Redline Infostealer の進化

リサーチとインテリジェンス / 10.29.21 / The BlackBerry Research and Intelligence Team

本ブログ記事は、2021年10月21日に米国で公開されたBlackBerryのブログ記事の抄訳版です。原文はこちらからご覧頂けます。

概要

Redline Infostealer は主にフィッシングメール経由で感染する名の知られたマルウェアの一種です。BlackBerry が以前公開したRedline の Threat Thursday ブログでは、この脅威がもたらす危険性とその機能について解説を行いました。最近の調査により、BlackBerry の研究員が Redline Infostealerのコマンドアンドコントロール (C2) 通信の実現方法に大幅なアップデートがあったことを発見しました。

以前のRedline Infostealerでは HTTP 上でSOAP (Simple Object Access Protocol) データを用いて C2 通信を実現していました。しかし、現在の Redline Infostealer はバイナリデータに変換した SOAP データをNet.TCP ポート共有プロトコルを用いて C2 通信を実現しています。このアップデートにより、感染端末と C2 サーバの間でどのようなデータを送受信しているのかを把握することがより一層困難となります。

&amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;amp;nbsp;

BlackBerry VS RedLine InfoStealer (アップデート)

オペレーティングシステム

リスクと影響

技術的解析

Redline は2020 年に発見されており、2021 年 4 月以降、より一層 RedLine が蔓延しています。今回のRedline のアップデートは、核となる情報搾取機能について大きな変更はないものの、被害者端末とC2サーバ間の通信メカニズムに明確な違いが生じています。

最近のRedline による HTTP から Net.TCP プロトコルへの変更はパケット解析や C2 通信に関連する調査を困難にします。これはセキュリティ研究者による解析活動に時間を要すること、ネットワークパケットフィルタリングによる防御システムを回避する可能性があります。Net.TCP プロトコルの使用はRedlineによるC2通信の中身を把握することを困難にし、被害者に気付かれないようにRedlineが悪意ある活動を遂行できるようにします。

図1は以前と現在の Redline による C2 通信の違いを示しています。以前のバージョンではHTTP 上でSimple Object Access Protocol (SOAP) データがやりとりされており、人間が読み取ることができる形式のデータでした (図1上部)。しかし、現在の RedlineはHTTP を使用しておらず、そのデータ構造も以前のものとは明らかに異なっています (図1下部)。

図 1: RedlineによるC2通信の過去と現在の違い

Net.TCP を用いた C2 サーバへの接続

Net.TCP プロトコルは MC-NMF (.NET Messsage Framing) に基づいています。これは特にSOAPデータを効率よく転送するためのメカニズムであり、双方向通信にとって理想的で非常に柔軟なプロトコルとなっています。Redline はこのメカニズムを悪用することにより、C2 サーバとの通信を実現しています。

Microsoft のウェブサイトよりこのプロトコルの仕様を確認することができます。この仕様に基づいて、図2に示すパケットは下記に示す表のように解釈することができます。これはRedline が起動するとC2サーバに送信する最初のパケットデータです。

図 2: Redline がC2 サーバに送信する最初のパケット

Once dynamically executing on a victim’s device, RedLine will make an initial request to its malicious infrastructure. As the malware uses MC-NMF, the packets it sends to the C2 are structured as follows:

インデックス	バイトデータ
0x0	0x00	*Version Record* フォーマット
0x1	0x01	メジャーバージョン
0x2	0x00	マイナーバージョン
0x3	0x01	*Mode Record* フォーマット
0x4	0x02	Duplex モード
0x5	0x02	*Via Record* フォーマット
0x6	0x1D	URI の長さ
0x7 – 0x23	0x6E – 0x2F	URI (net[.]tcp://45[.]132[.]104[.]3:52352/)
0x24	0x03	*Known Encoding Record* フォーマット
0x25	0x08	MC-NBFSE で規定されているBinary Dictionary を利用

C2サーバがこのリクエストを受理するとそのレスポンスとして acknowledgement (Ack) パケットを返します。MC-NMF の仕様によると、このデータはPreamble Ack Record となります。このパケットは図3のように [0xb] のデータを含んでおり、これがPreamble Ack Record となります。これにより、Redline は C2 サーバとバイナリデータに変換した SOAP データの送受信が可能となります。

図 3: Preamble Ack Record

バイナリデータに変換したSOAPデータを用いた C2 通信

MC-NMF に加えて、Redline は他の 3 つのプロトコルを利用してC2通信を実現します。

プロトコル名	内容
MC-NBFSE	.NET Binary Format: SOAP Extension
MC-NBFS	.NET Binary Format: SOAP Data Structure
MC-NBFX	.NET Binary Format: XML Data Structure

