argonauts group

正体と来歴

Argonauts Group（別名 Argonauts、Argonauts Group Ransomware）は、RansomLook の記録で初出が 2024-11-27 とされるランサムウェア運営グループである。ReliaQuest は、2024年11月に現れた新規グループ 13 のうちの一つとして Argonauts Group を挙げた [s5]。一方 beforecrypt[.]com は、2021年10月に初めて確認され、ロシア拠点の「Argonauts」というグループが運営すると記し、トルコの QNB Finansbank が 2021年11月初旬に顧客データの大量流出に至る被害を受け、その数日後にサウジアラビアの複合企業 AHQ のシステムも攻撃されたと述べている [s3]。出現時期は ReliaQuest などの記録と食い違っている [s3][s5]。beforecrypt[.]com は、同グループが REvil など大手ランサムウェアギャングと関係を持ち、その手口を採り入れていると述べている [s3]。

手口

対象 OS は Windows で、暗号化したファイルには拡張子 .argonaut が付き、身代金要求文書の名称は ARGONAUTS_HELP.html である [s3]。典型的な二重脅迫の手法で、被害組織のデータを暗号化したうえで機密情報を窃取し、身代金が支払われなければ流出させると脅す [s3][s4]。身代金は高額で、ビットコインでの支払いが要求されることが多い [s3]。支払いを拒んだ被害者の情報は、リークサイトで定期的に公開されるという [s3]。

連絡手段とリークサイト

beforecrypt[.]com は連絡先としてメールアドレスを掲載している [s3]。同サイトはリークサイトとして hxxps://as[.]arrranger[.]guru/victims を挙げている [s3]。RansomLook の記録では、リークサイト（dls）は jbmk7h6xlkedn2gg5yi76zca6y3jgdlp5wchlsrd7735tlnrmmvqe5ad[.]onion、ミラーは 4xi5jklauqmjfkwxhs2a6q2d26v2465zfnccacqpz75exv2kzu5aeiad[.]onion で、いずれも停止中とされる。

標的と主な被害

FTI Cybersecurity は、2024年11月下旬までに 10 件の被害者への攻撃を主張し、標的の中心はイタリアの技術・製造業の組織だったと報告した [s4]。beforecrypt[.]com は、主な標的を物流、医療、エネルギー、通信の各分野としている [s3]。Red Piranha の週次レポート（2024年11月26日〜12月2日）では、同週のランサムウェア攻撃全体のうち Argonauts Group が 8.93% を占めた [s7]。

動向

RansomLook の記録では、2つのリークサイトはいずれも停止中である。ReliaQuest は 2024年第4四半期に新規 13 グループが現れたと数え、そのなかに Argonauts Group が含まれる [s5]。ただしリークサイト上の被害件数は、攻撃者の誇張や偽の被害者掲載を含みうるため、慎重に扱う必要があると BankInfoSecurity は指摘している [s5]。