{ "_meta": { "generatedAt": "2026-10-13T12:40:45.132Z", "count": 78, "license": "CC BY 4.0（当サイトが作成した要約・分類・突合結果）", "attribution": "IncidentLog（incidentlog.jp）, CC BY 4.0", "thirdParty": [ { "name": "RansomLook", "license": "CC BY 4.0", "url": "https://www.ransomlook.io/" }, { "name": "MITRE ATT&CK", "license": "© 2026 The MITRE Corporation. Reproduced with permission.", "url": "https://attack.mitre.org/" }, { "name": "MISP Galaxy threat-actor", "license": "CC0", "url": "https://github.com/MISP/misp-galaxy" }, { "name": "CISA KEV", "license": "Public", "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog" } ], "note": "企業の公表文、公的機関の文書、トラッカーの description はそのまま含めていません。リークサイトの所在と IP は無効化表記です。" }, "items": [ { "slug": "3am", "createdAt": "2026-10-13T03:57:34+00:00", "updatedAt": "2026-10-13T10:53:50+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/3am", "title": "RansomLook: 3am", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:57:34+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T10:53:50+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T10:53:50+00:00" }, { "id": "s4", "url": "https://www.mutare.com/3am-ransomwares-combo-attacks-just-met-their-match-the-voice-firewall/", "title": "3AM Ransomware’s Combo Attacks Just Met Their Match: The Voice Firewall", "publisher": "mutare.com", "kind": "news", "retrievedAt": "2026-10-13T10:53:50+00:00" }, { "id": "s5", "url": "https://sos-vo.org/index.php/news/cybersecurity-snapshots-3am-ransomware", "title": "Cybersecurity Snapshots - 3AM Ransomware", "publisher": "sos-vo.org", "kind": "news", "retrievedAt": "2026-10-13T10:53:50+00:00" }, { "id": "s6", "url": "https://fortifiedhealthsecurity.com/threat-bulletin/hackers-pivot-to-3am-after-lockbit-attack-failed/", "title": "3AM Ransomware Used After LockBit Fails - Fortified Health", "publisher": "fortifiedhealthsecurity.com", "kind": "news", "retrievedAt": "2026-10-13T10:53:50+00:00" }, { "id": "s7", "url": "https://cloudian.com/ransomware-attack-list-and-alerts/", "title": "Ransomware Attack List and Alerts - Cloudian", "publisher": "cloudian.com", "kind": "news", "retrievedAt": "2026-10-13T10:53:50+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:57:34+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "3am", "aliases": [ { "name": "THREEAMTIME", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "3am" }, "type": "ransomware", "firstSeen": "2023-09-17", "status": { "value": "unknown", "since": "2023-09-17", "sourceId": "s1" }, "description": "【正体と来歴】\n3AM（別表記 THREEAMTIME）は、2023年9月に登場した新しいランサムウェアファミリーである。RansomLook の記録上の初出は 2023-09-17 で、連絡手段は email である [s5]。Symantec の Threat Hunter Team は、Rust で書かれ既知のマルウェアファミリーに属さないと説明した [s6]。暗号化したファイルには「.THREEAMTIME」の拡張子が付く [s6]。Intrinsec の分析として、3AM と Conti の間には通信チャネル、インフラ、TTP に「significant overlap」があり、Royal ランサムウェアの関係グループとの関連も指摘された [s5]。\n\n【手口】\n3AM は LockBit の展開に失敗した攻撃の中で発見された [s6]。Symantec が分析した事案では、攻撃者がマルウェアを展開できたのは標的組織の3台にとどまり、うち2台では活動が阻止された [s6]。実行ファイルは64ビットの Rust 製で、Veeam、Acronis、Ivanti、McAfee、Symantec などのセキュリティ製品やバックアップ製品のサービスを停止しようとし、ボリュームシャドウコピーの削除も試みる [s5][s6]。実行前には gpresult コマンドで対象ユーザーのポリシー設定を取得する [s5][s6]。SOCRadar によれば、その後はネットワークやサーバーの列挙、永続化を行い、Wput FTP クライアントなどでデータを持ち出す [s5]。コマンドラインパラメーターには、アクセスキーを示す -k、暗号化方式を local か net で指定する -m、暗号化するオフセットを決めて速度を制御する -s がある [s6]。\n\n二重脅迫では、データを窃取して暗号化したうえで、身代金が支払われなければデータを売ると脅す [s5][s6]。X（旧 Twitter）の自動 bot で圧力をかける新手法も試していた。Intrinsec は、攻撃の成功や情報漏えいを知らせ、被害企業の評判を傷つける狙いがあるとみた [s5]。2025年には、メール爆弾で受信箱を埋めたうえで、ボイスフィッシング（vishing）で MFA のリセットや認証情報の入手などを迫る併用攻撃も報じられた。mutare[.]com は Dark Reading の記事を引いてこの手口を紹介している [s4]。Intrinsec は、Cobalt Strike を展開する PowerShell スクリプト、TCP ポート 8000 の SOCKS4 プロキシ、2022年の Royal ランサムウェア攻撃に使われたマシン由来の TLS 証明書を確認した [s5]。Fortified Health Security が掲載した Cobalt Strike 関連のネットワーク指標は 185.202.0[.]111、212.18.104[.]6、85.159.229[.]62 である [s6]。ランサムノートの冒頭文や dark web アドレスには「3 am」または「threeam」が含まれる [s6]。\n\n【連絡手段とリークサイト】\nRansomLook は連絡先として email の threeam@onionmail[.]org を記録している。リークサイトは本体（dls）が threeamkelxicjsaf2czjyz2lc4q3ngqkxhhlexyfcp2o6raw4rphyad[.]onion で、ミラーが ulkvlj5sirgrbnvb4hvbjo2ex2c2ceqe2j4my57fcdozpbq5h5pyu7id[.]onion と threeam7fj33rv5twe5ll7gcrp3kkyyt6ez5stssixnuwh4v3csxdwqd[.]onion である。いずれも RansomLook 上では停止中と記録されている。