black suit

正体と来歴

BlackSuit は Royal ランサムウェアの進化形とされるグループである。FBI と CISA の共同勧告は、Royal が 2022年9月ごろから2023年6月ごろまで使われ、BlackSuit は Royal とコード上の類似点が多く、機能が改良されていると説明している [s2]。2024年8月7日の更新では、Royal の攻撃者が「BlackSuit」へ名称を変えたことが周知された [s2]。RansomLook の記録上の初出は 2023-06-18 である。Trend Micro は活動開始を2023年5月ごろとし、Conti や Royal との関係が指摘されていると記した [s3]。Cybereason は、BlackSuit が2023年半ばに現れ、Royal の再ブランド化またはスピンオフと考えられ、Royal 自体もロシア語圏の Conti から派生したと述べている [s6]。Fidelis Security も Royal の再ブランドと見られるとしており、再ブランドは法執行機関の監視や防御側の検知を避けやすくするとの見方を示した [s7]。

手口

初期侵入で最も多いのはフィッシングメールである。悪意ある PDF 添付やマルバタイジングを通じてマルウェアが入り、BlackSuit が配布される事例が報告されている [s2]。次に多いのは RDP の侵害で、全体の約13.3% を占める [s2]。公開アプリケーションの脆弱性の悪用も観測されている [s2]。第三者報告では、初期アクセスブローカーがスティーラーログから VPN 認証情報を収集し、それを BlackSuit が利用している可能性が指摘されている [s2]。

侵入後は C2 通信と複数のツール取得を行う。Royal 時代には Chisel、SSH クライアント、PuTTY、OpenSSH、MobaXterm が使われた [s2]。BlackSuit は RDP、PsExec、SMB で横展開する。ある事例では正規の管理者アカウントでドメインコントローラーに SMB ログオンし、グループポリシーを変更してウイルス対策を無効化した [s2]。持続化には正規の RMM ソフトを使い、SystemBC と Gootloader で追加ツールの読み込みと維持を行う [s2]。探索には SharpShares と SoftPerfect NetWorx、認証情報の窃取には Mimikatz と Nirsoft のツール、プロセス停止には PowerTool と GMER が使われた [s2]。データ流出には Cobalt Strike、Ursnif/Gozi、RClone、Brute Ratel を使い、第三者報告では最初の中継は通常米国の IP アドレスである [s2]。

Cybereason が観測した事例では、Cobalt Strike ビーコン（vm.dll、vm80.dll）を PowerShell で C2 の 184[.]174[.]96[.]71 から取得し、PsExec で他端末へコピーした [s6]。別のペイロードは 180[.]131[.]145[.]85:8098 から取得され、vmware.dll として rundll32 で実行された [s6]。rclone.exe は vmware.exe に改名され、約60GB のデータが送信された [s6]。ランサムウェアは -nomutex フラグでミューテックスの作成を無効化し、複数インスタンスの同時実行を可能にしていた [s6]。暗号化前には Restart Manager でファイルの使用状況を確認し、vssadmin でシャドウコピーを削除する [s2]。除外対象には .BlackSuit、.exe、.dll、README.BlackSuit.txt が含まれる [s6]。暗号化では、ファイルごとに暗号化する割合を選べる部分暗号化を採用しており、大きなファイルほど割合を下げて検知を避け、速度を上げる [s2]。

脅迫は暗号化前のデータ窃取と、身代金不払い時のリークサイトでの公開による二重脅迫である [s2]。最初の身代金要求書に金額は書かれておらず、暗号化後に示される .onion の URL に Tor ブラウザで接続して直接交渉する必要がある [s2]。要求額はおおむね約100万〜1,000万米ドルで、支払いはビットコインを求められる。総要求額は5億米ドル超、単一の最大要求額は6,000万米ドルである。金額交渉には応じる姿勢が見られる [s2]。最近は、被害者への電話やメールによる連絡が増えている [s2]。

連絡手段とリークサイト

RansomLook はリークサイト（dls）1件とミラー17件を記録しており、すべて停止中である。dls は weg7sdx54bevnvulapqu6bpzwztryeflq3s23tegbmnhkbpqz637f2yd[.]onion である。ミラーは次のとおり。c7jpc6h2ccrdwmhofuij7kz6sr2fg2ndtbvvqy4fse23cf7m2e5hvqid[.]onion、nz2ihtemh2zli2wc3bovzps55clanspsqx5htu2plolby45a7pk4d3qd[.]onion、qjdremetxo2zpli32exwb5uct6cjljyj7v52d5thn7usmj5mlyxdojqd[.]onion、yef4xoqj2jq554rqetf2ikmpdtewdlbnx5xrtjtjqaotvfw77ipb6pad[.]onion、ptsfbwx5j7kyk5r6n6uz4faic43jtb55sbls7py5wztwbxkyvsikguid[.]onion、ro4h37fieb6oyfrwoi5u5wpvaalnegsxzxnwzwzw43anxqmv6hjcsfyd[.]onion、cyfafnmijhiqxxfhtofmn5lgk3w5ana6xzpc6gk5uvdfadqflvznpjyd[.]onion、betrvom4agzebo27bt7o3hk35tvr7ppw3hrx5xx4ecvijwfsb4iufoyd[.]onion、ybo3xr25btxs47nmwykoudoe23nyv6ftkcpjdo4gilfzww4djpurtgid[.]onion、k6wtpxwq72gpeil5hqofae7yhbtxphbkyoe2g7rwmpx5sadc4sgsfvid[.]onion、vm2rbvfkcqsx2xusltbxziwbsrunjegk6qeywf3bxpjlznq622s3iead[.]onion、ng2gzceugc2df6hp6s7wtg7hpupw37vqkvamaydhagv2qbrswdqlq6ad[.]onion、2yxf2ald2c67twt4663piypum2fu6yt4su453naxsdiilpd4m7pgu6qd[.]onion、wjdnuogx3mrnnutshrx7nbvjuwqfxnrb32rifaozygwdvs325s75keqd[.]onion、wxqhwn52dnzbrtqeywg35jfvzbpwkw7edlxxoil7ag44plraezw5z5id[.]onion、5bol522hpd3yknxfct2o35ilimxyo46licxxitjvajtvcedltfrj53qd[.]onion、weg7sdx54bevnvulapqu6bpzwztryeflq3s23trgbmnhkbpqz637f2yd[.]onion。

標的と主な被害

Fidelis Security は、医療、政府、製造、教育、金融といった重要分野を主な標的としている [s7]。Group-IB も、BlackSuit が Qilin や RansomHub などと同様に医療業界を攻撃したと記した [s5]。Cybereason は BlackSuit の被害産業が複数にわたると説明した [s4]。ランサムウェアは Windows と Linux の両方を標的にするとされる [s7]。日本については、Trend Micro が2024年に日本の組織を攻撃した新興ファミリーの一つに BlackSuit を挙げ、2024年4月に活動の活発化を観測したと記している [s3]。出典には日本の被害組織名や具体的な被害時期の記載はない。

動向

BlackSuit は2024年に再び注目を集め、Royal の後継者と位置づけられている [s6]。FBI と CISA は、2024年7月までの脅威対応活動などで得た IOC と TTP を公開した [s2]。2024年8月7日の更新で、Royal から BlackSuit への再ブランドが周知された [s2]。Cybereason は2025年10月14日に BlackSuit の攻撃を分析した脅威分析レポートを公開しており、Cobalt Strike、rclone、BlackSuit ランサムウェアで C2、データ流出、暗号化を実現する攻撃を観測したと報告した [s6]。この事例では初期アクセスの経路は特定されていない [s6]。RansomLook に記録されたリークサイトとミラーは、いずれも停止中である。