Cubaランサムウェアの近況と対策


Cubaランサムウェアの概要

過去 1 年間で、ランサムウェアの攻撃者たちは、身代金を支払わないことを組織が選択した場合、または他の手段でデータを回復した組織への対応方法を変化させてきました。結局、ランサムウェアとの戦いは、悪者の収入の損失につながりました。しかし彼らは創造的な集団であるため、身代金が支払われない場合はデータの拡散で収益を得ています。これは、たとえ攻撃から復旧できたとしても、組織に重大な情報の流出の影響が及ぶ可能性があることを意味します。

このゲームの新参者ではない、Cubaランサムウェアが、最近この手法を導入しました。

このブログは、この種の攻撃に対する回復力を高めるために適応可能なセキュリティ アーキテクチャを構築する方法に焦点を当てており、具体的には、McAfee のポートフォリオがCubaランサムウェア キャンペーンで使用された戦術と手法を防止、検出、対応する機能を提供する方法に焦点を当てています。


Cubaランサムウェアに関するインテリジェンスの収集

いつものように、適応可能な防御アーキテクチャの構築はインテリジェンスから始まります。ほとんどの組織では、セキュリティ オペレーション チームが脅威インテリジェンス分析、および脅威とインシデントへの対応を担当しています。McAfee Insights ( https://www.mcafee.com/enterprise/en-us/lp/insights-dashboard1.html#) は、脅威インテリジェンス アナリストおよび脅威対応者にとって優れたツールです。Insights ダッシュボードは、世界中の新たな脅威の蔓延と重大度を特定します。これにより、セキュリティ オペレーション センター (SOC) は、脅威への対応アクションに優先順位を付け、その脅威 (この場合はCubaランサムウェア キャンペーン) に関連するサイバー脅威インテリジェンス (CTI) を収集できます。CTI は、MITRE ATT&CK フレームワークの戦術とテクニックと同様に、侵害の痕跡 (IOC) のテクニカル インジケーターの形式で提供されます。脅威インテリジェンスのアナリストまたはレスポンダーは、ドリルダウンして、流行や他の情報源へのリンクなど、Cuba ランサムウェアに関するより具体的な情報を収集できます。さらにドリルダウンして、MITRE ATT& に合わせた侵害の兆候や戦術/技術など、より具体的な実行可能なインテリジェンスを収集できます。

McAfee Advanced Threat Research (ATR)のもう一つの関連記事から、Cuba ランサムウェアが他の APT キャンペーンに共通の戦術と手法を利用していることがわかります。現在、初期アクセス 経路は不明です。それは、スピアフィッシング、悪用されたシステム ツールや署名されたバイナリ、またはその他の多くの一般的な方法である可能性が非常に高いと考えられます。


防御アーキテクチャの概要

今日のデジタル化された法人のシステム環境は、オンプレミス システムとクラウド サービスのハイブリッド環境であり、Cuba ランサムウェアなどの攻撃に対する複数のエントリ ポイントがあります。組織がセキュリティ態勢を適応させ、リモート ワーカーのトレーニングを強化しなければ、COVID-19 によって強制された在宅勤務モデルは攻撃対象領域を拡大し、スピア フィッシング攻撃が成功するリスクを増大させるだけです。Cubaランサムウェアなどの攻撃のリスクを軽減するには、デバイス、ネットワーク、およびセキュリティ オペレーション (SecOps) で適切な制御を行うセキュリティ アーキテクチャが必要です。Center for Internet Security (CIS)トップ 20 のサイバー セキュリティ コントロールそのアーキテクチャを構築するための優れたガイドを提供します。前述のように、Cuba ランサムウェアが使用する正確な侵入経路は現在不明であるため、ここでは、企業を保護するためのより一般的な推奨事項を示します。


