nightspire

NightSpire は2025年に現れた金銭目的のランサムウェア恐喝グループである。

正体と来歴：RansomLook の記録では初出は2025年3月12日で、連絡手段として tox、telegram、session、email が挙がっている。Halcyon は同日に Tor 上のリークサイトを正式に公開したと記し、2025年以前の活動はなく新規の登場だとしている[s5]。Barracuda は2025年2月に初観測されたとし、2026年5月1日時点で259件の被害を主張したと伝えている[s6]。Halcyon は Rbfs ransomware の改名の可能性が高いとみており、根拠として運営者 xdragon128 と cuteliyuan の共通性、被害組織の重複、時期の一致、ホスト名 XDRAGON-SERVER1 を挙げている[s5]。Barracuda も同様に、早期の2025年3月に Rbfs の活動が止まり NightSpire が現れたと説明する。両者の系譜は共通の運営者を介したもので、コードは共有していないという[s6]。xdragon128 は2024年に Paranodeus、CyberVolk、DarkAssault の周辺で活動していたと報告されている。ただし Paranodeus と xdragon128 が同一人物かどうかを示す証拠はない[s5][s6]。事業形態については、Halcyon は自前で全工程を行う非アフィリエイト型のクローズドグループとし、2025年3月に BreachForums で交渉担当者を利益の20%で募集して永久追放されたと記す[s5]。一方 Barracuda は、2026年4月の報告でアフィリエイトに連絡を促すスクリーンショットが確認され、アフィリエイト型への初の動きになりうると述べている[s6]。拠点について確定的な証拠はない。Barracuda は、挨拶文の末尾の「~」やハンドル名の cuteliyuan から中国語話者の関与の可能性を、また IP 14.139.185[.]60 がインドの大学のブロックに属することからインドとの関連を指摘する。ただしこの IP は侵害されたホストの可能性が高いとしている[s6]。

手口：Halcyon と Barracuda は、初期侵入の主経路を FortiOS/FortiProxy の認証バイパス脆弱性 CVE-2024-55591 としている。細工したリクエストで認証なしにスーパー管理者権限を得られる[s5][s6]。このほか RDP 認証情報のブルートフォース、フィッシング、脆弱な VPN 機器、MFA 疲労攻撃、RMM 悪用も挙げられている[s5][s6]。Barracuda によれば、この脆弱性は2025年1月に公表されたが、悪用は2024年11月から観測されていた[s6]。カスタムマルウェアよりも正規ツールへの依存が目立つ。Advanced IP Scanner と Everything.exe で探索し、Mimikatz で LSASS から認証情報を取得し、PowerShell、PsExec、WMI、AnyDesk を使う。データは 7-Zip でまとめ、WinSCP、MEGACmd、Rclone で持ち出す[s5][s6]。ランサムウェアは Go 製で、AES-256 と RSA-2048 のハイブリッド方式を使う。iso や vhdx などの大きなファイルは1MB単位の部分暗号化、それ以外は全体を暗号化し、拡張子は .nspire、身代金メモは readme.txt である[s5][s6]。Halcyon は、ボリュームシャドウコピーを削除しない点を特徴として挙げている[s5]。Barracuda は、OneDrive 上のファイルを拡張子やアイコンを変えずに暗号化する点を挙げている[s6]。脅迫では、最初の通知から公開まで最短48時間とし、交渉が停滞すると従業員に直接連絡したり、データの一部や交渉記録を公開したりする。支払いがなければデータを他の攻撃者に渡す[s6]。Halcyon は要求額を15万〜200万ドルとし、交渉に qTox、Telegram、ProtonMail、OnionMail、Gmail を使うと記す[s5]。RansomLook は連絡先として Telegram の @night_spire_team と @nightspireteam2025、メールの night.spire.team@gmail[.]com、night.spire.team@proton[.]me、night.spire.team@onionmail[.]org、nightspireteam.receiver@proton[.]me、nightspireteam.receiver@onionmail[.]org、および tox と session の ID を記録している。Halcyon によれば、リークサイトには Apache、OpenSSL、PHP のバージョンが露出していた[s5]。

標的と被害：Halcyon は、従業員1,000人未満の中小企業が被害の約4分の3を占め、米国が4割超、台湾、香港、エジプトも目立つとしている。業種は製造業が3分の1超で、IT、金融、医療、専門サービスが続く。被害は33カ国に及び、医療分野で1.5TB の持ち出しが記録されたという[s5]。2025年3〜6月に約25〜30件の被害組織がリークサイトに掲載された[s5]。

動向：Barracuda は、2026年5月1日時点で NightSpire に対する摘発、逮捕、起訴は報告されていないとしている[s6]。Halcyon は2025年10月まで活動が続いたと記す。2026年第2四半期にかけて主張件数は減り、2026年半ば時点ではほぼ休眠状態だとしている[s5]。