3am

正体と来歴

3AM（別表記 THREEAMTIME）は、2023年9月に登場した新しいランサムウェアファミリーである。RansomLook の記録上の初出は 2023-09-17 で、連絡手段は email である [s5]。Symantec の Threat Hunter Team は、Rust で書かれ既知のマルウェアファミリーに属さないと説明した [s6]。暗号化したファイルには「.THREEAMTIME」の拡張子が付く [s6]。Intrinsec の分析として、3AM と Conti の間には通信チャネル、インフラ、TTP に「significant overlap」があり、Royal ランサムウェアの関係グループとの関連も指摘された [s5]。

手口

3AM は LockBit の展開に失敗した攻撃の中で発見された [s6]。Symantec が分析した事案では、攻撃者がマルウェアを展開できたのは標的組織の3台にとどまり、うち2台では活動が阻止された [s6]。実行ファイルは64ビットの Rust 製で、Veeam、Acronis、Ivanti、McAfee、Symantec などのセキュリティ製品やバックアップ製品のサービスを停止しようとし、ボリュームシャドウコピーの削除も試みる [s5][s6]。実行前には gpresult コマンドで対象ユーザーのポリシー設定を取得する [s5][s6]。SOCRadar によれば、その後はネットワークやサーバーの列挙、永続化を行い、Wput FTP クライアントなどでデータを持ち出す [s5]。コマンドラインパラメーターには、アクセスキーを示す -k、暗号化方式を local か net で指定する -m、暗号化するオフセットを決めて速度を制御する -s がある [s6]。

二重脅迫では、データを窃取して暗号化したうえで、身代金が支払われなければデータを売ると脅す [s5][s6]。X（旧 Twitter）の自動 bot で圧力をかける新手法も試していた。Intrinsec は、攻撃の成功や情報漏えいを知らせ、被害企業の評判を傷つける狙いがあるとみた [s5]。2025年には、メール爆弾で受信箱を埋めたうえで、ボイスフィッシング（vishing）で MFA のリセットや認証情報の入手などを迫る併用攻撃も報じられた。mutare[.]com は Dark Reading の記事を引いてこの手口を紹介している [s4]。Intrinsec は、Cobalt Strike を展開する PowerShell スクリプト、TCP ポート 8000 の SOCKS4 プロキシ、2022年の Royal ランサムウェア攻撃に使われたマシン由来の TLS 証明書を確認した [s5]。Fortified Health Security が掲載した Cobalt Strike 関連のネットワーク指標は 185.202.0[.]111、212.18.104[.]6、85.159.229[.]62 である [s6]。ランサムノートの冒頭文や dark web アドレスには「3 am」または「threeam」が含まれる [s6]。

連絡手段とリークサイト

RansomLook は連絡先として email の threeam@onionmail[.]org を記録している。リークサイトは本体（dls）が threeamkelxicjsaf2czjyz2lc4q3ngqkxhhlexyfcp2o6raw4rphyad[.]onion で、ミラーが ulkvlj5sirgrbnvb4hvbjo2ex2c2ceqe2j4my57fcdozpbq5h5pyu7id[.]onion と threeam7fj33rv5twe5ll7gcrp3kkyyt6ez5stssixnuwh4v3csxdwqd[.]onion である。いずれも RansomLook 上では停止中と記録されている。

標的と主な被害

リークサイトには、ある時点で23件の被害組織が掲載されていた [s5]。Fortified Health Security は、医療機関が高度な攻撃グループによるランサムウェアと恐喝の標的になりやすいと注意を促した [s6]。日本の組織名や被害時期を示す記述は、与えられた出典にはない。

動向

3AM は2023年9月に登場し、LockBit の展開失敗を契機に確認された [s5][s6]。Conti や Royal との関連が指摘され、既存の犯罪グループとの接点が分析されている [s5]。2025年にはメール爆弾と vishing の併用が報じられ、侵入手口の変化が示唆された [s4]。RansomLook の記録では、リークサイトは本体もミラーも停止中となっている。