ターゲット
ランサムハブの標的
RansomHubがターゲットにしている国
RansomHubは、主に米国とヨーロッパに被害者を抱え、重要なインフラや主要産業に焦点を当て、世界的な活動を行っている。
同グループは、独立国家共同体（CIS）、キューバ、北朝鮮、中国を標的にすることは避けると主張しているが、これは作戦上の安全な隠れ家や法的保護のためと思われる。
図の出典 サイバリント
RansomHubが標的とする業界
RansomHubは幅広い業種をターゲットにしており、中でもビジネスサービス、小売業、製造業が上位を占めている。その他にも、教育サービス、政府、金融、建設、ヘルスケア、テクノロジー、重要インフラなど、頻繁に影響を受けている。このグループが重要なセクターに焦点を当てていることは、その幅広い活動範囲を浮き彫りにしており、公共団体と民間団体の両方に重大な脅威をもたらしている。
このグループは効率的であるにもかかわらず、非営利団体をターゲットにしていないと主張している。
RansomHubが標的とする業界
RansomHubは幅広い業種をターゲットにしており、中でもビジネスサービス、小売業、製造業が上位を占めている。その他にも、教育サービス、政府、金融、建設、ヘルスケア、テクノロジー、重要インフラなど、頻繁に影響を受けている。このグループが重要なセクターに焦点を当てていることは、その幅広い活動範囲を浮き彫りにしており、公共団体と民間団体の両方に重大な脅威をもたらしている。
このグループは効率的であるにもかかわらず、非営利団体をターゲットにしていないと主張している。
ランサムハブの被害者
RansomHubの出現以来、324を超える組織が被害に遭っており、特に医療システムや政府施設などの公共インフラに重点が置かれている。これらの攻撃は重要なサービスを妨害し、大幅な業務停止と多額の身代金要求につながっている。
攻撃方法
ランサムハブの攻撃手法
RansomHub のアフィリエイトは、フィッシングの電子メール、脆弱性の悪用、パスワードの散布によってアクセス権を獲得します。悪用される一般的な脆弱性には、CVE-2023-3519（Citrix ADC）、CVE-2023-27997（Fortinet）、CVE-2020-1472（Netlogonの権限昇格）などがあります。
いったん内部に侵入すると、アフィリエイトはMimikatzのようなツールを使って特権をエスカレートさせ、侵害されたシステムを完全にコントロールできるようにする。
セキュリティ・ツールを無効にし、ログを消去し、ランサムウェアの実行ファイルの名前を変更してシステム・ファイルに紛れ込ませ、検出を回避する。
アフィリエイトは、クレデンシャルダンプツールとパスワードスプレーを使用して、価値の高いシステムにアクセスするための管理者クレデンシャルを収集する。
ネットワーク偵察は、NmapやPowerShellのようなツールを使って行われ、貴重なターゲットを特定し、さらなる悪用を計画する。
アフィリエイトは、リモート・デスクトップ・プロトコル（RDP）、PsExec、AnyDeskなどのツールを使用して横方向に移動し、ネットワーク内の追加システムにアクセスできるようになります。
機密データはRcloneやWinSCPのようなツールを使って流出し、多くの場合、二重の恐喝目的で、盗まれたデータは身代金交渉のテコとして使われる。
このランサムウェアは被害者のネットワーク上で実行され、Curve 25519楕円曲線暗号を使ってファイルを暗号化する。
データは暗号化されたプロトコル、クラウドアカウント、または攻撃者が管理するサーバーへの直接転送によって流出する。
RansomHub の暗号化によって被害者のシステムは操作不能となり、多くの場合、大規模なオペレーションのダウンタイムが発生します。アフィリエイトはバックアップやボリュームシャドウコピーを削除して復旧作業を阻止し、被害者に身代金を支払うよう最大限の圧力をかけます。
初期アクセス
RansomHub のアフィリエイトは、フィッシングの電子メール、脆弱性の悪用、パスワードの散布によってアクセス権を獲得します。悪用される一般的な脆弱性には、CVE-2023-3519（Citrix ADC）、CVE-2023-27997（Fortinet）、CVE-2020-1472（Netlogonの権限昇格）などがあります。
特権エスカレーション
いったん内部に侵入すると、アフィリエイトはMimikatzのようなツールを使って特権をエスカレートさせ、侵害されたシステムを完全にコントロールできるようにする。
防御回避
セキュリティ・ツールを無効にし、ログを消去し、ランサムウェアの実行ファイルの名前を変更してシステム・ファイルに紛れ込ませ、検出を回避する。
クレデンシャル・アクセス
