Riddle Spider Avaddon ランサムウェア分析と技術的概要

graph TB %% Class definitions classDef action fill:#99ccff classDef tool fill:#ffcc99 classDef malware fill:#ff9999 classDef process fill:#cccccc %% Nodes action_valid_accounts[“<b>アクション</b> – <b>T1078 有効なアカウント</b><br/>攻撃者は盗用または推測された認証情報を使用して初期アクセスを取得し、主に侵害された RDP 資格情報を通じて侵入する。”] class action_valid_accounts action action_rdp[“<b>アクション</b> – <b>T1021.001 リモートサービス: リモートデスクトッププロトコル</b><br/>有効な認証情報を取得後、RDP を使用してラテラルムーブメントおよびリモートコマンド実行を行う。”] class action_rdp action malware_web_shell[“<b>マルウェア</b> – <b>T1505.003 サーバーソフトウェアコンポーネント: Web シェル</b><br/>カスタム Web シェル（例: BLACKCROW、DARKRAVEN）を展開し、永続的なアクセスの維持および侵害サーバー上でのコマンド実行を可能にする。”] class malware_web_shell malware action_c2_comm[“<b>アクション</b> – <b>T1102.002 Web サービス: 双方向通信</b><br/>Web シェルが双方向のコマンド＆コントロール通信チャネルを提供する。”] class action_c2_comm action tool_powershell[“<b>ツール</b> – <b>T1059.001 コマンドおよびスクリプトインタープリタ: PowerShell</b><br/>Empire や PowerSploit などのポストエクスプロイトフレームワークを通じて PowerShell スクリプトを実行する。”] class tool_powershell tool action_auto_collection[“<b>アクション</b> – <b>T1119 自動収集</b><br/>データの持ち出し前にファイルおよび情報を自動的に収集する。”] class action_auto_collection action tool_7zip[“<b>ツール</b> – <b>T1560.001 収集データのアーカイブ: ユーティリティによるアーカイブ</b><br/>7Zip を使用して収集したデータを圧縮する。”] class tool_7zip tool action_exfil_cloud[“<b>アクション</b> – <b>T1567.002 Web サービス経由の持ち出し: クラウドストレージへの持ち出し</b><br/>MEGAsync などのクラウドサービスにアーカイブされたデータをアップロードする。”] class action_exfil_cloud action action_gather_info[“<b>アクション</b> – <b>T1592 ホスト情報の収集</b><br/>ランサムノート作成のため、ハードウェア、ソフトウェア、ファームウェア、クライアント設定情報を収集する。”] class action_gather_info action action_service_stop[“<b>アクション</b> – <b>T1489 サービス停止</b><br/>暗号化の妨害を防ぐため、セキュリティ関連のサービスおよびプロセスを停止・削除する。”] class action_service_stop action action_exclusive_control[“<b>アクション</b> – <b>T1668 排他的制御</b><br/>シャドウコピーを削除し、復旧を防ぐために排他的な制御を取得する。”] class action_exclusive_control action action_inhibit_recovery[“<b>アクション</b> – <b>T1490 システム回復の阻害</b><br/>vssadmin、wbadmin、bcdedit を使用して回復機構を無効化し、シャドウコピーを削除する。”] class action_inhibit_recovery action action_obfuscation[“<b>アクション</b> – <b>T1027 難読化されたファイルまたは情報</b><br/>設定文字列は Base64 エンコードされ、さらに算術演算によって難読化される。”] class action_obfuscation action action_data_encryption[“<b>アクション</b> – <b>T1486 影響を与えるためのデータ暗号化</b><br/>AES-256 を使用して被害者のファイルを暗号化し、ファイルごとにキーを生成し、重要なシステムディレクトリを除外する。”] class action_data_encryption action action_hide_artifacts[“<b>アクション</b> – <b>T1564.012 アーティファクトの隠蔽: ファイル/パス除外</b><br/>システムの安定性を維持するため、特定のディレクトリおよび拡張子を暗号化対象から除外する。”] class action_hide_artifacts action %% Flow connections action_valid_accounts u002du002d>|つながる| action_rdp action_rdp u002du002d>|有効化| malware_web_shell malware_web_shell u002du002d>|提供| action_c2_comm action_c2_comm u002du002d>|使用| tool_powershell tool_powershell u002du002d>|実行| action_auto_collection action_auto_collection u002du002d>|供給| tool_7zip tool_7zip u002du002d>|アーカイブを生成| action_exfil_cloud action_exfil_cloud u002du002d>|完了| action_gather_info action_gather_info u002du002d>|先行| action_service_stop action_service_stop u002du002d>|有効化| action_exclusive_control action_exclusive_control u002du002d>|つながる| action_inhibit_recovery action_inhibit_recovery u002du002d>|準備する| action_obfuscation action_obfuscation u002du002d>|先行| action_data_encryption action_data_encryption u002du002d>|併行| action_hide_artifacts %% Styling class action_valid_accounts,action_rdp,action_c2_comm,action_auto_collection,action_exfil_cloud,action_gather_info,action_service_stop,action_exclusive_control,action_inhibit_recovery,action_obfuscation,action_data_encryption,action_hide_artifacts action class tool_powershell,tool_7zip tool class malware_web_shell malware

攻撃フロー