Fragランサムウェア：Veeamの脆弱性悪用する新たな脅威（CVE-2024-40711）

Fragランサムウェア：Veeamの脆弱性悪用する新たな脅威（CVE-2024-40711）

Securityonline[.]info – November 10, 2024

Veeam Backup & Replication（VBR）の脆弱性CVE-2024-40711を悪用して新たなランサムウェア「Frag」の配布を目指す攻撃について、Sophos X-Opsの研究者が報告。この攻撃は、過去にAkiraやFogランサムウェアを展開していた脅威グループ「STAC 5881」によって実施されたものとみられている。

研究者によると、STAC 5881のこれまでの攻撃は、侵害されたVPNアプライアンス経由で初期アクセスを達成し、CVE-2024-40711の悪用によって新たなローカル管理者アカウント「point」を作成し、AkiraまたはFogの展開を試みるというもの。しかし最近観測されたある事例では、これらのランサムウェアの代わりに、これまで文書化されていなかった「Frag」というランサムウェアの展開が観測されたという。

この攻撃においても、侵害されたVPNアプライアンスとVeeamの脆弱性を悪用する点は過去のものと同様。しかし、「point」というアカウントに加え、今回は「point2」というアカウントも新たに作成されたという。Fragはコマンドライン上で実行され、攻撃者はファイル暗号化のパーセンテージを指定することができるという特徴がある。Sophosが観測した事例ではエンドポイント保護ソリューションによってFragの阻止に成功しているものの、ファイルが暗号化された場合、ファイル名の末尾には「.frag」という拡張子が付けられる。

このように、Fragの展開を目論むアクターのTTPはAkiraやFogを用いるアクターのTTPと似た面がみられるが、この類似点はAgger Labsによっても観測されているとのこと。

ランサムウェアレポート＆インテリジェンス要件定義ガイド、無料配布中！

ランサムウェアレポート：『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。

＜レポートの主なトピック＞

• 主なプレーヤーと被害組織
• データリークと被害者による身代金支払い
• ハクティビストからランサムウェアアクターへ
• 暗号化せずにデータを盗むアクターが増加
• 初期アクセス獲得に脆弱性を悪用する事例が増加
• 公に報告された情報、および被害者による情報開示のタイムライン
• ランサムウェアのリークサイト – ダークウェブ上での犯行声明
• 被害者による情報開示で使われる表現
• ランサムウェアに対する法的措置が世界中で増加
• サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
• 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価