\n\n【標的と主な被害】\nリークサイトには、ある時点で23件の被害組織が掲載されていた [s5]。Fortified Health Security は、医療機関が高度な攻撃グループによるランサムウェアと恐喝の標的になりやすいと注意を促した [s6]。日本の組織名や被害時期を示す記述は、与えられた出典にはない。\n\n【動向】\n3AM は2023年9月に登場し、LockBit の展開失敗を契機に確認された [s5][s6]。Conti や Royal との関連が指摘され、既存の犯罪グループとの接点が分析されている [s5]。2025年にはメール爆弾と vishing の併用が報じられ、侵入手口の変化が示唆された [s4]。RansomLook の記録では、リークサイトは本体もミラーも停止中となっている。", "techniques": [], "tools": [ { "name": "3AM", "kind": "ransomware" }, { "name": "gpresult", "kind": "legit_tool" }, { "name": "Wput", "kind": "legit_tool" }, { "name": "Cobalt Strike", "kind": "malware" }, { "name": "PowerShell script", "kind": "legit_tool" } ], "cves": [], "related": [ { "actorSlug": "black-suit", "relation": "possibly_related", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "email" ], "anonymization": [ { "kind": "proxy", "name": "SOCKS4 proxy (TCP 8000)", "note": "Intrinsec が3AM関連の通信で確認", "sourceId": "s5" } ], "contactHandles": [ { "channel": "email", "value": "threeam@onionmail[.]org" } ], "derived": { "japanActivity": [ { "year": 2024, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "8base", "createdAt": "2026-10-13T03:57:19+00:00", "updatedAt": "2026-10-13T10:54:11+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/8base", "title": "RansomLook: 8base", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:57:19+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T10:54:11+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/jp-security/24/f/expertview-20240617-01.html", "title": "事例にみる国内に被害をもたらす2大ランサムウェア攻撃者グループ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T10:54:11+00:00" }, { "id": "s4", "url": "https://www.sentinelone.com/anthology/8base/", "title": "8Base", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T10:54:11+00:00" }, { "id": "s5", "url": "https://www.halcyon.ai/threat-group/8base", "title": "8Base", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T10:54:11+00:00" }, { "id": "s6", "url": "https://blogs.vmware.com/security/2023/06/8base-ransomware-a-heavy-hitting-player.html", "title": "8Base Ransomware: A Heavy Hitting Player", "publisher": "blogs.vmware.com", "kind": "news", "retrievedAt": "2026-10-13T10:54:11+00:00" }, { "id": "s7", "url": "https://zensec.co.uk/8base-ransomware/", "title": "8Base ransomware - Zensec", "publisher": "zensec.co.uk", "kind": "news", "retrievedAt": "2026-10-13T10:54:11+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:57:19+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "8base", "aliases": [ { "name": "エイトベース", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "8base" }, "type": "ransomware", "origin": { "country": "ロシア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2023-05-23", "status": { "value": "seized", "since": "2023-05-23", "sourceId": "s1" }, "description": "【正体と来歴】\n8base（エイトベース）は、2022年3月に初めて検出されたランサムウェア攻撃者グループである [s3]。VMware（Carbon Black）は2022年3月から活動していると記し、2023年6月に活動が急増したとしている [s6]。SentinelOne は現在の形で2023年初頭に現れ、2023年5月に Tor ベースの被害者ブログを含む多重脅迫モデルへ移行したと説明する [s4]。RansomLook の記録上の初出は2023-05-23で、連絡手段は Telegram である。Halcyon は専用リークサイトの開設を2023年3月とする [s5]。\n\n8base は自らを「単なるペネトレーションテスター」と称した。「従業員や顧客のデータのプライバシーと重要性を無視してきた」企業を炙り出していると主張して活動を正当化しているが、リークサイトへの暴露と身代金要求の両方を行うため、トレンドマイクロは金銭的動機が明確なグループと評した [s3][s6]。Halcyon は RaaS のアフィリエイトに分類し、Phobos エコシステム内で最大の既知アフィリエイトだったとする [s5]。SentinelOne は Phobos、RansomHouse、Hive との表面的な類似を挙げつつ、正式な関係は裏付けられていないとする [s4]。\n\n【手口】\n初期侵入について、トレンドマイクロは8baseがフィッシングメールを活用するとし [s3]、SentinelOne はフィッシングメールまたは初期アクセスブローカー（IAB）経由を観測したとする [s4]。Halcyon は、添付ファイル付きのスピアフィッシング（T1566.001）、未修正の公開アプリケーションの悪用、RDP ブルートフォース、IAB からのアクセス購入を挙げ、悪用された脆弱性として CVE-2023-35078（Ivanti EPMM）と CVE-2023-27532（Veeam Backup & Replication）を記載する [s5]。\n\nツール面では、VMware が Phobos ランサムウェア 2.9.1 を SmokeLoader で展開する検体を確認した。SmokeLoader は初期の難読化、展開、ランサムウェアのロードに使われた。検体は SystemBC に関連するとみられるドメイン admlogs25[.]xyz から取得された。SystemBC は C2 通信を暗号化し宛先を隠す用途で他のランサムウェアグループにも使われている [s6]。Halcyon は SmokeLoader と SystemBC RAT のほか、PowerShell、Mimikatz、Cobalt Strike ビーコンを挙げ、SystemBC の C2 は 443/TCP、予備として 8443/TCP を使うとする [s5]。\n\n暗号化は AES-256（CBC モード）で、拡張子 .8base が付加される。VMware はこの付加部分の形式が Phobos と同じ（ID、メールアドレス、拡張子）だと指摘した [s4][s5][s6]。SentinelOne によれば、ランサムウェアは netsh でファイアウォールを無効化し、vssadmin と wmic でボリュームシャドウコピーを削除し、bcdedit で回復機能を無効化する。