初期アクセス段階の防御の概要

Threat Intelligence and Research によると、Cuba ランサムウェアへの最初のアクセスは現在わかっていません。攻撃者は初期アクセスに多くの一般的な手法を利用できるため、防御のすべてのレイヤーでの有効性を検証することが最善です。これには、ユーザー認識トレーニングと対応手順、電子メール システム、Web プロキシおよびエンドポイント システムでのインテリジェンスと行動ベースのマルウェア防御、そして疑わしい電子メールの添付ファイルやその他のフィッシング技術に対する早期の検出と対応のための SecOps プレイブックが含まれます。次の表は、初期段階の手法に対して最も効果があると予想される制御と、該当する場合にそれらの制御を実装するための McAfee ソリューションをまとめたものです。

MITRE Tactic MITRE Techniques CSC Controls McAfee Capability
Initial Access Spear Phishing Attachments (T1566.001) CSC 7 – Email and Web Browser Protection

CSC 8 – Malware Defenses

CSC 17 – User Awareness

Endpoint Security Platform 10.7, Threat Prevention, Adaptive Threat Protection,

Web Gateway (MWG), Advanced Threat Defense, Web Gateway Cloud Service (WGCS)

Initial Access Spear Phishing Link (T1566.002) CSC 7 – Email and Web Browser Protection

CSC 8 – Malware Defenses

CSC 17 – User Awareness

Endpoint Security Platform 10.7, Threat Prevention, Adaptive Threat Protection,

Web Gateway (MWG), Advanced Threat Defense, Web Gateway Cloud Service (WGCS)

Initial Access Spear Phishing (T1566.003) Service CSC 7 – Email and Web Browser Protection

CSC 8 – Malware Defenses

CSC 17 – User Awareness

Endpoint Security Platform 10.7, Threat Prevention, Adaptive Threat Protection,

Web Gateway (MWG), Advanced Threat Defense, Web Gateway Cloud Service (WGCS)

疑わしい電子メールの添付ファイルから保護する方法の詳細については、次の追加のブログ投稿を確認してくださいhttps://www.mcafee.com/blogs/other-blogs/mcafee-labs/mcafee-protects-against-suspicious-email-attachments /


エクスプロイト ステージ ディフェンシブの概要

エクスプロイト ステージでは、攻撃者がターゲット システムにアクセスします。この段階でのCubaランサムウェアに対する保護は、エンド ユーザーのデバイスとサーバーの両方での適応可能なマルウェア対策、アプリケーション実行の制限、およびエンドポイント検出や応答センサーなどのセキュリティ運用ツールに大きく依存しています。

McAfee Endpoint Security 10.7 は、署名や脅威インテリジェンスを含む多層防御機能を提供し、既知の不良インジケーターやプログラムをカバーするとともに、機械学習と動作ベースの保護を提供して、Cubaランサムウェアに対する攻撃対象領域を減らし、新しいエクスプロイト攻撃手法を検出します。 . たとえば、最初のエントリ ベクトルがリモート サーバー上の外部テンプレート ファイルへのリンクを含む兵器化された Word ドキュメントである場合、McAfee Threat Prevention および Adaptive Threat Protection モジュールはこれらの手法から保護します。

次の表は、エクスプロイト ステージの手法に対して最も効果があると予想される重要なセキュリティ コントロールと、該当する場合にそれらのコントロールを実装するための McAfee ソリューションをまとめたものです。

MITRE Tactic MITRE Techniques CSC Controls McAfee Portfolio Mitigation
Execution User Execution (T1204) CSC 5 Secure Configuration

CSC 8 Malware Defenses

CSC 17 Security Awareness

Endpoint Security Platform 10.7, Threat Prevention, Adaptive Threat Protection, Application Control (MAC), Web Gateway and Network Security Platform
Execution Command and Scripting Interpreter (T1059)

 

CSC 5 Secure Configuration

CSC 8 Malware Defenses

Endpoint Security Platform 10.7, Threat Prevention, Adaptive Threat Protection, Application Control (MAC), MVISION EDR
Execution Shared Modules (T1129) CSC 5 Secure Configuration

