1716146583
2024-05-17 15:14:51
Black Basta ランサムウェアを使用しているサイバー犯罪者が、ビッシング (音声フィッシング) 攻撃でリモート管理ツール Quick Assist を悪用していることが観察されていると Microsoft が報告しています。
2022 年から活動を開始し、世界中の 500 以上の組織に被害を与えたと考えられている Black Basta は、おそらくサービスとしてのランサムウェア (RaaS) です。 1億ドル以上を受け取った 被害者からの身代金の支払いで。
先週、 米国政府は警告した Black Basta の関連会社は、医療機関を含む北米、ヨーロッパ、オーストラリアの多数の重要インフラ組織をターゲットにし、初期アクセスにソーシャル エンジニアリングと既知の脆弱性の悪用を使用しています。
2024 年 4 月中旬以降、Black Basta の攻撃者が IT 担当者やヘルプデスク担当者になりすまし、被害者に正規のリモート監視および管理ツールをインストールするよう説得し、その後マルウェアの展開に悪用するという悪質な攻撃を行っていることが観察されています。
マイクロソフトによるとでは、脅威アクターが ScreenConnect や NetSupport Manager などのツールをインストールし、続いて Qakbot、Cobalt Strike、Black Basta ランサムウェアを導入したことが確認されています。
この攻撃は、Black Basta の攻撃者が被害者の電子メール アドレスを複数の電子メール サブスクリプション サービスに登録して受信トレイをあふれさせ、その後、標的となった個人の問題解決を支援することを目的とした電話で IT サポートになりすましたことから始まりました。
通話中、攻撃者は被害者に、ユーザーがリモート接続経由でデバイスを共有できるようにする Microsoft アプリケーションである Quick Assist を通じてデバイスへのアクセスを提供するよう説得し、相手がディスプレイを表示したり完全に制御したりできるようにしました。 、通常はトラブルシューティング用です。
「脅威アクターはクイックアシスト機能を悪用し、たとえばマイクロソフトのテクニカルサポートやターゲットユーザーの会社のIT専門家などの信頼できる連絡先を装い、ターゲットデバイスへの初期アクセスを取得し、ソーシャルエンジニアリング攻撃を実行します」とマイクロソフトは説明する。
ユーザーがクイック アシストを通じて画面共有を有効にすると、攻撃者はデバイスに対する完全な制御を要求し、ユーザーがそれを承認した後、被害者の資格情報を要求する偽のスパム フィルターをインストールするバッチ スクリプトを含む、悪意のあるペイロードを展開するコマンドを実行しました。
観察された攻撃の一部では、Qakbot が被害者のシステムに導入され、Black Basta 攻撃者によるものと考えられる Cobalt Strike インプラントが配信されました。
さらに、攻撃者は ScreenConnect を使用して永続性を獲得し、横方向に移動し、PsExec を使用してドメインの列挙やネットワーク全体でのランサムウェアの展開などのキーボード操作によるアクティビティを追跡しました。
Microsoftは、テクニカルサポート詐欺の可能性をユーザーに通知するアラートを組み込むことで、悪意のある攻撃におけるQuick Assistの悪用を軽減するのに役立つと述べている。
関連している： シールドアップ: ランサムウェアへの露出を最小限に抑える方法
関連している： LockBit ランサムウェアの首謀者が正体を暴かれ、起訴される
#Microsoft #Quick #Assistツールがランサムウェア配信に悪用される