永続化はスタートアップフォルダとレジストリで行い、ランサムノートはテキストと .HTA の両形式で書き出される [s4]。VMware は T1547.001、T1562.001、T1490 などの ATT&CK 手法を整理している [s6]。二重脅迫では、暗号化前にデータを窃取し、Tor サイトでの公開をちらつかせる。交渉は Tor ベースのチャットで行われ、要求額は数千〜数十万ドル、支払いは Bitcoin のみとされる [s5]。ランサムノートの連絡先ドメインとして rexsdata[.]pro も挙げられている [s5]。\n\n【連絡手段とリークサイト】\nRansomLook の記録によれば、リークサイトのオニオンは hxxp://basemmnnqwxevlymli5bs36o5ynti55xojzvn246spahniugwkff2pad[.]onion（dls、停止中）で、ミラーは hxxp://xb6q2aggycmlcrjtbjendcnnwpmmwbosqaugxsqb4nx6cmod3emy7sad[.]onion と hxxp://xfycpauc22t5jsmfjcaz2oydrrrfy75zuk6chr32664bsscq4fgyaaqd[.]onion（いずれも停止中）である。連絡先は Telegram の hxxps://t[.]me/eightbase で、VMware はこれがリークサイトに掲載されていたことを確認している。同じくリークサイトには Twitter の @8BaseHome も掲載されていた [s6]。リークサイトには FAQ と Rules の項目が設けられていた [s6]。\n\n【標的と主な被害】\n8base の標的業種は金融、製造、情報技術、医療などにわたり、被害の大半は米国とブラジルに集中する [s4]。VMware は上位の標的業種として Business Services、Finance、Manufacturing、Information Technology を挙げる [s6]。トレンドマイクロの OSINT 調査では、2023年5月〜2024年3月の被害は製造業が最多だが、「その他」が半数以上を占める。2023年10月には米国の医療業界も標的にしており、特定の業種が被害に遭いやすいとは言えないという。一方、従業員200人以下の中小企業が被害に遭いやすい傾向がある [s3]。Halcyon も、セキュリティ資源の乏しい中小企業が主な標的だとし、CIS 諸国を避ける点からロシア語圏の運営者を示唆する [s5]。\n\n活動規模について、トレンドマイクロは2024年1〜3月のリークサイト掲載数が69件で、LockBit に次ぐ2位だったとする [s3]。Halcyon は2023年5月の活動急増後、3か月で130を超える組織が掲載されたとする [s5]。\n\n日本の組織については、トレンドマイクロが、被害を公表した組織は集計範囲では見つからなかったものの、2024年5月にリークサイト上に小売業者、製造業者、製造業関連組織、金融業者の国内組織の名称が掲載されたと整理している [s3]。Zensec がまとめた掲載一覧にも、2024年4月・5月・6月と2024年12月に日本（JP）の組織（製造、運輸、専門サービス、技術など）が複数含まれる [s7]。\n\n【動向】\n2025年2月11日、Europol は日本の警察庁を含む各国警察の共同捜査により、8base に関与したとされる4名を逮捕し、犯罪インフラに使われていたサーバをテイクダウンしたと発表した。これは2024年11月に米国で起訴された Phobos 管理者の件を含む一連の捜査の一環とされる [s3]。SentinelOne はこの作戦を Operation PHOBOS AETOR と呼び、ベルギー、米国、英国、スペイン、タイ、シンガポール、ルーマニアなどが支援した、Phobos/8Base に対する最も包括的な法執行措置だとする。米国司法省は Phobos/8Base に関わる個人と「Affiliate 2803」のプラットフォームを起訴した [s4]。Halcyon は、データ流出サイトと交渉サイトの停止、ウォレットとインフラの押収を経て、8base は2025年2月に活動を停止したとする [s5]。\n\nトレンドマイクロの調査では、8base ランサムウェアの世界的な検出台数は2024年後半から徐々に減少した。同社はリネームや再活発化の可能性も引き続き注視するとしている [s3]。2025年7月17日、警察庁は Phobos と 8Base ランサムウェアで暗号化されたデータの復号ツールを開発したと発表し、同日提供を開始した [s3]。", "techniques": [ { "id": "T1566.001", "name": "Spearphishing Attachment", "tactic": "Initial Access" }, { "id": "T1547.001", "name": "Registry Run Keys / Startup Folder", "tactic": "Persistence" }, { "id": "T1135", "name": "Network Share Discovery", "tactic": "Discovery" }, { "id": "T1134.001", "name": "Token Impersonation/Theft", "tactic": "Privilege Escalation" }, { "id": "T1562.001", "name": "Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1027.002", "name": "Software Packing", "tactic": "Defense Evasion" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" } ], "tools": [ { "name": "Phobos", "kind": "ransomware" }, { "name": "SmokeLoader", "kind": "malware" }, { "name": "SystemBC", "kind": "malware" }, { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "Cobalt Strike", "kind": "legit_tool" }, { "name": "PowerShell", "kind": "legit_tool" } ], "cves": [ "CVE-2023-35078", "CVE-2023-27532" ], "related": [ { "actorSlug": "ransomhouse", "relation": "shares_infra", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "telegram" ], "contactHandles": [ { "channel": "telegram", "value": "hxxps://t[.]me/eightbase" } ], "derived": { "japanActivity": [ { "year": 2024, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "ailock", "createdAt": "2026-10-13T04:00:49+00:00", "updatedAt": "2026-10-13T10:54:42+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/ailock", "title": "RansomLook: ailock", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:00:49+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T10:54:42+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T10:54:42+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T10:54:42+00:00" }, { "id": "s5", "url": "https://eset-info.canon-its.jp/malware_info/special/detail/260714.html", "title": "リークサイトでの情報暴露と圧力強化で企業を追い詰めるランサムウェアの手口 | サイバーセキュリティ情報局", "publisher": "キヤノンMJ / ESET", "kind": "vendor", "retrievedAt": "2026-10-13T10:54:42+00:00" }, { "id": "s6", "url": "https://www.trmlabs.com/resources/blog/nine-emerging-groups-shaping-the-ransomware-landscape", "title": "Nine Emerging Groups Shaping the Ransomware