Conti（ランサムウェア）

Contiは、2019年12月にロシアを拠点とするハッカー集団「Wizard Spider 」によって開発され、初めて使用されたマルウェアです。 ^{[1] [2]それ以来、多数の脅威アクター集団が}ランサムウェア攻撃を実行するために使用する本格的なランサムウェア・アズ・ア・サービス（RaaS）オペレーションとなっています。

Contiマルウェアは、被害者のデバイスに導入されると、デバイス上のデータを暗号化するだけでなく、ネットワーク上の他のデバイスに拡散し、その存在を隠蔽し、リモート攻撃者が標的に対する行動を制御できるようにします。^[1] Microsoft Windowsのすべてのバージョンが影響を受けることが知られています。^[3]米国政府は、2022年5月初旬に、このグループに関する情報に対して最大1,000万ドルの報奨金を提供しました。^[4]

漏洩したプレイブックによると、コンティ作戦のコアチームメンバーはマルウェア自体を管理し、採用された仲間は被害者のネットワークの悪用とデバイスの暗号化を担当している。^{[5] [6]}

Conti のランサムウェア サービスモデルは、その構造が一般的なアフィリエイト モデルとは異なります。他の RaaS モデルとは異なり、Conti モデルを使用するグループは、マルウェアの展開者に、身代金 (一度支払われた金額) の一定割合ではなく、賃金として支払う可能性があります。^[7] Conti のオペレーターは、被害者に支払いを迫る手段として、被害者の盗んだデータを公開するなど、二重の脅迫を使用することも知られています。被害者組織が支払いを拒否した場合、彼らはその組織へのアクセスを他の脅威アクターに販売しています。^[8]

Contiランサムウェアは、BazarLoaderの使用を含むさまざまなステルス技術を使用して、ターゲットシステムに侵入します。このランサムウェアは、ファイルを暗号化し、身代金が支払われるまでファイルにアクセスできないように設計されています。多くの場合、フィッシングメール、エクスプロイトキット、または侵害されたWebサイトを通じて配信されます。^{[1] Contiは、}アイルランドとニュージーランドの組織への攻撃に見られるように、医療機関を標的にすることで悪名を馳せています。^[9]

Contiグループは、身代金の支払いを拒否した被害者組織へのアクセスを販売することでも知られています。この行為は、被害者にさらなるプレッシャーをかけるだけでなく、ランサムウェア集団にさらなる収入源を提供します。これらの戦術とグループの洗練された技術が相まって、Contiは2021年に活動する最も多作で有能なランサムウェアグループの1つになりました。^[9]

このソフトウェアは、最大32個の個別の論理スレッドを使用する独自のAES-256実装を使用しているため、ほとんどのランサムウェアよりもはるかに高速です。^[3]配信方法は明らかではありません。^[3]

Contiの背後にいるギャングは、2020年からランサムウェアによってコピーされた文書を漏洩できるサイトを運営している。^[10]同じギャングがRyukランサムウェアを運営していた。^{[10]このグループは}Wizard Spiderとして知られ、ロシアのサンクトペテルブルクに拠点を置いている。^[11]

システムに入ると、ボリュームシャドウコピーを削除しようとします。^[3]再起動マネージャーを使用していくつかのサービスを終了し、それらのサービスが使用するファイルを暗号化できるようにします。 ^[3]リアルタイムモニターを無効にし、Windows Defenderアプリケーションをアンインストールします。デフォルトの動作では、DLL、.exe、.sys、および.lnk拡張子のファイルは無視され、ローカルおよびネットワーク上のサーバーメッセージブロックドライブ上のすべてのファイルが暗号化されます。^[3]また、特定のドライブや個々のIPアドレスをターゲットにすることもできます。^{[3] [12]}

NHS Digitalによると、唯一確実に回復できる方法は、影響を受けたすべてのファイルを最新のバックアップから復元することです。^[3]

