Storm-1567

正体と来歴

Akira は 2023 年 3 月から確認されているランサムウェアで、Storm-1567 と呼ばれる RaaS グループが開発・保守し、専用のリークサイトも運営している [s6]。Arctic Wolf は同グループを Punk Spider、GOLD SAHARA とも呼び、2023 年に初めて観測された集団と位置づけた [s6]。CISA などの共同勧告は Howling Scorpius にも言及し、解散した Conti ランサムウェアグループとの関係がある可能性を指摘した [s2]。RansomLook でのリークサイトの初出は 2023-04-29 である。初期版は C++ で書かれ、暗号化したファイルに .akira の拡張子を付けた [s2]。2023 年 8 月からは、Rust 製の Megazord 暗号化ツール（拡張子 .powerranges）を使う攻撃も現れ、Akira_v2 を含めて両者を併用している [s2]。2023 年 4 月には、Windows 向けに続いて VMware ESXi 上の仮想マシンを狙う Linux 版を投入した [s2]。

手口

初期侵入で多いのは、多要素認証（MFA）が設定されていない VPN への侵入と、既知の脆弱性の悪用である [s2]。悪用された CVE は CVE-2020-3259、CVE-2023-20269、CVE-2020-3580、CVE-2023-28252、CVE-2024-37085、CVE-2023-27532、CVE-2024-40711、CVE-2024-40766 である [s2]。SonicWall の VPN には、認証情報の窃取か CVE-2024-40766 で侵入する [s2]。VPN 認証情報は、初期アクセスブローカー経由の入手やブルートフォースの可能性がある [s2]。SharpDomainSpray によるパスワードスプレーも使う [s2]。そのほか、スピアフィッシング、正規の認証情報の悪用、RDP などの外部公開サービスの利用も確認されている [s2]。ルーターの IP アドレスから SSH で入り、トンネルを張ったうえで、未パッチの Veeam Backup and Replication（CVE-2023-27532、CVE-2024-40711）を突く例もある [s2]。

侵入後は、ドメインアカウントを新規作成して永続化する。管理者アカウント itadm の作成も確認された [s2]。認証情報の窃取には、LSASS のメモリ抽出、Mimikatz、LaZagne を使う [s2]。ネットワーク探索には SoftPerfect、Advanced IP Scanner、NetScan を使う [s2]。2024 年 6 月のラテンアメリカの航空会社への攻撃では、Arctic Wolf が、未パッチの Veeam バックアップサーバーが最初の侵入先で、CVE-2023-27532 が使われたと推定した [s6]。攻撃者は「backup」というユーザーを作って管理者グループに加え、WinRAR で圧縮したデータを WinSCP で 77[.]247[.]126[.]158 に送出した。最初のログインから送出までは 133 分で、翌日の UTC 8:40 に作業を再開した [s6]。翌日はウイルス対策を無効化し、AnyDesk を 5 台に導入したうえで、Veeam サーバーから w.exe（Akira）を各ホストへ展開し、シャドウコピーを削除した [s6]。暗号化の前にデータを持ち出す二重脅迫を採り、公開をちらつかせて支払いを急がせる [s6]。2025 年 6 月の事案では、Nutanix AHV の仮想マシンのディスクファイルを暗号化した。これは Akira による初の観測である [s2]。

連絡手段とリークサイト

RansomLook が記録したリークサイトは、akiral2iz6a7qgd3ayp3l6yub7xx2uep76idk3u2kollpj5z3z636bad[.]onion、akiralkzxzq2dsrzsrvbr2xgbbu2wgsmxryd4csgfameg52n7efvr2id[.]onion、3i7uisihrgv3v7kjafmhahhcmtjfepckhw5vournekuamhbt37liplid[.]onion の 3 つで、いずれもミラーとして記録され、現在は停止中である。

標的と主な被害

主な標的は中小企業だが、大規模組織も被害を受けている。教育機関のほか、製造、IT、医療・公衆衛生、金融、食品・農業の各分野が多い [s2]。被害は北米、欧州、オーストラリアに及ぶ [s2]。ラテンアメリカの航空会社も狙われており、パッチを当てていない組織であれば地域を問わず攻撃する姿勢がうかがえる [s6]。2024 年 1 月時点で、250 を超える組織を標的にし、4,200 万ドル超の身代金を受け取っていた [s6]。2025 年 9 月下旬時点では、約 2 億 4,417 万ドルの収益を得たとされる [s2]。

動向

2025 年 11 月 13 日、FBI、CISA、DC3、HHS、Europol の EC3、フランス、ドイツ（カールスルーエ検察当局とバーデン＝ヴュルテンベルク州刑事局）、オランダの NCSC-NL が、勧告を更新した。更新は、Akira の新たな活動が重要インフラへの差し迫った脅威になっているとして行われ、2025 年 11 月までの FBI 調査などをもとに IOC と TTP を公表した [s2]。Picus Security は、Akira がもはや新興ではなく、Windows、Linux、ESXi、Nutanix AHV 向けの暗号化ツールを持つ成熟した RaaS になったと評した [s7]。