cephalus

正体と来歴

Cephalus は2025年中頃に登場したランサムウェアグループで、動機は金銭目的と評されている [s7]。名称はギリシャ神話で必中の槍を持つ人物に由来する [s7]。Huntress はさらに、語源がギリシャ語で「頭」を意味する語にあると説明した [s5]。ランサムウェア本体は Go 言語で開発され、初期の被害活動は2025年6月にさかのぼり、公の報告は8月に出始めた [s6]。2025年8月1日には、X（旧 Twitter）上でも身代金要求文が共有されていた [s5]。RansomLook は初出を2025-08-26 と記録している。

手口

初期侵入は、多要素認証（MFA）のない RDP への侵害済みアカウントでのログインである [s5]。公開されている RDP サービスに対し、窃取した認証情報を使う例が多い [s6]。データ窃取には MEGA クラウドストレージが使われたとみられ、MEGAcmdUpdater.exe がスケジュールタスクとして起動された例もある [s5]。

ランサムウェアの起動方法に特徴がある。ユーザーの Downloads フォルダから正規の SentinelOne 実行ファイル SentinelBrowserNativeHost.exe を起動し、SentinelAgentCore.dll をサイドロードさせ、さらに data.bin から本体コードを読み込ませる [s5]。起動時にコマンドライン引数は使われておらず、ネットワーク越しの展開や他端末の共有への展開は行われていないようである [s5]。

実行後は vssadmin delete shadows /all /quiet でシャドウコピーを削除する [s5]。続いて PowerShell の Add-MpPreference で Windows Defender の除外を追加し、reg.exe でリアルタイム保護を無効化し、Defender 関連サービスを停止・無効化する。これらはすべて暗号化と身代金要求文の作成より前に実行される [s5]。AttackIQ は、バックアップやデータベース関連サービスも停止すると説明している [s6]。永続化にはスケジュールタスクを使い、VirtualAlloc と VirtualProtect による別プロセスへのコード注入も行う [s6]。

暗号化は AES-256 の CTR モードでファイルを暗号化し、鍵を RSA-1024 で保護する方式である [s6]。実行時に偽の AES 鍵を生成して解析を妨げ、本物の鍵はメモリ上の特別な構造で管理する [s7]。暗号化したファイルには拡張子 .sss が付き、各ディレクトリに recover.txt が置かれる [s5][s7]。

二重脅迫の圧力手段として、Huntress が確認した身代金要求文は被害組織のドメイン宛てに書かれ、冒頭が「We’re Cephalus」で始まる。窃取した機密データを持つと主張し、過去の被害を報じた記事2本へのリンクで信憑性と切迫感を演出した。さらに GoFile[.]io の共有リンクとパスワードを示し、窃取データの見本を確認するよう促した [s5]。

連絡手段とリークサイト

RansomLook は連絡手段として Tox を記録している。ハンドルは 91C24CC1586713CA606047297516AF534FE57EFA8C3EA2031B7DF8D116AC751B156869CB8838 である。同じく RansomLook が記録するリークサイト（dls）は hxxp://cephalus6oiypuwumqlwurvbmwsfglg424zjdmywfgqm4iehkqivsjyd[.]onion で、現在は停止中と記録されている。

標的と主な被害

影響を受けた業種として、医療、法務、金融、技術分野が挙がっている [s7]。Huntress が対応した2件のインシデントは2025年8月13日と8月16日に発生し、2件とも被害組織は正規の SentinelOne を運用していた。このうち1件は Microsoft Defender がファイルを検知して隔離したため、展開に失敗した [s5]。AttackIQ は、標的を選り好みしない機会主義的な攻撃者と評した [s6]。

動向

要求文からリンクされた記事は、InsecureWeb が7月9日、DarkWebInformer が8月12日の掲載とされる。Huntress は、これらから Cephalus が登場して間もないと推測した [s5]。vcsolutions は、大規模攻撃との関連は確認されていないと述べている [s7]。2025年12月には AhnLab が報告を公開し、AttackIQ は Huntress（2025年8月21日）と AhnLab の報告に自社分析を加えて、2026年2月に Cephalus の TTP を再現するエミュレーションを公開した [s6]。