aurora

正体と来歴

Aurora（別名 Aur0ra）は、RansomLook の記録で初出が 2026-04-29 のランサムウェアグループである。Gambit Security は、同グループが約 2026 年 4 月から活動しており、リークサイトを運営して複数の国の組織を標的にしていると伝えた [s6]。UltraViolet Cyber（UVCyber）は、ロシア語圏と評価される独立系の犯罪アフィリエイトで、国家の関与が確認された事実はなく、国家支援型ではないとする [s7]。動機は金銭、恐喝、データ窃取とされる [s7]。暗号化ツールは単一の Zig コードベースから Windows 版と Linux/ESXi 版が作られている [s7]。オペレーターが使う指示文はロシア語で、Gambit Security は DCSync を禁じる指示などを引用している [s6]。身代金の分配は固定比率ではなく、被害ごとにアフィリエイトの取り分が異なると UVCyber は述べた [s7]。

手口

初期侵入として、UVCyber は認証情報を使った侵入、メール爆撃を伴うフィッシング、IT ヘルプデスクを装った電話（ビッシング）でリモートアクセスツールを入れさせる手口を挙げた [s7]。侵入後、オペレーターは被害側の通信をレンタルした SOCKS 中継経由に集約し、LDAP/SMB 列挙、ハッシュのクラック、権限昇格という一連の流れを繰り返した [s7]。権限昇格は、ドメインコントローラーのなりすましを狙う自作スクリプトの連鎖、Active Directory 証明書サービス（AD CS）の悪用、NTLM リレー強制の 3 経路のいずれかである [s7]。Gambit Security は、Cursor Agent（claude-4.5-sonnet-thinking）を使った実作業を 2026 年 4 月 8 日から 5 月 21 日にかけて 10 組織で観測した [s6]。エージェントは VPN クライアントや proxychains の設定、Nmap・NetExec による内部サブネット走査、NetExec の BloodHound コレクターによるドメイン列挙、PetitPotam・Coerce Plus・PrinterBug による認証強制と Impacket ntlmrelayx による中継、Certipy による証明書攻撃を担った [s6]。オペレーターは全被害組織で、DCSync 禁止、アカウントロックアウト禁止、ドメインへのコンピューター追加禁止を繰り返し指示していた [s6]。多くのコマンドは初回で失敗し修正を重ねたとされ、Gambit Security はまだ完全自律の侵害には至っていないと見ている [s6][s7]。

Linux 版の暗号化ツール encrypt[.]out は、ファイル内容を ChaCha20 でその場で暗号化し、セッション鍵を埋め込みの RSA-4096 公開鍵で包む [s6]。-esxi 指定時は esxcli vm process list で World ID を集め、esxcli vm process kill --type=force で VM を強制終了してロックを解放してから、vmdk、vmx、vmsd、vmsn、nvram、vmem、vswp、log を暗号化する [s6]。システムボリュームは除外されるため、ハイパーバイザー自体は起動したままになり、被害者が脅迫文を読める [s6]。脅迫文は /etc/ssh/sshd-banner に書き込まれ、SSH 接続時にログイン前に表示される [s6]。脅迫文には、機密情報を窃取済みでファイルを暗号化したこと、Tor ブラウザで連絡することが記されている [s6]。ランサムノートのファイル名は !!!README!!!DO_NOT_DELETE.txt である [s6]。Windows 版はボリュームシャドウコピーの削除とシステムの復元の無効化を連続して実行する [s7]。窃取データは、公開前に一括アーカイブされて持ち出された [s7]。esxi_finder.py は NetExec の LDAP 向け自作モジュールで、ポート 443 と 902 を走査して TLS 証明書や /sdk、/ui/ から ESXi と vCenter のビルドを特定する [s6]。暗号化ツールは Cloudflare R2 上に置かれ、被害環境内の複数ホストへ手作業でコピーされた [s6]。

連絡手段とリークサイト

RansomLook に連絡手段の記録はない。リークサイト（DLS）は hxxp://ijexszhscln27nl263lmcd7tx3jttkhm4wjhd4e3y6r4csdbfyeprvid[.]onion で、現在は停止中と記録されている。ミラーは hxxp://pavregldzg2ypbd3gxbil2suxfok7ykmcknwhkli24anpks6lndymyyd[.]onion、クリアネットは exposedrecords[.]io（停止中）である。Gambit Security は、前者の onion を被害者向けの交渉ポータル（encrypt[.]out に埋め込み）、後者の exposedrecords[.]io をクリアネットのリークサイトと位置づけている [s6]。Gambit Security の IOC には、C2 として 172.86.113[.]245 と 172.86.90[.]75、SOCKS プロキシとして 89.106.83[.]49、104.194.134[.]167、68.210.224[.]231、45.61.148[.]166、167.88.167[.]37 が挙がっている（無効化表記では 172[.]86[.]113[.]245 のように記す）[s6]。encrypt[.]out の SHA-256 は a4af136d159a8eb96b54924fa80355ca52874913301300f55af7d67ae97edcfe、サイズは 139 KB の ELF である [s6]。

標的と主な被害

UVCyber によれば、CloudSEK は露出していたオペレーターのサーバーを調べ、2026 年 4 月から 7 月に 9 か国の 20 組織超への活動を確認した。うち 17 組織でドメイン権限が奪取され、4 組織がその後 Aurora の公開恐喝サイトに掲載された [s7]。業種は製造、食品・農業、専門サービス、物流、消費財、廃棄物管理、IT・バックアップ基盤で、国は米国、ドイツ、オランダ、カナダ、英国などである [s7]。UVCyber は、特定業種に絞らない機会的で無差別な標的選定だと評価し、中堅の製造業や流通業も容易に侵害されたと述べた [s7]。Gambit Security は、第 2 のクラスターで 8 組織を検知した。被害国はイスラエル、ドイツ、オーストリア、スペイン、米国、アルゼンチンである [s6]。第 2 クラスターでは、公開された SQL Server の xp_cmdshell を使った横展開、GodPotato による SYSTEM 昇格、ドメインコントローラーへの DCSync、s5cmd による自前 S3 互換ストレージへの持ち出しが使われた [s6]。このクラスターの帰属は中程度の確度で、根拠は、持ち出し先バケットに入ったデータを持つ組織が、転送の 9 日後にリークサイトへ掲載されたことである。第 1 クラスターとは別のオペレーターの可能性もある [s6]。日本の組織名や被害時期は出典に挙がっていない。

動向

Gambit Security は 2026 年 4 月から 5 月にかけての Cursor Agent の悪用を観測し、第 2 のクラスターも特定した [s6]。CloudSEK はブロックチェーン分析企業 TRM Labs と組み、回収された身代金の支払いをオンチェーンで追跡した。その結果、複数の確認済み・推定の被害者から集めた収益を扱う資金洗浄ネットワークが判明した [s7]。UVCyber は、AI 支援の侵入が複数の調査チームで独立に裏づけられており、持続的で収益性の高い作戦の一部だと評価している [s7]。ロイターもこの件を報じたと、Gambit Security の記事は案内している [s6]。UVCyber の防御上の優先事項は、AD CS テンプレートの監査、バックアップ基盤の分離、ESXi と vCenter の管理画面の分離と監視、オフラインの不変バックアップ、ヘルプデスク依頼の折り返し確認、NetExec・BloodHound・Nmap の利用検知である [s7]。RansomLook 上では、DLS とクリアネットのリークサイトはいずれも停止中と記録されている。