lynx

Lynx は 2024 年 7 月に確認されたランサムウェアで、RaaS として運営されている。Unit 42 は INC ランサムウェアの後継と位置づけ、Picus も INC のリブランド版と見ている[s4][s7]。RansomLook の記録では初出は 2024-08-02 である[s1]。Rapid7 は 2024 年 7 月に識別したと述べている[s6]。

INC は 2023 年 8 月に出現し、Windows 版と Linux 版の亜種があった[s4]。INC のソースコードは 2024 年 3 月ごろから地下市場で売りに出されており[s4]、2024 年 4 月には地下フォーラムのユーザーが INC ビルダーのコピー 3 本を各 30 万（おそらくルーブル）で販売すると投稿した[s5]。Acronis は、INC が 2025 年も活動を続けていることから単純なリブランドの可能性は低いとし、Lynx は INC ビルダーを購入して改変したと見ている[s5]。Rapid7 は、地下の噂として Lynx が INC のソースコードを購入したとされる点に触れた。バイナリ比較の全体類似度は 48%、関数の類似度は 70.8% で、関数や引数に重なりはあるものの、INC のソースコード由来と証明するには足りないとの見解である[s6]。Acronis は結論でも、単なる INC のリブランドかどうかは断定せず、コードに類似性があることは明らかとしている[s5]。一方 Acronis は、Lynx が流出した LockBit のソースコードの要素を取り入れていると考えられるとも述べている[s5]。

運営面では、ロシアのアンダーグラウンドフォーラムに投稿してアフィリエートを募っている。投稿によれば、民間企業のみを標的とし、独自のビルダー、Windows 版と Linux 版、盗んだファイルの保管サービスを備え、アフィリエイトにはデータリークサイトの管理パネルへのアクセス権が与えられる[s5]。2024 年 7 月 24 日の声明では、金銭を動機としつつ、政府機関・病院・非営利団体は標的にしない方針だと主張した[s6][s4]。Rapid7 は、被害者への攻撃と恐喝が「倫理的」と言える状況はないとしている[s6]。Picus も、この方針を掲げながら攻撃が大きな混乱とデータ流出を招いたと指摘している[s7]。

手口として、Unit 42 は配布経路にフィッシングメール、悪意あるダウンロード、ハッキングフォーラムを挙げている[s4]。Acronis も通常はフィッシングメールでマルウェアを送り込むとし、侵入後はシステム情報の収集、資格情報の取得、ネットワーク内の侵入拡大を行うと述べている。また、インストール済みソフトを調べて悪用できる脆弱性を探すこともできるという[s5]。2025 年の攻撃では、セキュリティソフトを見つけるとアンインストールを試みる事例が確認されている[s5]。データは暗号化の前に外部サーバーへ流出させる二重脅迫で、被害者には復号だけでなく個人データの非開示を条件に支払いを迫る[s4][s5]。Rapid7 は単一脅迫と二重脅迫の両方を使うとしている[s6]。

ランサムウェア本体は C++ 製で、暗号化後は拡張子 .lynx（.LYNX）が付く[s4][s5]。Unit 42 は AES-128 の CTR モードと Curve25519 Donna の使用を確認した[s4]。プロセスは sql、veeam、backup、exchange、java、notepad を、サービスは sql、veeam、backup、exchange を停止する[s5]。ファイルが使用中の場合は Restart Manager API で占有プロセスを終了させ[s4][s5]、書き込み権限がなければ SeTakeOwnership 権限で所有権の取得を試みる[s5]。シャドウコピーも削除し[s4][s5][s6]、隠しドライブのマウントやネットワーク共有の暗号化もできる[s4][s5]。暗号化後は README[.]txt を残し、壁紙にも身代金要求を書き込んで、接続された全プリンターで印刷する[s5]。

交渉用インフラは、ランサムノートに Tor のチャットサイトとミラーが記載されている。Rapid7 が確認したノートには、チャット用の hxxp://lynxchatly4zludmhmi75jrwhycnoqvkxb4prohxmyzf4euf5gjxroad[.]onion/login と、ミラー 3 つが載っていた[s6]。Picus が引用したノートには、連絡用メールアドレス martina[.]lestariid1898@proton[.]me も記載されている[s7]。リークサイトは hxxp://lynxblog[.]net[s4][s6]、および Tor 上の hxxp://lynxbllrfr5262yvbgtqoyq76s7mpztcqkv6tjjxgpilpma7nyoeohyd[.]onion/disclosures である[s6][s7]。Acronis は、これ以外の lynxblog 系 .onion も挙げている[s5]。サイトには被害組織の公開ページ、被害者向けのログイン画面、報告フォームが設けられている[s4][s6]。

標的と被害について、Unit 42 は小売、不動産、建築、金融、環境サービスなど複数業種の米国・英国の組織を挙げている[s4]。Picus は、中小企業が中心で、エネルギー、製造、エンジニアリング、法律サービスなど、主に北米・欧州と整理している[s7]。具体例では、2024 年 12 月にエネルギー供給会社 Electrica を狙ったとされ[s7]、2025 年 1 月には米国の法律事務所 Hunter Taubman Fischer & Li LLC が侵害された[s7]。Acronis は被害が約 145 件に上ると記し、公表された事例の一つとしてテネシー州チャタヌーガの CBS 系列テレビ局への攻撃を挙げている[s5]。日本の組織の被害は、提示された出典には記載がない。

動向としては、Rapid7 が 2024 年 9 月時点で 20 件超の被害の主張を確認し[s6]、Unit 42 では 2024 年 8 月・9 月にサンプルの増加が目立った[s4]。Acronis は 2025 年第 1 四半期に目立った動きを見せたグループの一つとして取り上げている[s5]。Unit 42 は、INC のコードが出回っているため、新旧のグループによる再利用が増えると予想している[s4]。Acronis は Lynx を Akira、SafePay とともに RaaS と二重脅迫を採るグループとして扱い、MSP も標的になりうると警告している[s5]。