最上級メンバーはスターンまたはデーモンという別名で知られ、CEOを務めている。^[13]マンゴーとして知られるもう1人のメンバーはゼネラルマネージャーを務めており、スターンと頻繁に連絡を取っている。^[13]マンゴーはスターンに、メインチームには62人いるとあるメッセージで伝えた。^[13]関与する人数は変動し、100人に達することもある。^[13]メンバーの入れ替わりが激しいため、グループは合法的な求人サイトやハッカーサイトから絶えずメンバーを募集している。^[13]

一般的なプログラマーは月に1500ドルから2000ドルほど稼いでおり、身代金の支払い交渉をしているメンバーは利益の一部を受け取ることができる。 [ ¹³ ] 2021年4月、あるメンバーは、被害者に支払いを迫ってランサムウェアの支払いの5％を受け取った匿名のジャーナリストがいると主張した。^[13]

2022年5月、米国政府はこのグループに関する情報に対して最大1500万ドルの報奨金を提示した。リーダーの身元や居場所の特定には1000万ドル、共謀者の逮捕につながる情報には500万ドルを提示した。^[14]

Contiランサムウェア攻撃は世界中で検出されており、2021年1月1日から11月12日までの攻撃試行回数が最も多かったのは米国で、100万回を超えています。オランダと台湾はそれぞれ2位と3位でした。^[9]

小売業界はコンティ攻撃の主な標的となっており、保険、製造、通信業界がそれに続いている。コンティグループによる注目度の高い攻撃の標的となったヘルスケアは、影響を受けた業界のリストで6位にランクされている。^[9]

ContiはRyukランサムウェアの後継としてよく考えられています。^[9]

2022年のロシアによるウクライナ侵攻の際、コンティ・グループはロシアへの支持を表明し、同国に対してサイバー攻撃が行われた場合は「報復措置」を講じると脅した。 ^{[15] [16] [13]}その結果、ウクライナへの支持を表明した匿名の人物によって、内部チャットログから約6万件のメッセージが漏洩した^{[17] [18] [19]}ほか、同グループが使用したソースコードやその他のファイルも漏洩した。^{[20] [13] [21]}

漏洩した内容は2020年の初めから2022年2月27日までのもので、6万件以上のチャットメッセージが含まれています。^{[13]漏洩したメッセージのほとんどは、} Jabber経由で送信されたダイレクトメッセージでした。^[13]攻撃はRocket.chatを使用して調整されました。^[13]漏洩した内容は断片的です。^[13]

メッセージの中には、COVID-19の研究者をハッキングしたコージーベアの行動について議論しているものもある。^[22]マンディアントのサイバー犯罪分析ディレクターのキンバリー・グッディ氏は、ログ内の無名の外部ソースへの言及がギャング団にとって役立つ可能性があると述べている。^[22]彼女は、漏洩された情報にサンクトペテルブルクのリチェイニー通り（FSBの現地事務所がある）への言及があることを、外部ソースがロシア政府である可能性がある証拠として指摘している。^[22]

漏洩された情報には、ウラジミール・プーチン、ウラジミール・ジリノフスキーへの支持、ウォロディミル・ゼレンスキーを含む反ユダヤ主義の意見が含まれている。^[23]パトリックとして知られるメンバーは、ウクライナに関してプーチンが行ったいくつかの虚偽の主張を繰り返した。^{[23]パトリックは}オーストラリアに住んでおり、ロシア国籍である可能性がある。^[23]

いくつかのメッセージはブライアン・クレブスへの執着を示している。^[23]

メッセージには「マット」という言葉が多用されている。^[23]同性愛嫌悪、女性蔑視、児童虐待への言及を含むメッセージも見つかった。^[23]

リークから数週間後、グループは解散した。^[24] Recorded Futureの報告によると、リークが解散の直接的な原因ではないと考えているが、グループ内の既存の緊張を加速させたとのことだ。^[24]

• スコットランド環境保護庁^[11]
• ファットフェイス^[11]
• アイルランド共和国保健サービス局^[11]
• ニュージーランドのワイカト地区保健局。^[25]
• シャッターフライ[ ^26]
• KPスナック^[27 ]
• ノルディックチョイスホテルズ^[28]

• クロップ（サイバーギャング）
• ロイヤル（サイバーギャング）
• ロックビット