everest

正体と来歴

Everest は Everest Ransomware Group や EverBe 2.0 の名でも知られる攻撃グループである。出典の記述には食い違いがある。HIPAA Journal は 2020年12月に初めて確認されたとし、ブラジル政府や NASA などの著名な標的への攻撃で知られるようになったと伝えた [s6]。Halcyon は 2020年の活動開始と記し、ロシア語圏で金銭を動機とするグループで、データ窃取・恐喝・初期アクセスブローカー活動を行うと説明した [s4]。Zensec AU は 2022年に初めて現れたと記した [s7]。RansomLook の記録上の初出は 2021-09-09 である。

当初はデータ窃取を中心とし、ランサムウェアの使用は近年の攻撃に限られた [s6]。2022年後半からは初期アクセスブローカー (IAB) としての専門化が進んだ [s6]。IAB は侵入した企業ネットワークのアクセス権を他の攻撃者に売る役割である。HIPAA Journal は、暗号化ツールを持つ集団がアクセスを売る例は珍しいと指摘し、目立たず法執行機関の注意を避ける狙いがありうるとした [s6]。暗号化ツールの解析では BlackByte ランサムウェアとの類似が見つかっており、Halcyon も BlackByte の系譜に連なる特徴として、鍵を各ホストでローカル生成する点を挙げた [s3][s6]。Ransomed など他のランサムウェアグループとの協力も知られている [s6]。なお MBSD は、監視対象のランサムウェア攻撃グループの一つに Everest を挙げている [s5]。

手口

初期侵入では、MFA のない RDP や脆弱な VPN エンドポイントなど、インターネットに公開されたリモートサービスを狙う。Halcyon は特定の CVE の悪用は確認されていないとする [s3]。正規アカウントの入手経路は三つある。他の IAB からの購入、クレデンシャルスタッフィング、企業内部者の募集である [s3]。内部者の募集は 2023年10月に確認され、現金や利益分配を示して直接のネットワークアクセスを求めた [s3]。HIPAA Journal によれば、提供を求めるアクセス形態は shell、vnc、hvnc、RDP with VPN、各種リモートアクセスソフトで、他の犯罪者からの購入も確認されている [s6]。2025年の攻撃では、窃取または内部者から得た認証情報を使い、サプライヤーが管理するファイル転送システムへ侵入して機密データを盗み、被害者を恐喝している [s4]。Zensec AU は、RDP の悪用やクラウドバックアップ・サーバーへのアクセス試行を観測したと述べた [s7]。

侵入後の探索には netscan.exe、netscanpack.exe、SoftPerfect Network Scanner を使い、トポロジー、ドメインコントローラー、ファイルサーバーを把握する [s3][s6]。出力は C:\Users\Public\Downloads\ に subnets.txt と trustdumps.txt として保存し、処理後に削除する [s3]。永続化と予備の C&C には AnyDesk、Splashtop、Atera の三つを Windows サービスとして毎回導入し、Cobalt Strike とは独立した経路を確保する [s3]。Cobalt Strike は HTTPS でポート 8080（ビーコン配布）と 10443（C2）を使い、PowerShell で配備する。過去のインフラとして AWS EC2 の 3.22.79[.]23、18.193.71[.]144 と、欧州の 45.84.0[.]164 が挙げられている [s3]。

認証情報の窃取では、ProcDump で LSASS メモリを取得するコマンドを一貫して使い、NTDS[.]dit を ntds.dit.zip にまとめて持ち出す [s3]。横展開は侵害した正規アカウントでの RDP による [s3][s6]。データは WinRAR でアーカイブし、Splashtop のファイル転送で流出させる [s3][s6]。各段階の後にツール、出力ファイル、アーカイブ、ダンプを削除する点が特徴とされる [s3][s6]。

暗号化では AES と DES の併用で、拡張子は .EVEREST または .everest、ランサムノートは EVEREST LOCKER .txt である [s3]。窃取と暗号化を組み合わせる二重脅迫を行い、ダークウェブのリークサイトでの公開を示して脅す [s3][s6]。圧力手段は、サンプル、一部、全体と段階的に公開すること、カウントダウンタイマー、規制当局への通報の示唆である [s3]。医療機関には 24時間の期限を設ける [s3]。2024年以降は暗号化を伴わないデータ恐喝への移行も見られ、最近の投稿にはパスワード保護が付く [s3]。

連絡手段とリークサイト

RansomLook の記録では、連絡手段は jabber、tox、email である。jabber は everestgrp@exploit[.]im と everestgrp@thesecure[.]biz、otr/omemo にも対応する。tox ID は 99D176DB79C7DB2A708F680C460CA48540230AA103F1EF69A26EBFE29661C933918DE7852521 である。メールは everestblog@cock[.]li、evrstgroup@onionmail[.]org、everestaf@onionmail[.]org である。

リークサイトは RansomLook の記録で、本体 (dls) と 6 件のミラーがいずれも停止中である。本体は hxxp://ransomocmou6mnbquqz44ewosbkjk3o5qjsl3orawojexfook2j7esad[.]onion である。ミラーは hxxp://ransomoefralti2zh5nrv7iqybp3d5b4a2eeecz5yjosp7ggbepj7iyd[.]onion、hxxp://2vqamwfdpis5rkjtpkutigykp56n6hkxfurm6qukdxp6uz5uff5kkaid[.]onion、hxxp://bifpwatchoxp7tsb2kpes37b23ogjrb2kj4wgr7yncf4hhgsfahu7jad[.]onion、hxxp://aihvh6j6fbkfjyc6jqbsh2ed4s3rym2v2pu6kd3z3exdso2xc2qwcuqd[.]onion、hxxp://gxp6yt3wdj7yky27j37jfrrbkuy24n2zo5uxyuoy23uf76d6m2gnfpid[.]onion、hxxp://everestndkvzcibcje2cqxhre2hmmybl3rn2gwzwsblz7gx6uryn5rad[.]onion である。

標的と主な被害

米国、カナダ、欧州の組織が内部者募集の対象とされた [s3]。HIPAA Journal によれば、リークサイトには 120 件超の被害者が掲載され、約 34% が米国、そのうち約 27% が医療業界である。2021年4月から 2024年7月の間に医療機関への攻撃が少なくとも 20 件あり、医用画像の提供者が不釣り合いに多く狙われた [s6]。同グループは Gramercy Surgery Center（ニューヨーク）への攻撃の背後にいたとされ、Horizon View Medical Center（ラスベガス）、2K Dental（オハイオ）、Prime Imaging（テネシー）、Stages Pediatric Care（フロリダ）への攻撃も主張した [s6]。

文書化された標的には、医療記録（医療）、顧客データ（金融）、法的文書（法律事務所）、知的財産（製造）がある [s3]。Zensec AU も法律事務所、医療機関、金融サービスを挙げている [s7]。2025年にはスウェーデン、アイルランド、サウジアラビア、米国のエネルギー・航空・通信分野の主要組織への攻撃やデータ窃取を主張しており、Halcyon は重要インフラへの攻撃を積極的に行っていると記した [s4]。参考資料にはスウェーデンの電力グリッド事業者のデータ侵害確認とダブリン空港への攻撃の報道が含まれる [s4]。出典に日本の被害組織名や時期の記載はない。

動向

Halcyon は、2025年7月から 10月を 2020年の活動開始以来で最も活発な時期と位置づけた [s4]。2024年以降は暗号化を伴わないデータ恐喝への移行が見られる [s3]。出典間で活動開始時期が異なる点と、リークサイトの全アドレスが RansomLook 上で停止中と記録されている点は留意が必要である。