babuk-bjorka

正体と来歴

Babuk2 は Babuk-Bjorka、Babuk 2.0、Babuk Locker 2.0 などの名で 2025 年初頭に現れた活動である。RansomLook の記録では初出は 2025-01-27 である。Halcyon は 2025 年 1 月の出現と位置づけ、2021 年に活動した元の Babuk の直接の継続ではなく、信用を得るために名称を借りていると評した [s7]。SOCRadar も高い確度で直接の継続ではないとし、Bjorka とその関係者による名称と手法の流用とみている [s3]。元の Babuk は 2020 年に現れ、RaaS として大企業や政府機関を狙ったが、2021 年 4 月のワシントン D.C. 首都警察への攻撃後に解散を発表し、同年にソースコードが流出した [s3][s6]。Bjorka はインドネシア政府や市民のデータを侵害したと主張してきた名義で、2025 年初めに再び姿を見せた [s5][s3]。Babuk2 は分け前と引き換えに道具を提供する新アフィリエイト計画「Babuk 2.0」または「Babuk-Bjorka」を発表した [s3]。

手口

Rapid7 が Telegram チャンネル「Babuk 2.0 Ransomware Affiliates」で共有された babuk.exe（SHA-256 3facc153ed82a72695ee2718084db91f85e2560407899e1c7f6938fd4ea011e9）を解析したところ、実体は LockBit 3.0（LockBit Black）だった。ファイルの暗号化は AES-256、その鍵の保護は RSA-2048 である [s5]。身代金要求文は「Orion Hackers」を名乗り、tox ID 32C12B278912E26E5EAC57AEBB3F4FF16F0E31603C7B9D46AC02E9D993EE14351CEC3AB5945C が Babuk 2.0 Affiliate Group の Telegram に結び付いた [s5]。リークサイトは元の Babuk や LockBit の画面構成を模している [s3]。Halcyon は、新たな暗号化や侵入の証拠はなく、過去の侵害データの使い回しで恐喝していると分析した [s7]。Huntress は、Cl0p や KillSec の過去の流出データを再利用して被害組織を再恐喝していると説明した [s6]。1 社あたり最大 100 テラバイトを盗んだと主張した [s3]。Telegram 上の複数のチャンネルは、作成から数日で詐欺と表示され利用できなくなった [s5]。

連絡手段とリークサイト

RansomLook は連絡手段として tox、Telegram、メールを記録している。tox は 022A7EEB83B648F55DA7A6BEFD130C2156C74F3501A31D853234EC2D18E77A1E5BEC7F602011552653D2E9A5701EA30612EAE77345293F2E35C5D29DB196BB62395BE71BB25F、Telegram は @babuklockberOffice と @bjorkanesiaaaa、メールは locksupport@onionmail[.]org、決済用の BTC アドレスは 1JdvS63gBEFH3auYStgeSB3Q2xMdi5cZiF である。リークサイトは hxxp://7dikawx73goypgfi4zyo5fcajxwb7agemmiwqax3p54aey4dwobcvcyd[.]onion で、ミラーは gtmx56k4hutn3ikv[.]onion、xeuvs5poflczn5i5kbynb5rupmidb5zjuza6gaq22uqsdp3jvkjkciqd[.]onion、fpwwt67hm3mkt6hdavkfyqi42oo3vkaggvjj4kxdr2ivsbzyka5yr2qd[.]onion、57mphyfkxoj5lph2unswd23akewz3jtj7mb6wignwmyto32ghp2visid[.]onion、bxwu33iefqfc3rxigynn3ghvq4gdw3gxgxna5m4aa3o4vscdeeqhiqad[.]onion である。いずれも RansomLook 上では停止中と記録されている。

標的と主な被害

Rapid7 によれば、2025 年 1 月以降、少なくとも 100 組織を被害者として掲載した。Amazon、イスラエル議会（Knesset）、Sodexo などを挙げ、エネルギー、製造、IT、政府など複数の業種にまたがる [s5]。インドの Hindustan Aerospace & Engineering は 2023 年 12 月に Bjorka の被害として報告され、2025 年 3 月から Babuk の被害として再掲された [s5]。Halcyon はインドの軍事・政府データを狙ったとされる主張にも触れた [s7]。掲載された被害者の一部は HellCat、RansomHub、FunkSec などが先に攻撃した組織で、実害の真偽には疑義がある [s5][s7]。

動向

SOCRadar は、Bjorka が Skywave や GD Locker Sec とロゴを並べており、協力関係にあるとみている [s3]。Rapid7 も、リークサイトの「Contact Us」欄に Skywave と Bjorka のロゴ、および GD Locker Sec の名が並んでいたと報告した [s5]。Check Point は 2025 年第 2 四半期に、Babuk-Bjorka が RansomHub や LockBit などとともに新たな被害者の公表を止めたと報告した [s4]。同社は、見せかけの攻撃主張が減ったことも、この退場と時期が重なると指摘した [s4]。