d4rk4rmy

正体と来歴

d4rk4rmy は、2025年7月に現れた新興のランサムウェアグループである。RansomLook の記録上の初出は 2025-07-08 で [s2] ではなく RansomLook の記録に基づく。Check Point Software は、初めて観測されたのを 2025年7月7日とし、新たに登場したランサムウェアグループと位置づけた [s7]。自前のデータリークサイトを運営し、被害組織の掲載や交渉の詳細を公開している [s7]。同サイトには「Partner Relations」と題する投稿があり、他の既存グループや初期アクセスブローカー（IAB）との協業を募っている。Check Point Software はこれを、RaaS モデルへ成長する初期の意図を示すものとみている [s7]。RaaS とは、開発・運営側が攻撃の実行者にランサムウェアやリークサイトなどの環境を提供し、見返りに身代金の一部を受け取る仕組みである [s2]。現時点で d4rk4rmy が RaaS として稼働していると断定する記述はない。Check Point Software は、同グループの動きの速さと地理的な広がりから「rising mid-tier actor」と評した [s7]。

手口

手口の詳細な分析は限られているが、Huntress は、d4rk4rmy の被害組織の多くが、同グループの主張に先立ってインフォスティーラー（情報窃取型マルウェア）に感染していたとみている [s4]。さらに、同グループは入手可能なインフォスティーラーのログを購入したうえで侵害を主張しており、侵害の度合いを誇張している可能性もあるとの見方を示した [s4]。Huntress は、グループの正当性には議論があるとも述べている [s4]。CYFIRMA は、Dire Wolf と D4RK4RMY が従来型の暗号化中心の攻撃から離れ、データのリークと政治色のある主張に軸足を移していると評した [s6]。ランサムウェアの一般的な二重脅迫では、攻撃者が事前に情報を窃取し、その一部をウェブサイト上に暴露して交渉に持ち込む [s3]。暗号化を行わずにデータ窃取だけで対価を要求する「ノーウェアランサム」も確認されている [s2]。

連絡手段とリークサイト

RansomLook の記録によると、連絡手段は tox と telegram である。tox ID は 389EFCEB8DB8143C000A0A70B6C44A0436761784760F23E2F43A421F48A45D72A4A22814F01157A9B30B2D9E5F692A100C8E264082FC5F9B8F445C47E7333CBBB04DBF42640085620A9FA795、telegram は hxxps://t[.]me/D4RKLE4K および hxxps://t[.]me/D4RKLE4KS である。リークサイト（DLS）は d4rkd2fybtclo44hss2dpqpw7gmofboxhruax2az3uejw7puxxbpkvqd[.]onion で、RansomLook の記録では停止中である。

標的と主な被害

Check Point Software によると、同グループは短期間に米国、英国、ブラジル、台湾、日本、南アフリカを含む11か国へ広がった [s7]。業種は教育、小売、建設、テクノロジーなど複数にまたがり、機会主義的で幅広い標的選定だと評された [s7]。Huntress は、同グループがモンテカルロのカジノ（Casino de Monte-Carlo）と Big Rock Resort への攻撃を主張したと述べ、エンターテインメントおよびホスピタリティ分野への積極的な攻撃姿勢に注意を促した [s4]。これらは攻撃者側の主張である [s4]。日本が被害国に含まれるとされるが [s7]、日本の被害組織名や時期を示す記述はない。

動向

同グループは、2025年7月の新興グループとして複数の調査で取り上げられた。CYFIRMA の 2025年7月の月次レポートは、Dire Wolf とともに D4RK4RMY をデータ漏えいと政治的な主張へ軸足を移す新興勢力に挙げた [s6]。Huntress は、グループの正当性が争われていると指摘し、購入ログの利用が実際の侵害水準を誇張している可能性を示した [s4]。Check Point Software は、2025年第3四半期の概況でも同グループの急速な拡大を取り上げ、既存グループや IAB との提携を募っている点を挙げた [s7]。同四半期は新規グループの出現が14、活動中のグループが85に及び、ブランドの乱立と入れ替わりが激しい環境にある [s7]。RansomLook の記録ではリークサイトは現在停止中である。