Sinobi

Sinobi は 2025 年半ばに現れたランサムウェア運営グループである[s4][s5]。RansomLook は初出を 2025-07-05 と記録しており[s1]、Barracuda は 2025 年 6 月の登場としている[s5]。名称は日本語の「忍び」を意味する shinobi をもじったものとされ、ゲームなどの shinobi との類似も指摘されている[s4][s5]。ダークウェブフォーラムでは、関係者が「quiet in, quiet out」という表現を使っていたという[s5]。ランサムウェア運営形態はハイブリッド型 RaaS で、公募はせず、信頼できる提携者を絞った閉じたネットワークと社内の運営者で動く[s4][s5]。中核メンバーがランサムウェアのコードと Tor 基盤の保守、交渉、資金洗浄を担い、アフィリエイトが侵入から暗号化までを担当すると見られているが、この分担は観測された交渉や身代金要求文の傾向からの推測で、公的な確認はない[s5]。ランサムウェアのコードは Lynx と重なり、BinDiff の関数類似度は Lynx と 63.2%、INC と 55.9% だった[s4]。このため Lynx の改名、後継、派生と広く見られており、Lynx 自体が INC 由来とされる[s4][s5]。ただしコードの類似は同一の運営者を証明するものではなく、共有ツールか共有ソースを示すにとどまる[s4]。Barracuda は、通信の特徴や活動時間帯からロシア・東欧圏の出身と見ており、交渉はロシア語と英語が中心で、国家の関与を示す証拠はない[s5]。身代金要求文では政治的動機を否定し、金銭だけが目的だと述べている[s4]。

手口は次のとおり。初期侵入は、VPN や RDP の窃取済み認証情報が中心である[s4]。SonicWall SSL VPN の CVE-2024-53704 や CVE-2024-40766 の悪用も観測された[s4]。CVE-2024-53704 は不適切なセッション Cookie 処理による認証回避で、ドメイン管理者権限を持つ MSP アカウントも侵入に使われた[s6]。ほかに初期アクセスブローカー（IAB）からの購入、フィッシング、Citrix や Fortinet などの脆弱な機器の悪用、委託先経由の侵入が挙げられている[s5]。侵入後は、ローカル管理者アカウントの作成や Domain Admins への追加で権限を昇格させ、永続化には AnyDesk などの正規リモートツールを使う[s4][s5][s6]。ドメイン構成、ファイル共有、特権アカウントを列挙するスクリプトも実行する[s4][s5]。ProcDump による LSASS ダンプで認証情報を取得する[s6]。防御回避では、ネットワーク共有上にあった Carbon Black EDR のアンインストール用認証情報を使って製品を削除した[s4][s6]。データの持ち出しには Rclone を使い、WinSCP などが使われることもある[s4][s5]。Halcyon は、持ち出し先として ASN 215540 の基盤を挙げている[s6]。また、通信に使う Tor の隠しサービスは 9 つとされる[s6]。暗号化のペイロードは bin.exe のような汎用名で実行され、鍵交換に Curve-25519、ファイル暗号化に AES-128-CTR を使う[s4][s6]。SQL、バックアップ、Exchange 関連のプロセスを停止し、ボリュームシャドウコピーを削除し、ごみ箱を空にする[s4][s6]。暗号化したファイルには .SINOBI 拡張子が付き、各フォルダに README.txt が置かれ、壁紙も変更される[s4][s5]。要求文には被害者 ID、Tor での交渉手順、通常 7 日のカウントダウンが書かれる[s4][s6]。二重脅迫では、リークサイトにデータのサンプルとカウントダウンタイマーを掲載する[s5][s6]。応じない場合は従業員や顧客への連絡、GDPR・HIPAA・SEC 開示などの規制上のリスクを持ち出して脅す[s5]。

リークサイトは Tor 上にあり、交渉用チャットサイトは別に設けられ、いずれもクリアウェブのミラーがある[s5]。要求文には Tor のリークサイトと、公開クリアウェブ版の URL も記されている[s5]。標的は、停止の許容度が低い中堅から大規模の組織で、製造、ビジネスサービス、医療、金融、教育などが被害に遭っている[s4][s5]。被害は米国が大多数で、次いでカナダ、オーストラリア、英国である[s4][s5]。小規模企業はほとんど狙わず、政府機関、公共インフラ、東欧の組織は避ける傾向がある[s5]。Halcyon は、被害組織の業務停止が平均 2〜4 週間に及ぶとしている[s6]。

動向としては、Lynx は約 1 年活発に活動した後、2025 年半ばに縮小し、その頃に Sinobi が現れた[s5]。INC は 2024 年 5 月に地下フォーラムで売りに出され、その後に INC のリークサイトの見た目が変わった[s5]。SOCRadar は、Sinobi の基盤が購入した INC のソースコードに基づくと見る[s4]。一方 Barracuda は、Lynx の運営者が INC のソースを買ったという確認はないとする[s5]。Sinobi は IAB からのアクセス購入、防弾ホスティング、ダークネット市場の認証情報、ボットネット運営者との提携を使い分ける[s5]。資金洗浄の手口は Qilin や Akira と見分けがつかないとされる[s5]。Barracuda は成長傾向にあると見ており、アフィリエイトの拡大、ツールの強化、Linux や VMware ESXi 向け版の追加を予想している[s5]。投稿頻度は控えめで、法執行機関の注目を避ける姿勢がうかがえる[s5]。