CSC 8 Malware Defenses

Endpoint Security Platform 10.7, Threat Prevention, Adaptive Threat Protection, Application Control (MAC)
Persistence Boot or Autologon Execution (T1547) CSC 5 Secure Configuration

CSC 8 Malware Defenses

Endpoint Security Platform 10.7 Threat Prevention, MVISION EDR
Defensive Evasion Template Injection (T1221) CSC 5 Secure Configuration

CSC 8 Malware Defenses

Endpoint Security Platform 10.7, Threat Prevention, Adaptive Threat Protection, MVISION EDR
Defensive Evasion Signed Binary Proxy Execution (T1218) CSC 4 Control Admin Privileges

CSC 5 Secure Configuration

CSC 8 Malware Defenses

Endpoint Security Platform 10.7, Threat Prevention, Adaptive Threat Protection, Application Control, MVISION EDR
Defensive Evasion Deobfuscate/Decode Files or Information (T1027)

 

CSC 5 Secure Configuration

CSC 8 Malware Defenses

Endpoint Security Platform 10.7, Threat Prevention, Adaptive Threat Protection, MVISION EDR

McAfee Endpoint Security 10.7 が、Cuba ランサムウェアのエクスプロイト ステージで使用されるいくつかのテクニックを防止する方法の詳細については、次の追加のブログ投稿を確認してくださいhttps://www.mcafee.com/blogs/other-blogs/mcafee-labs/mcafee -amsi-integration-protects-against-malicious-scripts/


インパクトステージの防御の概要

影響段階では、攻撃者が標的のシステムとデータを暗号化し、おそらくネットワーク上の他のシステムに横方向に移動します。この段階での保護は、エンド ユーザーのデバイスとサーバーの両方での適応可能なマルウェア対策、ネットワーク制御、および特権アクセスまたはネットワーク トラフィックの異常についてログを監視するセキュリティ運用の機能に大きく依存しています。次の表は、影響段階の手法に対して最も効果があると予想される制御と、該当する場合にそれらの制御を実装するための McAfee ソリューションをまとめたものです。

Cubaランサムウェアの公開リーク サイトは、TOR 経由で見つけることができます: http://cuba4mp6ximo2zlo[.]onion/

マイター戦術 MITREテクニック CSC コントロール McAfee ポートフォリオの緩和策
発見 アカウントの発見 (T1087) CSC 4管理者権限の使用を制御する

CSC 5セキュア設定

CSC 6ログ分析

MVISION EDR、MVISION Cloud、クラウド ワークロード保護
発見 システム情報の検出 (T1082) CSC 4管理者権限の使用を制御する

CSC 5セキュア設定

CSC 6ログ分析

MVISION EDR、MVISION Cloud、クラウド ワークロード保護
発見 システム所有者/ユーザー検出 (T1033) CSC 4管理者権限の使用を制御する

CSC 5セキュア設定

CSC 6ログ分析

MVISION EDR、MVISION Cloud、クラウド ワークロード保護
コマンドと制御 暗号化チャネル (T1573) CSC 8マルウェア防御

CSC 12境界防御

Web ゲートウェイ、ネットワーク セキュリティ プラットフォーム

 


Cubaランサムウェア インジケーターのハンティング

脅威インテリジェンス アナリストまたはハンターとして、Cubaランサムウェアについて受け取った兆候がないか、システムをすばやくスキャンすることをお勧めします。もちろん、インジケーターのリストをダウンロードし、利用可能なツールで検索することで、手動で行うことができます。ただし、MVISION EDR と Insights があれば、コンソールから直接実行できるため、貴重な時間を節約できます。攻撃者の狩りは数センチのゲームになる可能性があるため、1 秒が重要です。もちろん、感染したシステムや兆候のあるシステムが見つかった場合は、MVISION EDR コンソールからすぐにインシデント対応の調査を開始して、封じ込めるための措置を講じることができます。

