本ブログ記事はサイバー犯罪マーケット「Genesis」のサプライチェーンについて解説するシリーズの第一弾です。年から運営されており、革新的なモデルによって成功を収めています。つのグループに分類しました。万台以上が情報窃取型マルウェア「AZORult」に感染した端末であり、「Genesis」の脅威アクターは毎月数万台単位で「AZORult」への感染を拡大している活動に関与していることが判明しました。「Genesis」は必ずしもそのような活動を主導しているわけではなく、むしろさまざまなマルウェア・アズ・ア・サービス(MaaS)プロバイダーおよびサイバー犯罪サービスと協力関係を結んでいるようです。「Genesis」を広く知られたコモディティマルウェアと結びつけるこの発見は、ボットによって不正に取得したデータの急増とそれらが現在進行形で法人組織に脅威をもたらしていることを明らかにするものです。サイバー犯罪のエコシステムで活動している脅威アクター間のサプライチェーン関係にも光を当てます。次回以降のブログ記事では特定の脅威アクターやトレンドを取り上げながらこのテーマについて探求します。はじめに「Genesis」については、法人組織に与える脅威、同マーケットが提供するツールに組み込まれたネイティブのフィンガープリンティング機能、あるいは(弊社のブログ記事ですが)サイバー犯罪のビジネスモデルにおける変化など、これまでにも多くのことが書かれてきました。端末の情報を監視しています。このリアルタイムアラートにより、脅威インテリジェンスチームやインシデントレスポンスチームは自社に関連する脅威に適宜対処することができます。その一方で、お客様の多くは「Genesis」について背景情報も含めてより広範に「Genesis」を理解することに関心を持たれています。ボットネットである」と記載されています。点に着目し調査を実施しました。本調査の目的は行動指針を策定するための脅威レベルの評価です。ある企業でエンドポイントがマルウェアに感染し窃取された情報が「Genesis」で販売されていることが判明した場合、インシデントレスポンスチームが次に取るべき行動は何でしょうか?脅威の検知および封じ込めフェーズでやるべきことは?ネットワーク内での感染拡大や今後の配送が予想されるペイロードは?サイバー犯罪者たちがグループを越えて関係を結びジョイントキャンペーンを実施する時代に、「Genesis」の脅威アクターが金銭目的のサイバー犯罪エコシステムに新しく出現した脅威グループとして自身をどのように位置づけているか理解することは防御側にとって非常に有益です。業務の中でサイバー犯罪に関連した大量のデータにアクセスします。千台にも及ぶ感染端末のデータおよびメタデータを取得しキャッシュしています。日常的にマルウェア解析を行っているわけではなく、調査対象となる特定の感染事例の情報は持っていません。そのため、ネットワークあるいはエンドポイントに残った痕跡からではなく、「Genesis」に掲載された感染端末の情報を通して外部のサービスプロバイダーとしてお客様への影響を認知します。実際のマルウェア検体にはアクセスできません。入手できない状況でどのようにキャンペーンを分析できるのかということです。はじめに「Genesis」に掲載されている典型的な情報について解説します。Metadata」は感染端末に関する背景情報です。#2」、...と並んでいる部分は感染端末から窃取された認証情報とそれに付随する詳細情報です。購入者はこの情報を使用して感染端末の正規ユーザーになりすまし、銀行や通販などのさまざまなオンラインサービスにログインします。注目すべきことに、「Genesis」は情報窃取型マルウェアによって収集したデータを販売する他の脅威アクターたちとは異なり、端末を感染させたマルウェアの種類は明示していません。他のマーケットや販売者が使用したバンキングトロジャンの種類を明らかにしている一方で、「Genesis」は入手したデータを自身のものとしてリブランドしているようです。2:別のマーケットで販売されているボット情報。情報窃取型マルウェア「Vidar」の名前が記載されている。主な関心は「Genesis」が意識的に隠蔽している情報、つまりマルウェアの種類です。これを念頭に置き、利用可能なデータから類推する手法を用いて調査を行いました。GUID、モジュール、感染日が有効であることが判明しました。調査を始めるにあたり、「ボット名」(掲載されているボット情報のタイトル)は「Genesis」全体で固有の識別子だと想定し、これをボットの「GUID」と呼ぶことにしました。並んだ構造を持っていることが見て取れます。掲載されたボット情報がすべてこのパターンに従っているわけではありません。構造が認められました。パターンを使用してマルウェアの種類を分類できるはずです。つのマルウェアを割り当てました。これは事実上「Genesis」にボット情報を供給する各サプライチェーンとマルウェアとを対応付けしたことになります。具体的には次の手順に従って分類を行いました。分割し、区切られた部分をトークンに置き換える。すべてのトークンから意味を持つと思われる文字列を抽出し一覧を作成する。