kawa

(1) 正体と来歴 KAWA4096 は、名称に日本語の「川」を意味する Kawa を含むランサムウェアで、2025年6月に登場した [s3]。RansomLook の記録上の初出は 2025-06-27 [s1]。Red Piranha も、同日にダークウェブ上でリークサイトを公開して初めて公に確認されたグループと説明し、別名として KaWaLocker を挙げる [s4]。RaaS 形態かどうかや運営の中核に関する記述は出典にない。一方、Trustwave は他の既知のランサムウェアグループとの関係を示す明確な情報はないとし [s3]、Cyberpress も既存グループとの明確な結び付きの証拠はまだないと述べる [s6]。SecurityOnline は、既存の有力グループの評判を借りようとする低〜中程度の技術水準の攻撃者だと評している [s5]。

リークサイトは Akira のサイトに酷似する。緑地に黒の端末風インターフェースで、冒頭の文言もほぼ同一とされる [s3]。身代金要求文は Qilin のものとほぼ同じで、書式と文面に軽微な違いがあるだけだという [s3]。Trustwave はこの模倣を、知名度と信頼性を高める狙いと見ている [s3]。Cyberpress は、信頼性の補強か、調査担当者と被害者の混乱を狙った可能性を挙げる [s6]。

(2) 手口 初期侵入について、Red Piranha はフィッシングと不正な RDP を想定している [s4]。同社の報告では、悪意あるインストーラー shield.msi や感染した Office 文書を添付した標的型メールが使われ [s4]、ATT&CK では T1566.001 が挙げられている [s4]。一方 Trustwave は、TTP に関する明確な情報は得られていないとする [s3]。

解析されたサンプルは、設定をバイナリ内にリソースとして持ち、LoadResource API で読み込む [s3]。設定には、暗号化の除外拡張子・ディレクトリ・ファイル名、終了させるプロセスとサービス、ローカルドライブと共有ドライブの暗号化可否、自己削除、スレッド数、部分暗号化などが含まれる [s3]。引数なしで起動すると -all を付けて自身を再実行し [s3]、ミューテックス SAY_HI_2025 で多重起動を防ぐ [s3]。

終了対象にはウイルス対策、SQL、バックアップ、SAP 関連のサービスが含まれ、Veeam、Acronis、Sophos、QuickBooks、TeamViewer なども対象に挙がる [s3][s5]。専用スレッドがプロセスを常時監視して終了させ続ける [s3]。シャドウコピーは WMI 経由で vssadmin.exe Delete Shadows /all /quiet と wmic shadowcopy delete /nointeractive により削除する [s3]。暗号化にはセマフォとマルチスレッドを用い、このサンプルでは10スレッドで動作する [s3]。暗号化後のファイルには SQL Monitor に似たアイコンが付けられ、壁紙は黒一色になる [s3]。自己削除が有効なら実行後に自身を削除する [s3]。

Red Piranha は、暗号化に ChaCha20 と RSA 鍵交換を使い、ファイル断片の消去も任意で行うと記す [s4]。同じ記事の別の表では AES-256 と RSA-4096 とされ、記述が分かれている [s4]。ランサムノートの名前は !!Restore-My-file-Kavva.txt で、Tor サイトと Tox への案内が書かれている [s4]。二重脅迫を行い、盗んだデータの公開で支払いを迫る [s4]。

通信手段は Tor、Tox、OnionMail に限られる [s4]。リークサイトとして kawasa2qo7345dt7ogxmx7qmn6z2hnwaoi3h5aeosupozkddqwp6lqqd[.]onion と kawasax2ygoxytxtfjcy3a57vdyopj4k4c3m6rj5zht7io3t7g4wl3ad[.]onion が報告されている [s4]。連絡先は Tox ID 6A340207246B47E37F6D094D2236E5C6242B6E4461EEF8021FED2C9855240C3E11AEE886FAAF と、メール kawa4096@onionmail[.]org [s1][s4]。

(3) 標的と主な被害 Trustwave は、登場以来少なくとも11件の被害を主張しており、米国と日本が主な標的に含まれるとする [s3]。うち5件はリークサイトに未掲載だという [s3]。Red Piranha は、6月21〜27日の週に米国とドイツの組織で少なくとも4件の侵害を主張したと記す。1件は6月20日の発生で、同週中に公表された [s4]。同社の週次集計では、当該週のランサムウェア被害公表のうち Kawa は4.55% を占めた [s4]。日本の被害組織名と時期は出典に具体的な記載がない。

(4) 動向 出典から確認できる動きは、2025年6月の登場と同月27日のリークサイト公開、その後の被害の積み上がりである [s3][s4]。Trustwave と SpiderLabs は、今回の解析で見つかった影響・防御回避の手法に対する検知ルールを提供している [s3][s6]。

警察庁は、ランサムウェアを、データを暗号化して復号の対価を要求する不正プログラムと説明し、暗号化せずにデータを窃取して対価を要求する「ノーウェアランサム」の被害も確認されていると述べる [s2]。また、開発・運営グループが実行者に攻撃環境を提供して身代金の一部を受け取る RaaS が多数確認されているとも述べる [s2]。ただし、これらを KAWA4096 に結び付ける記述は出典にない [s2]。