ALPHV Ransomware

ALPHVランサムウェアは、このタイプの最も高度な脅威の1つであるように思われるため、それを解放する責任がある脅威の操作も同様です。この特定のランサムウェアの脅威は、BlackCatの名前で追跡しているinfosecの研究者によって発見されました。この脅威は高度にカスタマイズ可能であり、技術に精通していないサイバー犯罪者でもその機能を調整し、多数のプラットフォームに対して攻撃を仕掛けることができます。

ALPHVの運用

ALPHVランサムウェアは、ロシア語を話すハッカーフォーラムでその作成者によって宣伝されています。この脅威は、RaaS（Ransomware-as-a-Service）スキームで提供されているようで、マルウェアのオペレーターは、実際の攻撃やネットワーク侵害を実行する意欲的なアフィリエイトを募集しようとしています。その後、身代金として被害者から受け取ったお金は、関係者間で分配されます。

ALPHVの作成者が取ったパーセンテージは、身代金の正確な合計に基づいています。 150万ドルに達する身代金の支払いについては、資金の20％を保持し、150万ドルから300万ドルの間の支払いについては、15％の削減を受けます。アフィリエイトが300万ドル以上の身代金を受け取ることができた場合、そのお金の90％を保持することが許可されます。

攻撃キャンペーンは、少なくとも2021年11月以降、活発に行われていると考えられています。これまでのところ、ALPHVランサムウェアの被害者は、米国、オーストラリア、インドで確認されています。

技術的な詳細

ALPHVランサムウェアは、Rustプログラミング言語を使用して作成されています。さびはマルウェア開発者の間では一般的な選択ではありませんが、その特性のために勢いを増しています。この脅威は、強力な一連の侵入機能を備えています。攻撃者の好みに基づいて、4つの異なる暗号化ルーチンを実行できます。また、CHACHA20とAESの2つの異なる暗号化アルゴリズムを使用します。ランサムウェアは仮想環境をスキャンし、それらを強制終了しようとします。また、ESXiスナップショットを自動的にワイプして、リカバリを防ぎます。

可能な限り多くの損害を与えるために、ALPHVは、たとえばターゲットファイルを開いたままにすることによって、暗号化を妨げる可能性のあるアクティブなアプリケーションのプロセスを強制終了できます。この脅威は、Veeam、バックアップソフトウェア製品、Microsoft Exchange、MS Office、メールクライアント、人気のあるビデオゲームストアSteam、データベースサーバーなどのプロセスを終了させる可能性があります。さらに、ALPHV Ransomwareは、被害者のファイルのシャドウボリュームコピーを削除します。システムのリサイクルビンをクリーンアップし、他のネットワークデバイスをスキャンして、Microsoftクラスターへの接続を試みます。

適切なドメインクレデンシャルで構成されている場合、ALPHVは、侵害されたネットワークに接続されている他のデバイスに自分自身を拡散することさえできます。脅威はPSExecを％Temp％フォルダーに抽出してから、ペイロードを他のデバイスにコピーします。その間、攻撃者はコンソールベースのユーザーインターフェイスを介して感染の進行状況を監視できます。

身代金メモと要求

アフィリエイトは、好みに応じて脅威を変更できます。使用するファイル拡張子、身代金メモ、被害者のデータの暗号化方法、除外するフォルダやファイル拡張子などをカスタマイズできます。身代金メモ自体は、「RECOVER- [extension] -FILES.txt」というパターンに従った名前のテキストファイルとして配信されます。身代金のメモは、各犠牲者に合わせて調整されます。これまでのところ、被害者はビットコインまたはモネロの暗号通貨を使用してハッカーに支払うことができると指示されています。ただし、ビットコインの支払いの場合、ハッカーは15％の税金を追加します。

一部の身代金メモには、専用のTORリークサイトへのリンクと、攻撃者と連絡を取るための別のサイトへのリンクも含まれています。実際、ALPHVは複数の恐喝戦術を使用して、被害者に、そこに保存されているデータを暗号化する前に、感染したデバイスから重要なファイルを収集するサイバー犯罪者に支払いをさせています。彼らの要求が満たされない場合、ハッカーは情報を一般に公開すると脅迫します。被害者はまた、支払いを拒否するとDDoS攻撃を受けることになると警告されています。

被害者との交渉を非公開にし、サイバーセキュリティの専門家が詮索するのを防ぐために、ALPHVオペレーターは--access-token = [access_token]コマンドライン引数を実装しました。トークンは、ハッカーのTORWebサイトでネゴシエーションチャット機能に入るのに必要なアクセスキーの作成に使用されます。

ALPHVランサムウェアは、非常に高度な機能と複数のオペレーティングシステムに感染する機能を備えた非常に有害な脅威です。これは、すべてのWindows 7システム以降、ESXI、Debian、Ubuntu、ReadyNAS、およびSynologyで実行できます。