アフィリエイトは、クレデンシャルダンプツールとパスワードスプレーを使用して、価値の高いシステムにアクセスするための管理者クレデンシャルを収集する。
ディスカバリー
ネットワーク偵察は、NmapやPowerShellのようなツールを使って行われ、貴重なターゲットを特定し、さらなる悪用を計画する。
横の動き
アフィリエイトは、リモート・デスクトップ・プロトコル（RDP）、PsExec、AnyDeskなどのツールを使用して横方向に移動し、ネットワーク内の追加システムにアクセスできるようになります。
コレクション
機密データはRcloneやWinSCPのようなツールを使って流出し、多くの場合、二重の恐喝目的で、盗まれたデータは身代金交渉のテコとして使われる。
実行
このランサムウェアは被害者のネットワーク上で実行され、Curve 25519楕円曲線暗号を使ってファイルを暗号化する。
データ流出
データは暗号化されたプロトコル、クラウドアカウント、または攻撃者が管理するサーバーへの直接転送によって流出する。
インパクト
RansomHub の暗号化によって被害者のシステムは操作不能となり、多くの場合、大規模なオペレーションのダウンタイムが発生します。アフィリエイトはバックアップやボリュームシャドウコピーを削除して復旧作業を阻止し、被害者に身代金を支払うよう最大限の圧力をかけます。
MITRE ATT&CK マッピング
RansomHubが使用するTTP
TA0001: Initial Access
T1566
Phishing
T1190
Exploit Public-Facing Application
TA0002: Execution
T1059
Command and Scripting Interpreter
TA0003: Persistence
No items found.
TA0004: Privilege Escalation
No items found.
TA0005: Defense Evasion
T1562
Impair Defenses
TA0006: Credential Access
T1003
OS Credential Dumping
TA0007: Discovery
No items found.
TA0008: Lateral Movement
T1021
Remote Services
TA0009: Collection
No items found.
TA0011: Command and Control
No items found.
TA0010: Exfiltration
T1048
Exfiltration Over Alternative Protocol
TA0040: Impact
T1486
Data Encrypted for Impact
よくあるご質問(FAQ)
RansomHubは主にどのような業界をターゲットにしていますか？
RansomHubは、ヘルスケア、金融サービス、政府施設などの重要インフラ部門を攻撃する。
RansomHubの影響を最も受けている国は？
このグループは主に米国とヨーロッパの組織を標的にしており、CIS諸国、キューバ、北朝鮮、中国は避けている。
RansomHubはどのようにして最初のアクセスを得るのですか？
アフィリエイトは、既知の脆弱性を悪用し、フィッシング攻撃を使用し、盗んだ認証情報を活用してシステムに侵入する。
RansomHubのデータ流出方法とは？
彼らはRcloneやWinSCPのようなツールを使って、暗号化されたチャンネル経由で機密データを流出させる。
RansomHub はどのようにしてネットワーク内の権限をエスカレートさせるのですか？
アフィリエイトはMimikatzのようなツールを使って認証情報を取り出し、システムレベルの特権にエスカレートする。
RansomHub はどのような暗号化方式を採用していますか？
RansomHubの関連会社は、Curve 25519楕円曲線暗号を使って被害者のファイルをロックする。
RansomHub のアフィリエイトはどのようにして検出を回避するのですか？
セキュリティツールを無効にし、ログを消去し、ランサムウェアの実行ファイルの名前を変更して正規のファイルに紛れ込ませる。
RansomHubは横移動にどのようなツールを使っていますか？
リモート・デスクトップ・プロトコル（RDP）、AnyDesk、PsExecなどのツールは、侵害されたネットワーク内で横方向に移動するために使用されます。
RansomHub攻撃を防ぐには、どのような緩和策が有効か？
フィッシング耐性のある多要素認証 (MFA) の導入、脆弱性へのパッチ適用、ネットワークのセグメント化は、重要な緩和戦略である。
RansomHub攻撃の影響は？
被害者はしばしば、暗号化とバックアップの削除による大幅なダウンタイムとデータ損失を経験し、業務麻痺と高額な身代金要求につながる。