SafePayランサムウェア：戦術、技術、対抗手段

要約

SafePayランサムウェアのアクターは、認証情報の盗難、フィッシング、既知の脆弱性の悪用を通じて企業や重要なインフラを標的としています。彼らは管理アカウントを操作して持続的な活動を維持し、横方向の移動には通信基盤を利用した技術を多用します。この攻撃は通常、データの抽出と、それに続くハイブリッドChaCha20-RSA暗号化、仮想通貨による身代金の要求で終了します。

調査

この調査はFBI、USSS、CISA、ドイツのLandeskriminalamt Rheinland-Pfalz、英国のNCAおよびNWROCUの共同で実施されました。この調査結果は2026年8月まで行われた調査に基づいています。2024年8月以降、SafePayのアクターは複数の産業や重要セクターに亘り、少なくとも600の被害者に影響を与えました。

緩和策

組織は、特にエッジデバイスやファイアウォールに影響を与える既知の脆弱性の修正を優先する必要があります。ゼロトラストの原則、マルチファクター認証（MFA）、強力なアイデンティティおよびアクセス管理（ICAM）のコントロールを適用することが重要です。変更不可なオフラインのバックアップを維持し、ネットワークの分割を強制することもランサムウェア攻撃の潜在的な影響を大幅に減少させる可能性があります。

対応

SafePayの活動が検出された場合、組織は侵害されたシステムを隔離し、脅威ハンティングを行って侵入の全容を把握すべきです。インシデントはFBIまたはIC3を含む関連する法執行機関に報告されるべきです。封じ込めの後、脅威を排除し再進入を防ぐために影響を受けた環境を強化する戦略を適用します。

シミュレーション実行

• 攻撃の流れとコマンド: 敵対者は初期アクセスを得て、横方向の移動のための高価値ユーザーアカウントを特定するための内部調査を実行しています。SafePayランサムウェアのプレイブックに従い、攻撃者は ShareFinder.ps1 という名前の特別なPowerShellスクリプトを実行し、ネットワーク共有をマッピングした後、 net user コマンドを使用して cmd.exe 経由でローカルのユーザーアカウントを列挙します。これらの特定のアクションは、SOCがアラートを受信しているかどうかを検証するための検出ルールをトリガーすることを意図しています。

• 回帰テストスクリプト:

  # SafePayの検出検証のためのシミュレーションスクリプト
  
  Write-Host "[+] シミュレーションを開始します..." -ForegroundColor Cyan
  
  # 1. PowerShell 'ShareFinder.ps1'の実行をシミュレート
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  "Write-Host '共有をスキャンしています...'" | Out-File -FilePath $scriptPath -Encoding ascii
  Write-Host "[+] ShareFinder.ps1を実行中..." -ForegroundColor Yellow
  Start-Process powershell.exe -ArgumentList "-File `"$scriptPath`"" -WindowStyle Hidden
  
  Start-Sleep -Seconds 2
  
  # 2. cmd.exe経由で 'net user' をシミュレート
  Write-Host "[+] 'net user' をcmd.exe経由で実行中..." -ForegroundColor Yellow
  Start-Process cmd.exe -ArgumentList "/c net user" -WindowStyle Hidden
  
  Write-Host "[+] シミュレーションコマンドを送信しました。" -ForegroundColor Green

• クリーンアップコマンド:

  # シミュレーションのアーティファクトをクリーンアップ
  $scriptPath = Join-Path $env:TEMP "ShareFinder.ps1"
  if (Test-Path $scriptPath) {
      Remove-Item $scriptPath -Force
      Write-Host "[+] クリーンアップ: $scriptPathを削除しました" -ForegrounColor Green
  } else {
      Write-Host "[!] クリーンアップ: スクリプトが見つかりません, 削除するものはありません。" -ForegroundColor Gray
  }