BlackByteランサムウェアの攻撃者、セキュリティ業界全体のエンドポイント検出対応(EDR)製品で使用されている1,000種類以上のドライバを迂回する高度なBYOD手法を使用
- 2022年10月26日 14:30:00
- マネー
- Dream News
<<報道資料>>
ソフォス株式会社
BlackByteランサムウェアの攻撃者、セキュリティ業界全体のエンドポイント検出対応(EDR)製品で使用されている1,000種類以上のドライバを迂回する高度なBYOD (独自ドライバの持ち込み)手法を使用
Cybersecurity-as-a-Serviceを開発・提供するグローバルリーダー企業のソフォス (日本法人:ソフォス株式会社 東京都港区 代表取締役 中西 智行)は本日、非常に危険な新興のランサムウェア組織であるBlackByteが、セキュリティ業界のエンドポイント検出/対応(EDR)製品で使用されている1,000種類以上のドライバを迂回する、高度なBYOD(Bring Your Own Driver:独自ドライバの持ち込み)の手法を使用していることを報告しました。ソフォスは、「RTCore64.sysを悪用してEDRを無効化し、すべてのコールバックを削除するBlackByteランサムウェア」(https://news.sophos.com/ja-jp/blackbyte-ransomware-returns-jp/)と題されたレポートでこの攻撃の戦術、手法、手順(TTP)を詳しく紹介しています。
BlackByteは、重要インフラに対する脅威として今年初めに米国のシークレットサービスやFBIが共同で警告していましたが、今年5月に新たなリークサイトと恐喝手段を携え、短い休止期間から復活しました。さらに同グループは、新たな攻撃手法も導入しています。この新しい攻撃手法では、Windowsシステム用のグラフィックユーティリティドライバであるRTCorec6.sysの脆弱性が悪用されています。この脆弱性を利用することで、標的システムのカーネルと直接通信することが可能になり、EDRプロバイダやMicrosoft Windows脅威インテリジェンスプロバイダのETW(Windowsイベントトレーシング)が使用するコールバックルーチンを無効化するよう命令できます。EDRベンダーは、悪用されやすいAPIコールの使用を監視するため、この機能を多く使用しています。この機能が無効化されると、同機能に依存しているEDRベンダーは多大な影響を受けます。
ソフォスの脅威リサーチ担当シニアマネージャーであるChristopher Buddは、次のように述べています。 「コンピューターを要塞に例えると、多くのEDRプロバイダにとって、ETWは正門の警備員のような役割を果たしています。警備員がいなくなってしまうと、要塞のさまざまな箇所が極めて脆弱になります。さらに、ETWは多くのプロバイダで使用されているため、BlackByteのEDRバイパスに対して脆弱と考えられる標的は多数存在します」
セキュリティ製品を迂回するために「独自ドライバの持ち込み」の手法を利用するランサムウェア組織はBlackByteだけではありません。AvosLockerも、5月に別のドライバの脆弱性を悪用して、アンチウイルスによる保護機能を無効化しています。
「現状を見るに、ランサムウェア攻撃者にとって、EDRを迂回する手法は一般的になりつつあるようです。これは驚くべきことではありません。攻撃者は、素早く最小限の労力で攻撃を行うために、「攻撃的なセキュリティ(Offensive Security)」の概念のもとで開発されたツールや手法を利用するケースが多くあります。実際、BlackByteはEDRバイパス機能を取り入れるために少なくとも一部コードをオープンソースのツールであるEDRSandblastから引用したと考えられます。攻撃的なセキュリティのために開発された技術を攻撃者が採用するようになっているため、防御側の組織は新しい迂回技術や悪用技術を監視し、サイバー犯罪に広く利用される前に対策を講ずることが重要になっています」と先述のBuddは述べています。
BlackByteの最新のTTPと、システムの安全を確保する方法の詳細については、Sophos.comからレポートの全文をダウンロードしてください。
●詳細情報
・Sophos X-Opsのブログ(https://news.sophos.com/ja-jp/)をサブスクライブし、TwitterでSophos X-Ops(https://twitter.com/sophosxopsをフォローして、Sophos X-Opsと画期的な脅威リサーチの詳細(https://news.sophos.com/ja-jp/2022/07/20/behind-the-research-the-making-of-ooda-x-ops-takes-on-burgeoning-sql-server-attacks-jp/)をチェックしてください。
・『ランサムウェアの現状 (2022 年版)』
https://www.sophos.com/ja-jp/whitepaper/state-of-ransomware
・さまざまなランサムウェア攻撃グループ、TTP、ソフォスの最新のランサムウェア調査を参照できるランサムウェア脅威インテリジェンスセンターhttps://news.sophos.com/ja-jp/2022/03/17/the-ransomware-threat-intelligence-center-jp/
・いくつものランサムウェア攻撃の被害を受ける脆弱な組織
https://news.sophos.com/ja-jp/2022/08/09/multiple-attackers-increase-pressure-on-victims-complicate-incident-response-jp/
・ランサムウェア組織「BlackCat」の最新の攻撃手法とツール
https://news.sophos.com/ja-jp/2022/07/14/blackcat-ransomware-attacks-not-merely-a-byproduct-of-bad-luck-jp/
