EncryptRAT: 組織が注意すべきサイバー脅威
金銭目的のハッキンググループである EncryptHub は、サイバー攻撃へのアプローチを改良してきました。同グループの最新開発である EncryptRAT は、その能力を拡張するように設計されたツールであり、セキュリティ専門家の間で新たな懸念を引き起こしています。同グループがマルウェア配信技術とインフラストラクチャを強化するにつれて、企業はその目的と影響について常に情報を入手する必要があります。
Table of Contents
EncryptRAT とは何ですか?
EncryptRAT は、フィッシング キャンペーン、情報窃盗、ランサムウェアを展開することで知られる脅威アクター EncryptHub によって設計された、新しく開発されたコマンド アンド コントロール (C2) ツールです。このツールを使用すると、サイバー犯罪者は感染したシステムをリモートで管理し、コマンドを実行し、盗んだデータにアクセスできます。EncryptHub はトロイの木馬化されたアプリケーションやフィッシング戦術を通じてマルウェアを配布してきた実績があるため、EncryptRAT は EncryptHub の活動における大きな進歩を表しています。
EncryptHub は、広く使用されているソフトウェアにマルウェアを埋め込むことでユーザーをターゲットにし続けています。また、このグループは、その範囲を広げるためにサードパーティの Pay-Per-Install (PPI) サービスも利用しています。EncryptRAT は、EncryptHub の進化の次のステップのようで、EncryptHub が攻撃をより効率的に集中化および自動化できるようになる可能性があります。
EncryptRAT の目的は何ですか?
EncryptHub が EncryptRAT を使用する主な目的は、サイバー活動の制御と収益化を強化することであると思われます。このツールにより、攻撃者は次のことが可能になります。
- 侵害されたデバイスをリモートで管理– EncryptRAT は制御ハブとして機能し、攻撃者が感染したシステムにコマンドを発行できるようにします。
- 機密データの収集- このツールは、被害者のデバイスからログイン認証情報、Cookie、その他の貴重な情報を抽出します。
- さらなるマルウェアの配布– EncryptRAT は、ランサムウェアや金融トロイの木馬などの追加の悪意のあるペイロードを展開するために使用される可能性があります。
- サイバー脅威の商業化– EncryptHub が EncryptRAT を他のサイバー犯罪者に販売し、地下市場での影響力を拡大しようとしている兆候があります。
EncryptHubの仕組み
EncryptHub は 2024 年半ばから活動しており、さまざまなソーシャル エンジニアリング手法を使用してターゲットを侵害しています。その主要な戦略の 1 つは、正規の IT サポート チームになりすますフィッシング キャンペーンです。被害者は多くの場合、詐欺的な Web サイトに誘導され、知らないうちにアクセス資格情報を提供します。
一般的な攻撃シナリオには次の手順が含まれます。
- フィッシング設定: EncryptHub は、企業のログイン ポータルを模倣するように設計された偽の Web サイトを設定します。
- ソーシャル エンジニアリング: グループは、IT 担当者を装って SMS または電話通話でターゲットに連絡し、トラブルシューティングの目的でユーザーに資格情報の入力を要求します。
- 資格情報の盗難:被害者がログイン詳細を提供すると、EncryptHub は企業ネットワークに不正にアクセスできるようになります。
- ペイロードの展開: EncryptHub は PowerShell スクリプトを使用して、 Fickle 、 StealC 、 Rhadamanthysなどの窃盗マルウェアをインストールし、機密情報を抽出します。
- ランサムウェアの実行:多くの場合、最終段階ではランサムウェアが展開され、暗号化されたファイルの復元と引き換えに支払いが要求されます。
トロイの木馬化されたアプリケーションの使用も、EncryptHub の配布戦略の重要な部分を占めています。これらの侵害されたアプリケーションは正規のように見えますが、実行すると密かにマルウェアをインストールします。攻撃ベクトルとして使用された一般的なアプリケーションには、QQ Talk、WeChat、Google Meet、Palo Alto Global Protect などがあります。
インストール課金型サービスの役割
EncryptHub の業務で注目すべき点は、LabInstalls などの PPI サービスに依存していることです。これらのサービスにより、脅威アクターはマルウェアを大量に配布できます。価格モデルは、100 インストールあたり 10 ドルから 10,000 インストールあたり 450 ドルまでです。配布をアウトソーシングすることで、EncryptHub は直接感染の複雑さを管理することなく、攻撃を拡大できます。
報告によると、EncryptHub は PPI サービス プロバイダーと積極的に連携しており、地下フォーラムに肯定的なフィードバックを残している。この連携により、グループは運用上の労力を最小限に抑えながら、その範囲を拡大できる。
EncryptRAT の影響
EncryptRAT の出現は、サイバー脅威がますます巧妙化していることを浮き彫りにしています。EncryptHub がこのツールの商用化に成功すれば、複数の業界でサイバー攻撃が増加する可能性があります。EncryptRAT の影響は次のとおりです。
- 攻撃の自動化の強化– EncryptRAT は、感染したデバイスの制御を集中化することで、サイバー犯罪者が最小限の労力で大規模な攻撃を実行できるようにします。
- ランサムウェアのリスクが高まる– EncryptHub は既知のランサムウェア グループと関係があるため、新しいツールによってランサムウェア攻撃の展開が効率化される可能性があります。
- より洗練されたソーシャル エンジニアリング– EncryptHub は高度なフィッシング手法を実証しており、EncryptRAT は被害者を欺く能力を強化する可能性があります。
- より大きな経済的損失とデータ損失– EncryptRAT の影響を受けた組織は、身代金要求、データ盗難、業務中断により深刻な経済的損害を被る可能性があります。
組織が自らを守る方法
EncryptHub が戦術を改良し続ける中、企業は EncryptRAT のような脅威から身を守るために積極的な対策を講じる必要があります。推奨されるセキュリティ対策は次のとおりです。
- 多要素認証 (MFA) の強化– MFA を実装すると、資格情報が侵害された場合でも不正アクセスを防ぐことができます。
- 従業員トレーニングの強化– 従業員はフィッシングのリスクについて教育を受け、疑わしいリクエストを識別できるようにトレーニングを受ける必要があります。
- 異常なアクティビティの監視– 組織は、脅威を早期に特定して軽減するためにエンドポイント検出ソリューションを導入する必要があります。
- アプリケーションのダウンロードの制限– 検証済みのソースにソフトウェアのインストールを制限すると、トロイの木馬化されたアプリケーションがシステムに侵入するのを防ぐことができます。
- ソフトウェアの定期的な更新– サイバー犯罪者が悪用する可能性のあるセキュリティのギャップを埋めるには、パッチ管理が不可欠です。
最後に
EncryptRAT は、EncryptHub の能力と野心が高まっていることを明確に示しています。コマンド アンド コントロール システムを開発することで、このグループはサイバー攻撃の効率と規模を拡大する態勢を整えています。企業は警戒を怠らず、進化する脅威に対抗するために階層化されたセキュリティ防御を実装する必要があります。情報を入手し、積極的に行動することが、サイバー セキュリティ環境における EncryptHub や同様の敵対者によるリスクを軽減する鍵となります。