これらのプロトコルを利用することにより、Redline はSOAP で頻繁に利用される文字列を効率的にエンコードすることが可能となります。これによりマルウェアは同じ文字列を何度も送受信することを避けることができます。これは C2 サーバとの通信で使われるパケットサイズの削減となりマルウェアに感染した足跡を減少させることに繋がります。

一旦セッションが確立すると、C2 通信の解析が可能となります。これ以降、バイナリデータに変換した SOAP データを伴った初期化フェーズの C2 通信について解説をします。下記の表は SOAP リクエストとレスポンス及びその機能を含んでいます。

SOAP リクエスト	SOAP レスポンス	機能
CreateSequence	CreateSequenceResponse	セッションの作成
CheckConnect	CheckConnectResponse	セッションを伴った C2 通信の開始
EnvironmentSettings	EnvironmentSettingsResponse	スキャンするデータの指定
Init	InitResponse	被害端末の基本データの送信

CreateSequence

Redline がNet.TCP セッションを確立した後、図4に示すバイナリデータに変換したSOAP データを送信します。

図4: バイナリデータに変換されたSOAPデータ

MC-NBFSE、MC-NBFS、MC-NBFX 及び MC-NMF の仕様に基づいて、このバイナリデータはSOAP データに変換することができます。この場合、C2サーバにアドレスはnet[.]tcp://45[.]132[.]104[.]3[:]52352 となっています。図 5 にはバイナリデータと SOAP データの詳細な対応を示しています。

図 5: CreateSequence のバイナリデータと SOAP データの対応

最初のバイトデータは [0x06]です。MC-NMF によると、このパケットフォーマットは “Sized Envelope Record” となります。
その直後のバイナリデータの [0x77] はペイロードのサイズです。
以降のデータは “Sized Envelope Record” のペイロードデータとなります。このデータフォーマットは Net.TCPのコネクションを確立する際に指定した MC-NBFSE となります。
次のバイナリデータである [0x1e] は登録した文字列に関する情報の総サイズです。
続くデータの [0x1d] は1番目に登録された文字列サイズです。その直後に続くデータは登録された文字列です。この場合はC2 サーバのアドレスとなります。

図 5 から復元した SOAP データは図 6 となります。

図6: Create sequence (SOAP)

以降の C2サーバとの通信を行うために、セッションを確立する必要があります。この一連の準備は “CreateSequence” により行われます。このリクエストには2つの重要なパラメータがあります。

“<a:To>” タグ内の C2サーバのアドレス (net[.]tcp://45[.]132[.]104[.]3:52352/).
“<Identifier>” tag の値。この値は後述する “SequenceAcknowledgement” により使われます。以降、本ブログでは “session identifier” と呼びます。

レスポンスデータも同様にバイナリデータとなります。このバイナリデータを SOAP データに変換したものは図7に示されています。レスポンスデータにも以降の通信で利用するパラメータが含まれています。

“<Identifier>” タグの値は以降のリクエストデータを送信する際に使われます。以降、本ブログでは “main identifier” と呼びます。

図7: CreateSequenceResponse (バイナリとSOAP)

CheckConnect

CheckConnect では有効なセッションを保有しているかどうかを確認します。図8は “CheckConnect” リクエストであり、2 つの重要なパラメータを含んでいます。

“<r:Reason>” タグと “<r:Sequence>” タグ内の “main identifer”。
“<r:MessageNumber>” タグ内の数字。これは “main identifier” を伴うリクエストが送信される度に1ずつ上昇します。

C2 サーバがこのリクエスト受理すると、Redline は図9 で示す “CheckConnectResponse” を受信します。

図8: CheckConnect (バイナリとSOAP)

図9: CheckConnectResponse (バイナリとSOAP)

Redline は “CheckConnectResponse” を受信した後、“SequenceAcknowledgement” を C2 サーバに送信します。これにより直前の動作が正しく処理されたことを通知します。図 10 で示すようにここでは “Session Identifier” が含まれていることが分かります。以降 C2 サーバからのレスポンスを受信すると、この “SequenceAcknowledgement” を都度送信します。

また、“<r:AcknowledgementRange>” タグの “Upper” 属性の数字は “SequenceAcknowledgement” を送信する度に 1 ずつ上昇します。もしこの整合性が崩れると、C2通信を継続することができなくなります。

