benzona

正体と来歴

Benzona は、ファイルを暗号化して拡張子「.benzona」を付けるランサムウェアで、CYFIRMA は地下フォーラムの監視中に発見した [s4]。PCRisk は VirusTotal への新規ファイル投稿を調べる中で見つけたと述べている [s6]。RansomLook の記録では初出は 2025-11-26 である。CYFIRMA は Benzona をダブルエクストーションのモデルで動くと評価し、RaaS に見られる挙動と似ていると位置づけた [s4]。ただし RaaS として運営されているかどうかを明言した記述はない。Cybergen は Benzona を、公開情報が限られるが脅威フィードやリークサイト、地下フォーラムに現れたグループの一覧に挙げ、こうした存在はリブランドや分派、短期的なキャンペーンであることが多いとも述べた [s5]。拠点国や運営者の素性を示す記述はない。

手口

暗号化されたファイルには「.benzona」の拡張子が付き、「RECOVERY_INFO.txt」という名の脅迫文が作られる。PCRisk の検証では、1[.]jpg が 1.jpg[.]benzona に、2[.]png が 2.png[.]benzona になった [s4][s6]。対象は Windows である [s4]。CYFIRMA は、vssadmin.exe や wmic.exe に関わる処理でボリューム シャドウ コピーを消し、システムの復元ポイントなどからの復旧を妨げると説明している [s4]。サンドボックスや仮想マシン、デバッグ環境かどうかを調べ、検知された場合は実行を止めるなど挙動を変えることで解析を難しくするとも指摘した [s4]。CYFIRMA が MITRE ATT&CK に対応づけた手法には、コマンドとスクリプトのインタプリタ（T1059）、Windows サービスの作成・変更（T1543.003）、プロセス インジェクション（T1055）、セキュリティ ツールの無効化（T1562.001）、システム復旧の阻害（T1490）などがある [s4]。使用ツールの個別名は出典にない。初期侵入の経路も、Benzona について具体的に述べた出典はない。一般的な配布経路として PCRisk は、メール添付、トレントサイト、悪意のある広告を挙げている [s6]。

脅迫文は、ファイルが暗号化され、データも持ち出されたと告げる。ファイル名の変更、復旧ツールの使用、法執行機関への連絡を禁じ、72 時間以内の連絡を求める。期限後はデータを売却または公開するとし、評判の毀損を避けたければ指示に従うよう迫る [s4][s6]。連絡は Tor ブラウザで接続するチャットで行い、被害者は固有の Chat ID を入力する [s4][s6]。

連絡手段とリークサイト

RansomLook の記録では、連絡手段は tox で、ハンドルは 7308E8CFE8AA18D718B5EF44C34A2E5E2C90B7FDB150FA2EC31E995F5F4B23044A98802A4DF0 である。別の連絡先として Twitter の @InfinityLeak も記録されている。リークサイトは、RansomLook によれば hxxp://rwsu75mtgj5oiz3alkfpnxnopcbiqed6wllyoffpuruuu6my6imjzuqd[.]onion（dls）で、いずれも停止中である。ミラーは次の 3 件で、これらも停止中である。hxxp://benzona6x5ggng3hx52h4mak5sgx5vukrdlrrd3of54g2uppqog2joyd[.]onion、hxxp://cpjhb63lxycwbyus2n35ddyhdzxhf756l4rtwdttojzhzgppt3vpmsqd[.]onion、hxxp://wor3mnvotoznof5puzoa35y4bwgtozqe3bae2rpkxmz5dai4xqbcbyad[.]onion。CYFIRMA によれば、リークサイトには被害組織の一覧とともに、持ち出したデータ量、身代金の要求額、公開予定日が表示される [s4]。

標的と主な被害

CYFIRMA は、Benzona の標的として特定の地域や業種を挙げていない。Windows が企業環境で広く使われているため、複数の業種に影響しうると指摘する [s4]。今後は多様な業種へ被害者の選定を広げる可能性があるとも見ている [s4]。日本の組織名や被害時期を示す記述は出典にない。参考として、警察庁は暗号化を伴わずデータを窃取して対価を要求する「ノーウェアランサム」の被害も確認されていると述べている [s2]。

動向

2025 年 12 月 5 日付の CYFIRMA の週次レポートで、今週のランサムウェアとして取り上げられた [s4]。RansomLook の記録では、リークサイトの本体とミラー 3 件はいずれも停止中である。摘発や逮捕、改名、提携に関する記述は出典にない。CYFIRMA は、Benzona のようなモデルを採る集団は、リークサイトの枠組みを強化し、データを軸にした恐喝をさらに進める可能性が高いと見ている [s4]。