exitium

正体と来歴

Exitium（エクシティウム）は、RansomLook に初出 2026-03-12 として記録されたランサムウェアの攻撃グループである。pcrisk[.]com は、VirusTotal にアップロードされたマルウェア検体の調査でこのランサムウェアを見つけたと説明している [s6]。暗号化したファイルには「.exitium」拡張子が付く [s6]。RaaS として運営されているかどうかを示す記述はなく、名称の由来や運営者の素性を示す記述もない。

手口

Exitium に感染すると、例えば「1[.]jpg」は「1.jpg[.]exitium」、「2[.]png」は「2.png[.]exitium」に改名される。脅迫文は「YOU ARE UNDER ATTACK!.html」として残される [s6]。脅迫文は「Hello, Management!」と経営層に呼びかけ、パスポート、ID、従業員、医療関連などのデータを暗号化したと主張する [s6]。

交渉の圧力手段は期限である。脅迫文は 168 時間以内に連絡しなければファイルは永久に暗号化されたままになると告げ、暗号化ファイルの削除や改変は復号を不可能にすると警告する [s6]。警察や FBI への通報は無意味で、支払いを禁じられ、復号の機会を失うだけだとも主張する [s6]。さらに、支払い後にデータを返すと保証し、自分たちはハクティビストでも政治的動機を持つ者でもないと述べる [s6]。交渉と支払いは秘密にし、保有データも削除すると約束している [s6]。脅迫文は自らのブログ（Tor リンク）にも言及しているが、リンクの記載は空欄である [s6]。pcrisk[.]com は、盗んだデータの一覧を載せたリークサイトの画面も掲載している [s6]。一般に、リークサイトは Tor 経由でアクセスされ、盗んだデータの一部を公開して被害企業を脅す場である [s4]。pcrisk[.]com の脅威概要では、検出名として Avast、Combo Cleaner、ESET-NOD32、Kaspersky、Microsoft の名が挙がり、無償の復号ツールは存在しない [s6]。

初期侵入の経路を特定した記述はない。pcrisk[.]com は一般論として、メール添付、偽の技術サポート、未更新ソフトの悪用などを配布経路の例に挙げているが、Exitium 固有の確認ではない [s6]。

連絡手段とリークサイト

RansomLook が記録する連絡手段は tox、telegram、email の 3 つである。

脅迫文の Tox ID は 0932023CDBDC780B80B4772D22975C9AAD6D1A5921AA4C746C9E4851A307DE1888A6F56FDFBE で、RansomLook の tox ハンドルと一致する [s6]。脅迫文は、qTox のインストーラ（hxxps://github[.]com/TokTok/qTox/releases/download/v1.18.3/setup-qtox-x86_64-release[.]exe）を示し、「Add Friend」から上記 Tox ID へ申請するよう指示している [s6]。

RansomLook には、Telegram が hxxps://t[.]me/exitiumCORP、メールが blushaimee@proton[.]me と記録されている。

リークサイト（dls）の所在は RansomLook によれば m3ksukzn2glzfdvlusohril7n3iyk4z4fudf6mm22lwhpbpt5aiee5qd[.]onion で、現在は停止中である。

標的と主な被害

標的の地域や業種、被害組織名を特定した記述はない。脅迫文が挙げるパスポート、ID、従業員、医療関連のデータは、個人情報を扱う組織を意識した文面である [s6]。一方、digitalrecovery[.]com は、Exitium が医療、製造、教育、金融などの分野に影響を与えると記している [s5]。ただし同社は復旧サービスの事業者であり、この記述は被害の裏付けまで示したものではない。日本の組織の被害を示す記述もない。

動向

RansomLook の記録では、初出は 2026-03-12 である。リークサイトは現在停止中と記録されている。摘発、逮捕、改名、他グループとの提携を示す記述は見当たらない。復旧事業者の digitalrecovery[.]com は、Exitium の被害を受けたファイルの復旧に自社の独自技術 TRACER で対応できると案内している [s5]。pcrisk[.]com は、無償の復号ツールはなく、身代金は支払わないよう勧めている [s6]。警察庁は、データを暗号化せずに窃取して対価を要求する「ノーウェアランサム」の被害も確認されていると説明している [s2]。