Landscape", "publisher": "trmlabs.com", "kind": "news", "retrievedAt": "2026-10-13T10:54:42+00:00" }, { "id": "s7", "url": "https://sosransomware.com/en/ransomware-groups/ailock-ransomware-the-raas-operator-threatening-to-alert-regulators-and-competitors/", "title": "AiLock ransomware: the RaaS operator threatening to alert regulators and competitors", "publisher": "sosransomware.com", "kind": "news", "retrievedAt": "2026-10-13T10:54:42+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:00:49+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "ailock", "aliases": [], "externalIds": { "ransomlook": "ailock" }, "type": "ransomware", "firstSeen": "2026-03-03", "status": { "value": "active", "since": "2026-03-03", "sourceId": "s1" }, "description": "【正体と来歴】\nAiLock はランサムウェアグループで、RaaS として運営される。アフィリエイトを募り、マルウェアの展開を担わせて身代金の一部を渡す形をとり [s7]、自らを「AI-assisted」と称している [s7][s6]。最初の公の言及は、Zscaler ThreatLabz が 2025年3月に未知の脅迫状を確認したときである [s7]。TRM Labs は 2025年4月に初めて確認されたとしており、時期の記述が食い違う [s6]。包括的な技術分析は 2025年7月に S2W の Huiseong Yang（S2W TALON）が公開した [s7]。ransomware[.]live では最初の被害記録が 2026年3月3日で [s7]、RansomLook の初出も 2026-03-03 である。\n\n【手口】\n暗号化は ChaCha20 と NTRUEncrypt256 の併用で、ファイル内容を ChaCha20、鍵を含むメタデータを NTRUEncrypt256 で保護する。NTRUEncrypt はポスト量子耐性のアルゴリズムである [s7]。100 MB 未満のファイルは全体を、それ以上は一部だけを暗号化する [s7]。IOCP によるマルチスレッド処理を使い、文字列は 8 バイト反復鍵の XOR で難読化され、システム関数は実行時に動的解決される [s7]。実行時にはサービスやプロセスを停止し、ごみ箱を空にし、FAUST という名のミューテックスを作成する [s7]。暗号化ファイルの拡張子は .AiLock で、各フォルダに ReadMe.txt を置く。-shares オプションではネットワーク共有も暗号化対象にする [s7]。TRM Labs は、多形性（ポリモーフィック）マルウェアによる防御回避を挙げた [s6]。初期侵入経路は確認されていない [s7]。\n\n脅迫は三段構えである。脅迫状でデータの公開に加え、被害国のデータ保護当局への通報と、被害組織の競合他社への通知を予告する [s7]。期限は交渉開始まで 72 時間、支払い完了まで 5 日で、過ぎれば復旧ツールの公開または破壊を示唆する。一方で守秘、削除ログ、IT 助言を約束する [s6][s7]。\n\n【連絡手段とリークサイト】\nRansomLook の記録では連絡手段の記載はない。同記録にはリークサイト本体 1 件とミラー 25 件の計 26 件の .onion アドレスがあり、うち 21 件が停止中である。DLS（停止中）は hxxp://jaawqs6wu56n2adj7qrjg25dhcux2nislvjouffpzldj23e4y72akoid[.]onion である。稼働中のミラーは次の 5 件である。\nvnsggttwhcofyeh3nxoynxtg5mk5xl4cd7e3c4x62aqb2rj4rfjh3eqd[.]onion\npptiuraybrwacfl5v2qmzknenqxwt5eojtbh5cxxejaq3oo4bidkv7id[.]onion\nto3odzfolkvhkj3jf5oo3qq5hvdycy5n5n6bi564yrxdgavnwv5znjqd[.]onion\n27kmvzlfn3dpb6s4zq3qknqpcbrk5qzhwmg5awhjmu3m2okgpd4pgrid[.]onion\ns5v5hvtk3oyxg3m6afgxeuwlasqku3adeosv7kwwjfvhf22vqiwotrqd[.]onion\n\n【標的と主な被害】\n2026年6月初旬時点の主張被害は 38 件で、米国 21、英国 3、ドイツ 2、カナダ 2、ほかオランダ、台湾、スイス、ポーランド、ノルウェー、韓国、中国に分散する。業種は事業サービス 9、製造 7、消費者サービスと技術が各 5、建設 4 である [s7]。日本関連では、東京精密の米国子会社 Accretech America Inc. が被害組織として挙がっている [s7]。最も報道されたのは 2026年3月の England Hockey への主張で、AiLock は 129 GB を窃取したと主張した。England Hockey は外部専門家と調査中だが、窃取の有無は確認していない [s7]。TRM Labs は製造業や技術分野の被害にも触れている [s6]。\n\n【動向】\nS2W は、発見以降に AiLock がインフラを何度も移転し、新しいリークサイトを開設したと指摘した [s7]。IronGate Security は 2026年第1四半期に AiLock のインシデントが大幅に増えたと記し、ransomware[.]live の記録でも 2026年3月以降は毎月被害が出ている [s7]。資金洗浄は、ピールチェーンの形でほとんどを Wasabi ミキサーへ送り、一部を FixedFloat 経由にして Monero へ換える [s6][s7]。TRM Labs は AiLock を、注視すべき新興グループの一つに挙げている [s6]。", "techniques": [ { "id": "T1059.003", "name": "Windows Command Shell", "tactic": "Execution" }, { "id": "T1134.001", "name": "Token Impersonation/Theft", "tactic": "Defense Evasion" }, { "id": "T1027", "name": "Obfuscated Files or Information", "tactic": "Defense Evasion" }, { "id": "T1480", "name": "Execution Guardrails", "tactic": "Defense Evasion" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1135", "name": "Network Share Discovery", "tactic": "Discovery" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1489", "name": "Service Stop", "tactic": "Impact" } ], "tools": [ { "name": "AiLock", "kind": "ransomware" } ], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2026, "claims": 4, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "akira", "createdAt": "2026-10-13T03:56:50+00:00", "updatedAt": "2026-10-13T10:55:27+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/akira", "title": "RansomLook: akira", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:56:50+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-109a", "title": "#StopRansomware: Akira Ransomware | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T10:55:27+00:00" }, { "id": "s3", "url": "https://www.cyber.go.jp/tokusetsu/stopransomware/index.html", "title": "ストップ！ ランサムウェア - 国家サイバー統括室", "publisher": "国家サイバー統括室", "kind": "gov", "retrievedAt": "2026-10-13T10:55:27+00:00" }, { "id": "s4", "url": "https://news.microsoft.com/source/asia/2025/10/03/storm-0501s-evolving-techniques-lead-to-cloud-based-ransomware/?lang=ja", "title": "クラウド型ランサムウェアへと進化する Storm-0501 の手口", "publisher": "Microsoft", "kind": "vendor", "retrievedAt": "2026-10-13T10:55:27+00:00" }, { "id": "s5", "url": "https://unit42.paloaltonetworks.com/threat-actor-groups-tracked-by-palo-alto-networks-unit-42/", "title": "Threat Actor Groups Tracked by Palo Alto Networks Unit 42 (Updated Aug. 1, 2025)", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T10:55:27+00:00" }, { "id": "s6", "url": "https://arcticwolf.com/resources/blog/akira-ransomware-targets-the-latam-airline-industry/", "title": "Akira Ransomware Targets the LATAM Airline Industry", "publisher": "Arctic Wolf", "kind": "vendor", "retrievedAt": "2026-10-13T10:55:27+00:00" }, { "id": "s7", "url": "https://www.picussecurity.com/resource/blog/akira-ransomware-analysis-simulation-and-mitigation-cisa-alert-aa24-109a", "title": "Akira Ransomware 2025: Updated CISA Advisory, TTPs, and Defense Strategies", "publisher": "picussecurity.com", "kind": "news", "retrievedAt": "2026-10-13T10:55:27+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:56:50+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "Storm-1567", "aliases": [ { "name": "akira", "namedBy": "RansomLook", "relation": "candidate", "sourceId": "s1" }, { "name": "Akira", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "PUNK SPIDER", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "GOLD SAHARA", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Howling Scorpius", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mispUuid": "3a912680-6f38-4fe7-9941-744f0e2280b3", "ransomlook": "akira" }, "type": "ransomware", "firstSeen": "2023-04-29", "status": { "value": "active", "since": "2023-04-29", "sourceId": "s1" }, "description": "【正体と来歴】\nAkira は 2023 年 3 月から確認されているランサムウェアで、Storm-1567 と呼ばれる RaaS グループが開発・保守し、専用のリークサイトも運営している [s6]。Arctic Wolf は同グループを Punk Spider、GOLD SAHARA とも呼び、2023 年に初めて観測された集団と位置づけた [s6]。CISA などの共同勧告は Howling Scorpius にも言及し、解散した Conti ランサムウェアグループとの関係がある可能性を指摘した [s2]。RansomLook でのリークサイトの初出は 2023-04-29 である。初期版は C++ で書かれ、暗号化したファイルに .akira の拡張子を付けた [s2]。2023 年 8 月からは、Rust 製の Megazord 暗号化ツール（拡張子 .powerranges）を使う攻撃も現れ、Akira_v2 を含めて両者を併用している [s2]。2023 年 4 月には、Windows 向けに続いて VMware ESXi 上の仮想マシンを狙う Linux 版を投入した [s2]。\n\n【手口】\n初期侵入で多いのは、多要素認証（MFA）が設定されていない VPN への侵入と、既知の脆弱性の悪用である [s2]。悪用された CVE は CVE-2020-3259、CVE-2023-20269、CVE-2020-3580、CVE-2023-28252、CVE-2024-37085、CVE-2023-27532、CVE-2024-40711、CVE-2024-40766 である [s2]。SonicWall の VPN には、認証情報の窃取か CVE-2024-40766 で侵入する [s2]。VPN 認証情報は、初期アクセスブローカー経由の入手やブルートフォースの可能性がある [s2]。SharpDomainSpray によるパスワードスプレーも使う [s2]。そのほか、スピアフィッシング、正規の認証情報の悪用、RDP などの外部公開サービスの利用も確認されている [s2]。ルーターの IP アドレスから SSH で入り、トンネルを張ったうえで、未パッチの Veeam Backup and Replication（CVE-2023-27532、CVE-2024-40711）を突く例もある [s2]。\n\n侵入後は、ドメインアカウントを新規作成して永続化する。管理者アカウント itadm の作成も確認された [s2]。認証情報の窃取には、LSASS のメモリ抽出、Mimikatz、LaZagne を使う [s2]。ネットワーク探索には SoftPerfect、Advanced IP Scanner、NetScan を使う [s2]。2024 年 6 月のラテンアメリカの航空会社への攻撃では、Arctic Wolf が、未パッチの Veeam バックアップサーバーが最初の侵入先で、CVE-2023-27532 が使われたと推定した [s6]。攻撃者は「backup」というユーザーを作って管理者グループに加え、WinRAR で圧縮したデータを WinSCP で 77[.]247[.]126[.]158 に送出した。最初のログインから送出までは 133 分で、翌日の UTC 8:40 に作業を再開した [s6]。翌日はウイルス対策を無効化し、AnyDesk を 5 台に導入したうえで、Veeam サーバーから w.exe（Akira）を各ホストへ展開し、シャドウコピーを削除した [s6]。暗号化の前にデータを持ち出す二重脅迫を採り、公開をちらつかせて支払いを急がせる [s6]。2025 年 6 月の事案では、Nutanix AHV の仮想マシンのディスクファイルを暗号化した。これは Akira による初の観測である [s2]。\n\n【連絡手段とリークサイト】\nRansomLook が記録したリークサイトは、akiral2iz6a7qgd3ayp3l6yub7xx2uep76idk3u2kollpj5z3z636bad[.]onion、akiralkzxzq2dsrzsrvbr2xgbbu2wgsmxryd4csgfameg52n7efvr2id[.]onion、3i7uisihrgv3v7kjafmhahhcmtjfepckhw5vournekuamhbt37liplid[.]onion の 3 つで、いずれもミラーとして記録され、現在は停止中である。\n\n【標的と主な被害】\n主な標的は中小企業だが、大規模組織も被害を受けている。教育機関のほか、製造、IT、医療・公衆衛生、金融、食品・農業の各分野が多い [s2]。被害は北米、欧州、オーストラリアに及ぶ [s2]。ラテンアメリカの航空会社も狙われており、パッチを当てていない組織であれば地域を問わず攻撃する姿勢がうかがえる [s6]。2024 年 1 月時点で、250 を超える組織を標的にし、4,200 万ドル超の身代金を受け取っていた [s6]。2025 年 9 月下旬時点では、約 2 億 4,417 万ドルの収益を得たとされる [s2]。\n\n【動向】\n2025 年 11 月 13 日、FBI、CISA、DC3、HHS、Europol の EC3、フランス、ドイツ（カールスルーエ検察当局とバーデン＝ヴュルテンベルク州刑事局）、オランダの NCSC-NL が、勧告を更新した。