DragonForceランサムウェア実戦検知：PLURA-XDRで防いだ脅威

🧩 DragonForceランサムウェア概要

💡 DragonForceブログ

• 被害者リストの公開

  

  ランサムウェア運営グループは、被害を受けた企業や機関のリストをブログ上で公開し、脅迫手段として使用します。

• 被害者ファイルの投稿

  

  交渉が遅延または拒否された場合、窃取した内部文書や機密ファイルをアップロードし、さらなる圧力を加えます。

⚙️ 動作メカニズム

① 復号不可能なファイル暗号化

• ChaCha8を使用した高速なファイル暗号化
• セッションキーはRSA-4096で暗号化

② バックアップおよび復元機能の無効化

• vss呼び出し
• cmd.exe /c C:\Windows\System32\wbem\WMIC.exe shadowcopy where "ID='{***}'" deleteを実行

③ 検知回避および自動実行の登録

• RunOnceレジストリに永続化を登録
• readme.txtのランサムノートを生成し、ユーザーデスクトップに配置

❗検出が難しい理由

🛡️ MITRE ATT&CKマッピング

🔍 PLURA-XDR検出戦略に基づくルール要約

主な現象

• 変更された背景画像

  

  感染後、デスクトップの背景が脅迫メッセージを含む画像に変更され、ユーザーにランサムウェア感染を認識させ、心理的圧力を与えます。

• 生成されたランサムノート

  

  各ディレクトリにreadme.txt形式のランサムノートを生成し、復号手順を提供します。

• ファイルアイコンの変更

  

  暗号化されたファイルは.dragonforce_encrypted拡張子に変更され、既定プログラムとの関連付けが解除されてアイコンが異常に表示されます。

• DragonForceメッセンジャーサポート

  

  

  被害者が直接攻撃者と連絡を取れるように、Torベースのメッセンジャーページを運営し、交渉や復号テストを促します。

  

  最大3ファイル、4MBサイズまでのファイル復旧を提供し、信頼性を示す機能も備えています。

実戦におけるPLURA-XDR検出

この分析は、PLURA-XDRにより検出されたDragonForceランサムウェアの特徴をもとに作成されました。

• 相関分析による検出

  

  PLURA-XDRでは、イベントベースの検出だけでなく、さまざまな攻撃段階を相関的に分析することで、DragonForceのような多段階ランサムウェアの挙動を精密に検出できます。

PLURA 検出詳細

1. ボリュームシャドウの削除検出

   <EventData>
   	<Data Name="SubjectUserSid">SID</Data>
   	<Data Name="SubjectUserName">qubit</Data>
   	<Data Name="SubjectDomainName">DESKTOP-Qubit</Data>
   	<Data Name="SubjectLogonId">0x1dedd</Data>
   	<Data Name="NewProcessId">0x16d8</Data>
   	<Data Name="NewProcessName">C:\Windows\System32\wbem\WMIC.exe</Data>
   	<Data Name="TokenElevationType">%%1937</Data>
   	<Data Name="ProcessId">0x538</Data><Data Name="CommandLine">C:\Windows\System32\wbem\WMIC.exe  shadowcopy where "ID='{ID}'" delete</Data>
   	<Data Name="TargetUserSid">S-1-0-0</Data>
   	<Data Name="TargetUserName">-</Data>
   	<Data Name="TargetDomainName">-</Data>
   	<Data Name="TargetLogonId">0x0</Data>
   	<Data Name="ParentProcessName">C:\Windows\System32\cmd.exe</Data>
   	<Data Name="MandatoryLabel">S-1-16-12288</Data>
   </EventData>
   

2. プロセス終了の検出

   <EventData>
   	<Data Name="RuleName">-</Data>
   	<Data Name="UtcTime">2025-07-02 07:28:52.533</Data>
   	<Data Name="ProcessGuid">{abcde123-abc9-1234-a100-000000000300}</Data>
   	<Data Name="ProcessId">7652</Data>
   	<Data Name="Image">C:\Users\qubit\AppData\Local\Microsoft\OneDrive\OneDrive.exe</Data>
   	<Data Name="User">DESKTOP-QUBIT\qubit</Data>
   </EventData>
   