これらの IOC に加えて、YARA ルールについては、Cubaランサムウェアのテクニカル分析(英語)で参照可能です。


IOC:

ファイル:

151.バット

151.ps1

Kurva.ps1

 

メールアドレス:

under_amur@protonmail[.]ch

helpadmin2@cock[.]li

helpadmin2@protonmail[.]com

iracomp2@protonmail[.]ch

fedelsupportagent@cock.li

admin@cuba-supp.com

cuba_support@exploit.im

 

ドメイン:

kurvalarva [.] com

 

横方向の移動と展開のスクリプト:

54627975c0befee0075d6da1a53af9403f047d9e367389e48ae0d25c2a7154bc

c385ef710cbdd8ba7759e084051f5742b6fa8a6b65340a9795f48d0a425fec61

40101fb3629cdb7d53c3af19dea2b6245a8d8aa9f28febd052bb9d792cfbefa6

 

Cuba Ransomware:

c4b1f4e1ac9a28cc9e50195b29dde8bd54527abc7f4d16899f9f8315c852afd4

944ee8789cc929d2efda5790669e5266fe80910cabf1050cbb3e57dc62de2040
78ce13d09d828fc8b06cf55f8247bac07379d0c1050cbb3e57dc62de2040
78ce13d09d828fc8b06cf55f8247bac07379d0c18b2423b9d25b247bac0737379d0c18b624ac8b624a

672fb249e520f4496e72021f887f8bb86fec5604317d8af3f0800d49aa157be1
e942a8bcb3d4a6f6df6a6522e4d5c58d6ec3cdbe3a6f6df6a6522e4d5c58d6ad1

907f42a79192a016154f11927fbb1e6f661f679d68947bddc714f5acc4aa66eb
28140885cf794ffef27f5673ca64bd680fc0b8a469453d0310aea439f7e04e64
271ef3c1d022829f0b15f2471d05a28d4786abafd0a9e1e742bde3f6b36872ad
6396ea2ef48aa3d3a61fb2e1ca50ac3711c376ec2b67dbaf64eeba49f5dfa9df

bda4bddcbd140e4012bab453e28a4fba86f16ac8983d7db391043eab627e9fa1

7a17f344d916f7f0272b9480336fb05d33147b8be2e71c3261ea30a32d73fecb

c206593d626e1f8b9c5d15b9b5ec16a298890e8bae61a232c2104cbac8d51bdd

9882c2f5a95d7680626470f6c0d3609c7590eb552065f81ab41ffe074ea74e82

C385ef710cbdd8ba7759e084051f5742b6fa8a6b65340a9795f48d0a425fec61
54627975c0befee0075d6da1a53af9403f047d9e367389e48ae0d25c2a7154bc
1f825ef9ff3e0bb80b7076ef19b837e927efea9db123d3b2b8ec15c8510da647
40101fb3629cdb7d53c3af19dea2b6245a8d8aa9f28febd052bb9d792cfbefa6

00ddbe28a31cc91bd7b1989a9bebd43c4b5565aa0a9ed4e0ca2a5cfb290475ed

729950ce621a4bc6579957eabb3d1668498c805738ee5e83b74d5edaf2f4cb9e


MITRE ATT&CK Techniques:

Tactic Technique Observable IOCs
Execution Command and Scripting Interpreter: PowerShell (T1059.001) Cuba team is using PowerShell payload to drop Cuba ransomware f739977004981fbe4a54bc68be18ea79

68a99624f98b8cd956108fedcc44e07c

bdeb5acc7b569c783f81499f400b2745

 

Execution System Services: Service Execution (T1569.002)  

 

Execution Shared Modules (T1129) Cuba ransomware links function at runtime Functions:

“GetModuleHandle”

“GetProcAddress”

“GetModuleHandleEx”

Execution Command and Scripting Interpreter (T1059) Cuba ransomware accepts command line arguments Functions:

