Cerberは、2016年初頭に初めて確認されたランサムウェアの一種です。被害者のファイルを暗号化し、ファイルのロック解除に必要な復号鍵と引き換えに身代金を要求するマルウェアです。他の多くのランサムウェアの亜種と同様に、Cerberは通常、個人や組織を標的とし、ファイルを暗号化し、復号鍵と引き換えに身代金（通常はビットコインなどの暗号通貨）を要求します。
テクニカル分析：
Cerberランサムウェアのメインペイロードはカスタムパックされたサンプルであるため、最初はコードを解読できません。サンプルを解凍したところ、実際のペイロードは376165CCD556CD74658AFEA9F6F428F9であることがわかりました（図1参照）。
図1: Cerberの展開
ペイロードが実行されると、特定のミューテックスの存在が確認されます。いずれかのミューテックスが存在する場合、マルウェアは実行を停止します。このミューテックス文字列を用いた検証メカニズムは、ランサムウェアのコードに組み込まれており、同じマシンへの再感染を防ぐ役割を果たします。
図2: ミューテックスの作成
さらに、CryptoAPI を使用してデータを復号化します。これには次の情報が含まれます。
- ブロックリストに登録されたファイル拡張子とフォルダ
- 言語IDに基づいて除外された国
- ターゲット拡張機能
- Base64 で暗号化された公開 RSA キーと HTML 形式の身代金要求メッセージ
- TXT形式の身代金要求書
図3: 復号化されたデータ
ランサムウェアは、攻撃対象からいくつかの国（アルメニア、アゼルバイジャン、ベラルーシ、ジョージア、キルギス、カザフスタン、モルドバ、ロシア、トルクメニスタン、タジキスタン、ウクライナ、ウズベキスタン）を除外することを決定した。
図4: 除外された拡張子、フォルダ、国コード
次に、復号化されたデータを走査し、その値をさらなる暗号化プロセスに使用します。
図5: データの走査
回避テクニック:
Cerberは、Windowsファイアウォールのルールを識別・設定することで、インストールされているファイアウォール、アンチウイルス、アンチスパイウェア製品の実行バイナリからの送信トラフィックをブロックするという高度な機能を発揮します。この戦術は、これらのセキュリティツールの通信と機能を妨害することを目的としており、ランサムウェアが侵害されたシステムに潜伏し、検出を回避する能力を高める可能性があります。この高度な手口は、Cerberの進化を浮き彫りにしており、その影響に対抗しようとするサイバーセキュリティ対策にとって大きな課題となっています。
図6: AVサービスの無効化
C2 接続:
Cerberランサムウェアは、設定ファイル内のCIDRで指定されたIPアドレスのポート6893への接続を確立します。通信パケットの開始には、マシンGUID（MD5_KEY）を先頭に付けたハッシュが含まれます。パケットの末尾には、PARTNER_ID、OSの詳細、IS_X64（システムが64ビットかどうか）、IS_ADMIN（管理者権限）、COUNT_FILES（システム上のファイル数）、STOP_REASON（停止理由）、STATUS（ステータス情報）などのパラメータが含まれます。この通信プロトコルは、指定されたIPアドレスとのデータ交換手段として機能し、ランサムウェアが侵害されたシステム内での高度なやり取りと制御手法を示唆しています。
通信パケットは、マシン GUID: {MD5_KEY} で構成されるハッシュで始まり、{PARTNER_ID}{OS}{IS_X64}{IS_ADMIN}{COUNT_FILES}{STOP_REASON}{STATUS} で終わります。
IPアドレスが変化する形式：ip”:[“93.107.12.0/27″,”95.1.200.0/27″,”87.98.176.0/22”]
図7: C2接続
暗号化機能：
RSA キーを含む 2 つのファイルをドロップし、このキーは暗号化プロセスでさらに使用されます。
図8: tmpファイルにキーの一部を追加する
図9: tmpファイルにキーの一部を追加する
図10: Crypto APIの使用
暗号化ルーチンには RSA および RC4 アルゴリズムが実装されており、図 1800 に示すように、最初の 12 バイトを読み取ってスキップし、残りのコンテンツを暗号化してファイルに書き戻す別の関数である CryptoAPI が使用されます。
暗号化プロセスの後、ランサムウェアは「.a769」という拡張子を付加し、ファイル名を[0-9a-zA-Z_-]{10}のパターンでランダムに生成された文字列に変更します。下の図は、この暗号化を受けたファイルと、ファイル名と拡張子の変更を示しています。
図11: 暗号化されたファイル
図12: ヘッダーから1800バイトをスキップする
ランサムノート:
ランサムウェアは、「__R_E_A_D__T_H_I_S__.html」という名前でTXT形式の暗号化ファイルを含むフォルダに、身代金要求のメッセージを送りつけます。この身代金要求メッセージの中で、脅威アクター（TA）は被害者に対し、TORウェブサイト経由で連絡を取るよう指示しています。さらに、TAは、ランサムウェア攻撃から30日以内に連絡が取れない場合、被害者の機密データを公開メディアやウェブサイトで公開すると警告しています。
