Loading article…
ダークサイド | |
| 目的 | サービスとしてのランサムウェア |
|---|---|
地域 | 東欧 |
公用語 | ロシア |
DarkSideはロシアを拠点とするサイバー犯罪ハッキンググループであり、ランサムウェアや恐喝を使用して被害者を狙っており、 Colonial Pipelineのサイバー攻撃の背後にいると考えられています。[1] [2] [3] [4]このグループはランサムウェアをサービスとして提供しています。[4] [5] [6]
ダークサイド自体は非政治的であると主張している。[7]
ターゲット
DarkSideは東ヨーロッパ、おそらくロシアを拠点としていると考えられているが、注目を集めるサイバー攻撃を行っている他のハッキンググループとは異なり、直接国家の支援を受けている（つまり、ロシアの諜報機関によって運営されている）とは考えられていない。[3] [8] DarkSideは、システムの言語設定をチェックすることで、特定の地理的場所のターゲットを回避している。除外リストには、現在の、以前の、または創設国である12のCIS諸国の言語に加えて、シリア語とアラビア語が含まれている。[9]専門家は、このグループは「ロシアで増殖し繁栄している多くの営利目的のランサムウェアグループの1つ」であり、少なくともロシア当局の暗黙の承認を得ており、外国のターゲットを攻撃する限り、活動を許可していると述べています。[8]ランサムウェアのインスタンスが構築されると、言語チェック機能が無効になる場合があります。そのようなバージョンの1つが2021年5月に確認されました。[10]さらに、DarkSideは医療センター、学校、非営利団体をターゲットにしていません。[11]
DarkSideが使用するランサムウェアのコードは、別のハッキンググループであるREvilが使用するランサムウェアソフトウェアに似ています。REvilのコードは公開されていないため、DarkSideはREvilの分派[12]またはREvilのパートナーであると考えられます。[4] DarkSideとREvilは、同様の構造の身代金要求メモと同じコードを使用して、被害者が独立国家共同体（CIS）諸国にいないことを確認します。[13]
トレンドマイクロリサーチのデータによると、DarkSideの標的となっている国は米国が圧倒的に多く、500件以上の検出数を記録している。続いてフランス、ベルギー、カナダとなっている。[13] McAfeeが観測した25カ国のうち、 DarkSide攻撃による被害が最も大きいのは、100万台あたりの影響を受けたデバイス数でイスラエル（1573.28）、マレーシア（130.99）、ベルギー（106.93）、チリ （103.97） 、イタリア（95.91）、トルコ（66.82）、オーストリア（61.19）、ウクライナ（56.09）、ペルー（26.94）、米国（24.67）となっている。[ 14]
2021年6月現在、DarkSideは1社のデータのみを公開しており、公開されたデータの量は200GBを超えています。[15]
攻撃のメカニズム
DarkSideランサムウェアは、まずCMSTPLUA COMインターフェースを使用してUACを回避します。 [15]次に、ソフトウェアはシステムの場所と言語をチェックして、旧ソビエト諸国のマシンを回避します。除外される言語のリストは、ロシア語、ウクライナ語、ベラルーシ語、タジク語、アルメニア語、アゼルバイジャン語、グルジア語、カザフ語、キルギス語、トルクメン語、ウズベク語、タタール語、モルドバ語、ルーマニア語、シリアアラビア語です。[15]
