8BASE
8Baseは、二重恐喝戦術を巧みに活用し、Phobosなどの既知ランサムウェアの改変版を含む手口で、世界中の数多くの組織に影響を与える重大なサイバーインシデントを仕掛けてきた。その執拗かつ進化し続ける戦略によって、被害は拡大し続けている。
8Baseの起源
2022年3月に出現した8Baseランサムウェアグループは、初期の攻撃以降、比較的静かな状態を保っていました。しかし、2023年5月中旬から6月にかけて活動が急増し、様々な業種の組織を標的とし、わずか3ヶ月で131人の被害者を記録しました。8Baseは、被害者への圧力効果の高さからサイバー犯罪者の間で人気が高まっている二重脅迫戦術を採用しています。2023年3月には、データ漏洩サイトを立ち上げ、誠実で簡潔なコミュニケーションをイメージさせる活動を展開しました。
このグループの活動の起源、その全容、手法、そして動機は、依然として謎に包まれています。興味深いことに、8Baseは独自に開発したランサムウェアを持っていません。その代わりに、研究者たちは、このグループが流出したランサムウェアビルダー（例えば、暗号化されたファイルに「.8base」を追加するように改変したPhobosランサムウェアの亜種）を利用して身代金要求メッセージをカスタマイズし、攻撃を自らの活動であるかのように見せかけていることを発見しました。VMwareは、8BaseとランサムウェアグループRansomHouseの類似点を指摘するレポートを公開し、両者のウェブサイトと身代金要求メッセージの類似点を指摘しました。一部のサイバーセキュリティ関係者の間では、8Baseのインフラは、別の悪名高いランサムウェア活動から流出したツールセットであるBabukビルダーを使用して開発されたという説が有力ですが、一方でRansomHouseの派生であると考える人もいます。
2025年2月、大規模な国際法執行機関による捜査の結果、8Baseグループに関与していたロシア国籍の人物4名が逮捕されました。この取り締まりはPhobosランサムウェアも標的とし、同グループのネットワークに接続されたサーバー27台が押収されました。これは、ランサムウェア攻撃を阻止するために世界各国の当局が協調して取り組む動きが高まっている中での措置であり、ユーロポールは情報交換と国境を越えた協力の促進において重要な役割を果たしています。
8Baseの標的国
8Baseがターゲットとする業界
8Baseは主に中小企業 (SME) を標的とし、その攻撃対象は様々な業界に及びました。
このグループは、ビジネスサービス、金融、製造、情報技術などの分野に特に関心を示しました。
この特定のターゲット設定は、これらの分野の企業は多額の身代金を支払う可能性が高いと考えているため、またはこれらの企業が保有するデータがより機密性が高く、価値があると考えられるためである可能性があります。
ソース SOCRadar
8Baseの被害対象
8Baseの攻撃方法
8Base のハッカーは、多くの場合、フィッシング キャンペーンを展開して隠されたペイロードを配信したり、Angry IP Scanner などのツールを使用して脆弱なリモート デスクトップ プロトコル (RDP) ポートを識別して悪用したりして攻撃を開始します。
彼らは、公開されている RDP サービスにアクセスするために ブルート フォース攻撃 を使用し、その後、被害者のプロファイルを作成し、標的の IP との接続を確立するための調査を実施しました。
8Base は、トークンのなりすましと盗難を実行することで、侵害を受けたシステムに対する制御を強化しました。
この手法では、DuplicateToken() 関数を使用してシステム トークンを操作し、攻撃者が慎重に権限を昇格できるようにします。
この重要なステップにより、即座に検知されることなく、システムのより機密性の高い領域にアクセスできるようになりました。
ステルス性を維持し、セキュリティ防御による検出を回避するために、8Base はいくつかの重要な戦略を採用しました。
攻撃者は、MS Office などのよく使用されるアプリケーションとセキュリティ ソフトウェアの両方をターゲットにして、さまざまなプロセスを終了し、悪意のある活動に対してより脆弱な環境を作り出しました。
さらに、彼らはソフトウェア パッキングを利用して悪意のあるファイルを難読化し、具体的には Phobos ランサムウェアをメモリにパッキングして、セキュリティ ツールによるマルウェアの識別とブロックを困難にしました。
ディスカバリーフェーズでは、8Base は WNetEnumResource() 関数を使用してネットワーク共有の検出を実行し、ネットワーク リソースを系統的にクロールしました。
これにより、貴重なターゲットを特定し、ネットワークの構造を理解することができ、より効果的なラテラルムーブメントとデータ収集を促進できるようになりました。
影響段階は、8Base の行為が被害者に重大な混乱をもたらした段階です。
攻撃者は、シャドウ コピーやバックアップ カタログの削除、システムの修復を防ぐためのブート構成の変更など、システムの回復を妨げるコマンドを実行しました。
これらの行為は、ファイルをロックするための AES 暗号化の使用と相まって、データの復旧を困難にするだけでなく、被害者が身代金要求に応じるプレッシャーも増大させます。
このフェーズでは、8Base がシステムに侵入して移動するだけでなく、影響を受けた組織に永続的な影響を与える能力があることが実証されました。
8Base のハッカーは、多くの場合、フィッシング キャンペーンを展開して隠されたペイロードを配信したり、Angry IP Scanner などのツールを使用して脆弱なリモート デスクトップ プロトコル (RDP) ポートを識別して悪用したりして攻撃を開始します。
