RansomHouseが公開したニチレイのEvidence Packを改めて分析している中で、一つ興味深い点が見えてきました。
ネット探検ラボではこれまで、The GentlemenやAiLockなど複数のランサムウェアグループのリークサイトを継続的に観察・分析してきましたが、リークサイトにおける「証拠提示」の方法そのものに違いが見受けられます。
Tree構造は確認できなかった
今回公開されたEvidence Packでは、営業、物流、品質保証、商品管理など複数の業務資料が公開されていました。
一方で、The GentlemenやAiLockで確認されたような、元のディレクトリ構造（Tree構造）を維持したファイル一覧は確認できませんでした。
そのため、
- ディレクトリ深度
- フォルダ階層
- 攻撃者の横展開
- システム全体の把握状況
については、公開資料だけから客観的に分析することはできませんでした。
証拠提示の方法にも違いがある
RansomHouseは、LockBitが世界的に猛威を振るったランサムウェア勃興期（2021～2022年頃）から活動を継続している、比較的歴史の長いランサムウェアグループです。
今回のEvidence Packを見る限り、リークサイトでは従来から見られるようなサンプル資料を提示する形式が採られていました。
これに対し、ネット探検ラボがこれまで観察してきた近年の一部ランサムウェアグループでは、Tree構造を維持したファイル一覧を公開し、「どこまで侵害しているのか」を視覚的に示すケースが見受けられます。
Tree構造が公開されていれば、防御側も攻撃者が企業システムをどの程度把握していたのかをある程度推定することができます。
逆に今回のRansomHouseでは、そのような分析は困難でした。
一つの仮説
もちろん、この違いだけで「古いグループ」「新しいグループ」と単純に分類することはできません。
しかし一つの仮説として、
侵入後に攻撃者自身が人の手で探索・横展開を行い、価値が高いと判断した資料を選別して窃取した場合、Tree構造を伴う一覧が作成されない可能性
も考えられます。
一方、自動化ツールなどを活用してネットワーク全体を広くフル・クロールした場合には、ディレクトリ構造を維持した一覧を取得しやすくなります。
ただし、今回のRansomHouseが実際にそのような手法を採用したと断定することはできません。
Tree構造を公開しなかった理由は、リークサイトの設計思想や交渉戦略による可能性も十分考えられます。
ネット探検ラボの視点
今回の分析で改めて感じたのは、
リークサイトは「何を公開したか」だけではなく、「どのような方法で証拠を提示したか」も重要な分析対象である
ということです。
リークサイトは単なる暴露サイトではありません。
攻撃者がどのように被害企業へ圧力を掛け、どのような交渉戦略を採用しているのかを読み解くことができる、貴重な観察対象でもあります。
ネット探検ラボでは今後も、The Gentlemen、AiLock、RansomHouseをはじめとするランサムウェアグループのリークサイトを継続的に観察し、”「証拠提示手法の違い」”という新たな視点から分析・検証を続けていきます。
コメント