8base

正体と来歴

8base（エイトベース）は、2022年3月に初めて検出されたランサムウェア攻撃者グループである [s3]。VMware（Carbon Black）は2022年3月から活動していると記し、2023年6月に活動が急増したとしている [s6]。SentinelOne は現在の形で2023年初頭に現れ、2023年5月に Tor ベースの被害者ブログを含む多重脅迫モデルへ移行したと説明する [s4]。RansomLook の記録上の初出は2023-05-23で、連絡手段は Telegram である。Halcyon は専用リークサイトの開設を2023年3月とする [s5]。

8base は自らを「単なるペネトレーションテスター」と称した。「従業員や顧客のデータのプライバシーと重要性を無視してきた」企業を炙り出していると主張して活動を正当化しているが、リークサイトへの暴露と身代金要求の両方を行うため、トレンドマイクロは金銭的動機が明確なグループと評した [s3][s6]。Halcyon は RaaS のアフィリエイトに分類し、Phobos エコシステム内で最大の既知アフィリエイトだったとする [s5]。SentinelOne は Phobos、RansomHouse、Hive との表面的な類似を挙げつつ、正式な関係は裏付けられていないとする [s4]。

手口

初期侵入について、トレンドマイクロは8baseがフィッシングメールを活用するとし [s3]、SentinelOne はフィッシングメールまたは初期アクセスブローカー（IAB）経由を観測したとする [s4]。Halcyon は、添付ファイル付きのスピアフィッシング（T1566.001）、未修正の公開アプリケーションの悪用、RDP ブルートフォース、IAB からのアクセス購入を挙げ、悪用された脆弱性として CVE-2023-35078（Ivanti EPMM）と CVE-2023-27532（Veeam Backup & Replication）を記載する [s5]。

ツール面では、VMware が Phobos ランサムウェア 2.9.1 を SmokeLoader で展開する検体を確認した。SmokeLoader は初期の難読化、展開、ランサムウェアのロードに使われた。検体は SystemBC に関連するとみられるドメイン admlogs25[.]xyz から取得された。SystemBC は C2 通信を暗号化し宛先を隠す用途で他のランサムウェアグループにも使われている [s6]。Halcyon は SmokeLoader と SystemBC RAT のほか、PowerShell、Mimikatz、Cobalt Strike ビーコンを挙げ、SystemBC の C2 は 443/TCP、予備として 8443/TCP を使うとする [s5]。

暗号化は AES-256（CBC モード）で、拡張子 .8base が付加される。VMware はこの付加部分の形式が Phobos と同じ（ID、メールアドレス、拡張子）だと指摘した [s4][s5][s6]。SentinelOne によれば、ランサムウェアは netsh でファイアウォールを無効化し、vssadmin と wmic でボリュームシャドウコピーを削除し、bcdedit で回復機能を無効化する。永続化はスタートアップフォルダとレジストリで行い、ランサムノートはテキストと .HTA の両形式で書き出される [s4]。VMware は T1547.001、T1562.001、T1490 などの ATT&CK 手法を整理している [s6]。二重脅迫では、暗号化前にデータを窃取し、Tor サイトでの公開をちらつかせる。交渉は Tor ベースのチャットで行われ、要求額は数千〜数十万ドル、支払いは Bitcoin のみとされる [s5]。ランサムノートの連絡先ドメインとして rexsdata[.]pro も挙げられている [s5]。

連絡手段とリークサイト

RansomLook の記録によれば、リークサイトのオニオンは hxxp://basemmnnqwxevlymli5bs36o5ynti55xojzvn246spahniugwkff2pad[.]onion（dls、停止中）で、ミラーは hxxp://xb6q2aggycmlcrjtbjendcnnwpmmwbosqaugxsqb4nx6cmod3emy7sad[.]onion と hxxp://xfycpauc22t5jsmfjcaz2oydrrrfy75zuk6chr32664bsscq4fgyaaqd[.]onion（いずれも停止中）である。連絡先は Telegram の hxxps://t[.]me/eightbase で、VMware はこれがリークサイトに掲載されていたことを確認している。同じくリークサイトには Twitter の @8BaseHome も掲載されていた [s6]。リークサイトには FAQ と Rules の項目が設けられていた [s6]。

標的と主な被害

8base の標的業種は金融、製造、情報技術、医療などにわたり、被害の大半は米国とブラジルに集中する [s4]。VMware は上位の標的業種として Business Services、Finance、Manufacturing、Information Technology を挙げる [s6]。トレンドマイクロの OSINT 調査では、2023年5月〜2024年3月の被害は製造業が最多だが、「その他」が半数以上を占める。2023年10月には米国の医療業界も標的にしており、特定の業種が被害に遭いやすいとは言えないという。一方、従業員200人以下の中小企業が被害に遭いやすい傾向がある [s3]。Halcyon も、セキュリティ資源の乏しい中小企業が主な標的だとし、CIS 諸国を避ける点からロシア語圏の運営者を示唆する [s5]。

活動規模について、トレンドマイクロは2024年1〜3月のリークサイト掲載数が69件で、LockBit に次ぐ2位だったとする [s3]。Halcyon は2023年5月の活動急増後、3か月で130を超える組織が掲載されたとする [s5]。

日本の組織については、トレンドマイクロが、被害を公表した組織は集計範囲では見つからなかったものの、2024年5月にリークサイト上に小売業者、製造業者、製造業関連組織、金融業者の国内組織の名称が掲載されたと整理している [s3]。Zensec がまとめた掲載一覧にも、2024年4月・5月・6月と2024年12月に日本（JP）の組織（製造、運輸、専門サービス、技術など）が複数含まれる [s7]。

動向

2025年2月11日、Europol は日本の警察庁を含む各国警察の共同捜査により、8base に関与したとされる4名を逮捕し、犯罪インフラに使われていたサーバをテイクダウンしたと発表した。これは2024年11月に米国で起訴された Phobos 管理者の件を含む一連の捜査の一環とされる [s3]。SentinelOne はこの作戦を Operation PHOBOS AETOR と呼び、ベルギー、米国、英国、スペイン、タイ、シンガポール、ルーマニアなどが支援した、Phobos/8Base に対する最も包括的な法執行措置だとする。米国司法省は Phobos/8Base に関わる個人と「Affiliate 2803」のプラットフォームを起訴した [s4]。Halcyon は、データ流出サイトと交渉サイトの停止、ウォレットとインフラの押収を経て、8base は2025年2月に活動を停止したとする [s5]。

トレンドマイクロの調査では、8base ランサムウェアの世界的な検出台数は2024年後半から徐々に減少した。同社はリネームや再活発化の可能性も引き続き注視するとしている [s3]。2025年7月17日、警察庁は Phobos と 8Base ランサムウェアで暗号化されたデータの復号ツールを開発したと発表し、同日提供を開始した [s3]。