tengu

Tengu(天狗)は、2025年10月に登場したランサムウェア・アズ・ア・サービス(RaaS)運営グループで、2026年3月に「Shisa Ransomware」へ改名した。名称は日本の神道・民間信仰の天狗に由来し、SOCRadarはその振る舞いを「自信に満ち、芝居がかっている」と評している[s4]。リークサイト(DLS)に最初の被害者を載せたのは2025年10月9日で[s4]、RansomLookの初出記録は同月10日である[s1]。アフィリエイトへの取り分は80対20でアフィリエイト側が多く、連絡には専用のTOX IDを使う。ビルドはWindows・Linux・ESXi向けで、サイズは約90〜100KBと報告されている[s4]。別の報告ではWindows向けで、拡張子は「.tengu」、脅迫文は「TENGU.README.txt」または「[random].README.txt」とされる[s5]。データを持たないアフィリエイトには返金可能な1,500ドルの保証金を求める。運営はこれを研究者や法執行機関を除くためのフィルターだと説明している。ロシアとCIS諸国への攻撃を禁じる規定もある[s4]。初期の標的が中東・北アフリカ中心だったことから、SOCRadarはメンバーの少なくとも1人が中東にいる可能性を指摘している[s4]。

初期侵入は認証情報が中心で、公開されたRDPやSMBへのブルートフォースに、住宅用プロキシと商用VPSを組み合わせる。ブルートフォースが難しい場合は、スピアフィッシング、公開アプリケーションの悪用、過去の漏えいで得た認証情報の再利用に切り替える[s4]。MFAのないRDPやVPNの悪用も挙げられている[s5]。実行はpowershell.exe、cmd.exe、rundll32.exe、sc.exe、wevtutil.exe、vssadmin.exeなどの署名付き標準バイナリ(LOLBins)に頼る。LSASSメモリからの認証情報窃取を行い、未パッチのドメインコントローラーにZeroLogon(CVE-2020-1472)を使った事例が1件ある。横展開にはSMB経由のNetExecとRDPを使う[s4]。Windows Defenderは署名のない.NET実行ファイルで早期に無効化し、イベントログを消去し、暗号化の直前にシャドウコピーを削除する[s4]。永続化にはレジストリのRunキーとスケジュールタスクを使い、痕跡としてwraithnet_bot.exeやcontroller_gui.exeが報告されている[s5]。データ窃取には自作のStealTENGU(2026年2月22日に告知)とStealTG(同2月28日に告知)のほか、RcloneやWinSCPを使い、主な保管先はMEGA、副次的にSFTP、PixelDrain、StorJである。認定パートナーにはEDRキラーや独自のピボットツールも提供される[s4]。暗号化は、ファイルヘッダーだけを対象にする断続的暗号化である。2026年3月には、米国の被害者が22.9TBを14時間で暗号化されたと主張した[s4]。脅迫は暗号化とデータ公開の二重脅迫で、DLSの被害者ページには機密文書の画像と公開までのカウントダウンを載せ、交渉チャットのログも公開することがある[s4]。

最初に載った6件の被害者は、カタール、モロッコ、UAE、スペイン、ブラジルの組織である[s4]。2026年1月26〜27日の48時間には9件を掲載し、被害地域は北米、インド、欧州、東南アジアなどに広がった[s4]。国別ではインドが約10.6%、米国とモロッコが各8.5%を占める。業種別では技術が約17%、製造が14.9%である。SOCRadarは、アフィリエイトが機会的にアクセスを得ていると見ている[s4]。個別の被害としては、Samson Equipmentの被害が2026年1月の事案として挙げられ[s4][s5]、2026年1月から2月にかけてタイの製造業Charoenchai Transformer Co., Ltdと、日本の寺院である成就院(Jouju-in)が被害者として掲載されたと主張された[s4]。IT・マネージドサービス事業者や専門サービス企業が被害に含まれるとの報告もある[s6]。

2026年1月27日に新DLSの告知と旧DLSの閉鎖、TOX IDの変更があり、1月30日にはDLSの刷新のため完全にオフラインになった[s4]。2月には新DLSが稼働し、リーク保管用のファイルサーバーが別ドメインで用意され、バックアップ用のonionドメインが4つ作られた。4つとも語頭に「long」を含み、Torのバニティドメイン生成を使ったとみられる。このファイルサーバーは2月14日から稼働し、3月初旬時点で約450GB、被害者フォルダーは最大145GBに達した[s4]。3月10日にDLSが「Shisa Ransomware」へ正式に改名された。累計の被害者は約50件で、改装後のサイトには12件だけが残った[s4]。第三者の調査では、運用上のミスからTor隠しサービスの実IP、ブルートフォースに使われた52のIP、インドの住宅用プロキシ、ポーランドのMEVSPACE VPSが判明している[s4]。初期ドロッパーのハッシュは公開情報でSalatStealerと分類されたが、サンドボックスではランサムウェア的な挙動を示した[s4]。