彼らは、公開されている RDP サービスにアクセスするために ブルート フォース攻撃 を使用し、その後、被害者のプロファイルを作成し、標的の IP との接続を確立するための調査を実施しました。
8Base は、トークンのなりすましと盗難を実行することで、侵害を受けたシステムに対する制御を強化しました。
この手法では、DuplicateToken() 関数を使用してシステム トークンを操作し、攻撃者が慎重に権限を昇格できるようにします。
この重要なステップにより、即座に検知されることなく、システムのより機密性の高い領域にアクセスできるようになりました。
ステルス性を維持し、セキュリティ防御による検出を回避するために、8Base はいくつかの重要な戦略を採用しました。
攻撃者は、MS Office などのよく使用されるアプリケーションとセキュリティ ソフトウェアの両方をターゲットにして、さまざまなプロセスを終了し、悪意のある活動に対してより脆弱な環境を作り出しました。
さらに、彼らはソフトウェア パッキングを利用して悪意のあるファイルを難読化し、具体的には Phobos ランサムウェアをメモリにパッキングして、セキュリティ ツールによるマルウェアの識別とブロックを困難にしました。
ディスカバリーフェーズでは、8Base は WNetEnumResource() 関数を使用してネットワーク共有の検出を実行し、ネットワーク リソースを系統的にクロールしました。
これにより、貴重なターゲットを特定し、ネットワークの構造を理解することができ、より効果的なラテラルムーブメントとデータ収集を促進できるようになりました。
影響段階は、8Base の行為が被害者に重大な混乱をもたらした段階です。
攻撃者は、シャドウ コピーやバックアップ カタログの削除、システムの修復を防ぐためのブート構成の変更など、システムの回復を妨げるコマンドを実行しました。
これらの行為は、ファイルをロックするための AES 暗号化の使用と相まって、データの復旧を困難にするだけでなく、被害者が身代金要求に応じるプレッシャーも増大させます。
このフェーズでは、8Base がシステムに侵入して移動するだけでなく、影響を受けた組織に永続的な影響を与える能力があることが実証されました。
8Baseが使用するTTP
Vectra AIで脅威アクターを検知する方法
Vectra AI プラットフォームで利用可能なランサムウェア攻撃を示す検知
よくある質問 (FAQ)
8Baseとは何ですか？
8Base は、さまざまな分野の中小企業を主にターゲットにした、積極的な恐喝戦術で知られるランサムウェア グループです。
権限昇格、防御回避、データ暗号化を含む高度な攻撃チェーンを利用して、被害者から身代金を強要します。
8Baseはどのようにしてネットワークにアクセスするのですか？
8Base は通常、フィッシング メールやエクスプロイト キットを通じて最初のアクセスを取得し、これらのベクトルを使用してランサムウェアを展開したり、標的のシステムに足場を築いたりします。
8Base攻撃で最も危険なのはどの分野か？
8Base は、ビジネス サービス、金融、製造、情報技術の各分野の企業を攻撃対象とすることを好む傾向があるが、これはこれらの企業のデータの機密性や、より高額の身代金を支払う能力があると見なされていることが理由と考えられる。
8Baseは特権の昇格にどのようなテクニックを使っているのか？
8Baseは、トークンのなりすましと窃取を使用して特権の昇格を行い、侵害されたシステム内でより高いアクセス・レベルを得るためにシステム・トークンを操作します。
8Baseはどのようにして検知や防御機構を回避するのか？
8Baseは、従来のセキュリティ・ツールによる検出を回避するために、セキュリティ関連のプロセスを終了させたり、ソフトウェア・パッキングによって悪意のあるファイルを難読化したりするなどのテクニックを採用している。
組織はどのようにして 8Base の侵入を検知し、対応できるのでしょうか?
組織は、8Baseのようなグループに特徴的なランサムウェアの活動をリアルタイムで分析・検知するAI主導の脅威検知プラットフォームを導入することで、検知およびレスポンス 機能を強化することができます。
8Base は侵害を受けた組織にどのような影響を与えますか?
8Baseの影響には、機密ファイルの暗号化、システム復旧作業の阻害、潜在的なデータ流出が含まれ、業務の中断、経済的損失、風評被害につながります。
8Baseランサムウェア攻撃に対する効果的な予防策とは？
効果的な対策としては、定期的なデータバックアップ、フィッシングに関する従業員の意識向上トレーニング、脆弱性のタイムリーなパッチ適用、ランサムウェア活動を検知して軽減できる高度なセキュリティ ソリューションの導入などが挙げられます。
8Baseは他のランサムウェアのグループや活動にリンクしていますか？
8Base の運用戦術や言語によるコミュニケーションスタイルの類似性から、8Base は RansomHouse などの他のランサムウェア グループと関係があるか、あるいはそこから進化したのではないかという推測があります。
サイバーセキュリティの専門家は、8Baseのインシデントを調査するためにどのようなツールや戦略を利用できるのか？
サイバーセキュリティの専門家は、フォレンジック分析ツール、脅威インテリジェンスプラットフォーム、AI主導のセキュリティソリューションを活用して、インシデントを調査し、攻撃ベクトルを明らかにし、8Base の活動に関連する侵害の指標 (IOC) を特定することができます。