hunters

Hunters（Hunters International）の解説。

(1) 正体と来歴 RansomLook の記録では初出は 2023-10-20 である[s1]。Group-IB は、英国企業が同グループのリークサイトに初めて掲載された 2023年10月13日、Windows 版ランサムウェアが VirusTotal に提出された 10月19日、管理者が提携者向けパネルに最初の運営ルールを載せた 10月21日を根拠に、2023年10月ごろに正式に活動を始めたとみている[s4]。トレンドマイクロは活動開始を 2023年第3四半期ごろとし、2023年に法執行機関が解体した HIVE との関連が指摘されていると記す[s3]。RaaS（アフィリエイトにランサムウェアと環境を提供し、身代金の一部を受け取る形態）として運営され、Group-IB の分析では提携者パネルの画面に身代金支払い時の取り分 80％が表示される[s4][s5]。

来歴には二つの見方がある。研究者は検体が Hive に似ていることから Hive の改名とみた。一方、管理者はリークサイトで Hive のソースコード（Web アプリを含む）を買ったと主張した[s4]。Group-IB は、地下フォーラムなどで Hunters が「хайв（Hive）」と呼ばれていること、Hive と同じメッセンジャーアカウントから連絡を受けたという証言があることから、Hive の改名の可能性があると中程度の確度で評価した[s4]。Picus や darkwebiq も Hive との類似を指摘する[s5][s6]。運営は「暗号化は主目的ではない」と述べ、Group-IB はデータ窃取が主目的とみている[s4]。管理者は事業志向が強く、標的登録から漏えいデータの公開、交渉、支払い処理までの手順が整っている[s4]。使用言語はロシア語と英語である[s4]。

(2) 手口 初期侵入について Picus は、Oracle WebLogic の CVE-2020-14644 で TCP 8453 のデバッグ口に接続し、java.exe 経由でコマンドを実行する事例を挙げる。続いて China Chopper を設置し、AutoIt 系マルウェアでネットワークスキャンと横展開を行い、Zerologon（CVE-2020-1472）や secretsdump の DCSync でドメインコントローラーを侵害した[s5]。ほかに ipconfig、nltest、dsquery、ntdsutil による情報収集、AnyDesk・Plink・TeamViewer・RDP・Impacket による遠隔操作、MEGA へのデータ送出、vssadmin などによるバックアップ削除が確認されている[s5]。darkwebiq は既知の脆弱性の悪用、初期アクセスの購入、フィッシングを挙げ、ATT&CK の T1190、T1566、T1486、T1567、T1027 を列挙する[s6]。

Group-IB によると、ランサムウェアは x64、x86、ARM と、Windows、FreeBSD、SunOS、ESXi を含む Linux に対応する。v6 以降は暗号化ファイルの改名も脅迫文の設置も行わない[s4]。提携者パネルにビルダーはなく、停止するプロセスや共有暗号化の無効化はコマンドライン引数で調整する[s4]。標的登録後には、窃取ファイルのメタデータをグループのサーバーへ送る独自ツール Storage Software が提供される。同ツールは SOCKSv5 プロキシで接続し、Windows と Linux で動く[s4]。被害者はパネルから保管ファイルをダウンロード・削除できる[s4]。二重脅迫は行うがデータ窃取に重点がある。ライブチャットでの交渉が不調に終わると、電話、メール、SNS などでも被害者を脅す。提携者向けにはそのための OSINT サービスも提供される[s4]。

(3) 標的と被害 Group-IB によると、運営は 2024年2月2日の声明でイスラエル、トルコ、極東全域、CIS 諸国への攻撃を禁じた。それにもかかわらず、リークサイトには中国、トルコ、シンガポール、日本などの企業が掲載された[s4]。同グループは北米、欧州、アジアを標的とし、不動産、医療、専門サービスが目立つ[s4]。トレンドマイクロは、2024年に日本の組織を攻撃した新興ファミリーの一つに挙げ、リークサイトにロシアの組織は含まれないと述べる[s3]。Picus は被害を 200件超とし、米国、英国、ドイツ、日本、ブラジルなどの医療、自動車、製造、物流、金融、教育、食品の組織が被害に遭ったとする[s5]。darkwebiq は被害を 150件超と記す[s6]。Picus は、ICBC ロンドン支店から 520万ファイル・6.6TB を盗んだと同グループが主張したこと（2024年9月）や、Anderson Oil & Gas（2024年8月）、Barber Specialties（2025年1月）への攻撃を挙げる[s5]。darkwebiq は被害例として Fred Hutchinson Cancer Center（2023年）を挙げる[s6]。

(4) 動向 Group-IB によれば、運営はプロジェクトを終了し、恐喝専用の World Leaks に改名する計画である[s4]。同社は、インフラの類似点が Hunters International、Lynx、INC Ransom の間にあるとしつつ、同一運営の証拠はないとする[s4]。