ralord

正体と来歴

ralord（RALord）は2025年3月下旬に初めて確認されたランサムウェア・アズ・ア・サービス（RaaS）で、ロシア語と英語の二言語で運営するデータリークサイト（DLS）を持つ。最初の被害者として工学・産業サービス企業を掲載した [s4]。RansomLook での初出は 2025-03-25 で、連絡手段として tox と session が記録されている。DLS には「our product is not a new product」と記され、当初から RaaS の経験があると主張していた [s4]。リークされた Babuk のソースコード（2021年秋流出）を基にしたとされる [s4]。数週間以内に名称を RALord から Nova へ改名した。グループは、RAWorld（RAGroup、中国系のランサムウェア集団）から「参加したいと接触があったが、他チームとは組まないので名前を変えた」と説明した [s4]。同じインフラとコードベースの直接の改名と評価されている一方、RAWorld を含む既知のランサムウェアグループとの関係は確認されていない [s4]。改名と同時にアフィリエイトプログラム APIPN が始まった [s4]。2025年11月の調査で、ロンドン在住とみられる中心人物が GitHub に「ForLord」名義のリポジトリを持つと特定されたが、その後も攻撃のペースは上がったとされる [s4]。なお RaaS では、開発・運営側が攻撃の実行者に環境を提供して身代金の一部を受け取る分業が広がっている [s2]。

手口

初期侵入の主な経路は、パスワードの使い回しや第三者の漏えいデータベースから得た正規の認証情報の悪用である（T1078）。これに従業員メールを狙うフィッシング（T1566）と、多要素認証のない RDP や VPN 機器の公開が加わる [s4]。侵入後は PowerShell、net コマンド、WMI で横展開し、認証情報の窃取、監査ログの消去、MFA 回避でセキュリティ制御を弱める [s4]。データは暗号化前に Tor 上のインフラへ送られる [s4]。ペイロードは Rust で書かれ、静的解析と署名検知の回避を狙う。Windows、Linux、VMware ESXi 向けのビルダーがあり、アフィリエイト用パネルが OS 別のペイロードを生成する [s4]。暗号化はファイルごとの鍵を持つ AES-256-CBC で、各鍵を RSA-2048 で保護する。バックアップも無効化する [s4]。拡張子は .nova、.RALord、.ralord、.LORD、.RNOVA、.happy11、.KARMA が挙げられている [s4]。身代金要求書には金額がなく、qTox での交渉に誘導する。要求額は7桁に達した例がある [s4]。DLS にはカウントダウンタイマー、窃取の証拠資料、被害者を辱めるメッセージが並ぶ。グループはこれを意図した圧力手段だと説明している [s4]。APIPN は220ドルの有料枠（復号ツールの手数料10%）、週に5件以上の企業ネットワークを提供する者への無料枠、1件200ユーロの単体ロッカー販売を設け、分配は85/15である。ロシアとパレスチナの政府機関、学校、非営利団体は標的外とする規約がある [s4]。

標的と主な被害

被害は5大陸・15か国以上に及ぶ。米国が約12件で最多で、フランス、ブラジル、スペイン、オランダが続く。西欧、中南米、中東、東アジアにまたがる [s4]。業種はヘルスケアが12件超で最多、次いでテクノロジー、製造業で、欧州と東南アジアの政府機関も狙われた [s4]。春には欧州の自治体が攻撃を受けた [s4]。欧州の医療分野の事案では、検診参加者数十万人に影響し、数百万ユーロ規模の身代金が支払われたが、2度目の要求でグループの交渉上の信用が損なわれた。検察当局には100件超の刑事告発があり、数万人のための集団訴訟も始まった [s4]。DLS への掲載は1年で約95件に増え、2025年後半には月に約12件に達した [s4]。出典に日本の組織の被害は挙がっていない。

動向

2026年第2四半期も二重脅迫の活動は同じペースで続いており、拡大も縮小もしていない [s4]。CISA の勧告、米司法省の起訴、法執行機関による妨害は確認されていない [s4]。DLS の onion アドレスは3つが稼働している。主系は hxxp://novavdivko2zvtrvtllnq45lxhba2rfzp76qigb4nrliklem5au7czqd[.]onion、副系は hxxp://pifk3xu3vad6cuxsjll4qjomyaaaoyvnyqppro75pazadzctrrvpdnyd[.]onion、第3は hxxp://novadmrkp4vbk2padk5t6pbxolndceuc7hrcq4mjaoyed6nxsqiuzyyd[.]onion である [s4]。交渉用の tox ID は 8E9A6195A769FE7115F087C61D75CF32874C339B3AB0947D07480C9A8A12DA5009151BE6A51F0C8E5B45C57AE244E9C904C5BC74F73306937469D9CEA22541CA69AC162B8D42A20F4C0382AC で、RansomLook には session ID 054f55ec93aca9bac362b9d91eff36a7ce451e7caba47c0b2e004ba429f9529c79 も記録されている。ProtonMail と独自のアフィリエイト向けチャットも使われる [s4]。ランサムウェアの確認済みサンプルの SHA-256 は 456B9ADAABAE9F3DCE2207AA71410987F0A571CD8C11F2E7B41468501A863606 である [s4]。2024年下半期以降は RansomHub など新興グループが急拡大しており [s3]、日本でも2024年の公表被害は80件超に上る [s3]。