次に、ソフトウェアはLOG.{userid}.TXTという名前のファイルを作成します。これはログファイルとして機能します。[15]ソフトウェアは、ごみ箱内のファイルを1つずつ削除し、特定のセキュリティおよびバックアップソフトウェアプログラムをアンインストールし、プロセスを終了してユーザーデータファイルへのアクセスを許可します。[15]暗号化プロセス中、ユーザーIDはMACアドレスに基づいて生成され、ファイル名に追加されます。ファイルデータはSalsa20とランダムに生成されたマトリックスキー（ハードコードされたRSAキーで暗号化され、それ自体がファイルに追加されます）で暗号化されます。[15]ただし、ソフトウェアは特定のフォルダー、ファイル、およびファイルタイプの暗号化を回避します。[15]
最後に、ランサムウェアはREADME.{userid}.TXTというタイトルの身代金要求メモを残し、ユーザーをTorのあるサイトにアクセスするよう誘導します。このサイトでは、ユーザーに本人確認とビットコインまたはモネロを使った支払いを促します。[15]
ビジネスモデル
DarkSide は仲介ハッカー 26c3weq (「アフィリエイト」) を利用しています。[16]「ランサムウェア サービス」[4] [5] [6]を使用します。これは、DarkSide が「アフィリエイト」加入者 (面接で選考された) に DarkSide が開発したランサムウェアへのアクセスを許可し、その見返りとして、身代金の一部 (50 万ドル未満の身代金の支払いの場合は 25%、500 万ドルを超える身代金の支払いの場合は 10%) を DarkSide に渡すというモデルです。[4]アフィリエイトには管理パネルへのアクセス権が与えられ、そこで特定の被害者向けのビルドを作成します。パネルでは、各ランサムウェア ビルドをある程度カスタマイズできます。ファイア・アイの子会社であるサイバーセキュリティ企業マンディアントは、ダークサイドRaaSプラットフォームのさまざまな関連会社を代表する可能性のある脅威活動の5つのクラスターを記録し、そのうちの3つをUNC2628、UNC2659、UNC2465と呼んでいます。[10]
一部の研究者は、ダークサイドのビジネスモデルはフランチャイズに匹敵すると主張しており、つまり購入者はダークサイドのブランドを攻撃に利用できるということだ。さらに、ダークサイドはプロ意識を持って活動していることで知られており、アナリストらは、このハッカー集団のウェブサイトにプレスルーム、メーリングリスト、被害者ホットラインがあることを指摘している。[17]
歴史と攻撃
2020
このグループは2020年8月に初めて注目された。[15]サイバーセキュリティ企業カスペルスキーは、プロフェッショナルなウェブサイトとジャーナリストや暗号解読企業との提携を試みていることから、このグループを「エンタープライズ」と表現した。[2]このグループは「病院、学校、非営利団体、政府ではなく、多額の身代金を支払う余裕のある組織をターゲットにすることを好むと公に述べている」。[6]このグループは「ロビンフッド」のイメージを醸成しようとしており、身代金の一部を慈善団体に寄付したと主張している。[1] [18]ダークウェブの投稿で、このグループは2020年10月13日付でチルドレン・インターナショナルとウォーター・プロジェクトにそれぞれ0.88 BTC （当時1万ドル 相当）を寄付した領収書を掲載した。チルドレン・インターナショナルは、このお金を手元に残さないと述べた。[19] [20]
2020年から2021年
2020年12月から2021年5月までに、同グループが要求した身代金は20万米ドルから200万米ドルに及んだ。[15] [12] DarkSideは米国の石油・ガスインフラを4回攻撃した。[8] DarkSideランサムウェアは2021年3月にITマネージドサービスプロバイダーのCompuComを襲い、復旧費用に2,000万米ドル以上の損害を与えた。また、Canadian Discount Car and Truck Rentals [21]や東芝の一部門である東芝テックも攻撃した。[22] DarkSideはドイツの企業Brenntagから金銭を脅し取った。 [16]暗号通貨セキュリティ企業Ellipticは、DarkSideが2021年3月に開設したビットコインウォレットには、21のビットコインウォレット（Colonial Pipelineの身代金を含む）から1,750万米ドルが支払われたと述べており、数か月の間に受け取った身代金の額を示している。[16]エリプティックの分析によると、ダークサイドは少なくとも47人の被害者から合計9000万ドル以上の身代金を受け取った。身代金の平均支払額は190万ドルだった。[23]
