FBI、SafePayランサムウェアが600以上の組織を攻撃したと警告：判明していること

2024年8月以降、SafePayランサムウェアは複数の重要インフラ分野で少なくとも600の組織に被害を及ぼしている。企業ネットワークへの攻撃の詳細をまとめた、米政府の新たな警告で明らかになった。

FBI、サイバーセキュリティ・インフラセキュリティ庁（CISA）、米国シークレットサービス、および国際的なパートナー機関は 共同サイバーセキュリティ勧告を10月20日に発表し、この脅威の詳細を明らかにした。当局はSafePayを最も活発なランサムウェアグループの一つと説明しており、複数の大陸で企業や重要インフラに被害を及ぼしている。

この警告は、セキュリティチームにとって憂慮すべき現実を浮き彫りにしている。攻撃者は、よく知られたセキュリティ上の弱点を悪用して企業ネットワークに侵入し、機密情報を盗み、組織が復旧に依存するシステムを機能不全に陥らせることができる。

SafePayランサムウェアが組織を攻撃する手法

勧告によると、SafePayは北米、南米、欧州、オーストラリアの組織に被害を及ぼしている。この警告は、米国当局と国際的なパートナー機関（ドイツや英国の機関を含む）が実施した調査に基づいている。

調査官は、初期アクセスの手法として、漏えいした認証情報、パスワードの総当たり攻撃、フィッシングによって入手した侵害アカウント、VPNやその他のインターネット公開システムの脆弱性の悪用などを特定した。

調査官は、Mullvad VPNに関連付けられたIPアドレスに関連するSafePayの活動を確認した。また、フィッシングによって入手した侵害アカウントを使い、被害組織のネットワークにアクセスしていたことも記録した。これらの調査結果は、Mullvad自体が侵害されたことを示すものではない。

この勧告では、SafePayの初期アクセス活動に関連する5件の脆弱性を特定している。このうち2件はCisco ASAおよびFTD製品に影響するもので、侵害アカウントやVPNアクセスの利用と併せて説明されている。調査官はさらに、Veeam Backup & ReplicationとSonicWall SonicOSに影響する3件の脆弱性を自動化スクリプトで悪用する攻撃者も確認した。追加の技術的詳細は、CISAの SafePayに関する完全な勧告に掲載されている。

これらの脆弱性は勧告で取り上げられている弱点の一部であり、SafePayが攻撃に利用する可能性のある経路を網羅したものではない。セキュリティチームは、影響を受ける導入環境をベンダーの勧告と照合し、適切なセキュリティ更新を適用すべきだ。

こうした攻撃手法は、企業のリモートアクセスセキュリティにおける、より広範な弱点を反映している。 eSecurityPlanetが以前報じたように、インターネットに公開されたVPNサービス、脆弱な認証情報、不十分なアクセス制御は、ランサムウェア攻撃者に付け入る隙を与えかねない。

ネットワークに侵入した後、SafePayの運用者は、侵害アカウントや正規の管理ツールを使って追加のアクセス権を確保し、ラテラルムーブメントを行い、機密情報を盗み、復旧システムを妨害してきた。

このグループは二重恐喝戦術を用いる。攻撃者はファイルを暗号化する前にデータを盗み、被害者が身代金の支払いを拒否すると情報を公開すると脅す。当局によると、SafePayの運用者はWindowsのシャドーコピーを削除し、バックアップを含むネットワーク接続ストレージ機器をリセットしており、被害組織の復旧をより困難にしている可能性がある。

この警告は、同グループの活動に関するこれまでの調査を踏まえたものだ。1月には、 eSecurityPlanetが、FlareによるSafePayのリークデータ分析について報じた。そこでは、同グループが中小企業を標的にしていることが明らかになった。

今回の米政府勧告は、調査結果、既知の攻撃手法、侵害の痕跡、推奨される防御策など、SafePayの活動をより広い視点から示している。

SafePayの攻撃を防ぐためにセキュリティチームがすべきこと

FBIとCISAは、組織に対して、脆弱なシステムへのパッチ適用、ID・アクセス管理の強化、管理者権限の制限を優先するよう推奨している。

セキュリティチームは、米政府の発表で強調された次の3つの対策に注力すべきだ。

• 脆弱なシステムにパッチを適用する：VPN、ファイアウォール、その他のインターネット公開機器を定期的に更新し、既知の悪用が確認されているものを優先する。
• アカウントのセキュリティを強化する：多要素認証を導入し、ID、認証情報、アクセスの管理ポリシーを整備する。特権アカウントを確認し、不審な認証試行を調査する。
• 管理者権限を制限する：管理ツールと権限の利用を必要とする担当者に限定し、攻撃者がラテラルムーブメントを行ったり、セキュリティ制御を無効化したりする機会を減らす。

こうした推奨策に加え、SafePayが復旧インフラを攻撃したことが確認されているため、バックアップの保護も重要な予防策となる。

組織は重要データの分離コピーまたはイミュータブルコピーを保持し、バックアップ管理システムへのアクセスを制限し、復元手順を定期的にテストすべきだ。これらの対策により、攻撃者がWindowsのシャドーコピーを削除したり、バックアップを含むネットワーク接続ストレージ機器をリセットしたりした場合の被害を抑えられる。

追加のガイダンスは、eSecurityPlanetの ランサムウェア向けバックアップ保護ガイドで確認できる。

セキュリティチームは、未承認アカウント、不審なリモート管理活動、予期しないデータ転送についても監視すべきだ。

SafePayの攻撃者は、アクセスを得た後に正規の管理ユーティリティを使用しているため、こうした予防策は特に重要だ。悪意のある活動が通常のIT運用と見分けにくくなる可能性がある。

米政府勧告には、守備側が検知ルールの改善や、影響を受けた可能性のあるシステムの調査に利用できる侵害の痕跡と攻撃手法が含まれている。

組織は、データ窃取と暗号化を組み合わせた攻撃にも備えるべきだ。バックアップからファイルを復元すれば業務の復旧に役立つ可能性はあるが、盗まれた情報が流出するリスクをなくすことはできない。

重要インフラや機密性の高い顧客データを管理する組織にとって、当面の優先事項は、公開された侵入口の特定、既知の脆弱性への対処、不要な管理者アクセスの制限、そして復旧システムが容易に無効化されないことの確認だ。

2024年8月以降、少なくとも600の組織が被害を受けていることから、SafePayに関する勧告は、よく知られたセキュリティ上の弱点が広範なランサムウェア攻撃につながり得ることを示している。脆弱なアクセス経路を閉じ、特権アクセスを制限し、バックアップを保護することは、1つの侵害アカウントが組織全体の危機に発展するのを防ぐために不可欠な対策だ。

関連記事：同様の脅威への対策については、eSecurityPlanetの ランサムウェア対策ガイドで、ネットワークの保護、バックアップの安全確保、攻撃による被害の抑制に役立つ実践的な手順を紹介している。