更新は、Akira の新たな活動が重要インフラへの差し迫った脅威になっているとして行われ、2025 年 11 月までの FBI 調査などをもとに IOC と TTP を公表した [s2]。Picus Security は、Akira がもはや新興ではなく、Windows、Linux、ESXi、Nutanix AHV 向けの暗号化ツールを持つ成熟した RaaS になったと評した [s7]。", "techniques": [ { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1566.001", "name": "Spearphishing Attachment", "tactic": "Initial Access" }, { "id": "T1566.002", "name": "Spearphishing Link", "tactic": "Initial Access" }, { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1133", "name": "External Remote Services", "tactic": "Initial Access" }, { "id": "T1110", "name": "Brute Force", "tactic": "Credential Access" }, { "id": "T1110.003", "name": "Password Spraying", "tactic": "Credential Access" }, { "id": "T1021.004", "name": "SSH", "tactic": "Lateral Movement" }, { "id": "T1068", "name": "Exploitation for Privilege Escalation", "tactic": "Privilege Escalation" }, { "id": "T1059.005", "name": "Visual Basic", "tactic": "Execution" }, { "id": "T1059.003", "name": "Windows Command Shell", "tactic": "Execution" }, { "id": "T1136.002", "name": "Domain Account", "tactic": "Persistence" }, { "id": "T1003.001", "name": "LSASS Memory", "tactic": "Credential Access" }, { "id": "T1003", "name": "OS Credential Dumping", "tactic": "Credential Access" }, { "id": "T1016", "name": "System Network Configuration Discovery", "tactic": "Discovery" }, { "id": "T1018", "name": "Remote System Discovery", "tactic": "Discovery" }, { "id": "T1482", "name": "Domain Trust Discovery", "tactic": "Discovery" }, { "id": "T1124", "name": "System Time Discovery", "tactic": "Discovery" }, { "id": "T1057", "name": "Process Discovery", "tactic": "Discovery" }, { "id": "T1087.002", "name": "Domain Account", "tactic": "Discovery" }, { "id": "T1562", "name": "Impair Defenses", "tactic": "Defense Evasion" } ], "tools": [ { "name": "Akira", "kind": "ransomware" }, { "name": "Megazord", "kind": "ransomware" }, { "name": "Akira_v2", "kind": "ransomware" }, { "name": "SharpDomainSpray", "kind": "malware" }, { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "LaZagne", "kind": "legit_tool" }, { "name": "SoftPerfect", "kind": "legit_tool" }, { "name": "Advanced IP Scanner", "kind": "legit_tool" }, { "name": "NetScan", "kind": "legit_tool" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "WinSCP", "kind": "legit_tool" }, { "name": "WinRAR", "kind": "legit_tool" }, { "name": "OpenSSH", "kind": "legit_tool" }, { "name": "Remmina", "kind": "legit_tool" } ], "cves": [ "CVE-2020-3259", "CVE-2023-20269", "CVE-2020-3580", "CVE-2023-28252", "CVE-2024-37085", "CVE-2023-27532", "CVE-2024-40711", "CVE-2024-40766" ], "related": [], "derived": { "japanActivity": [ { "year": 2024, "claims": 1, "incidents": 0 }, { "year": 2025, "claims": 6, "incidents": 0 }, { "year": 2026, "claims": 3, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "apt40", "createdAt": "2026-10-12T22:00:00+09:00", "updatedAt": "2026-10-12T22:00:00+09:00", "sources": [ { "id": "s1", "url": "https://www.npa.go.jp/bureau/cyber/pdf/20210719pr.pdf", "title": "中国政府を背景に持つAPT40といわれるサイバー攻撃グループによるサイバー攻撃等について（注意喚起）", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "政府標準利用規約" }, { "id": "s2", "url": "https://github.com/MISP/misp-galaxy/blob/main/clusters/threat-actor.json", "title": "MISP Galaxy threat-actor cluster (version 352)", "publisher": "MISP Project", "kind": "dataset", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "CC0" }, { "id": "s3", "url": "https://attack.mitre.org/groups/G0065/", "title": "MITRE ATT&CK G0065", "publisher": "The MITRE Corporation", "kind": "dataset", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation." } ], "reviewedBy": "human", "reviewedAt": "2026-10-12T22:00:00+09:00", "name": "APT40", "aliases": [ { "name": "APT40", "namedBy": "警察庁", "relation": "same_as", "sourceId": "s1" }, { "name": "Leviathan", "namedBy": "MITRE", "relation": "same_as", "sourceId": "s3" }, { "name": "TEMP.Periscope", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "TEMP.Jumper", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Leviathan", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "BRONZE