“GetCommandLine”

Persistence Create or Modify System Process: Windows Service (T1543.003) Cuba ransomware can modify services Functions:

“OpenService”

“ChangeServiceConfig”

Privilege Escalation Access Token Manipulation (T1134) Cuba ransomware can adjust access privileges Functions:

“SeDebugPrivilege”

“AdjustTokenPrivileges”

“LookupPrivilegeValue”

Defense Evasion File and Directory Permissions Modification (T1222) Cuba ransomware will set file attributes Functions:

“SetFileAttributes”

Defense Evasion Obfuscated files or Information (T1027) Cuba ransomware is using xor algorithm to encode data
Defense Evasion Virtualization/Sandbox Evasion: System Checks Cuba ransomware executes anti-vm instructions
Discovery File and Directory Discovery (T1083) Cuba ransomware enumerates files Functions:

“FindFirstFile”

“FindNextFile”

“FindClose”

“FindFirstFileEx”

“FindNextFileEx”

“GetFileSizeEx”

Discovery Process Discovery (T1057) Cuba ransomware enumerates process modules Functions:

“K32EnumProcesses”

Discovery System Information Discovery (T1082) Cuba ransomware can get keyboard layout, enumerates disks, etc Functions:

“GetKeyboardLayoutList”

“FindFirstVolume”

“FindNextVolume”

“GetVolumePathNamesForVolumeName”

“GetDriveType”

“GetLogicalDriveStrings”

“GetDiskFreeSpaceEx”

Discovery System Service Discovery (T1007) Cuba ransomware can query service status Functions:

“QueryServiceStatusEx”

Collection Input Capture: Keylogging (T1056.001) Cuba ransomware logs keystrokes via polling Functions:

“GetKeyState”

“VkKeyScan”

Impact Service Stop (T1489) Cuba ransomware can stop services
Impact Data encrypted for Impact (T1486) Cuba ransomware encrypts data

Cubaランサムウェアをプロアクティブに検出

この攻撃のエクスプロイトステージテクニックの多くは、正規の Windows プロセスおよびアプリケーションを使用して、エクスプロイトまたは検出を回避する可能性があります。Endpoint Protection Platform が兵器化されたドキュメントをどのように妨害できるかについて前述のとおり説明しましたが、MVISION EDR を使用することで、より多くの可視性を得ることができます。 この攻撃の初期アクセスは不明であるため、セキュリティ アナリストとして、初期アクセスによって使用される疑わしい手法に注目したいと考えています。


Cubaランサムウェア イベントの監視または報告

McAfee Endpoint Protection および McAfee MVISION EDR からのイベントは、Cubaランサムウェアのインシデントと脅威への対応において重要な役割を果たします。McAfee ePO は、すべての管理対象エンドポイント システムからのイベント収集を一元化します。脅威対応者として、Cubaランサムウェア関連の脅威イベントのダッシュボードを作成して、現在のエクスポージャを理解することをお勧めします。


まとめ

標的型脅威キャンペーンを打ち負かすには、防御者は社内外で協力して適応型セキュリティ アーキテクチャを構築する必要があります。これにより、攻撃者が成功し、ビジネスに回復力を構築することが難しくなります。このブログでは、マカフィーのセキュリティ ソリューションを使用して、同様の手法を使用してCubaランサムウェアと攻撃者を防止、検出、対応する方法に焦点を当てています。

McAfee ATR はこのキャンペーンを積極的に監視しており、McAfee Insights とそのソーシャル ネットワーキング チャネルを新しい情報と最新の情報で更新し続けます。攻撃者たちに先行して検出や防御をプロアクティブに行うことで、被害を回避することが可能になります。ぜひ、McAfee Insightsをご確認ください。

※本ページの内容は2021年4月6日(US時間)更新の以下のMcAfee Blogの内容です。
原文:McAfee Defender’s Blog: Cuba Ransomware Campaign
著者: