blackout

正体と来歴

Blackout は、データの暗号化と窃取を組み合わせて二重脅迫を行うランサムウェアグループである。RansomLook の記録では初出は 2024-02-27 で、Solace Cyber も 2024 年 2 月にデータリーク兼交渉サイトで被害者の掲載を始めた時点で公に確認されたと説明している [s6]。一方、Zensec は少なくとも 2023 年から活動していると記しており、活動開始時期の見方は割れている [s4]。Zensec は、Blackout が他組織の共有ツールだけに頼らず独自のランサムウェアを開発・運用しているとみており、BlackCat などと異なり被害者の公表とデータ公開を重視していると述べた [s4]。Druva は、同グループをリークサイトの掲載内容から追跡している [s5]。Solace Cyber は、規模は小さいが混乱を与える力の大きいグループとみている [s6]。

手口

初期侵入について Zensec は、フィッシングメール、悪意ある添付ファイル、初期アクセスブローカーから購入した認証情報を挙げ、インターネットに公開されたシステムやクラウドサービスの脆弱性が入口になった例もあるとした [s4]。Solace Cyber はフィッシングメールや侵害されたリモートアクセスサービスに加え、悪意あるリンク、購入した認証情報、ソフトウェア更新の不備を経路として列挙している [s6]。侵入後は永続化と横展開を行い、高い権限のアカウントを悪用して機密データや重要システムに到達する [s4]。暗号化の前にデータを持ち出すため、バックアップがあっても圧力をかけられる [s4]。その後、ワークステーションとサーバーのファイルを暗号化し、バックアップやシャドウコピーなどの復旧手段の無効化も試みる [s4]。被害組織には暗号資産での支払いを求める脅迫状が表示され、支払わなければデータを削除または公開すると脅す [s6]。身代金が支払われない場合は、ダークウェブ上の専用リークブログにデータを掲載する [s4]。さらに地下フォーラムで活動を宣伝しており、犯罪者コミュニティでの知名度を高める狙いがあるとみられる [s4]。

連絡手段とリークサイト

RansomLook は連絡手段として tox と telegram を記録している。tox ID は 36A73D90C66948D9268BDC4174A40E0064C43F10A35AEAA9DD74B3A14EF5654872D5DC67FC14、telegram は hxxps://t[.]me/blackout_supp である。リークサイト（dls）は black3gnkizshuynieigw6ejgpblb53mpasftzd6pydqpmq2vn2xf6yd[.]onion で、停止中とされる。ミラーは 8 件記録されており、うち 4qyjonpyksc52bc3fsgfgedssqgo4a6vlfsjknqnkncbyl4layqkqjid[.]onion、ao5oo2luy6avdfomyw7hcegmfl4let2g5bzjqjzch6b5rpdshmuvccad[.]onion、urey23jtg6z7xx3tiybmc4sgcim7dawiz2abl6crpup2lfobf7yb5wyd[.]onion、mu6se7h7qfwuqclr4cc6zy7qevod6gyk37aq5vwnayrtbx3qqycx2fyd[.]onion、2cyxmof76rxeqze5snxxooqmhzjtcploqswxoxmenfayphumdhrtrzqd[.]onion、idep6vd7ywl7uruhsutqjdnjawe33hct35523rrmf73kb46xrhfb5sid[.]onion の 6 件は停止中、eleav2eq3ioyiuevbyvqaz3vruwvpislphszo4cm7n56itbpnupxngyd[.]onion と rqqn25k3hgmfkh7ykjbmakjgidwweomr7cbpy6pfecpxs57r5iwzwtyd[.]onion の 2 件には停止の注記がない。

標的と主な被害

Zensec は、被害者にヘルスケア、建設、専門サービスなどが含まれ、特定の業種に絞らない機会主義的な標的選定だと分析している [s4]。Solace Cyber は被害報告がヘルスケアや事業サービスの分野に及ぶとし [s6]、ダウンタイムが直ちに金銭的または安全上の影響を生む組織を狙うとみている [s6]。リークサイト上の被害掲載数は、Druva が 9 件 [s5]、Solace Cyber が少なくとも 9 件と記している [s6]。

動向

Solace Cyber は Blackout を 2024 年初頭に観測された新興の活動と位置づけ、運用妨害を重視した攻撃的な二重脅迫を特徴とみている [s6]。Palo Alto Networks Unit 42 は 2024 年上半期のランサムウェアレビューで、53 のリークサイトに 1,762 件の新規投稿があったと集計し、取り上げたグループの一つに Blackout を挙げた [s3]。Druva は Blackout について公開された技術報告が限られるとし、リークサイトの掲載から追跡している [s5]。RansomLook の記録では、リークサイトと複数のミラーが停止中の状態にあり、2 件のミラーには停止の注記がない。