Krybit

Krybit（KRYBIT、KryBit）は2026年3月下旬に確認されたRaaS（Ransomware-as-a-Service）で、金銭目的の日和見的な攻撃グループである[s3]。RansomLookの記録では初出は2026年4月1日、連絡手段はtoxとされる。独立した地下監視による最初の検出は4月3日と記録された[s3][s7]。名称の由来や象徴的なブランディングは公表されていない[s3]。

運営の特徴は、アフィリエイトが収益の80%を受け取り、運営側が20%を取る分配モデルである[s3][s4]。Windows、Linux、VMware ESXi、NAS向けのビルダーを提供している[s3][s4]。2026年4月、競合RaaSの0APTがKrybitのアフィリエイト用管理パネルに侵入して内容を公開した。3月28日〜4月12日の活動が確認でき、管理者2名とアフィリエイト5名、交渉中の被害者20件、被害者1件あたり10〜250GBの窃取データ、40,000〜100,000ドルの身代金要求が含まれていた[s3][s4]。5つのBitcoinウォレットに取引はなく、支払いは1件も確認されていなかった。認証情報は平文で保存されていた[s3][s4]。管理者のハンドルは「KRYBIT」と「GREP」である[s3][s4]。捕獲検体はESET（Filecoder[.]Babyk.A）、Microsoft（Babuk!ic）、Combo Cleaner（Ransom[.]Babuk）にBabuk派生と判定され、流出したBabukのソースコードを基にした多数のRaaSの一つと位置づけられている[s3][s4]。既知の組織との提携は確認されておらず、0APTとの関係は敵対的なものに限られる[s3][s4]。

手口として、初期侵入はアフィリエイトごとに異なり、単一の侵入経路は特定されていない[s3][s4]。追跡されているATT&CK手法には有効なアカウント（T1078）とリモートサービス（T1021、T1021.001）があり、侵害された認証情報やRDPが入口として一般的と見られる[s3]。悪用されたCVEやフィッシングの文面は公に帰属されていない[s3][s4]。実行にはコマンドとスクリプトインタプリタ（T1059）が使われ、永続化はT1547とT1037でタグ付けされている[s3][s7]。防御回避では、難読化、プロセスインジェクション、正規プロセスの悪用が挙げられている[s3][s7]。暗号化前にはvssadmin[.]exe delete shadows /all /quietでボリュームシャドウコピーを削除する[s3][s7]。暗号化後のファイルには.KRYBIT拡張子が付き、脅迫文はRECOVER-README[.]txtである[s3][s4][s7]。脅迫文は従業員データ、認証情報、財務記録、技術設計ファイルの窃取を主張し、Torの交渉ポータルへ誘導する[s3][s7]。データを先に窃取して暗号化する二重脅迫で、Tor上のリークサイト（DLS）での公開を圧力に使う[s3][s4][s7]。

リークサイトとインフラについては、SOCRadarが流出パネルの分析から5つの.onionドメインを特定した[s3]。Halcyonが挙げるDLSは krybitxdpxohsmjooeb3gbgpmdddreh6mnflzac6bnezz74b7yje67yd[.]onion である[s4]。CYFIRMAによると、複数のonionドメインはApacheとPHP 8.0.30で稼働していた[s7]。連絡手段はToxで、RansomLookが記録した管理者KRYBITのToxは F65E1621B7A5DC0139FE108B9CD48404082951E7E7F421A07A7B88A8E8111C13C552EA2B0C4C である[s4]。もう一人の管理者GREPのToxは 48B547A7A6195593B9158E4B6160ED0310B2F9AD080992D44EA299878DCCD0551CC7CAD168CD である[s4]。アフィリエイトのハンドルはfsociety、M*A*R*Sなどである[s4]。検体のSHA-256は dab06e47581b87c21699bb1126b7cb2370cf86d069ad25b9b86cff8e450d7e29 である[s4]。

標的は特定の業種や地域に絞られず、アフィリエイト主導の広範で日和見的な傾向を示す[s3]。SOCRadarでは国別でドイツが10.0%、スペインとブラジルが各7.1%で、業種別ではプロフェッショナルサービス（21.4%）、テクノロジー（17.1%）、製造（14.3%）が上位である。被害の主張は43か国に及ぶ[s3]。Halcyonは、被害主張がドイツ、メキシコ、タイ、スペイン、オーストリアに集中し、業種ではビジネスサービス、消費者サービス、製造、教育、テクノロジーに多いとする[s4]。CYFIRMAは標的国に日本を含めており、被害報告にも日本が挙がるが、日本の組織名は出典に示されていない[s7]。個別の主張には、6月25日のドミニカ共和国の観光当局、7月1日のDISS Corporation（米国）、JAWS Co., Ltd.とAeroVision Avionics/AAI（台湾）、Ford Motor Company S.A. de C.V.（メキシコ）、7月3日のMAJUHOME Concept（マレーシア）とDUFLO SAS（コロンビア）などがあり、いずれもグループによる主張である[s3]。SOCRadarの追跡では帰属被害者は70件にのぼる[s3]。Halcyonは、初の四半期末までに50件超の主張があったとする[s4]。

動向として、4月12〜13日に0APTが管理者パネルを侵害し、運営者の氏名・写真・所在地を暴露すると脅した。Krybitのサイトは一時停止し、お詫びの表示に置き換わった[s3]。4月14〜15日、Krybitは報復として0APTのサーバーを侵害し、リークサイトを「HACKED BY KRYBIT — Next time, don't play with the big boys.」の文言で改ざんした。さらに0APTを自サイトの被害者として掲載し、0APTの190件超の被害主張が捏造だったと示した[s3][s4]。4月下旬以降、DLSは通常の被害掲載を再開し、改名や閉鎖は確認されていない[s3]。SOCRadarは、この露出が法執行機関による摘発リスクを高め、将来の改名につながる可能性があると評価した[s3]。Halcyonは2026年中頃まで活動が続き、Torのリークサイトへの新規掲載もあるとする[s4]。