図10: SequenceAcknowledgement (バイナリと SOAP)

EnvironmentSettings

“CheckConnect”の後、 “EnvironmentSettings” リクエストがC2サーバに送信され、そのレスポンスとして “EnvironmentSettingsResponse” を受信します。このレスポンス内にはどの情報を取得するかをRedline に指示します。

BlockedCountry

“BlockedCountry” と “BlockedIP” タグは特定の国や IP アドレスから接続している被害者端末上での活動を停止させるために用います。今回調査したサンプルでは、下記の東ヨーロッパの国々から接続している被害者端末上では動作しない設定となっていました。

RU	ロシア	AZ	アゼルバイジャン
UA	ウクライナ	MD	モルドバ
BY	ベラルーシ	UZ	ウズベキスタン
KZ	カザフスタン	TM	トルクメニスタン
TJ	タジキスタン	AM	アルメニア
KG	キルギスタン

Redline が被害者端末から取得する情報はウェブブラウザに保存されている情報、FTP クライアント関連の情報、インスタントメッセージクライアント関連の情報、仮想通貨のウォレット情報、VPN やSteam などのゲーム関連の情報です。

今回解析したサンプルでは下記のChrome ブラウザに関連するディレクトリ配下を検索し、保存されているログイン情報、Cookie、オートフィル、クレジットカード情報を搾取することを試みました。

%USERPROFILE%\AppData\Local\Battle.net

%USERPROFILE%\AppData\Local\Chromium\UserData

%USERPROFILE%\AppData\Local\Google\Chrome\User Data

%USERPROFILE%\AppData\Local\Google(x86)\Chrome\User Data

%USERPROFILE%\AppData\Roaming\Opera Software\

%USERPROFILE%\AppData\Local\MapleStudio\ChromePlus

%USERPROFILE%\AppData\Local\Iridium\User Data

%USERPROFILE%\AppData\Local\7Star\7Star\User Data

%USERPROFILE%\AppData\Local\CentBrowser\User Data

%USERPROFILE%\AppData\Local\Chedot\User Data

%USERPROFILE%\AppData\Local\Vivaldi\User Data

%USERPROFILE%\AppData\Local\Kometa\User Data

%USERPROFILE%\AppData\Local\Elements Browser\User Data

%USERPROFILE%\AppData\Local\Epic Privacy Browser\User Data

%USERPROFILE%\AppData\Local\uCozMedia\Uran\User Data

%USERPROFILE%\AppData\Local\Fenrir Inc\Sleipnir5\setting\modules\ChromiumViewer

同様にGecko ブラウザのディレクトリに保存されている情報も調べました。

%USERPROFILE%\AppData\Roaming\Mozilla\Firefox

%USERPROFILE%\AppData\Roaming\Waterfox

%USERPROFILE%\AppData\Roaming\K-Meleon

%USERPROFILE%\AppData\Roaming\Thunderbird

%USERPROFILE%\AppData\Roaming\Comodo\IceDragon

%USERPROFILE%\AppData\Roaming\8pecxstudios\Cyberfox

%USERPROFILE%\AppData\Roaming\NETGATE technologies\Blackhaw

%USERPROFILE%\AppData\Roaming\Moonchild Productions\PaleMoon

Discord やFTPクライアント、仮想通貨関連のファイルも調べます。加えて下記のように攻撃者が指定したクエリに従って様々なファイルを調べることがあります。

%userprofile%\Desktop|*.txt,*.doc,*key*,*wallet*,*seed*|0

%userprofile%\Documents|*.txt,*.doc,*key*,*wallet*,*seed*|0

Init

“Init” リクエスト (図11) では下記に示す被害者端末の基本的な情報をC2サーバに送信します。

IP アドレス
OS のバージョン
マシン名
スクリーンの解像度

“ReleaseID” の値は図12に示すように暗号化された文字列としてプログラム中に埋め込まれています。

図 11: Init (SOAP)

図12: プログラムに埋め込まれている暗号化された文字列

初期化後の動作

“InitResponse,” の後、Redline は被害者端末に保存されている詳細な情報を C2 サーバに送信します。

前バージョンの Redline について解説したブログでは、Redline がどのような情報を被害者の端末から盗むか詳細に解析しました。今回のバージョンでは多少の変更点はあるものの、情報搾取機能に関しては大幅な変更はありませんでした。下記の表では確認できた SOAP のリクエストとレスポンス、及びその機能を記載しています。

