payoutsking

ご注意

本稿は、与えられた出典で PayoutsKing に直接言及している [s5] を中心にまとめた草稿です。

(1) 正体と来歴 PayoutsKing は、2025年中ごろに登場したランサムウェア兼恐喝の活動である[s5]。Sophos の CTU 研究者は、この活動を脅威グループ GOLD ENCOUNTER によるものと見ている[s5]。PayoutsKing の運営者自身は、RaaS（ランサムウェア・アズ・ア・サービス）モデルでは運営しておらず、アフィリエイトとも組まないと明言している[s5]。Sophos はこの点から、観測された事案ごとの戦術の違いは別の攻撃者によるものではなく、攻撃者が意図して選んだ結果だと見ている[s5]。RansomLook の記録では、初出は2025年7月7日、連絡手段は tox である。tox のハンドルは次のとおりである: 535F403A2EA2DC71A392E18D7DB77FEF70845C0B7E5B9114CD30D301870304379C3547E324E2E37F4D443B7FECE0E9775E82D6DC3B304890F80BA03F5101DFD43B2C249AD625CF00EC8B57D4。

(2) 手口 Sophos はこのグループがハイパーバイザーに注力しており、VMware と ESXi の両環境を狙う暗号化ツールを持つと分析している[s5]。2025年11月に初観測された STAC4713 は、PayoutsKing ランサムウェアと関連する金銭目的のキャンペーンである[s5]。Sophos は、この STAC4713 がデータ窃取および PayoutsKing の展開と結びついている可能性が非常に高いとしている[s5]。

このキャンペーンでは、QEMU を隠れた逆方向 SSH のバックドアとして使い、攻撃ツールの持ち込みとドメイン認証情報の収集を行っていた[s5]。まず「TPMProfiler」というスケジュールタスクを作成し、SYSTEM 権限で QEMU の仮想マシン（qemu-system-x86_64.exe）を起動する[s5]。仮想ディスクイメージは当初 vault.db に偽装されていたが、2026年1月に DLL（bisrv.dll）への偽装へ切り替わった[s5]。このタスクはカスタムポート（32567、22022）からポート22（SSH）へのポート転送も有効にして永続化を図る[s5]。起動時にはイメージ内の AdaptixC2 または OpenSSH が、外部 IP アドレスへ逆方向 SSH トンネルを張る[s5]。仮想マシンには Alpine 3.22.0 のディスクイメージが載っており、tinker2（AdaptixC2）、wg-obfuscator（独自の WireGuard トラフィック難読化ツール）、BusyBox、Chisel、Rclone などを含む[s5]。

認証情報の窃取では、VSS ユーザーインターフェース（vssuirun.exe）でボリュームシャドウコピーを作成した[s5]。続いて print コマンドを使い、Active Directory データベース（NTDS.dit）と SAM、SYSTEM ハイブを SMB 経由で一時ディレクトリへコピーした[s5]。ネットワーク共有の探索やファイル参照には、Microsoft Paint、メモ帳、Microsoft Edge などの標準ツールと、無償のサードパーティ製ツール WizTree を悪用した[s5]。

初期侵入の経路は事案ごとに異なる[s5]。古い事案では多要素認証（MFA）が未設定で公開された SonicWall VPN が使われ、2026年1月の事案では SolarWinds Web Help Desk の脆弱性（CVE-2025-26399）が悪用された[s5]。2026年2月以降は戦術に変化が見られ、初期侵入経路が変わり、QEMU による隠れたリモートアクセスも使われなくなった[s5]。2026年2月の事案では公開された Cisco SSL VPN から侵入した[s5]。3月の事案ではメールスパムで従業員を狙い、Microsoft Teams で IT サポートを装って QuickAssist をダウンロードさせた[s5]。この2件では、正規の ADNotificationManager.exe を使って Havoc C2 のペイロード（vcruntime140_1.dll）をサイドロードし、Rclone でリモートの SFTP 先へデータを持ち出した[s5]。

(3) 標的と主な被害 PayoutsKing の標的の地域・業種や日本の被害組織について、与えられた出典に記述はない。

(4) 動向 Sophos は、2026年2月から GOLD ENCOUNTER の戦術に顕著な変化があったとしている[s5]。具体的には、前述のとおり初期侵入経路が変わり、QEMU による隠れたリモートアクセスは使われなくなった[s5]。

別のキャンペーンとして、2026年2月に初観測された STAC3725 がある[s5]。CitrixBleed2（CVE-2025-5777）を悪用して侵入し、悪意ある ScreenConnect クライアントで永続化する[s5]。この STAC3725 を PayoutsKing や GOLD ENCOUNTER と結びつける記述は出典にない。Sophos は、STAC3725 の後続の活動が侵入ごとに異なる点から、初期アクセスブローカーが侵入したうえで、そのアクセスを他の攻撃者に売却した可能性を示唆している[s5]。

防御側への推奨として、Sophos は未承認の QEMU インストール、とくに SYSTEM 権限で動くスケジュールタスク、ポート22へのポート転送ルールの監査を挙げている[s5]。あわせて非標準ポートから発信される SSH トンネルを監視し、.db、.dll、.qcow2 など通常と異なる拡張子の仮想ディスクイメージに注意するよう勧めている[s5]。