walocker

WALocker（Walocker）は、ランサムウェア監視サイト RansomLook に2025年6月10日が初出として記録されたグループである[s1]。Dragos は2025年第3四半期（7〜9月）の産業分野向けランサムウェア分析で、同期に新たに確認された、または改名した運営の一つとして、Sinobi、Gentlemen、Beast、PEAR、BlackNevas などと並べて WALocker を挙げた[s3]。Dragos は、こうした新興運営が次々に現れる背景を次のように説明している。流出したビルダー、使い回されたインフラ、摘発されたプログラムからのアフィリエイトの移動によって、最小限の負担で短命な運営者が成立する。さらに AI 支援ツールの普及で、技術力の低い攻撃者でもペイロードを組み立てやすくなった[s3]。

手口について、Dragos は第3四半期の新興グループ全般を次のように分析している。侵害された認証情報、初期アクセスブローカー（IAB）から購入したアクセス、汎用のフィッシングキット、公開された RDP や VPN サービスといった既知の侵入経路を使う。これに、データ窃取を先行させる速い恐喝手法を組み合わせる[s3]。同じ分析では、これらの新興グループのいずれも ICS 固有の能力は示していないとされる[s3]。なお、Trend Micro は暴露による二重脅迫の一般的な流れを次のように説明している。攻撃者は事前に標的組織の情報を窃取し、その項目や一部を自身の Web サイト上に暴露して交渉に持ち込む。交渉の成り行きによっては暴露内容が増え、漏えい被害が深刻化する場合がある[s2]。

標的と被害については、Red Piranha の2025年8月5日〜11日の週次集計が参考になる。この週に観測されたランサムウェア被害の報告のうち、Walocker は8.27％を占めた。Qilin と Pear（各13.53％）、Black Nevas（11.28％）に次ぐ順位である[s4]。Dragos は、第3四半期の新興グループが産業組織に明確な焦点を当てていたと指摘する。標的は、生産、物流、エンジニアリングの業務を支える IT システムだった[s3]。同四半期に Dragos が確認した産業分野のランサムウェア被害では、製造業が72％を占め、地域別では北米、欧州、アジアの順に多かった[s3]。

動向としては、Dragos が第3四半期に、新たに確認された、または改名したランサムウェア運営が産業組織に影響を与える事例が急増したと観測している[s3]。この中に WALocker も含まれる[s3]。Red Piranha は、Walocker の週次の占有率について、持続的な存在感と被害組織の業務を妨害し続ける能力を示すものだと評している[s4]。Dragos は、新興や小規模のグループでも、迅速な侵入と単純だが効果的な手口によって生産を支える業務システムに影響を与え得るため、リスクは支配的な大手グループだけに由来するわけではないとしている[s3]。