北朝鮮APTのAndariel、Playランサムウェアの攻撃に関与か
BleepingComputer – October 30, 2024
パロアルトネットワークスUnit 42の研究者は、北朝鮮の国家支援型APTグループAndarielが、Playランサムウェアの活動に関与していた可能性があると指摘。レポートの中で、Andarielが侵害したネットワーク上にその後Playランサムウェアが展開された攻撃事例について紹介し、両者の活動には関連性があると、中程度の確度で評価した。
Unit 42は2024年9月、Playランサムウェアによるインシデントへの対応中に、当該ネットワークが同年5月にAndarielによって侵害されていたことを発見。同アクターは初期アクセス獲得後、Mimikatzなど複数のツールを展開したり、EDRツールを無効化するなどの活動を実施していたとされる。そしてそのおよそ3か月後に、Playランサムウェアの暗号化ツールが実行されたのだという。
この事例を分析したUnit 42によると、AndarielはPlayのアフィリエイトか初期アクセスブローカーであり、自身が数か月前に侵入したネットワークにPlayランサムウェアを展開しやすくしていた可能性があるとのこと。いずれの関わり方にせよ、AndarielはRaaSプログラムに参加することで金銭的な見返りを得て、北朝鮮に国際社会からの制裁を回避するための手立てを与えていた可能性がある。
Andarielはサイバースパイ活動を行う目的で攻撃を仕掛け、北朝鮮政府の活動を経済的に支援していることで知られる。また過去には日本、ロシア、ベトナム、インドの標的に対し、Mauiランサムウェア攻撃を展開したことも判明している。
ランサムウェアレポート無料配布中!
以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。
<レポートの主なトピック>
- 主なプレーヤーと被害組織
- データリークと被害者による身代金支払い
- ハクティビストからランサムウェアアクターへ
- 暗号化せずにデータを盗むアクターが増加
- 初期アクセス獲得に脆弱性を悪用する事例が増加
- 公に報告された情報、および被害者による情報開示のタイムライン
- ランサムウェアのリークサイト – ダークウェブ上での犯行声明
- 被害者による情報開示で使われる表現
- ランサムウェアに対する法的措置が世界中で増加
- サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
- 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