play

Play（別名 Playcrypt）の解説。

(1) 正体と来歴 Play は Playcrypt とも呼ばれるランサムウェアグループで、2022年6月から北米・南米・欧州の幅広い企業や重要インフラに被害を与えてきた[s2]。Huntress も2022年6月に初めて確認された金銭目的のグループと位置づけ、二重脅迫を専門とすると説明している[s5]。RansomLook は初出を2022-11-26 としており、連絡手段は email である[s1]。名称は、暗号化後に付く拡張子 .play に由来するとされる[s6]。CISA は、リークサイト上の「取引の秘密を保証する」という声明に基づき、Play を閉じたグループと推定している[s2]。CybelAngel も、アフィリエイトを使わない閉じたグループとしている[s6]。FBI は2025年5月時点で約900の被害組織を把握していた[s2]。2024年には最も活発なランサムウェアグループの一つだった[s2]。出身国は特定されておらず、リーダーや構成員の身元も公になっていない[s5]。

(2) 手口 初期侵入では、ダークウェブで購入したとみられる有効なアカウントの悪用[s2]と、公開アプリケーションの脆弱性悪用を使う。具体的には FortiOS の CVE-2018-13379・CVE-2020-12812 と、Exchange の ProxyNotShell（CVE-2022-41040・CVE-2022-41082）が挙げられている[s2]。RDP や VPN など外部公開サービスの利用も観測されている[s2]。CybelAngel は FortiOS の CVE-2022-42475・CVE-2023-27997・CVE-2024-21762 の標的化も挙げる[s6]。2025年1月の開示後には、Play 運営者と関係する初期アクセスブローカーを含む複数のグループが、RMM ツール SimpleHelp の CVE-2024-57727 を悪用した[s2]。

侵入後は AdFind で Active Directory を照会し、情報窃取ツール Grixba でネットワーク情報を列挙して AV を探索する[s2]。GMER、IOBit、PowerTool で AV を無効化しログを削除する[s2]。横展開と実行には Cobalt Strike、SystemBC、PsExec を使い、Mimikatz で資格情報を取得してドメイン管理者権限を得る[s2]。権限昇格の経路探索には WinPEAS を使い、実行ファイルはグループポリシー経由で配布する[s2]。

データは WinRAR で RAR 形式に圧縮し、WinSCP で攻撃者管理のアカウントへ送る[s2]。その後 AES-RSA のハイブリッド暗号化と間欠暗号化で暗号化し、拡張子 .PLAY を付ける[s2]。ランサムウェア本体は攻撃ごとに再コンパイルされ、ハッシュが毎回異なる[s2]。ESXi 向け亜種は VM を停止して VM 関連ファイルを AES-256 で暗号化し、PLAY_Readme.txt を置く[s2]。

身代金メモには初期の要求額も支払い方法も書かれず、被害者はメールで連絡するよう指示される[s2]。連絡先は被害者ごとに固有の @gmx.de または @web.de のアドレスである[s2]。RansomLook は連絡先ハンドルとして marinachin@gmx[.]de、Nicolebackserami3@gmx[.]net、reinaldo-jukes092@gmx[.]com を記録している[s1]。一部の被害者には電話もかかり、データ公開の脅しと支払いの督促を受ける[s2]。支払いは暗号資産で行い、拒否するとデータが Tor 上のリークサイトに公開される[s2]。

(3) 標的と主な被害 被害は北米・南米・欧州に及ぶ[s2]。オーストラリアでは2023年4月に最初の事案が観測され、直近は2023年11月だった[s2]。CybelAngel によれば、米国・英国・欧州・オーストラリアに広がり、旧ソ連圏諸国は被害リストに現れないが、意図的だとする直接の証拠はない[s6]。通信業と医療が上位の標的業種で、資金力のある大企業が好まれる[s6]。2023年にはスイスの IT 企業 Xplain が被害を受け、約6万5千件の政府文書が漏えいしたと報じられている[s6]。

(4) 動向 2025年6月に CISA・FBI・ASD の ACSC が共同アドバイザリーを更新し、2025年1月までの FBI 調査に基づく新たな TTP と IOC を公表した[s2]。Huntress によれば、確認された逮捕や法執行措置はない[s5]。