はじめに

Nephilimと言うランサムウェアは、Nefilimとしても知られていますが、2020年にCitrixゲートウェイデバイスの脆弱性を狙って配布されているのが見つかったのが最初です。
Nephilimランサムウェアに関わる攻撃は頻繁で、多くの国の中規模から大規模な組織を標的にしていると記録されています。
Nephilimランサムウェアのアクティブな亜種・変異型に対する復号プログラムはなく、平均身代金要求額は701,494ドルで、ランサムウェアのノートの中に提示されたEメールアドレス経由で支払うことができます。

手口

1. 初期アクセス

脅威アクターは初期アクセスを得るために2つの方法を使います。外部に露出したリモートデスクトッププロトコル（RDP）の設定を狙い、ブルートフォースもしくはCitrixゲートウェイデバイスの既知の脆弱性、CVE-2019-11634やCVE-2019-19781をついてエクスプロイト攻撃をします。脅威アクターが初期アクセスを得て侵入するとすぐに、Nephilimランサムウェア、ファイル、抽出ツールであるMimikatz、AdFind、Cobalt Strikeをダウンロードします。
脅威アクターは、Mimikatzツールを使って、水平移動をするためのクレデンシャルを収集し、それでActive Directoryまで侵入できたら、AdFindツールを使ってActive Directoryを探索します。脅威アクターはまた、Cobalt Strikeもダウンロードし、水平移動を援護します。攻撃目標のネットワークのマッピングをした後、脅威アクターはサーバや共有ネットワークディレクトリから、感染したコンピュータのローカルディレクトリにデータをコピーして、7zipバイナリを使ってそのデータを圧縮します。次にMEGAsync をインストールしますが、これは感染したコンピュータと脅威アクターが所有するクラウド上のドライブとの間でフォルダを同期するのに使われます。これにより脅威アクターは7zip圧縮データを攻撃目標のネットワークから抽出することができます。