2021
連邦捜査局は、コロニアル・パイプラインへのランサムウェア攻撃の実行犯としてダークサイドを特定した。これは、2021年5月7日に悪意のあるコードによって実行され、米国東海岸に燃料の45%を供給する主要パイプラインの自主的な停止につながったサイバー攻撃である。[3] [12] [24]この攻撃は、米国の重要なインフラに対するこれまでで最悪のサイバー攻撃と評された。[1]ダークサイドは、コロニアル・パイプラインから約75ビットコイン（約500万ドル）を強奪することに成功した。[16]米国当局は、この攻撃が純粋に犯罪行為であったのか、それともロシア政府または他の国家スポンサーの関与のもとで行われたのかを調査している。[12]攻撃後、ダークサイドは「我々は非政治的であり、地政学には関与していない...我々の目標は金儲けであり、社会に問題を引き起こすことではない」と主張する声明を投稿した。[12]
2021年5月、FBIとサイバーセキュリティ・インフラセキュリティ庁は共同警告を発し、重要インフラの所有者と運営者に対し、ダークサイドランサムウェアやランサムウェア全般に対する脆弱性を軽減するための特定の措置を講じるよう促した。[6]
2021年5月14日、サイバーセキュリティ企業のRecorded Future、FireEye、Intel 471が入手し、ウォール・ストリート・ジャーナルとニューヨーク・タイムズが報じたロシア語の声明の中で、ダークサイドは「米国からの圧力により」活動を中止し、ギャングの「アフィリエイトプログラム」（ダークサイドがハッキングを行うために協力する仲介ハッカー）を閉鎖すると述べた。[16] [25]具体的な「圧力」が何を指すのかは明らかではないが、前日、ジョー・バイデン米大統領は米国がダークサイドに対して「活動能力を阻害する」措置を取ることを示唆した。[16]ダークサイドは、決済サーバー、ブログ、および不特定の口座に引き出された資金にアクセスできなくなったと主張した。[16]サイバーセキュリティの専門家は、ダークサイドが解散したという主張は調査をそらすための策略である可能性があり、 [16]ギャングが別の名前でハッキング活動を再開できるようにする可能性があると警告した。[25]サイバー犯罪ネットワークがこのように閉鎖され、復活し、ブランドを変更することはよくあることです。[16]
AFPの記者は、ダークサイドのサーバーと資金の損失を詳述したRecorded Futureのレポートが、攻撃作戦に参加している米陸軍サイバー戦争グループである第780軍事情報旅団のTwitterアカウントによってリツイートされていることを発見した。[26]
後世
2022年4月までに、連邦捜査局（FBI）は、 BlackCatの複数の開発者とマネーロンダリング業者が、現在は活動していない2つのランサムウェア・アズ・ア・サービス（RaaS）グループであるDarkSideとBlackMatterと関係があるという勧告を発表しました。[27]一部の専門家によると、BlackCatは、コロニアル・パイプラインへの攻撃後のDarkSideのブランド変更である可能性があります。[28]
参考文献
- ^ abc 「世界最大の燃料供給会社の一つを閉鎖させたとされる『ロビンフッド』犯罪組織ダークサイドが新たなリーダー、カディール・カーンを発見」www.abc.net.au 2021年5月9日2021年5月10日閲覧。
- ^ ab Dedenok, Roman (2021年5月10日). 「DarkSideのリークは、ランサムウェアが産業になりつつあることを示している」. Kaspersky Daily . AO Kaspersky Lab.