3. ファイルおよびディレクトリの権限変更検出

   <EventData>
   	<Data Name="SubjectUserSid">SID</Data>
   	<Data Name="SubjectUserName">qubit</Data>
   	<Data Name="SubjectDomainName">DESKTOP-QUBIT</Data>
   	<Data Name="SubjectLogonId">0x1dedd</Data>
   	<Data Name="ObjectServer">Security</Data>
   	<Data Name="ObjectType">File</Data>
   	<Data Name="ObjectName">C:\ProgramData\Microsoft\User Account Pictures\user-40.png</Data><Data Name="HandleId">0x864</Data>
   	<Data Name="TransactionId">{00000000-0000-0000-0000-000000000000}</Data>
   	<Data Name="AccessList">%%1538\r\n\t\t\t\t%%1541\r\n\t\t\t\t%%4416\r\n\t\t\t\t%%4417\r\n\t\t\t\t%%4418\r\n\t\t\t\t%%4419\r\n\t\t\t\t%%4420\r\n\t\t\t\t%%4423\r\n\t\t\t\t%%4424\r\n\t\t\t\t</Data>
   	<Data Name="AccessReason">%%1538:\t%%1801\tD:(A;;FA;;;BA)\r\n\t\t\t\t%%1541:\t%%1801\tD:(A;;FA;;;BA)\r\n\t\t\t\t%%4416:\t%%1801\tD:(A;;FA;;;BA)\r\n\t\t\t\t%%4417:\t%%1801\tD:(A;;FA;;;BA)\r\n\t\t\t\t%%4418:\t%%1801\tD:(A;;FA;;;BA)\r\n\t\t\t\t%%4419:\t%%1801\tD:(A;;FA;;;BA)\r\n\t\t\t\t%%4420:\t%%1801\tD:(A;;FA;;;BA)\r\n\t\t\t\t%%4423:\t%%1801\tD:(A;;FA;;;BA)\r\n\t\t\t\t%%4424:\t%%1801\tD:(A;;FA;;;BA)\r\n\t\t\t\t</Data>
   	<Data Name="AccessMask">0x12019f</Data>
   	<Data Name="PrivilegeList">-</Data>
   	<Data Name="RestrictedSidCount">0</Data>
   	<Data Name="ProcessId">0x17f0</Data>
   	<Data Name="ProcessName">C:\Users\qubit\Desktop\70afd8efb34382badead93ae104d958256de6be8054227ccc85fe95d5c5f9db0\70afd8efb34382badead93ae104d958256de6be8054227ccc85fe95d5c5f9db0.exe</Data><Data Name="ResourceAttributes">-</Data>
   </EventData>
   

4. ランサムファイル変更の検出

    <EventData>
   	 <Data Name="RuleName">-</Data>
   	 <Data Name="UtcTime">2025-07-02 07:29:00.063</Data>
   	 <Data Name="ProcessGuid">{abcde123-abc9-1234-a100-000000000300}</Data>
   	 <Data Name="ProcessId">6128</Data>
   	 <Data Name="Image">C:\Users\qubit\Desktop\DragonForce.exe</Data>
   	 <Data Name="TargetFilename">C:\Users\Default\Documents\readme.txt</Data>
   	 <Data Name="CreationUtcTime">2025-07-02 07:29:00.063</Data>
   	 <Data Name="User">DESKTOP-QUBIT\qubit</Data>
   </EventData>
   

対応およびセキュリティ推奨事項

• Defender の「制御されたフォルダーアクセス（CFA）」機能を有効化
• VSS サービスの状態を定期的にモニタリングし、変更イベントを通知

📚 PLURA-Blog

• 今ランサムウェアが進行中であるか確認できますか？
• 高度なランサムウェア対応戦略：ノートパソコンの電源遮断がなぜ重要か
• 脅迫型DDoS攻撃、ランサムDDoS（RansomDDoS）
• PCとサーバーのウイルス対策はWindows Defenderだけで十分か