direwolf

正体と来歴

Dire Wolf（DireWolf）は2025年5月に姿を現したランサムウェアグループである。[s6][s7] ダークウェブのリークサイトに最初の6件の被害組織を載せたのは5月26日で、これが本格的な活動の始まりとなった。[s7] RansomLook の記録では初出は2025-05-27、連絡手段は tox である。Halcyon は、アフィリエイトを募らず RaaS 基盤も持たない閉じた少人数の組織とみており、構成は開発者1〜2名、ネットワーク担当2〜3名、交渉担当1〜2名の計3〜7名と推定している。[s4] リークサイトでは「Based in New York, NY」と自称しているが、Halcyon は偽装と評価し、言語的な特徴からは東欧やロシア語圏の可能性があるとした。[s4] 同サイトの About ページでは金銭目的で政治的立場は持たないと主張している。[s6] 他のランサムウェアグループとのインフラ上の重複や直接のつながりは見つかっていない。[s4]

手口

初期侵入の経路は特定されていない。Halcyon は、スピアフィッシング、露出した RDP や VPN への Valid Accounts（T1078）の悪用、認証情報攻撃、第三者や MSP の侵害を疑っている。[s4] 侵入から暗号化までに数日から数週間をかけ、約265GB のデータを事前に持ち出すとされる。[s4] 暗号化機能は Golang 製の Windows 版のみで、Linux 版や ESXi 版は観測されていない。[s4] UPX でパックされている。[s6] 実行時はミューテックス Global\direwolfAppMutex とマーカーファイル C:\runfinish.exe を確認し、どちらかがあれば自己削除して終了する。[s6][s7] 続いて eventlog サービスのプロセスを WMI で特定して taskkill で止める処理を繰り返し、75のサービスと59のプロセス（Sophos、Symantec、Veeam、BackupExec、SQL Server、Exchange など）を停止する。[s4][s6] vssadmin、wmic、wbadmin、bcdedit でシャドウコピーやバックアップを削除して回復環境を無効化し、wevtutil でイベントログも消去する。[s6][s7] 暗号化は Curve25519 と ChaCha20 の組み合わせで、ファイルごとに乱数の秘密鍵を生成する。1MB 未満は全体を、1MB を超えるファイルは先頭1MB だけを暗号化し、拡張子は .direwolf になる。[s4][s7] 暗号化後は shutdown -r -f -t 10 で強制再起動をかけ、自己削除する。[s7] 身代金要求文書は HowToRecoveryFiles.txt で、被害組織ごとに埋め込まれた roomID、ユーザー名、パスワードと、gofile[.]io に置いた持ち出し証拠サンプルへのリンクが記載される。[s6][s7] 公開の流れは、サンプルとファイル一覧の掲載、約1か月の交渉期間、全データ公開の順である。[s6] Halcyon は30日の期限としている。[s4] ある被害組織への要求額は約 $500,000 だった。[s6]

連絡手段とリークサイト

RansomLook の記録による Tox ID は B344BECDC01A1282F69CB82979F40439E15E1FD1EF1FE9748EE467F5869E2148E6F1E55959E2 である。リークサイトは hxxp://direwolfcdkv5whaz2spehizdg22jsuf5aeje4asmetpbt6ri4jnd4qd[.]onion（停止中）、ミラーは hxxp://direwolfgpyqohwxwoetsz7a6p72diu32c3wfysqdx4ei6bwft7zh3yd[.]onion（停止中）と hxxp://direwolf66s5zealav7azcyqeipiswecvvnapyuby3dek473kyqfucad[.]onion である。いずれも RansomLook の記録による。Halcyon によれば、リークサイトと支払いポータルは Tor 上にあり、従来型の C2 インフラは文書化されていない。[s4]

標的と主な被害

製造業が最も多く、技術・IT サービスが続く。[s4][s6] 法務、金融、医療、建設・エンジニアリング、農業、ビジネスサービスも標的になった。[s4] AhnLab は、アジア、オーストラリア、イタリアなどの製造、IT、建設、金融を挙げている。[s7] 地域別の件数は出典で異なる。Trustwave SpiderLabs は、リークサイト掲載の16件が11か国に分布し、米国とタイが最多でタイワンが続くと報告した。[s6] AhnLab は、16組織が16の地域にまたがり、米国、タイ、台湾などを含むとした。[s7] Halcyon は、アジア太平洋が60%を占め、シンガポール、台湾、タイが特に多く、米国と欧州が次ぐと整理している。[s4]

動向

活動初期は速く、最初の1か月で被害は6件から16件以上に増え、11か国以上に広がった。[s4] Halcyon によれば、2025年11月までの被害は41件以上、月に約7件のペースで、13か国以上に及ぶ。[s4] 夏以降は法務、金融、ビジネスサービスにも対象が広がった。[s4] 2025年8月には政府機関からの警告 AL-2025-082 が出された。[s4] Halcyon は、活動が2025年11月時点でも続いており、手口に大きな変化はないと評価している。[s4]