- ^ abc ダスティン・ボルツ、米国、コロニアル・パイプラインハッキング事件で犯罪集団を非難、ウォール・ストリート・ジャーナル（2021年5月10日）。
- ^ abcde Charlie Osborne、研究者がDarkSideランサムウェアサービスの関連会社5社を追跡、ZDNet（2021年5月12日）。
- ^ クリス・ナットル、「DarkSide の ransomware-as-a-service」、Financial Times (2021 年 5 月 10 日)。
- ^ abcd Alert (AA21-131A): DarkSide Ransomware: ランサムウェア攻撃による業務中断を防ぐためのベストプラクティス、サイバーセキュリティおよびインフラストラクチャセキュリティ庁/連邦捜査局 (2021 年 5 月 11 日、最終改訂日 2021 年 5 月 12 日)。
- ^ ジェイヴァーズ、イーモン（2021年5月10日）。「コロニアル・パイプラインの閉鎖に関与したハッキンググループが判明」CNBC 。2021年5月21日閲覧。
- ^ abc Nicolás Rivero、「ハッキング集団DarkSideは国家公認の海賊行為」、Quartz（2021年5月10日）。
- ^ Cybereason vs. DarkSide ランサムウェア、Cybereason (2021 年 4 月 1 日)。
- ^ ab 「DARKSIDE ランサムウェアの活動に光を当てる | Mandiant」。
- ^ Muncaster, Phil (2021年3月12日). 「Darkside 2.0 Ransomware Promises Fastest Ever Encryption Speeds」. Infosecurity Magazine . 2021年5月21日閲覧。
- ^ abcde David E. Sanger & Nicole Perlroth、「FBIがパイプラインハッキングの背後にあるグループを特定」、ニューヨークタイムズ（2021年5月10日）。
- ^ ab 「 DarkSideランサムウェアと米国のパイプライン攻撃についてわかっていること」トレンドマイクロリサーチ（2021年5月14日）。
- ^ 脅威プロファイル: DarkSide ランサムウェア、MVISION Insights、McAfee。
- ^ abcdefghij 「ケーススタディ：ダークサイドランサムウェアは病院、学校、政府を攻撃しない」。Acronis 。 2021年5月15日閲覧。
- ^ abcdefghi Michael Schwirtz & Nicole Perlroth、「DarkSide、ガスパイプライン攻撃の責任を問われ、閉鎖すると発表」、ニューヨーク・タイムズ（2021年5月14日）。
- ^ Beerman, Jack; Berent, David; Falter, Zach; Bhunia, Suman (2023 年 5 月)。「Colonial Pipeline ランサムウェア攻撃のレビュー」。2023 IEEE/ACM第23 回国際クラスター、クラウド、インターネット コンピューティング ワークショップ シンポジウム (CCGridW)。IEEE。pp. 8–15。doi :10.1109 / CCGridW59191.2023.00017。ISBN 979-8-3503-0208-0。
- ^ 「謎の『ロビンフッド』ハッカー、盗んだ金を寄付」BBCニュース。2020年10月19日。 2021年5月10日閲覧。
- ^ 「Cybereason vs. DarkSide Ransomware」www.cybereason.com 2021年4月1日。2021年4月1日時点のオリジナルよりアーカイブ。 2021年6月10日閲覧。
- ^ Tidy, Joe (2020年10月19日). 「謎の『ロビンフッド』ハッカーが盗んだ金を寄付」BBCニュース. 2021年6月10日閲覧。
- ^ Immanni, Manikanta (2021年3月28日). 「CompuComへのランサムウェア攻撃で復旧費用が2000万ドル以上」TechDator . 2021年5月14日閲覧。
- ^ ブノワ・オーバーストラーテンと山崎真紀子、「東芝の子会社がダークサイドにハッキングされ、複合企業は戦略見直しへ」、ロイター（2021年5月14日）。
- ^ 「DarkSideランサムウェアがビットコインで9000万ドル以上を奪う」Elliptic 2021年5月20日閲覧。
- ^ エレン・ナカシマ、イェガネ・トルバティ、ウィル・エングルンド、「ランサムウェア攻撃により米国の主要パイプラインシステムが停止」、ワシントン・ポスト（2021年5月8日）。
- ^ ロバート・マクミランとダスティン・ボルツ、「コロニアル・パイプラインのハッカー、ダークサイドが業務停止を発表」、ウォール・ストリート・ジャーナル（2021年5月14日）。
- ^ 「コロニアル・パイプラインのハッカー、ダークサイドのサーバーが強制ダウン：セキュリティ会社」AFP 2021年5月25日閲覧。
- ^ 「ランサムウェアスポットライト：BlackCat - セキュリティニュース」www.trendmicro.com 。 2023年7月14日閲覧。
- ^ 「BlackCatランサムウェア攻撃の分析」cisecurity.org 2022年7月7日。