Osirisランサムウェアファミリー
サイバーセキュリティ研究者は、2025年11月に東南アジアの大手食品サービスフランチャイズ事業者が攻撃を受けた後、これまで記録に残されていなかったランサムウェアファミリー「Osiris」の存在を明らかにしました。分析によると、これは新たに開発されたランサムウェアであり、2016年12月に確認されたLockyから派生したOsirisの亜種とは関連がないことが示されています。開発者の身元は依然として不明であり、このマルウェアがRaaS（ランサムウェア・アズ・ア・サービス）の一環として提供されているかどうかは確認されていません。
目次
攻撃チェーンと初期の侵害
被害者ネットワークで確認された最初の悪意ある活動は、ランサムウェア展開前の機密データの窃取でした。攻撃者はRcloneを使用して、Wasabiでホストされているクラウドストレージバケットに情報を転送しました。このフェーズに続いて、制御を確立し、横方向への攻撃拡大を行い、暗号化のための環境を準備するためのツールが段階的に導入されました。
さまざまな自給自足型ユーティリティと二重使用ユーティリティが、リモート管理コンポーネントとともに活用され、通常の管理活動に溶け込み、早期検出を最小限に抑えました。
INCランサムウェア活動との疑わしい関連性
いくつかの兆候から、INCランサムウェア（別名Warble）で以前関連付けられていたアクターとの重複が示唆されています。特に注目すべきは、攻撃者がMimikatzの同じファイル名（kaz.exe）を持つバージョンを使用していたことです。これは、以前のINC関連インシデントで確認されています。さらに、情報流出のインフラストラクチャと手口は、以前このエコシステムに関連付けられていた手法と酷似していますが、明確なアトリビューションは確立されていません。
POORTRYドライバーとBYOVD戦術
侵入の中心的な特徴は、POORTRYと呼ばれる悪意のあるドライバの展開でした。これは、脆弱性のあるドライバを持ち込む（BYOVD）攻撃で使用され、エンドポイントの防御を無効化します。正規のドライバを利用する従来のBYOVD攻撃とは異なり、POORTRYは権限昇格とセキュリティツールの無効化を目的として特別に設計された特注のドライバです。
さらに、脆弱なドライバをロードして保護ソフトウェアを無効にする既知のユーティリティであるKillAVを使用して環境が準備されました。また、永続的なインタラクティブアクセスを可能にするために、リモートデスクトッププロトコルも有効化されていました。
Osirisランサムウェアの機能
Osirisは、成熟した効果的な暗号化ペイロードとされており、経験豊富な脅威アクターによって運用されている可能性が高い。ハイブリッド暗号モデルを実装し、ファイルごとに固有の暗号鍵を生成するため、復旧作業は著しく困難になる。このランサムウェアは広範な設定をサポートしており、攻撃者は被害者の環境に合わせて実行を微調整することができる。
主な機能は次のとおりです。
- サービスを停止し、プロセスを終了し、バックアップまたは回復メカニズムを無効にします。
- 対象となるフォルダーとファイル拡張子を定義し、完了時にカスタマイズされた身代金要求メモを生成します。
デフォルトでは、Osiris は、生産性ソフトウェア、電子メール サーバー、ブラウザー、テキスト エディター、ボリューム シャドウ コピー、および Veeam などのエンタープライズ バックアップ プラットフォームに関連付けられているプロセスとサービスを積極的に終了するように構成されています。
侵入を支援するために使用されたツール
ランサムウェア自体に加え、攻撃者は偵察、ラテラルムーブメント、リモート管理ユーティリティなどのツールキットを活用して運用制御を維持していました。侵入時に確認されたツールには以下が含まれます。
- ネットワークの検出と実行のための Netscan と Netexec。
- MeshAgent と、永続的なリモート アクセスを実現する Rustdesk リモート デスクトップ アプリケーションのカスタマイズされたビルド。
- クラウド ストレージへの自動データ流出を実現する Rclone。
進化する恐喝環境への影響
暗号化型ランサムウェアは依然として組織にとって重大なリスクをもたらしていますが、今回のインシデントは、多面的な恐喝キャンペーンへの広範な進化を浮き彫りにしています。データ窃取への重点化、悪意のあるドライバによる防御回避、そして暗号化なしの攻撃やハイブリッド攻撃の増加により、脅威の状況は拡大しています。その結果、ランサムウェアは、より広範かつ複雑な恐喝エコシステムにおける単なる一要素となりつつあり、同様に適応的な防御戦略が求められています。