図13: TXT形式でドロップされた身代金要求メモ
図14: HTMLファイルにドロップされた身代金要求メッセージ
図15: 変更されたデスクトップの壁紙
暗号化後:
感染後、ランサムウェアは特定の引数を指定したShellExecuteA() API関数を用いて、侵入先システムから自身のファイルを削除します。この動作により、マルウェアは自身の実行ファイルの削除を画策し、暗号化されたファイルとそれに付随する身代金要求メッセージのみを残します。この意図的な自己削除メカニズムは、ランサムウェアが自身の存在を隠蔽し、暗号化されたファイルとそれに伴う身代金要求の持続性を確保しながら、感染後の分析と削除作業を複雑化させようとしていることを示しています。
図16: ShellExecuteA関数を使用した自己削除
Cerberランサムウェアの注意点
Cerberランサムウェアは、被害者のファイルを暗号化し、復号鍵と引き換えに身代金を要求するマルウェアの一種です。Cerberランサムウェア、あるいは一般的なランサムウェアから自分自身とコンピュータシステムを守るためには、様々な予防策を講じることが不可欠です。リスクを最小限に抑えるための対策をいくつかご紹介します。
データを定期的にバックアップします。
重要なデータは定期的に外部デバイスやクラウドサービスにバックアップしておきましょう。そうすれば、ファイルが暗号化されても、身代金を支払って復旧する必要がなくなります。
ソフトウェアを常に最新の状態に保ちます:
オペレーティングシステムと、ウイルス対策プログラムを含むすべてのソフトウェアが最新であることを確認してください。ランサムウェアは、古いソフトウェアの既知の脆弱性を悪用することがよくあります。
強力でユニークなパスワードを使用してください。
すべてのアカウントとデバイスで、強力で複雑なパスワードを使用してください。信頼できるパスワードマネージャーを使用して、強力なパスワードを生成・保存することを検討してください。
2 要素認証 (XNUMXFA) を有効にする:
オンラインアカウントでは、可能な限り2FAを有効にしてください。これによりセキュリティがさらに強化され、攻撃者がアカウントにアクセスするのが難しくなります。
電子メールには注意してください:
特に不明なソースや予期しないソースからのメールの添付ファイルやリンクには注意してください。ランサムウェアはフィッシングメールを通じて配信される可能性があります。
信頼できるウイルス対策プログラムをインストールします。
信頼できるウイルス対策ソフトウェアまたはマルウェア対策ソフトウェアをインストールし、定期的にアップデートしてください。リアルタイムスキャンとランサムウェア対策機能が搭載されていることを確認してください。
ファイアウォールを使用する:
優れたファイアウォールは、侵入してくる脅威をブロックし、マルウェア感染の可能性を低減するのに役立ちます。
定期的に更新およびパッチを適用する:
システムとソフトウェアを常に最新の状態に保ってください。多くのランサムウェア攻撃は、古いソフトウェアの脆弱性を悪用するため、これらの脆弱性にパッチを適用することが不可欠です。
ネットワークセキュリティ：
侵入検知システムなどのネットワーク セキュリティ対策を実装し、ネットワーク トラフィックに異常なアクティビティがないか定期的に監査します。
不審なアクティビティを監視:
早期発見によって感染の拡大を阻止できるため、コンピューターやネットワーク上の異常なアクティビティや疑わしいアクティビティに注意してください。
定期的にバックアップをテストする:
定期的にバックアップをテストして、正常に復元できることを確認します。
SEQRITE 保護：
ランサム.Cerber.S443347
ランサム.Cerber.S126609
ランサム.Cerber.S22591
ランサム.Cerber.S1538045
まとめ：
2016年に初めて確認されたCerberランサムウェアは、高度な回避技術を備えた非常に洗練された脅威です。Windowsファイアウォールルールの設定、特定の国への攻撃の除外、そして侵入したシステムへの永続的な侵入といった機能を備えています。暗号化プロセスにはRSAアルゴリズムとRC4アルゴリズムを組み合わせ、感染後には自己削除メカニズムを使用します。
MITRE ATT&CK TTP:
| コマンドおよびスクリプト インタプリタ | T1059 |
| システム回復の抑制 | T1490 |
| ファイルとディレクトリの検出 | T1083 |
| システム情報の発見 | T1082 |
| インパクトのあるデータ暗号化 | T1486 |
| サービス停止 | T1489 |
IOC：
FE1BC60A95B2C2D77CD5D232296A7FA4
376165CCD556CD74658AFEA9F6F428F9
著者：
ソウメン・ビルマ
ヴァイブハブ・クルシュナ・ビラデ