●ソフォスについて
ソフォスは、組織をサイバー攻撃から守るDetection and Response (MDR) サービスやインシデント・レスポンス・サービスのほか、幅広いエンドポイント、ネットワーク、電子メール、およびクラウドのセキュリティ技術群を含む高度なサイバーセキュリティ・ソリューションを提供する革新的な世界的リーダーです。ソフォスは、世界最大級の専業サイバーセキュリティプロバイダーとして、全世界で50万以上の組織と1億人以上のユーザーを攻撃者、ランサムウェア、フィッシング、マルウェアなどのサイバー攻撃から守っています。ソフォスのサービスや製品は、クラウドベースの Sophos Central 管理コンソールに接続されており、クロスドメイン脅威インテリジェンス部門であるSophos X-Opsによって強化されています。Sophos X-Ops のインテリジェンスは、顧客、パートナー、開発者、およびその他のサイバーセキュリティおよび情報技術ベンダーが利用できる豊富なオープンAPIセットを活用した集中型データレイクを含む、Sophos Adaptive Cybersecurityエコシステム全体を最適化します。ソフォスは、フルマネージドでターンキー・セキュリティ・ソリューションを必要とする組織にCybersecurity-as-a-Serviceを提供しています。また、顧客はソフォスのセキュリティ・オペレーション・プラットフォームを使用してサイバーセキュリティを直接管理することもできますし、脅威の検知や修復などのソフォスのサービスによって社内チームを補完するハイブリッド・アプローチを採ることも可能です。ソフォス製品は、世界中のリセラーパートナーやMSP(マネージドサービスプロバイダー)を通じて販売されています。ソフォス本社は、英国オックスフォードにあります。詳細については、www.sophos.com(日本語サイト: https://www.sophos.com/ja-jp )をご覧ください。
●報道関係のお問合せ先
ソフォス株式会社広報事務局
Tel: 03-6454-6930
Email: s ophos@ambilogue.com
以上
配信元企業:ソフォス株式会社
プレスリリース詳細へ
ドリームニューストップへ
香港エキスプレスセール、6月28日まで 次回いつ?早見表や買い方まとめ
ひろゆき氏が有吉弘行の週刊誌“盗撮”抗議に言及、プライバシー侵害「日本国にとってマイナス」
何があった!?「エアコン」が想定外の壊れ具合!投稿者に話を聞いた
完売必至、伝説の店「おもちゃのハローマック」のカプセルトイ発売決定に大歓喜!
航空券が安くなるタイミングとは 国際線・国内線何日前が安い?を解説
米国育ちの37歳女性タレントが提唱「エンドレス牛丼」にネット賛同「発想なかった」「いいね」
遠野なぎこ、SNSコメ欄閉鎖を生言及「言葉に傷付いているのではなく、そういう人間が…」
【阪神】大竹耕太郎7回1失点「今日みたいな日の1失点の方が価値が高い」粘りの投球を自信に
安藤美姫さん、Xで英文長文投稿「我慢できない」「あなたたちは真実を知りません」に心配の声
インテルサットとスターフィッシュ・スペース、衛星サービス・ミッションで合意
何があった!?「エアコン」が想定外の壊れ具合!投稿者に話を聞いた
玉置浩二の妻、青田典子(53)の現在がとんでもない事になっていると話題に
霜月るな、松本人志めぐる“新証言”報道に「どうゆう事?その告発で人の人生奪ってるんやで」
22歳・元HKTタレント「最高すぎる」美バストあらわな水着姿披露「君がチャンピオン」と反響
イケメンだから許される!堀北真希と山本耕史の「馴れ初め」が映画化希望するレベル
粗品、“大物ピン芸人”同席の飲み拒否「その先輩おるなら行きません」情報暴露されスタジオ騒然
【ネタバレ?】史実で見るキングダムの今後の展開まとめ〜中華統一までの全体像
ユーチューバーもこう氏、元彼女・成海瑠奈について赤裸々告白
知事選辞退へずまりゅう怒り「俺を舐めるのも大概にしろよ?俺みたいな大物インフルエンサーと」
ガーシーが綾野剛のLINE公開でネット騒然「ショック」「すごいエンタメ」
何があった!?「エアコン」が想定外の壊れ具合!投稿者に話を聞いた
玉置浩二の妻、青田典子(53)の現在がとんでもない事になっていると話題に
イケメンだから許される!堀北真希と山本耕史の「馴れ初め」が映画化希望するレベル
ガーシーが綾野剛のLINE公開でネット騒然「ショック」「すごいエンタメ」
都知事選掲示板にヌードポスター ひろゆき氏「世も末」 SNSで批判噴出
ユーチューバーもこう氏、元彼女・成海瑠奈について赤裸々告白
「愛が生まれた日」藤谷美和子(56)の現在がヤバい!?徘徊生活を送っていた過去も明らかに。
柏原崇(45)現在を調べてみた結果、相変わらずかっこよすぎた!
【ネタバレ?】史実で見るキングダムの今後の展開まとめ〜中華統一までの全体像
松本人志飲み会参加セクシー女優「警察に相談しに行きました」報告「さすがにこれは酷すぎる」
![game_banner](/images/banner-game.png)
香港エキスプレスセール、6月28日まで 次回いつ?早見表や買い方まとめ
ひろゆき氏が有吉弘行の週刊誌“盗撮”抗議に言及、プライバシー侵害「日本国にとってマイナス」
何があった!?「エアコン」が想定外の壊れ具合!投稿者に話を聞いた
完売必至、伝説の店「おもちゃのハローマック」のカプセルトイ発売決定に大歓喜!
航空券が安くなるタイミングとは 国際線・国内線何日前が安い?を解説
米国育ちの37歳女性タレントが提唱「エンドレス牛丼」にネット賛同「発想なかった」「いいね」
【阪神】大竹耕太郎7回1失点「今日みたいな日の1失点の方が価値が高い」粘りの投球を自信に
遠野なぎこ、SNSコメ欄閉鎖を生言及「言葉に傷付いているのではなく、そういう人間が…」
安藤美姫さん、Xで英文長文投稿「我慢できない」「あなたたちは真実を知りません」に心配の声
インテルサットとスターフィッシュ・スペース、衛星サービス・ミッションで合意