arcus media

正体と来歴

Arcus Media は 2024年5月に登場したランサムウェアグループで、Ransomware-as-a-Service（RaaS）モデルで運営されている [s4]。RansomLook は初出を 2024-05-15 と記録している。The Record は、Halcyon の研究者が 2024年5月に Arcus Media を発見し、他の攻撃者が同グループのマルウェアを使えるRaaSを運営していると伝えた [s3]。Solace Cyber は、アフィリエイトが身代金の分け前と引き換えに Arcus Media のランサムウェアを展開できる形式だと説明している [s7]。起源は定かではなく、過去の著名なランサムウェアグループとの類似から既存の攻撃者の発展形かもしれないと分析者が指摘している [s6][s7]。

手口

初期侵入について、Halcyon は悪意ある添付ファイルやリンクを含むフィッシングメールが典型だとしている [s4]。Zensec は、フィッシングメール、侵害されたRDPアクセス、ソフトウェアの脆弱性を挙げ、Windows ベースの企業環境が主な標的だと述べている [s6]。Solace Cyber はフィッシングメール、ソフトウェアの脆弱性、悪意あるダウンロードを侵入経路に挙げている [s7]。侵入後は難読化したスクリプトと独自バイナリで暗号化を始め、スケジュールタスクの作成とレジストリ変更で永続化する [s4]。認証情報の窃取には Mimikatz、横展開には RDP と Cobalt Strike を使い、ネットワーク偵察、脆弱性スキャン、弱いパスワードへのブルートフォースも行う [s4]。C2 は Tor と暗号化通信に依存している [s4]。

検体は引数なしで動作し、管理者権限がなければ ShellExecuteExW の "runas" で自身を昇格して再実行する [s4]。CreateToolhelp32Snapshot でプロセスを列挙し、sqlservr.exe や mysqld.exe などの SQL 関連、outlook.exe や thunderbird.exe などのメールクライアント、Office 系を TerminateProcess で停止する [s4]。暗号化前に vssadmin delete shadows /all /quiet、wmic shadowcopy delete、bcdedit による回復無効化、wbadmin delete catalog -quiet を順に実行する [s4]。C:\ProgramData\svccost.exe に自身をコピーし、HKCU の Run キーに名前 "cr" で自動起動を登録するが、Unicode API に ASCII 文字列を渡すバグがある [s4]。さらにファイアウォールを無効化し、wevtutil cl Security でセキュリティログを消去する [s4]。

暗号化は OpenSSL の ChaCha20 を使い、ファイルごとに生成した 32 バイト鍵を RSA-2048 で保護して各ファイル末尾に付加する [s4]。2 MiB 以下は全体を、2 MiB を超えるファイルは先頭と末尾の各 1 MiB を暗号化し、拡張子は [Encrypted].Arcus となる [s4]。各ディレクトリに Arcus-ReadMe.txt を置く [s4]。窃取データは暗号化前に安全なファイル転送プロトコルで持ち出され、二重脅迫に使われる [s4]。脅迫文は Tox での連絡を求め、24 時間応答がなければメールを促し、3 日連絡がなければリークブログに掲載、5 日後に機微データをすべて公開し、GDPR 違反や顧客への通知で追い込むと警告する [s4]。DDoS 攻撃を追加の圧力手段として使った例も観測されている [s6][s7]。

連絡手段とリークサイト

RansomLook は連絡手段として jabber、tox、email を記録している。Jabber は AlexanderPushkin@exploit[.]im と arcus@xmpp[.]onion、Tox ID は F6B2E01CFA4D3F2DB75E4EDD07EC28BF793E541A9674C3E6A66E1CDA9D931A1344E321FD2582、メールは arcustm@proton[.]me と arcusteam@proton[.]me である。リークサイト（dls）は hxxp://arcuufpr5xxbbkin4mlidt7itmr6znlppk63jbtkeguuhszmc5g7qdyd[.]onion に所在すると RansomLook は記録しているが、停止中とされている。

標的と主な被害

Halcyon は、2024年11月までに事業サービス、小売、メディアなどで 50 件超の攻撃を主張したと報告した [s4]。SecurityBuzz は 2025年1月時点で 50 件超とし、2024年5月に事業サービス業への攻撃で頭角を現し、7月に小売とメディアへ広げたと整理している [s5]。Solace Cyber は 94 の被害者を主張したと記し、金融、医療、政府機関を挙げている [s7]。The Record は、Halcyon が過去 1 か月に米国、英国、インド、ブラジルの被害者を標的にしたと伝えたことを報じた [s3]。Zensec の被害一覧は国別ではブラジルが目立ち、製造、技術、専門サービスなど多業種に及ぶ [s6]。

個別の事例では、ブラジルの会計事務所 Braz Assessoria Contábil と、フィリピンの著作権団体 FILSCAP（Filipino Society of Composers, Authors, and Publishers）が 2024年11月の高リスク事案として挙がっている [s4][s5]。Braz Assessoria Contábil では財務データが暗号化され、暗号資産での身代金と税務・給与記録の公開が脅されたと説明されている [s5]。FILSCAP では著作権・ロイヤルティ関連の知的財産、財務記録、業務データが暗号化され、機密契約などの公開が脅された [s5]。出典に日本の組織の被害は挙がっていない。

動向

SecurityBuzz の時系列では、2024年9月にログ消去とシャドウコピー削除を含むアンチフォレンジックを強化し、2025年1月には 50 件超に達した [s5]。Solace Cyber は後に 94 の被害者を主張したと記している [s7]。RansomLook が記録するリークサイトは現在停止中である。Solace Cyber は、身代金額が 0.5m〜3m ポンドに及ぶとし、侵入は発覚の 2〜4 週間前に始まっていることが多いと注意を促している [s7]。