payload

payload は 2026年2月に現れたランサムウェアグループで、Windows 向けのランサムウェアを使う。RansomLook の記録では初出は 2026-02-17 である[s1]。darkatlas.io は、2026年2月15日に新たなランサムウェアグループ Payload が登場したと記述している[s5]。出典の初出日には 2 日の差がある[s1][s5]。バイナリの内部文字列に「.payload」「RECOVER_payload.txt」「g:payload」などがあり、これらが運営者のブランド名を裏付けると同社は分析した[s5]。コンパイル時刻は 2026-02-17 08:39:07 UTC である[s5]。

手口について、同社の分析では、検体は PE32 の Windows 実行ファイルで、ChaCha20 でファイルを暗号化する。ファイルごとに 32 バイトの被害者側秘密鍵と 12 バイトのノンスを生成し、Curve25519 ECDH で導出した共有鍵を ChaCha20 の鍵に使う[s5]。暗号化したファイルには拡張子「.payload」を付け、被害ディレクトリに身代金要求文書「RECOVER_payload.txt」を置き、鍵の復旧情報を recovery.ini に書き出す[s5]。暗号化ファイルには、被害者の一時公開鍵・ノンス・「payload」タグを含む 56 バイトの RC4 暗号化フッターが付く[s5]。ミューテックス名は「MakeAmericaGreatAgain」である[s5]。コマンドラインフラグは 14 種類あり、ネットワーク共有の暗号化（-s）、プロセスとサービスの停止（-k）、ETW のメモリ上パッチ（--bypass-etw）、イベントログ消去（-li）などを制御する[s5]。検体にはアンチフォレンジック機能として ETW パッチ、VSS シャドウコピー削除、Windows イベントログ消去、プロセス・サービスの強制終了が含まれる[s5]。初期侵入の経路は出典に記述がない。

標的と被害について、darkatlas.io によれば、最初に公開された被害組織はエジプトの大手不動産開発企業 SODIC で、この掲載がリークサイトの公開と最初の兆候となった[s5]。被害はエジプト、メキシコ、ポーランドなど複数地域に及び、エジプトと中東・北アフリカ（MENA）地域への集中が目立つという[s5]。業種は物流・運輸、不動産・建設が目立ち、製造、専門サービス、技術、一般企業も含まれる。同社はこれを特定業種に絞らない日和見的な傾向と評価した[s5]。2026年3月24日時点のリークサイト掲載数は 50 件で、直近の掲載は A-Sonic Logistics Solutions だった[s5]。日本の組織の被害は出典にない。

動向について、2026年3月24日時点で掲載は 50 件に達しており、活動は拡大傾向にあると同社は見ている[s5]。単一地域を超えて展開していることから、当初から国際的なランサムウェア運営を目指している可能性があると指摘している[s5]。摘発や改名、他グループとの関係は出典にない。