SOAP リクエスト	SOAP レスポンス	機能
PartSteamFiles	PartSteamFilesResponse	以前のバージョンと同じ
PartBrowsers	PartBrowsersResponse	以前のバージョンと同じ
PartLanguages	PartLanguagesResponse	言語設定の送信
PartDiscord	PartDiscordResponse	以前のバージョンと同じ
PartProcesses	PartProcessesResponse	実行中のプロセス名、コマンドライン、プロセス ID の送信
PartDefenders	PartDefendersResponse	アンチウイルス製品名、アンチスパイウェア製品名、ファイアウォール製品名の送信
PartInstalledSoftwares	PartInstalledSoftwaresResponse	インストール済みのソフトウェア情報の送信
PartNordVPN	PartNordVPNResponse	以前のバージョンと同じ
PartOpenVPN	PartOpenVPNResponse	以前のバージョンと同じ
PartProtonVPN	PartProtonVPNResponse	以前のバージョンと同じ
InitDisplay	InitDisplayResponse	スクリーンショットの送信
PartFtpConnections	PartFtpConnectionsResponse	以前のバージョンと同じ。ただし WinSCP については除外
PartHardwares	PartHardwaresResponse	CPU、グラフィックカード、RAM 情報の送信
PartColdWallets	PartColdWalletsResponse	以前のバージョンと同じ
PartInstalledBrowsers	PartInstalledBrowsersResponse	以前のバージョンと同じ
Confirm	ConfirmResponse	特になし
Getupdates	GetupdatesResponse	レスポンスに追加ペイロードの URL を保有
VerifyUpdate	VerifyUpdateResponse	GetUpdates と同じ。updateIdタグが追加
LastMessage		通信の終了通知

Redline 経由でばらまかれる追加ペイロード

BlackBerry は Redline C2 サーバの活動を継続的に監視しています。弊社の調査ではRedline に感染すると他のマルウェアをダウンロードし、更なる被害をもたらす可能性があります。

弊社の調査では、多くのRedlineのC2サーバがコインマイナーをばらまく傾向があることが分かっています。また、コインマイナーに加え下記のマルウェアもばらまいていることが分かっています。

XMRig
EthMiner
Amadey
DCRAT
BitRAT
Clipper
Fabookie
Remcos
Async_RAT

まとめ

Redline の知名度は益々広まってきており、また、現時点においても継続的に改良を加えています。情報搾取の機能そのものに大きな変更点はないものの、今回のバージョンにおいて HTTP 上で SOAP データを使うことを止め、Net.TCP プロトコル上でバイナリデータに変換した SOAP データを使っています。

この進化は被害端末と C2 サーバ間でやり取りされるパケットデータの解析や悪意あるトラフィックの検知を困難にします。加えて、これらのデータは人間が読み取れる形式ではなくなっています。

YARA ルール

以下の YARA ルールは、この記事で説明した脅威を捕捉するために BlackBerry の Research & Intelligence Team が作成しました。

rule Mal_InfoStealer_Win32_Redline_Stealer_Update_Unobfuscated_2021
{
    meta:
        description = "Redline Stealer which uses MC-NBFSE, MC-NBFS, MC-NBFX and MC-NMF"
        author = "BlackBerry Threat Research Team"
        license = "This Yara rule is provided under the Apache License 2.0 (https://www.apache.org/licenses/LICENSE-2.0) and open to any user or organization, as long as you use it under this license and ensure originator credit in any derivative to The BlackBerry Research & Intelligence Team"
        date = "2021-10"
    strings:
        $str1 = "NetTcpBinding"
        $str2 = "CheckConnect"
        $str3 = "EnvironmentSettings"
        $str4 = "Init"
        $str5 = "GetUpdates"
        $str6 = "IRemoteEndpoint"
        $str7 = "TaskID"
        $str8 = "ReleaseID"
        $str9 = "ScanDetails"
        $str10 = "InstalledBrowsers"
        $str11 = "FtpConnections"
        $str12 = "ScanBrowsers"
        $str13 = "ScanFiles"
        $str14 = "ScanFTP"
        $str15 = "ScanWallets"
        $str16 = "ScanScreen"
        $str17 = "ScanTelegram"
        $str18 = "ScanVPN"
        $str19 = "ScanSteam"
        $str20 = "ScanDiscord"
        $str21 = "ScanFilesPaths"
        $str22 = "BlockedCountry"
        $str23 = "BlockedIP"
    condition:
        uint16(0) == 0x5a4d and
        all of ($str*)
}

侵入の痕跡 (IoCs)

