warlock

Warlockの正体と来歴 2025年6月初旬、Warlockはロシア語圏のRAMPフォーラムに登場し、アフィリエイト向けに「If you want a Lamborghini, please contact me.」という宣伝文句を掲げた[s4]。RansomLookの記録でも初出は2025年6月10日で、連絡手段はToxとされている[s1]。Toxのハンドルは hxxp 形式ではなくIDとして F79A71AD8BB2E3E7EDFC38970FDC05E922E429B5DFC325C7D0E91F216DE8F3537C1A1C97F1973DCE1C43491FC92EA7010322040B254FDD2731001C2DDC2B9E819F0C946BDC3CD251FA3B694A84490152E99B9EC4BCFE16080AFCFD6FDCD87512027E と記録されている[s1]。アフィリエイトを募った点から、RaaS型の運営がうかがえる[s4]。RaaSとは、開発・運営側が攻撃実行者にランサムウェアやリークサイトなどの環境を提供し、見返りに身代金の一部を受け取る仕組みである[s2]。Trend Microは、Black Bastaとの関係が確認されたわけではないものの、手口・交渉スタイル・標的の類似から、分派または改名の可能性を指摘している。Black Bastaは2025年初めに被害公表を止めたグループである[s4]。

手口 初期侵入では、インターネットに公開されたオンプレミスのMicrosoft SharePointサーバの脆弱性を悪用した。細工したHTTP POSTでWebシェルを設置し、偵察と認証情報の窃取につなげている[s4]。同じ脆弱性はLinen TyphoonやViolet Typhoonも悪用していた[s4]。2026年のTrend Microの報告でも、SharePointの脆弱性は今も侵入経路の一つとされ、攻撃は休暇期間に合わせて行われたように見えるという[s5]。

侵入後は、新規GPOの作成による権限昇格、guestアカウントの有効化と管理者グループへの追加、nltestによるドメイン信頼関係の列挙を行った[s4]。cmd.exeとバッチファイルでランサムウェア本体を配布し、Trend Microの製品プロセスを強制終了している[s4]。vmtools.exeは暗号化されたドライバをgoogleApiUtil64.sysとして書き出してサービス登録し、セキュリティ製品のプロセスを2秒ごとに10分間終了させ続ける[s4]。別の事案では、TrendSecurity.exeに改名したローダが脆弱なドライバNSecKrnl.sysを悪用するBYOVDで、CrowdStrike、Microsoft、Symantec、Trendなどの30超のプロセスを終了させ、GPO配布で環境全体のセキュリティ製品を無効化した[s5]。NSec-KillerはGitHubで公開されているが、攻撃者は実装を改変していた[s5]。

認証情報の窃取にはMimikatz、レジストリハイブのダンプ、DCSync攻撃が使われた[s5]。DCSyncでは debug.exe がMS-DRSR経由でドメインコントローラを装い、認証情報を取得した。ドメイン管理者権限も奪取している[s5]。横展開にはPsExec、TightVNC、PowerShell Remoting、RDP Patcherが使われた[s5]。C&CはVelociraptor（0.73.4）を主に用い、MSIはSupabaseのストレージで配布された[s5]。これは hxxps://vdfccjpnedujhrzscjtq[.]supabase[.]co/storage/v1/object/public/image/v4[.]msi である[s5]。VelociraptorはVS Codeをダウンロードし、catboxからメモリ上に.NETペイロード（wssocks.exe）を読み込んで実行した[s5]。VS CodeのトンネルやCloudflare Tunnelも併用され、cloudflaredはGitHubから取得して macfee_agent.exe に改名された[s4][s5]。さらにYuzeによるリバースSOCKS5トンネルを使い、C&Cの198[.]13[.]158[.]193へ80・443・53番ポートで順に接続を試みた[s5]。このIPはVPS事業者blnwx[.]comに登録されており、他の主要ランサムウェアグループも二次段階で同じ基盤を使っているとの報告がある[s5]。Cobalt Strikeビーコンは、MsMpSrv.exe（cookie_exporter.exe）によるDLLサイドローディングで読み込まれ、C&Cは code[.]translatevv[.]com だった[s5]。

暗号化と流出では、ファイルに.x2anylock拡張子を付け、データの持ち出しにはRCloneを使う[s4]。2025年のTrend Microの報告では、rclone.exeがTrendSecurity.exeに改名されていた[s5]。

標的と主な被害 2025年6月初旬の登場から数日で少なくとも16件の攻撃を主張し、その約半数はポルトガル、クロアチア、トルコなどの政府機関だった。ほかに金融サービスや製造業の組織も含まれる[s4]。2025年半ばまでのリークサイトのデータでは、被害は北米、欧州、アジア、アフリカに及び、技術系から重要インフラまで業種は幅広い[s4]。日本の組織名や被害時期は、今回の出典には含まれていない。

動向 登場からほどなくして、SharePointの脆弱性ToolShellを悪用するキャンペーンで注目を集めた[s4]。2026年の報告では、この脆弱性の悪用が続いている[s5]。C&C基盤はVelociraptorからVS CodeやCloudflare Tunnelへ広がり、Yuzeも新たに加わるなど、正規ツールの悪用が目立つ[s5]。