FBI、RAMP地下ハッキングフォーラムのドメインを接収

連邦捜査局（FBI）は、RAMP地下プラットフォームのクリアネットおよびダークウェブドメインを接収した。RAMPプラットフォームはハッキングフォーラムとして機能し、Ransomware-as-a-Serviceに関与するいくつかのグループやその他のサイバー犯罪者に対応している。

FBIがこれに関連して公式声明を出していないものの、フォーラムで使用されているドメインには「The Federal Bureau of Investigation has seized RAMP.」と書かれたバナーが表示されている。バナーには、この行動が、FBIによってフロリダ州南部地区連邦検事局および司法省のコンピュータ犯罪・知的財産部門と連携して実行されたと記載されている。

FBI、地下ハッキングフォーラムを停止

RAMP（元々はRussian Anonymous Marketplaceの略）は、サイバー犯罪に従事するロシア語話者の顧客を主に扱っていた人気のあるダークウェブフォーラムであった。これにはRaaSギャングや初期アクセスブローカーが含まれる。この取り壊しは、「Stallman」という名前のユーザーによっても確認されており、彼はRAMPの所有者の一人と思われる。XSSハッキングフォーラムの投稿はロシア語から翻訳され、ブログプラットフォームXで共有された。

「遺憾ながら、法執行機関がRampフォーラムの制御を掌握したことをお知らせします。この出来事は、世界で最も自由なフォーラムを作成するための私の数年間の仕事を破壊しました。この日が来ないことを願っていましたが、深くではそれが可能であることを常に理解していました。これが私たちがすべてが取るリスクです」と投稿は述べている。彼はまた、Rampの制御を不再に行うつもりはないが、ゼロから別のプラットフォームを作成する意図もないと付け加えた。

Stallmanはまた、アクセスの購入というビジネスを継続すると付け加え、中核ビジネスは変わらないと述べた。「私に提供できるものがある場合は、条件は私の署名に記載されています。プライベートメッセージで私に連絡し、Jabber/Toxを通じて交換しましょう」と彼は追加した。ランサムウェア活動のためのフォーラムを提供するだけでなく、この場所はLockBit、Qilin、RansomHub、ALPHV/BlackCat、DragonForceなどの悪名高いグループがそのサービスを宣伝するためのプラットフォームでもあった。

ウェブサイトには、ユーザーがサイバー攻撃に関するチュートリアルを投稿したいくつかのディスカッショングループも含まれていた。取り壊しについて、CybaVerseのSOCマネージャーであるBen Clarkeは、プラットフォームの成功はハッカーに攻撃者の全チェーンを提供することに由来すると述べた。つまり、ユーザーは盗まれた資格情報の購入からマルウェアの宣伝、その他のサービスの販売および購入に至るまでのサービスにアクセスできる。

これらの取り壊しはどの程度効果的なのか？

Clarkeは、取り壊しが一時的に犯罪活動に影響を与えるだろうが、長期的な影響は最小限である可能性があると指摘した。「この活動を妨害することは、防御側にとって肯定的な一歩です。しかし、それがサイバー犯罪に実質的な影響を与えると思い込むのは無知です」と彼は述べた。「新しいマーケットプレイスがRAMPの場所を占めるために形成され、脅威アクターは他のプラットフォームに移動してサービスの売買を行うでしょう。」

過去数年間、法執行機関は取り壊しにおいて混合した結果を記録してきた。取り壊しは確かに発生するが、これらのプラットフォームはしばしば復活する。例えば、2022年のEmotetボットネット取り壊しの場合、プラットフォームは復讐心を持って戻ってきた。しかし、これはこれらの作戦が機能しないことを意味するものではない。Talionの脅威アナリストであるDaniel Wilcockは、取り壊しが法執行機関がサイバー犯罪活動を抑制し、重要な情報を得るための最良の戦術であることに変わりはないと指摘している。

「これはランサムウェアの終焉を意味するものではないが、法執行機関は、サービスを使用している脅威アクターに関する貴重な情報、例えばメールアドレスやIPアドレス、市場で行われた金融取引へのアクセスなど、接収から得ることができる」と彼は述べた。「これは、サイトを使用した脅威アクターに対するさらなる法執行アクションを支援する可能性があるが、RAMPがロシアの犯罪者に重度に使用されていたことを考えると、実際の逮捕が多数行われることはほとんどないだろう。」