RedLine Infostealer の SHA256:

770e6bbe4c4f4e7abfbb4a533d28f8e44c5a374aa05dc3c333d7f15594e217e7
5bb7ab8d474109d82d8dfa3aae223df280517fe425a54d33d16ef5d00d49fcc1
6455dd7f5e772aaf3e1ebb9ff72fff2269f42748d08c9f0671e63511dcfefd63
e7d036c77c92bcc5773be4c2f4b4476282f36c0c05f45ab5b3bf2d275270cf06
98df2ce04f9b2324616e132fdf489b40d2b6c9f370fd27249bce6f83c734bcc5
dc540ee7a17ec9ffdad1cb751684bdc1511779d98385a21d8b9942b492d9c033
3d43207b1a548897c03fecb53ee1f988ff3f8ddc19418eb13eae6c7eba1957cf
89af061e5a63e1a88157f49908904141bc996a38be297435f8cc8de878c3b20c
35c5fd5a98bfd695a904fe9291191f458967c5a1c41163b3c935ccc1d6890594
f09bd7803716e46a000b14a9ed21108a6d7c332df032116d52a609431d9d047b
d7af5b4a275066da1736f42a0ee09d5d02e3153f9ca0d961aab714f8d419e751
6efdc5392d11ee5f4de7c1702faf89a0de891437a0ccee1f048d05ed3cc1d880
6eb2e477f6322bfb86ba48bff79a85256f594e1d4c567fc1186fa3f23311bbce
c92add5e2e6de78a16e7109d63c4518728e3c6daf9f03a42f8537ccc56a0a25a
5940f101c2313af56b4a56a059c9bc99db6384c9d5b2c78d214dcbb4925da303
edb8c977167a1103f09ea2eafada3f63d464fd45f8ee9c0b72d51167a349a819
fb4635255bf95d89171eee78444e9527edc460e77ab364e83c6f3144a6a6fe65

C2 サーバの IP アドレスとポート番号

104[.]168[.]102[.]108:61986
109[.]248[.]11[.]240:17523
135[.]125[.]40[.]64:15456
135[.]181[.]171[.]9:45918
138[.]124[.]186[.]121:45760
45[.]132[.]104[.]3:52352
45[.]133[.]217[.]148:65255
45[.]137[.]190[.]170:19896
45[.]140[.]146[.]78:6991
45[.]147[.]197[.]123:31820
45[.]156[.]24[.]97:43059
45[.]66[.]9[.]155:41093
45[.]67[.]228[.]152:54641
45[.]87[.]3[.]177:61799
77[.]232[.]38[.]156:35454
77[.]232[.]43[.]79:57581
79[.]141[.]165[.]41:80
80[.]66[.]87[.]32:26062
80[.]85[.]137[.]105:12734
80[.]87[.]192[.]249:16640
84[.]38[.]185[.]103:39821
86[.]105[.]252[.]21:34503
87[.]251[.]71[.]64:80
93[.]189[.]43[.]32:31858
94[.]103[.]81[.]47:41701
95[.]181[.]155[.]242:14148
95[.]181[.]163[.]37:27338
95[.]216[.]43[.]58:40566
95[.]217[.]77[.]23:53845

