BlackLock

正体と来歴

BlackLock は El Dorado（Eldorado）の名でも知られる RaaS（Ransomware as a Service）型のランサムウェアグループである。ReliaQuest は 2024年3月に初めて観測されたと報告し、HIPAA Journal によればその時点では El Dorado の名で活動し、2024年後半に BlackLock へ改名した [s4][s7]。RansomLook の記録上の初出は 2024-06-06 である。DarkAtlas は 2024年3月にロシア語圏の地下フォーラム RAMP で El Dorado に関連する新しいアフィリエイトプログラムが宣伝され、ランサムウェアのロッカーとローダーを売り込みつつペネトレーションテスターを募集していたと記した [s6]。DarkAtlas は同グループの代表者がロシア語話者だと判断した [s6]。

RAMP では、利用者名「$$$」が BlackLock の代表として振る舞っていた。2025年1月時点の投稿数は 307 件で、RansomHub の運営者の 9 倍にあたる [s4]。ReliaQuest によれば、この活動によって IAB、アフィリエイト、技術者を効率よく集めていた [s4]。マルウェアは Babuk や LockBit の流出ビルダーに頼らず自社開発で、ReliaQuest は Play や Qilin と並ぶ上位グループの特徴と位置づけた [s4]。

手口

初期侵入では、スピアフィッシングメール、悪意ある添付ファイル、侵害された RDP 認証情報が使われる。さらに IAB から、ドメイン管理者の認証情報や Active Directory への足掛かりといった侵害済みアクセスを調達する [s5]。BlackLock は「traffer」を自ら募集しており、他の RaaS が通常アフィリエイトに任せる初期段階を自分たちで握っている。2024年10〜11月の攻撃波の数週間前に、$$$ が RAMP 上で IAB「guccigan」へ Sentinel One の回避可否を尋ねた記録がある [s4]。DarkAtlas は、アフィリエイトに渡すビルダーがドメイン管理者のパスワードまたは NTLM ハッシュといった高い権限を要求すると述べた [s6]。

侵入後は PowerShell と PsExec でリモート実行し、認証情報の窃取と Pass-the-Hash（PtH）で横展開する [s5]。ReliaQuest は ESXi サービスアカウント「vpxuser」の不審なログオンとシャドウコピー削除を監視対象に挙げた [s4]。暗号化は ChaCha20 でファイル内容を、RSA-OAEP で鍵を処理する。ファイル名はランダム文字列に変更され、固有の拡張子が付く [s5][s6]。マルウェアは Go 言語製で、SMB 経由で共有ネットワーク上のファイルも暗号化する [s6]。対象は Windows、VMware ESXi、Linux で、Linux 版は Windows 版より機能が少ない [s4]。

二重脅迫では、暗号化の前後に機密データを窃取し、公開をちらつかせて支払いを迫る [s4][s5]。身代金メモは「HOW_RETURN_YOUR_DATA.TXT」で、ビットコインでの支払いを求め、窃取ファイルの一覧提示と 1 ファイルの無料復号を提示する。再起動やファイル名変更は復旧不能になると警告する [s5]。リークサイトにも圧力の仕掛けがあり、フォルダ名取得の GET が速すぎると応答を止め、自動化されたダウンロードには連絡先だけを記した空ファイルを返す。ReliaQuest は、被害組織が被害範囲を把握する前に支払わせる狙いと分析した [s4]。

データの退避先には MEGA が使われ、少なくとも 8 つの MEGA アカウントが確認された。被害サーバーに MEGA クライアントを直接導入した例もある [s5]。ReliaQuest は、BlackLock が Microsoft の Entra Connect を悪用する方向へ転じる可能性を指摘した [s4]。

連絡手段とリークサイト

RansomLook が記録する連絡手段は、tox（tox:667798F921A68529C74094664C1B890D4E1156C4588906071398FA4F76C2095C0BF34A4C5D9C）、Telegram（hxxps://t[.]me/BlackLockChanel）、メール（blacklock@cyberfear[.]com）である。loginsoft は、暗号化された Telegram チャンネルで活動を調整していると述べた [s5]。RAMP 上でも Tox での個別連絡を求める投稿が確認されている [s4]。

RansomLook はリークサイト（dls）1 件とミラー 5 件を記録しており、いずれも停止中である。リークサイトは hxxp://dataleakypypu7uwblm5kttv726l3iripago6p336xjnbstkjwrlnlid[.]onion、ミラーは次のとおり。 hxxp://panelqbinglxczi2gqkwderfvgq6bcv5cbjwxrksjtvr5xv7ozh5wqad[.]onion hxxp://panela3eefdzfzxzxcshfnbustdprtlhlbe3x2fqomdz7t33iqtzvjyd[.]onion hxxp://26ubgm3vvrjawkdyfhvl2d2nhq77nu3zsagbih4yy2zgau5uv5ivfgyd[.]onion hxxp://zdkexsh2e7yihw5uhg5hpsgq3dois2m5je7lzfagij2y6iw5ptl35gyd[.]onion hxxp://4ozbomcjurd64vgeblkoqeqirvawi3dddswriw6qespscmequmqlshyd[.]onion

標的と主な被害

loginsoft は、被害業種を技術、建設、製造、金融、政府、不動産、防衛、医療、小売とし、被害国に米国、カナダ、スペイン、日本、イタリア、クロアチア、ブラジル、UAE、プエルトリコ、英国、オランダ、アルゼンチン、アルバ、ペルー、ドイツを挙げた。2025年6月時点で既知の被害者は少なくとも 60 とされる [s5]。DarkAtlas は 2025年の最初の 2 か月で 48 件の攻撃を数え、建設と不動産が頻繁に狙われ、政府機関が攻撃のおよそ 4 分の 1 を占めると述べた。IT サービス事業者は、1 度の侵害で下流の顧客企業へ波及できるため狙われやすいという [s6]。El Dorado の被害例として、ERP を手がける IT サービス企業 Acumen Group が挙げられている [s6]。

HIPAA Journal は、リークサイトの掲載を見る限り医療機関は標的ではないが、医療機関にサービスを提供する企業は含まれると指摘した [s7]。日本の組織名と時期を具体的に示す記述は、与えられた出典にはない。

動向

ReliaQuest によれば、2024年第4四半期にはリークサイト上で 7 番目に活発なランサムウェアグループとなり、第3四半期比で 1,425% の増加を記録した。2025年1月には 5 位へ上がった [s4][s7]。攻撃波は 2024年6月に 16 件（同年の 23%）、2024年11月18日〜12月18日に 10 件（同 15%）で、いずれも直前に RAMP で募集投稿があった [s4]。

転機は 2025年に訪れた。Resecurity がリークサイトのローカルファイルインクルージョン（LFI）の脆弱性を突き、システム設定、シェルコマンド履歴、クリアネットの公開 IP、46 件の被害者データを入手したと loginsoft は伝えた [s5]。2025年3月20日にはリークサイトが競合の DragonForce によって改ざんされた。前日には Mamona のリークサイトも改ざんされている。loginsoft は、DragonForce が BlackLock のインフラとアフィリエイト網を引き継いだ可能性があるとしつつ、協力関係なのか支配権の移転なのか決め手はないと述べた。$$$ はこれらの混乱に目立った反応を示さず、事前に侵害を把握して静かに撤退したと同社は見ている [s5]。RansomLook の記録では、リークサイトとミラーはすべて停止中である。

なお DarkAtlas は、BlackLock が El Dorado の改名版で、Babuk から BabLock、REvil から BlackMatter への移行と同様に、当局や研究者の監視を逃れる狙いがあるとの見方を示した [s6]。