cactus

正体と来歴

Cactus（CACTUS、Cactus Group）は、ランサムウェアとその運営グループが共通して使う呼称である。RansomLook の記録では、リークサイトへの初出は 2023-07-20 で、連絡手段は tox とされている。Trend Micro のインシデント対応チームが確認した事案では、電子メールで届いたランサムノートの中で、攻撃者が自らを「Cactus Group」と名乗っていた [s5]。Sophos は、Cactus がリークサイトの FAQ ページで自らを「Direct Security Audit Agency (DSAA) revolutionizing a customer journey, one hyper-targeted solution at a time」と称し、ネットワークのセキュリティ監査を行っていると主張していると報告した [s6]。この文面は企業の宣伝文句を思わせる、と Sophos は述べている [s6]。Trend Micro は、Black Basta の主要メンバーの一部が同グループを脱退して Cactus の運営に参加していると推測している。根拠は、両グループの戦術・手法・手順（TTPs）に類似点が多いことである [s5]。

手口

Check Point によれば、CACTUS は通常、VPN ソフトウェアの脆弱性を悪用して標的環境に侵入する [s7]。侵入後は SSH で運営者との C2 通信を確立し、スケジュールタスクで再起動後も永続化する [s7]。続いてネットワークスキャンで感染対象を探し、Web ブラウザからの収集や LSASS のダンプで認証情報を窃取する [s7]。この認証情報を使ってリモート端末のアカウントを追加または利用し、ネットワーク内に拡散する [s7]。端末上では msiexec で一般的なウイルス対策ソフトをアンインストールし、AES 鍵がなければ展開できない暗号化形式でマルウェアを配布して解析を妨げる [s7]。

Trend Micro が分析した別の事案では、侵入経路は VPN ではなくソーシャルエンジニアリングだった。被害者に大量のメールを送り付ける「メール爆撃」の後、Microsoft Teams 経由で admin_734@gamicalstudio[.]onmicrosoft[.]com から連絡し、Windows 標準の Quick Assist によるリモートアクセスを許可させた [s5]。その後、2 つの .bpx ファイル（kb153056-01[.]bpx、kb153064-02[.]bpx）をダウンロードして pack.zip に結合した。展開すると OneDriveStandaloneUpdater.exe、wscapi.dll などが OneDrive フォルダ内に置かれ、DLL サイドローディングが行われた [s5]。BackConnect マルウェアの C&C の IP アドレスはレジストリ「SOFTWARE\TitanPlus」に保存された [s5]。

内部活動では、SMB と WinRM による水平移動が確認された [s5]。ESXi ホストでは root の SSH セッションを有効化し、ExecInstalledOnly 設定とファイアウォールを無効化した上で、SystemBC と思われるバイナリ「socks[.]out」を実行した [s5]。ファイル転送には WinSCP が使われ、新規登録された pumpkinrab[.]com（208[.]115[.]200[.]146）への接続が確認された [s5]。

二重脅迫の面では、Check Point が CACTUS を RSA と AES の組み合わせでデータを暗号化し、あわせて窃取も試みるダブルエクストーションの型と説明した。窃取には Rclone でクラウドストレージへ転送する手口が観測され、暗号化と窃取が終わるとランサムノートが端末上に置かれる [s7]。

連絡手段とリークサイト

RansomLook の記録では、連絡手段は tox（TOX: 7367B422CD7498D5F2AAF33F58F67A332F8520CF0279A5FBB4611E0121AE421AE1D49ACEABB2）と、SONAR の窓口（hxxp://sonarmsng5vzwqezlvtu2iiwwdn3dxkhotftikhowpfjuzg7p3ca5eid[.]onion/contact/Cactus_Support）である。リークサイト本体は cactusbloguuodvqjmnzlwetjlpj6aggc6iocwhuupb47laukux7ckid[.]onion で、いずれも停止中と記録されている。ミラーは次の 6 件で、同じく停止中である。 cactus5dqnqkppa5ayckiyk6dttpqwczdqphv5mxh4dkk5ct544q5aad[.]onion vhfd5qagh6j7qbisjqvly7eejqbv6z5bv77v6yuhctn77wmd3hjkyvad[.]onion acfckf3l6l7v2tsnedfx222a4og63zt6dmvheqbvsd72hkhaqadrrsad[.]onion 6wuivqgrv2g7brcwhjw5co3vligiqowpumzkcyebku7i2busrvlxnzid[.]onion truysrv2txxvobngtlssbgqs3e3ekd53zl6zoxbotajyvmslp5rdxgid[.]onion jvtxo5gdcgloguty322ynfnpqkc2whe2jauc7ucm7bzmgct3k7ogr4yd[.]onion

標的と主な被害

Check Point は、CACTUS が既知の VPN 脆弱性を使って侵入するため、標的は脆弱な VPN 機器を使う組織に限られると説明している。観測された標的は主に、高額の身代金要求に応じる資力のある大企業である [s7]。Trend Micro のインシデント対応チームが分析した事案では、ネットワーク上のデータを暗号化しようとする試みが阻止された [s5]。

動向

Trend Micro は、Black Basta の内部チャットログが 2025年2月11日に流出したと報告している。PRODAFT が最初に公開した情報によれば、Black Basta がロシアの銀行を標的にしたことで内部紛争が起き、データが流出したという [s5]。Trend Micro は、Cactus が今後も活発な攻撃活動を続け、Black Basta を脱退した経験豊富な元メンバーが Cactus の運営の下で活動を続けると推測している [s5]。Cactus が使った BackConnect の C&C インフラは Black Basta の事例と同じで、45[.]8[.]157[.]199、5[.]181[.]3[.]164、38[.]180[.]25[.]3 などが共通していた [s5]。Trend Micro は 2025年3月3日付の英語版で、両グループが同じ BackConnect マルウェアを使って感染端末上の足場を強化していたと報告している [s4]。