実施 | 実施 |
| ランサムノート生成 | 暗号化後 | 暗号化後 | 暗号化後 |
| TXTファイル作成 | Restore-My-Files.txt | RGNR_xxxxx.txt | README-GENTLEMEN.txt |
| 保存場所 | 暗号化した各フォルダ | 主に Public Documents | 暗号化した各フォルダ |
| 自動表示 | 壁紙変更 | Notepad（メモ帳）を自動起動 | 壁紙変更 |
| プリンター印刷 | あり（近年の亜種） | 確認されていない | 確認されていない |
Ragnar_Locker グループの場合
Ragnar Lockerは比較的シンプルでした。
暗号化
↓
RGNR_xxxxx.txt 作成
↓
Notepad.exe 起動
↓
被害者へ表示
つまり、メモ帳を強制的に開いて読ませる仕様でした。
通知相手は、「そのPCを操作している利用者」で、メモ帳を開けば十分という考え方でした。
LockBit グループの場合
LockBitは通知方法が増えます。
暗号化
↓
Restore-My-Files.txt
各フォルダへ配置
↓
壁紙変更
↓
（一部亜種）
プリンター印刷
つまり、フォルダ・ディスクトップ・プリンターという複数経路で通知します。
通知相手は、「社内全体」で、プリンターまで使うことで、IT部門だけではなく…
総務・営業・経理・など多くの部門が「何かが起きた」とすぐ分かる仕様になっています。
The Gnetlmenの場合
通知の設計思想が少し違うようです。
暗号化
↓
README-GENTLEMEN.txt
各フォルダへ配置
↓
壁紙変更
Microsoftの解析では、暗号化対象から README-GENTLEMEN.txt を除外しており、必ず読める状態で残すようになっています。
派手なプリンター印刷はありませんが、どのフォルダを開いてもREADMEがあります。
つまり、誰が最初に業務を始めても、自然にランサムノートへ到達するような仕様になっています。
私の評価
私は、この違いは単なる実装の違いではなく、攻撃者が重視する「発覚のさせ方」の違いだと考えています。
- Ragnar Locker：現在そのPCを操作している利用者へ知らせる。
- LockBit：できるだけ早く組織全体へ知らせ、交渉を開始させる。
- The Gentlemen：業務を再開した利用者が自然に気付き、交渉へ進むよう設計する。
いずれも「暗号化後に通知する」という点は共通ですが、その通知の届け方に各グループの個性が表れているように思います。
●最後に
ランサムウェア攻撃の最終段階では、攻撃者は被害者に気付いてもらう必要があります。
暗号化だけでは金銭は得られず、被害者がランサムノートを読み、交渉サイトへアクセスし、身代金交渉が始まって初めて収益につながるからです。
そのため、多くのランサムウェアは、ランサムノートの配置、壁紙変更、場合によってはプリンター印刷やメモ帳の自動表示など、「気付いてもらうための仕組み」を備えています。
一方で、国家の支援を受けたとされるAPT（Advanced Persistent Threat：高度標的型攻撃）は、一般論としては可能な限り長期間にわたり発覚を避け、情報収集を継続することを目的とするケースが多いとされています。
もちろん、最終的に破壊活動へ移行する例もありますが、「潜伏して情報を収集する」という性質が強い点は、ランサムウェアとの大きな違いです。
繰り返しになりますが、ランサムウェア集団は「発覚させること」を前提とした犯罪ビジネスであり、その発覚の仕方（させ方）には、攻撃者の運用思想やビジネスモデルに表れていると考えます。これは公開されている技術分析とも矛盾しません。
私は、ランサムウェアを用いたサイバー攻撃を分析する上で、『発覚の経緯』こそが最も重要な観察点の一つであると考えています。
そして、「発覚の経緯」は、攻撃者だけで決まるものではありません。
例えば…
- 利用者がREADMEを見つけたのか。
- EDRが暗号化中にアラートを出したのか。
- SIEMが異常を検知したのか。
- バックアップ監視が先に異常を知らせたのか。
- ランサムノートより前にSOCが不審な通信を検知したのか。
これらはすべて「発覚の経緯」です。
つまり、発覚は攻撃者の演出だけでなく、防御側の検知能力との相互作用で決まるとも言えます。
よって、「発覚の経緯」は単なる出来事ではなく、攻撃者と防御側が最初に交差する瞬間として位置付けられるが故、最も着目スべき点であろうと考えています。
コメント