MOHAWK", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "GADOLINIUM", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "KRYPTONITE PANDA", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "TA423", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Red Ladon", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "ITG09", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "MUDCARP", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mitre": "G0065", "mispUuid": "5b4b6980-3bc7-11e8-84d6-879aaac37dd9" }, "type": "state_sponsored", "origin": { "country": "中国", "sponsor": "中国政府を背景に持つとされる", "confidence": "third_party", "sourceId": "s1" }, "status": { "value": "unknown" }, "description": "中国政府を背景に持つとされるサイバー攻撃グループ。2021年7月19日（現地時間）に英国と米国などが APT40 に関する声明を発表し、日本政府も同日に外務報道官談話を出して悪意あるサイバー活動を非難した。警察庁の注意喚起は、この一連の攻撃で日本企業も対象になっていたことを確認したとし、不審なメールや添付ファイルを開かない、OS やプログラムのパッチを速やかに適用するといった基本的な対策と、不審な動きを検知した際の所管省庁・セキュリティ関係機関・警察への連絡を求めている。参考として米 NSA・CISA・FBI の合同アドバイザリー「Chinese State-Sponsored Cyber Operations: Observed TTPs」（AA21-200A）が挙げられている。MITRE ATT&CK では Leviathan（G0065）の別名として扱われ、MISP Galaxy には TEMP.Periscope、BRONZE MOHAWK、KRYPTONITE PANDA などの別名が登録されている。手法と使用ツールは ATT&CK の記載を機械的に取り込んだもので、日本の事案との対応は個別に確認する。", "techniques": [ { "id": "T1003", "name": "OS Credential Dumping", "tactic": "credential-access" }, { "id": "T1003.001", "name": "LSASS Memory", "tactic": "credential-access" }, { "id": "T1021.001", "name": "Remote Desktop Protocol", "tactic": "lateral-movement" }, { "id": "T1021.004", "name": "SSH", "tactic": "lateral-movement" }, { "id": "T1027.001", "name": "Binary Padding", "tactic": "stealth" }, { "id": "T1027.003", "name": "Steganography", "tactic": "stealth" }, { "id": "T1027.013", "name": "Encrypted/Encoded File", "tactic": "stealth" }, { "id": "T1027.015", "name": "Compression", "tactic": "stealth" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "exfiltration" }, { "id": "T1047", "name": "Windows Management Instrumentation", "tactic": "execution" }, { "id": "T1055.001", "name": "Dynamic-link Library Injection", "tactic": "stealth" }, { "id": "T1059.001", "name": "PowerShell", "tactic": "execution" }, { "id": "T1059.005", "name": "Visual Basic", "tactic": "execution" }, { "id": "T1074.001", "name": "Local Data Staging", "tactic": "collection" }, { "id": "T1074.002", "name": "Remote Data Staging", "tactic": "collection" }, { "id": "T1078", "name": "Valid Accounts", "tactic": "stealth" }, { "id": "T1090.003", "name": "Multi-hop Proxy", "tactic": "command-and-control" }, { "id": "T1102.003", "name": "One-Way Communication", "tactic": "command-and-control" }, { "id": "T1105", "name": "Ingress Tool Transfer", "tactic": "command-and-control" }, { "id": "T1133", "name": "External Remote Services", "tactic": "persistence" }, { "id": "T1140", "name": "Deobfuscate/Decode Files or Information", "tactic": "stealth" }, { "id": "T1189", "name": "Drive-by Compromise", "tactic": "initial-access" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "initial-access" }, { "id": "T1197", "name": "BITS Jobs", "tactic": "stealth" }, { "id": "T1203", "name": "Exploitation for Client Execution", "tactic": "execution" }, { "id": "T1204.001", "name": "Malicious Link", "tactic": "execution" }, { "id": "T1204.002", "name": "Malicious File", "tactic": "execution" }, { "id": "T1218.010", "name": "Regsvr32", "tactic": "stealth" }, { "id": "T1505.003", "name": "Web Shell", "tactic": "persistence" }, { "id": "T1534", "name": "Internal Spearphishing", "tactic": "lateral-movement" }, { "id": "T1546.003", "name": "Windows Management Instrumentation Event Subscription", "tactic": "privilege-escalation" }, { "id": "T1547.001", "name": "Registry Run Keys / Startup Folder", "tactic": "persistence" }, { "id": "T1547.009", "name": "Shortcut Modification", "tactic": "persistence" }, { "id": "T1553.002", "name": "Code Signing", "tactic": "defense-impairment" }, { "id": "T1559.002", "name": "Dynamic Data Exchange", "tactic": "execution" }, { "id": "T1560", "name": "Archive Collected Data", "tactic": "collection" }, { "id": "T1566.001", "name": "Spearphishing Attachment", "tactic": "initial-access" }, { "id": "T1566.002", "name": "Spearphishing Link", "tactic": "initial-access" }, { "id": "T1567.002", "name": "Exfiltration