Dispossessorのテイクダウン

Dispossessorは、ランサムウェアグループです。
別名はRadarです。
2023年の夏以降に活動が確認されていて、大きな活動を展開していました。
しかし、今回、いくつもの国の法執行機関の協力した作戦において、活動場所となっているシステムの多くが取り押さえられました。
米国のサーバー3つ、英国のサーバー3つ、ドイツのサーバー18つ、米国の犯罪ドメイン8つ、ドイツの犯罪ドメイン1つが、活動を継続できない状態になりました。
英国国家犯罪庁、バンベルク検察庁、バイエルン州刑事警察局（BLKA）、オハイオ州北部地区の米国検察局が連携した作戦でした。

これまでのDispossessorの活動は、よくあるランサムウェアグループの内容となっていました。
Dispossessorは、脆弱なコンピュータシステム、脆弱なパスワード、二要素認証の欠如を特定し、被害者企業を隔離して攻撃しました。
犯罪者がシステムにアクセスすると、管理者権限を取得し、ランサムウェアを使って暗号化を実行しました。
そして、被害者となった企業は自社のデータにアクセスできなくなりました。
企業が攻撃を受けた後、犯罪者に連絡を取らなかった場合、グループは電子メールまたは電話を通じて、被害者企業の他のユーザーに積極的に連絡を取りました。
電子メールには、以前に盗まれたファイルが提示されたビデオプラットフォームへのリンクも含まれていました。
こういった取り組みは、脅迫の圧力を高め、支払いしたくなる状況に追い込むことが目的でした。
そして、攻撃者はリークサイトで侵害の状況を発表し、身代金が支払われない場合に、被害者のデータが公表されるまでのカウントダウンを行いました。

ここのところ、脆弱性に依存しない攻撃の事例の増加がみられます。
しかし、Dispossessorなどのランサムウェアグループの活動には、脆弱性の悪用が前提となっているケースも多くみられます。
規模の大きな特定の犯罪グループの活動が継続できなくなったことは良いニュースですが、だからといって、安心できる状態になったわけではありません。
引き続き、良好なパッチケイデンスを維持していこうと思います。

International Investigation Leads to Shutdown of Ransomware Group
“Radar/Dispossessor” servers and domains successfully dismantled

https://www.fbi.gov/contact-us/field-offices/cleveland/news/international-investigation-leads-to-shutdown-of-ransomware-group