DragonForce

正体と来歴

DragonForce は Trend Micro が Water Tambanakua と追跡する RaaS（Ransomware as a Service）グループである [s5]。ランサムウェアとしての活動は 2023 年 8 月に観測され [s4][s5]、RansomLook の記録では初出は 2023-12-13、連絡手段は tox である。出自には諸説あり、2021 年に政治的主張を始めたマレーシア拠点のハクティビスト集団 DragonForce Malaysia が RaaS に転じたとする報告と、同名の別組織とする報告がある。決定的な関連は確認されておらず、DragonForce Malaysia 側はランサムウェア活動への関与を否定した [s5]。Loginsoft はもともと親パレスチナのハクティビストだったと記している [s6]。

2024 年 6 月 26 日、ハンドル「dragonforce」が地下フォーラム RAMP でアフィリエイト募集を開始し、身代金の 80% をアフィリエイトに渡す条件を示した [s4]。2025 年 3 月 19 日には「DragonForce Ransomware cartel」への移行を発表し、アフィリエイトが独自ブランドを立ち上げつつ同グループのツールや資源を使える体制になった [s5]。Loginsoft は、アフィリエイトが自らのブランドで攻撃しつつ、DragonForce 側がマルウェア展開、リークサイト運営、身代金交渉の基盤を提供し、取り分は 20% と記している [s6]。

手口

初期侵入は技術的な脆弱性悪用と社会的工学の併用である。Loginsoft は、フィッシングメール、偽の SSO ポータル、SIM スワップ、MFA プッシュ爆撃による認証情報の窃取を挙げ、IT ヘルプデスクが狙われることも多いと記している [s6]。悪用が挙げられた脆弱性は CVE-2024-21412、CVE-2024-21887、CVE-2024-21893、CVE-2024-57726、CVE-2024-57727、CVE-2024-57728、CVE-2023-46805、CVE-2021-44228 である [s6]。最近の攻撃では SimpleHelp を悪用して管理サービス事業者（MSP）のネットワークへ波及させた [s6]。英国小売への攻撃では、Scattered Spider が初期アクセスブローカー役、DragonForce が展開と恐喝を担ったとする報告がある [s5]。

侵入後は Cobalt Strike、Mimikatz、SystemBC を使う [s4][s6]。ネットワーク把握には SoftPerfect Network Scanner [s4] や AdFind [s6]、認証情報の窃取には LSASS メモリからの取得（Mimikatz、procdump）[s6]、横展開には RDP や SMB、PsExec が使われる [s6]。防御回避では、脆弱なドライバーを悪用する BYOVD で EDR などを無効化し [s4][s5]、暗号化後には Windows イベントログを消去する [s4]。

ペイロードは LockBit 3.0 の流出ビルダー由来のものと、Conti V3 を基にした独自版の 2 系統である [s4][s5]。Windows、Linux、ESXi、NAS 向けの暗号化ツールを作成でき [s5]、LevelBlue は BSD 対応も挙げている [s7]。Windows 版は暗号化後のファイル名に「.locked」を付加し [s5]、Linux/ESXi 版は拡張子「.dragonforce_encrypted」を付ける [s5]。暗号化にはフル、ヘッダー、部分などのモードがあり、開始の遅延指定やドライランも備える [s7]。

データを窃取して暗号化する二重脅迫を採り、窃取データは SFTP、クラウドストレージ、WebDAV、rclone などで外部へ送られる。支払いがなければリークサイトに公開する [s6]。2025 年 8 月 23 日には「データ分析サービス」を開始した。標的組織と窃取データのリスク監査を行い、恐喝電話の台本や経営層宛書簡の草案などを作成する。手数料は身代金の 0〜23% で、年間売上が 15 million US ドル以上の組織を狙うアフィリエイト向けとされる [s5]。LevelBlue は、データ監査サービスが成功報酬型で提供されていると記している [s7]。

連絡手段とリークサイト

連絡手段は tox で、ID は 1C054B722BCBF41A918EF3C485712742088F5C3E81B2FDD91ADEA6BA55F4A856D90A65E99D20 である。同じ ID は RAMP の募集投稿にも記載されていた [s4]。RansomLook が記録するリークサイト（dls）は hxxp://z3wqggtxft7id3ibr7srivv5gjof5fwg76slewnzwwakjuf3nlhukdid[.]onion で、いずれも停止中である。この .onion は Group-IB が引用した募集投稿のブログ欄にも記載されていた [s4]。

