JanaWareランサムウェア、Adwind RATを介してトルコを標的に

概要

ある脅威クラスターが、特定のJavaベースのAdwind RATの変種を使用して、JanaWareとして知られるランサムウェアペイロードを展開しています。この活動は主にトルコのユーザーを対象としており、マルウェアは実行を続行する前にロケールとIPベースのチェックを行います。研究者は2020年から関連するサンプルを追跡しており、最近のコマンドアンドコントロール活動から、このキャンペーンが2025年まで活動を継続していることが示されています。

調査

Acronis TRUチームは、OutlookとChromeを通じて実行されたフィッシングメールを介して配布された悪意のあるJARファイルを調査しました。実行されると、感染チェーンは javaw.exeに移行し、カスタマイズされたAdwind RAT株を読み込んだ後、JanaWareランサムウェアコンポーネントを展開しました。分析では、ポリモーフィックJARファイルの使用、Torベースのコマンドアンドコントロールインフラ、およびトルコ語で書かれた身代金要求メモの使用も示されています。

緩和策

防御者は悪意のあるドメイン elementsplugin.duckdns.org および関連するポートをブロックし、環境全体で署名されていないJava JARファイルの実行を制限するべきです。セキュリティチームは、Google Driveからのダウンロードに関連する疑わしい chrome.exe のコマンドラインを監視し、フィッシング配信に対するメール保護を強化する必要があります。エンドポイントディフェンスは、Adwind RATの挙動を特定し、ランサムウェア実行に関連する疑わしいファイル暗号化活動を特定するように調整すべきです。

対応

感染が疑われる場合、直ちに影響を受けたシステムを隔離し、 javaw.exe および関連する悪意のあるプロセスを終了し、シャットダウンまたはクリーンアップ前に揮発性の証拠を収集します。復旧活動は、確認済みのクリーンバックアップからのファイル復元を優先するべきです。インシデント対応チームは、利用可能なコマンドアンドコントロールテレメトリを収集し、身代金の要求または脅迫が関与している場合には法執行機関への通知が適切かどうか評価するべきです。

シミュレーション実行

前提条件: テレメトリー＆ベースライン事前チェックが合格している必要がある。

理由: このセクションは、検出ルールをトリガーするように設計された敵の技術 (TTP) の正確な実行を詳述しています。コマンドとレポートは、特定されたTTPを直接反映し、検出ロジックに期待される正確なテレメトリーを生成することを目的としています。

• 攻撃の概要＆コマンド:
  低権限のユーザーアクセスを得た攻撃者は、ランサムウェア展開の道を開くためにWindows Defenderを無効にすることを意図しています。署名された powershell.exe バイナリ (T1218.001)を利用して、攻撃者はリアルタイム監視を無効化し、クラウドベースの保護を無効にするワンライナーを実行し、したがってエンドポイントの防御態勢を弱体化します。

  # リアルタイム監視とクラウド保護を無効化
  Set-MpPreference -DisableRealtimeMonitoring $true -MAPSReporting Disable

  このコマンドラインには Set-MpPreference というキーワードが含まれており、これは検出ルールの 選択 基準と一致します。

• リグレッションテストスクリプト: 以下のセルフコンテインドされたPowerShellスクリプトは、攻撃を再現し、テレメトリーが生成されることを保証します。

  # ==============================
  # シミュレーション: Microsoft Defenderを無効にする
  # ==============================
  try {
      Write-Host "[*] リアルタイム監視を無効にしています..."
      Set-MpPreference -DisableRealtimeMonitoring $true -MAPSReporting Disable
      Write-Host "[+] Defenderが無効になりました。"
  } catch {
      Write-Error "Defenderの設定を変更できませんでした: $_"
  }

• クリーンアップコマンド: エンドポイントを露出させたままにしないために、元のDefenderの設定を復元します。

  # リアルタイム監視とクラウド保護を再有効化
  Set-MpPreference -DisableRealtimeMonitoring $false -MAPSReporting Advanced
  Write-Host "[*] Defenderが初期状態に復元されました。"