incidentlog.jp最終更新 2026-10-13
IncidentLogインシデントログ

ailock

ailock

ランサムウェア運営活動中 2026-03-03〜
初出
2026-03-03
外部 ID
RansomLook ailock

日本での活動

当サイトの事案と、リークサイトへの掲載
年掲載事案
202640
2026-08-13DAISEN掲載中
2026-08-13Yaomasa掲載中
2026-07-15Nihon Kotsu Co., Ltd.掲載中
2026-03-03FUJIFILM Speciality Ink Systems掲載中

公的機関の情報

注意喚起、起訴・制裁・摘発

このグループを名指しした公的情報の記録はありません。

攻撃手法

当サイトの事案集計と ATT&CK
Execution1 手法
  • T1059.003Windows Command Shell
Defense Evasion3 手法
  • T1134.001Token Impersonation/Theft
  • T1027Obfuscated Files or Information
  • T1480Execution Guardrails
Discovery2 手法
  • T1082System Information Discovery
  • T1135Network Share Discovery
Impact2 手法
  • T1486Data Encrypted for Impact
  • T1489Service Stop

使用ツール

名称を開くと一覧の解説へ

AiLock

インフラ

所在は無効化表記。リンクにしない

RansomLook が観測した所在 26 件のうち、到達可のものと最終確認が 180 日以内のものを先に出します（到達可 21 件）。

ほか 1 件の過去の所在（到達不可、または最終確認が古い）
  • リークサイトjaawqs6wu56n2adj7qrjg25dhcux2nislvjouffpzldj23e4y72akoid[.]onionSupport chat到達不可確認 2025-03-14

解説

正体と来歴

AiLock はランサムウェアグループで、RaaS として運営される。アフィリエイトを募り、マルウェアの展開を担わせて身代金の一部を渡す形をとり [s7]、自らを「AI-assisted」と称している [s7][s6]。最初の公の言及は、Zscaler ThreatLabz が 2025年3月に未知の脅迫状を確認したときである [s7]。TRM Labs は 2025年4月に初めて確認されたとしており、時期の記述が食い違う [s6]。包括的な技術分析は 2025年7月に S2W の Huiseong Yang（S2W TALON）が公開した [s7]。ransomware[.]live では最初の被害記録が 2026年3月3日で [s7]、RansomLook の初出も 2026-03-03 である。

手口

暗号化は ChaCha20 と NTRUEncrypt256 の併用で、ファイル内容を ChaCha20、鍵を含むメタデータを NTRUEncrypt256 で保護する。NTRUEncrypt はポスト量子耐性のアルゴリズムである [s7]。100 MB 未満のファイルは全体を、それ以上は一部だけを暗号化する [s7]。IOCP によるマルチスレッド処理を使い、文字列は 8 バイト反復鍵の XOR で難読化され、システム関数は実行時に動的解決される [s7]。実行時にはサービスやプロセスを停止し、ごみ箱を空にし、FAUST という名のミューテックスを作成する [s7]。暗号化ファイルの拡張子は .AiLock で、各フォルダに ReadMe.txt を置く。-shares オプションではネットワーク共有も暗号化対象にする [s7]。TRM Labs は、多形性（ポリモーフィック）マルウェアによる防御回避を挙げた [s6]。初期侵入経路は確認されていない [s7]。

脅迫は三段構えである。脅迫状でデータの公開に加え、被害国のデータ保護当局への通報と、被害組織の競合他社への通知を予告する [s7]。期限は交渉開始まで 72 時間、支払い完了まで 5 日で、過ぎれば復旧ツールの公開または破壊を示唆する。一方で守秘、削除ログ、IT 助言を約束する [s6][s7]。

連絡手段とリークサイト

RansomLook の記録では連絡手段の記載はない。同記録にはリークサイト本体 1 件とミラー 25 件の計 26 件の .onion アドレスがあり、うち 21 件が停止中である。DLS（停止中）は hxxp://jaawqs6wu56n2adj7qrjg25dhcux2nislvjouffpzldj23e4y72akoid[.]onion である。稼働中のミラーは次の 5 件である。 vnsggttwhcofyeh3nxoynxtg5mk5xl4cd7e3c4x62aqb2rj4rfjh3eqd[.]onion pptiuraybrwacfl5v2qmzknenqxwt5eojtbh5cxxejaq3oo4bidkv7id[.]onion to3odzfolkvhkj3jf5oo3qq5hvdycy5n5n6bi564yrxdgavnwv5znjqd[.]onion 27kmvzlfn3dpb6s4zq3qknqpcbrk5qzhwmg5awhjmu3m2okgpd4pgrid[.]onion s5v5hvtk3oyxg3m6afgxeuwlasqku3adeosv7kwwjfvhf22vqiwotrqd[.]onion

標的と主な被害

2026年6月初旬時点の主張被害は 38 件で、米国 21、英国 3、ドイツ 2、カナダ 2、ほかオランダ、台湾、スイス、ポーランド、ノルウェー、韓国、中国に分散する。業種は事業サービス 9、製造 7、消費者サービスと技術が各 5、建設 4 である [s7]。日本関連では、東京精密の米国子会社 Accretech America Inc. が被害組織として挙がっている [s7]。最も報道されたのは 2026年3月の England Hockey への主張で、AiLock は 129 GB を窃取したと主張した。England Hockey は外部専門家と調査中だが、窃取の有無は確認していない [s7]。TRM Labs は製造業や技術分野の被害にも触れている [s6]。

動向

S2W は、発見以降に AiLock がインフラを何度も移転し、新しいリークサイトを開設したと指摘した [s7]。IronGate Security は 2026年第1四半期に AiLock のインシデントが大幅に増えたと記し、ransomware[.]live の記録でも 2026年3月以降は毎月被害が出ている [s7]。資金洗浄は、ピールチェーンの形でほとんどを Wasabi ミキサーへ送り、一部を FixedFloat 経由にして Monero へ換える [s6][s7]。TRM Labs は AiLock を、注視すべき新興グループの一つに挙げている [s6]。

出典

更新 2026-10-13