ミラーも RansomLook が記録しており、すべて停止中である。 3pktcrcbmssvrnwe5skburdwe2h3v6ibdnn5kbjqihsg6eu6s6b7ryqd[.]onion dragonforxxbp3awc7mzs5dkswrua3znqyx5roefmi4smjrsdi22xwqd[.]onion zsglo7t7osxyk3vcl7zxzup7hs4ir52sntteymmw63zvoxzcqytlw7qd[.]onion 6dgi54prfmpuuolutr4hl3akasxbx4o34g5y2bj4blrvzzkjemhxenad[.]onion eogeko3sdn66gb7vjpwpmlmmmzfx7umtwaugpf5l6tb5jveolfydnuad[.]onion ewrxgpvv7wsrqq7itfwg5jr7lkc6zzknndmru5su2ugrowxo3wwy5yad[.]onion 3ro23rujyigqrlrwk3e4keh3a3i6ntgrm3f42tbiqtf7vke47c6a6ayd[.]onion jziu7k7uee467r2wt66ndrwymmw7tsmqgcqi7aemcaxraqmaf2hdm3yd[.]onion 2yczff6zyiey3gkgl5anwejktdp73abxbzbnvwobmrwkwgf3hudpyvyd[.]onion bpoowhokr3vi32l3t4mjdtdxfrfpigwachopk5ojwmgxihnojhsawuyd[.]onion dbvczza7nhwdb5kdvkzjtkrcvwnrt5viw7mihutueprvajy7rxhwq6id[.]onion xtcwd3xmxpggtizn7kmwwqeizexflkkyqsytg2kauccau6ddsfa4gfyd[.]onion 4wcrfql53ljekid3sn66z6swjot725muveddq77utxltaelw64eikfid[.]onion 73h3lxn24kuayyfkn4t6ij7e67jklo24vqzqdhpts3ygmim7hu6u6aid[.]onion nwtetzmrqhxieetg5lvth7szzvg35gfrqt23ly46vku56oo7pkueswyd[.]onion dszmdx3jr7vggdaf2c5k4qunt4mxclelhgbtjlgewlkmlnfpsnsg3sad[.]onion fsguestuctexqqaoxuahuydfa6ovxuhtng66pgyr5gqcrsi7qgchpkad[.]onion dragongoztkdfmnd7jkchznd3fvkpdmeh4vhbt6p3usrlsoy5dw2bhyd[.]onion xjhmtitnrdrgzw4vmsghirdoo2fk35a3tzj4enlmah4pvehdspydsiyd[.]onion クリアネットのミラーは dragongo[.]org で、こちらも停止中である。

標的と主な被害

Group-IB によれば、2023 年 8 月から 2024 年 8 月にリークサイトに掲載された被害者は 82 件で、米国が 43 件（52.4%）、英国が 10 件（12.2%）、オーストラリアが 5 件（6%）だった。業種別では製造業 12 件（14.6%）、不動産 11 件（13.4%）、運輸 10 件（12.2%）の順である [s4]。LevelBlue は製造、ビジネスサービス、テクノロジー、建設を主な標的とし、国別では米国、英国、ドイツ、オーストラリア、イタリアに被害が集中するとしている [s7]。Loginsoft が挙げる被害国は米国、オーストラリア、インド、ニュージーランド、シンガポール、カナダ、英国などである [s6]。

2025 年 6 月には、英国の著名な小売企業への攻撃の背後にいると報じられた [s5]。サプライチェーンやサービス事業者も標的にしている [s5]。Loginsoft は、医療の一部を避けるとする「倫理規範」を同グループが主張しているが、どこまで守られているかは明らかでないと記している [s6]。

動向

2025 年 3 月の cartel 宣言の前後に、他の RaaS との関係が表面化した。BlackLock（のち Mamona）の攻撃との関連が指摘され [s5]、LevelBlue は BlackLock のリークサイトが 24 時間以内に改ざんされたと記している [s7]。2025 年 6 月には DevMan ランサムウェアの新しい亜種が確認され、DragonForce と Mamona（BlackLock）の関連をさらに示唆するとされた [s5]。

RansomHub は 2025 年 4 月 1 日にインフラがオフラインになった。DragonForce は RansomHub が cartel に加わったと主張して旧アフィリエイト向けの移行用ポータルまで設けたが、RansomHub は公に否定し、報道官 Koley が妨害や内部の裏切りを非難した [s7]。両者の関係については、敵対的な競争とも資源の統合ともみられ、実態は不透明である [s5]。

LevelBlue は、DragonForce の代表者が LockBit や Qilin など大手ランサムウェア運営に協調を呼びかけ、アフィリエイトの条件を揃えることや、公の対立の解消を提案したと記している。Nova RaaS の代表も関与した形跡があるという [s7]。参加条件も変わり、LevelBlue は事前承認なしで登録できる自動登録サービスが新設されたとしている [s7]。2024 年 7 月 4 日の時点では、Group-IB によれば、アクセスを事前に取得し、その証拠を示し、データを持ち出し済みのアフィリエイトに限って受け入れるとされていた [s4]。Trend Micro は、DragonForce ブランドを使わないアフィリエイト経由の攻撃も今後増えると見ている [s5]。