追加ペイロードの URL

hxxps://bitbucket[.]org/ribkadori/main/downloads/Explorer[.]exe
hxxps://bitbucket[.]org/ribkadori/main/downloads/Microsoft[.]exe
hxxps://siasky[.]net/_ARvTG0s2dXuHsh1hgD7tC4obsCy6AhzXWbzo4hQ6YYJ9g
hxxps://cdn[.]discordapp[.]com/attachments/884849322649337868/885902898255523910/SystemAudio[.]exe
hxxps://cdn[.]discordapp[.]com/attachments/883772525920784447/883775415821422622/Vitysha[.]exe
hxxps://iplogger[.]org/1GxAb7
hxxp://www[.]w3[.]org/2005/08/addressing/soap/fault
hxxps://cryptorelated[.]net/CurrencyCalculatorInstaller[.]exe
hxxps://a[.]goatgamei[.]com/userdow/2201/any[.]exe
hxxps://iplogger[.]org/1IAiS
hxxps://installcb[.]online/40[.]exe
hxxps://bitbucket[.]org/Olegiyartsev/build/downloads/WindowsServer[.]exe
hxxps://iplogger[.]org/1heUe7
hxxps://km[.]popmonster[.]ru/1056935770[.]exe
hxxp://sherence[.]ru/WindowsFormsApp2[.]exe
hxxp://sherence[.]ru/Obfuscation_Build[.]exe
hxxps://drive[.]google[.]com/uc?export=download&id=1yAYLxBjRuQ6JvTqNhzAaD9f7CEUdvM4t
hxxps://cdn[.]discordapp[.]com/attachments/890960532625051658/891052472230105118/msetup[.]exe
hxxps://ve0[.]popmonster[.]ru/863387648[.]exe
hxxps://ksbyz[.]jelikob[.]ru/1441447287[.]exe
hxxps://6b4s[.]popmonster[.]ru/1937106983[.]exe
hxxps://xre[.]popmonster[.]ru/2143165147[.]exe
hxxp://f0571088[.]xsph[.]ru/5[.]exe
hxxps://installcb[.]online/7l[.]exe
hxxps://moneybac[.]ru/wlbdugfllvovexjx/calcbtc[.]exe
hxxps://cdn[.]discordapp[.]com/attachments/881102543541907476/892025514598998016/TastyMiner[.]exe
hxxps://cdn[.]discordapp[.]com/attachments/881102543541907476/885908445490991134/Bandicam[.]exe
hxxp://f0581959[.]xsph[.]ru/sss[.]exe
hxxps://cli-4576347563476534786[.]s3[.]us-east-2[.]amazonaws[.]com/crypted[.]exe
hxxp://a0574980[.]xsph[.]ru/fix[.]exe
hxxps://cdn[.]discordapp[.]com/attachments/889569369078779975/890225777457631272/ConHosts[.]exe
hxxps://iplogger[.]org/1yFqa7
hxxps://cdn[.]discordapp[.]com/attachments/863775676167487490/886320916345290812/aday[.]exe
hxxps://cdn[.]discordapp[.]com/attachments/863775676167487490/888027209263091712/Zena[.]exe
hxxps://iplogger[.]org/1fq4s7
hxxp://212[.]109[.]199[.]108//build3[.]exe
hxxp://sherence[.]ru/Stub[.]exe
hxxp://sherence[.]ru/qYnjfKljhYhAhBx[.]exe
hxxps://xre[.]popmonster[.]ru/703306277[.]exe
hxxps://b[.]popmonster[.]ru/187547149[.]exe
hxxps://9356[.]popmonster[.]ru/1483777859[.]exe
hxxp://a0581414[.]xsph[.]ru/fix[.]exe
hxxp://kamikirim[.]my[.]id/Explorer[.]exe
hxxps://kdr[.]zarkada[.]ru/507913557[.]exe
hxxp://filemix-2[.]ru/file/b4bd9c[.]exe
hxxps://sourceforge[.]net/projects/yupo/files/speedtube[.]exe
hxxps://9356[.]popmonster[.]ru/807073056[.]exe
hxxp://45[.]9[.]20[.]101/c[.]bin
hxxp://45[.]9[.]20[.]101/m[.]bin
hxxps://cdn[.]discordapp[.]com/attachments/543727270557384729/887705790717239327/1337[.]exe
hxxp://f0579340[.]xsph[.]ru/dlllhost[.]exe
hxxp://f0579340[.]xsph[.]ru/update[.]exe
hxxp://f0575427[.]xsph[.]ru/ash[.]exe
hxxps://cdn[.]discordapp[.]com/attachments/888787895530438699/890550987666894848/rcn[.]exe

BlackBerry によるサポート

もしRedlineのような脅威にさらされているなら、BlackBerry にお任せください。現在 BlackBerry 製品を利用していなくても問題ありません。

BlackBerry のインシデント対応チームは、世界的に活躍するコンサルタントから構成され、ランサムウェアや持続的標的型攻撃 (APT) など、さまざまなインシデントへの対応と封じ込めのサービスを専門としています。

弊社はグローバルコンサルティングチームを常に待機させており、ご希望があれば、24 時間サポートと現地支援を提供できます。次の URL からご相談ください。 https://www.blackberry.com/ja/jp/forms/enterprise/contact-us

・お問い合わせ：https://www.blackberry.com/ja/jp/forms/enterprise/contact-us

・イベント/セミナー情報：https://www.blackberry.com/ja/jp/events/jp-events-tradeshows

・BlackBerry Japan：https://www.blackberry.com/ja/jp

About The BlackBerry Research and Intelligence Team

BlackBerry の Research and Intelligence Team は、新たに生じている脅威と持続的な脅威を検証し、セキュリティ担当者とその所属企業のために、インテリジェンス解析を提供しています。

戻る