worldleaks

WorldLeaks（World Leaks）は、データ窃取と暴露を主な圧力手段とする恐喝型のグループである。

(1) 正体と来歴 Darktraceは、World Leaksが2024年初めにHunters Internationalの直接のリブランドとして現れたと説明する一方、同じ記事の別の箇所では、Hunters Internationalが2025年半ばに法執行機関の注目と収益性の低下を受けて恐喝のみのモデルへ移行し、World Leaksに改名したとも述べている。時期の記述が記事内で食い違っており、両論を併記する[s4]。Hunters Internationalは暗号化と復号鍵の身代金要求で知られていた[s4]。トレンドマイクロは、Hunters Internationalが2023年に法執行機関によって解体されたHIVEとの関連を指摘されていると記している[s3]。Darktraceは、World Leaksの既知の関連としてHive、Secp0、UNC6148を挙げている[s4]。RansomLookの記録では、初出は2025年5月12日である[s1]。一方、Zensecは、Hunters Internationalなど他の恐喝系グループとの関連を示す報告があるものの、帰属は限定的で、WorldLeaksは独立したグループのように見えると述べ、活動は2023年から2025年にかけて報告され、2026年も続いている兆候があるとしている[s6]。

運営形態について、DarktraceはアフィリエイトベースのExtortion-as-a-Service（EaaS）と位置づけ、アフィリエイトに独自のStorage Software型の窃取ツールを提供していると説明する[s4]。インフラは4つのプラットフォームからなる。ダークウェブ上のメインのリークサイト、ライブチャット付きの被害者交渉ポータル、アフィリエイト管理パネル、公開前の窃取データに報道機関が24時間早くアクセスできるインサイダー・ジャーナリスト用プラットフォームである[s4][s5]。メインのリークサイトには被害組織がカウントダウンタイマー付きで表示される[s5]。

(2) 手口 典型的な攻撃は、MFAのない正規アカウントの悪用を中心に、偵察、横展開、データ窃取と進み、暗号化を伴わない[s4]。初期侵入では、MFAのないVPN認証情報の悪用が最も多く観測された経路とされる[s5]。インターネットに公開されたVPN、RDP、公開アプリケーションの狙い撃ちやフィッシングも使われる[s4][s5]。UNC6148のキャンペーンでは、SonicWall SMA 100の悪用でOVERSTEPルートキットが設置され、CVE-2024-38475、CVE-2021-20038、CVE-2021-20035が関連づけられている[s5]。OVERSTEPはログの削除・改変や /etc/ld.so.preload の変更による永続化を行う[s5]。

横展開にはSMB、RDP、SSHに加え、PsExecとRcloneが使われる[s4]。認証情報の窃取にはMimikatzとLSASSへのアクセスが挙げられている[s5]。窃取は、TOR経由の独自ストレージソフトで行われるほか、MEGAなどのクラウドストレージや、確立済みのC2経路を通じた直接転送でも行われる[s4][s5]。C2通信にはSOCKSv5プロキシとTORが使われる[s4][s5]。

交渉は、TOR上の非公開ポータルで進められる。ポータルには企業の財務情報、閲覧可能なファイルエクスプローラ、新規生成アドレス付きのBitcoin支払いタブが表示される[s5]。暗号化の放棄を標榜しているが、Darktraceは2026年1月にヘルスケア組織でWorld Leaksに関連する暗号化を伴う事案を検知した[s4][s5]。この事案では、2025年10月ごろにFortigate機器経由で侵入された可能性が高く、約3か月の潜伏期間があった[s4]。Cloudflare Tunnelによる通信（region1.v2.argotunnel[.]comなど）、Chrome Remote Desktop、SSH接続先51.15.109[.]222、C2に関連するとされるIP 193.161.193[.]99、MEGAおよびBackblazeへの80GB超の転送、Rclone（rclone/v1.69.0）が観測された。暗号化されたファイルには9文字のランダムな拡張子が付き、同じ文字列を冠したREADME.txtの脅迫文が置かれ、world.exeとtask.batも確認された[s4]。

(3) 標的と被害 Darktraceは、製造業、ヘルスケア、テクノロジー企業、知的財産の価値が高い業種が標的になっていると述べる[s4]。被害は複数の国に及び、多くは米国で、カナダや欧州の複数の国にも広がる[s4]。Zensecは、製造、教育、エネルギー、専門サービスなどの組織に対する犯行主張があったと記している[s6]。Darktraceは、World Leaksが世界中の数十組織から盗んだデータをリークサイトで公開したとしている[s4]。出典には日本の被害組織名や時期の記載はない。

(4) 動向 Hunters Internationalからの改名にあたり、暗号化を伴う二重脅迫から恐喝のみのモデルに移行した[s4]。2025年1月以降の活動はこの暗号化廃止への転換だとする報告もある[s4]。一方、2026年1月の事案のように暗号化の併用も確認されており、モデルは一貫していない[s4][s5]。Zensecは、2026年も活動が続いている兆候があるとしている[s6]。