Rclone は、ランサムウェア サンプルに関連する悪意のあるツールとして特定されました。
3209
Created On 10/26/22 00:43 AM - Last Modified 09/03/25 01:20 AM
Symptom
お客様は、CISAアラートAA22-294A。 これらのサンプルは、ランサムウェア攻撃で最近使用された Rclone ツールの一部であるファイルです。
Rclone 関連の SHA256 ハッシュ
9E42E07073E03BDEA4CD978D9E7B44A9574972818593306BE1F3DCFDEE722238 rclone-v1.59.2-windows-amd64\git-log.txt
19ED36F063221E161D740651E6578D50E0D3CACEE89D27A6EBED4AB4272585BD rclone-v1.59.2-windows-amd64\rclone.1
54E3B5A2521A84741DC15810E6FED9D739EB8083CB1FE097CB98B345AF24E939 rclone-v1.59.2-windows-amd64\rclone.exe
EC16E2DE3A55772F5DFAC8BF8F5A365600FAD40A244A574CBAB987515AA40CBF rclone-v1.59.2-windows-amd64\README.html
475D6E80CF4EF70926A65DF5551F59E35B71A0E92F0FE4DD28559A9DEBA60C28 rclone-v1.59.2-windows-amd64\README.txtEnvironment
- パロアルトネットワークス firewall
- ウイルス対策
- Wildfire
- 脅威インテリジェンス
Cause
- Rclone は、クラウドやその他の高遅延ストレージ上のコンテンツを管理または移行するための、オープン ソースのマルチスレッド コマンド ライン コンピューター プログラムです。
- その機能には、同期、転送、暗号化、キャッシュ、結合、圧縮、およびマウントが含まれます。
- rclone Web サイトには、S3 や Google Drive などのサポートされているバックエンドが一覧表示されています。
Resolution
- Rclone はランサムウェアではありません。これは、ランサムウェア感染の際に抽出ツールとして悪用される正当なツールです。
- 攻撃者が企業ネットワークを制御すると、Rclone が展開され、機密データがリモート サーバーにコピーされます。
- データのバックアップまたはデータ転送に正当に使用されます。 現時点では検討しておりませんIPS/IDS Rclone を検出するための署名。
Additional Information
- Rcloneを導入しましたApp-IDこのアプリケーションのトラフィックを識別します。 詳細については、アプリペディアページ
- また、RcloneをBENIGNのWildfireそれは乱暴に使用されているのでIT顧客の間で。