to Cloud Storage", "tactic": "exfiltration" }, { "id": "T1572", "name": "Protocol Tunneling", "tactic": "command-and-control" }, { "id": "T1583.001", "name": "Domains", "tactic": "resource-development" }, { "id": "T1584.004", "name": "Server", "tactic": "resource-development" }, { "id": "T1584.008", "name": "Network Devices", "tactic": "resource-development" }, { "id": "T1585.001", "name": "Social Media Accounts", "tactic": "resource-development" }, { "id": "T1585.002", "name": "Email Accounts", "tactic": "resource-development" }, { "id": "T1586.001", "name": "Social Media Accounts", "tactic": "resource-development" }, { "id": "T1586.002", "name": "Email Accounts", "tactic": "resource-development" }, { "id": "T1587.004", "name": "Exploits", "tactic": "resource-development" }, { "id": "T1589.001", "name": "Credentials", "tactic": "reconnaissance" }, { "id": "T1595.002", "name": "Vulnerability Scanning", "tactic": "reconnaissance" } ], "tools": [ { "name": "BADFLICK", "kind": "malware" }, { "name": "BITSAdmin", "kind": "legit_tool" }, { "name": "BLACKCOFFEE", "kind": "malware" }, { "name": "China Chopper", "kind": "malware" }, { "name": "Cobalt Strike", "kind": "malware" }, { "name": "Derusbi", "kind": "malware" }, { "name": "Empire", "kind": "legit_tool" }, { "name": "HOMEFRY", "kind": "malware" }, { "name": "MURKYTOP", "kind": "malware" }, { "name": "NanHaiShu", "kind": "malware" }, { "name": "Net", "kind": "legit_tool" }, { "name": "Orz", "kind": "malware" }, { "name": "PowerSploit", "kind": "legit_tool" }, { "name": "Tor", "kind": "legit_tool" }, { "name": "Windows Credential Editor", "kind": "legit_tool" }, { "name": "at", "kind": "legit_tool" }, { "name": "gh0st RAT", "kind": "malware" } ], "cves": [], "related": [], "derived": { "japanActivity": [], "advisorySlugs": [ "npa-20210719-apt40" ] } }, { "slug": "arcus-media", "createdAt": "2026-10-13T03:58:14+00:00", "updatedAt": "2026-10-13T10:56:14+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/arcus%20media", "title": "RansomLook: arcus media", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:58:14+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T10:56:14+00:00" }, { "id": "s3", "url": "https://therecord.media/ransomware-group-volcano-demon-lukalocker", "title": "New ransomware group uses phone calls to pressure victims, researchers say", "publisher": "The Record", "kind": "news", "retrievedAt": "2026-10-13T10:56:14+00:00" }, { "id": "s4", "url": "https://www.halcyon.ai/blog/arcus-media-ransomware-displays-novel-process-targeting-selective-encryption-and-recovery-disruption", "title": "Arcus Media Ransomware Displays Novel Process Targeting, Selective Encryption and Recovery Disruption", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T10:56:14+00:00" }, { "id": "s5", "url": "https://securitybuzz.com/cybersecurity-news/arcus-media-the-rising-ransomware-threat-redefining-modern-cybersecurity-defenses/", "title": "Arcus Media: The Rising Ransomware Threat Redefining Modern Cybersecurity Defenses", "publisher": "securitybuzz.com", "kind": "news", "retrievedAt": "2026-10-13T10:56:14+00:00" }, { "id": "s6", "url": "https://zensec.co.uk/arcus-media-ransomware/", "title": "Arcus Media ransomware - Zensec", "publisher": "zensec.co.uk", "kind": "news", "retrievedAt": "2026-10-13T10:56:14+00:00" }, { "id": "s7", "url": "https://solacecyber.co.uk/arcus-media-ransomware/", "title": "Arcus Media Ransomware Recovery | Solace Cyber", "publisher": "solacecyber.co.uk", "kind": "news", "retrievedAt": "2026-10-13T10:56:14+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:58:14+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "arcus media", "aliases": [], "externalIds": { "ransomlook": "arcus media" }, "type": "ransomware", "firstSeen": "2024-05-15", "status": { "value": "unknown", "since": "2024-05-15", "sourceId": "s1" }, "description": "【正体と来歴】\nArcus Media は 2024年5月に登場したランサムウェアグループで、Ransomware-as-a-Service（RaaS）モデルで運営されている [s4]。RansomLook は初出を 2024-05-15 と記録している。The Record は、Halcyon の研究者が 2024年5月に Arcus Media を発見し、他の攻撃者が同グループのマルウェアを使えるRaaSを運営していると伝えた [s3]。Solace Cyber は、アフィリエイトが身代金の分け前と引き換えに Arcus Media のランサムウェアを展開できる形式だと説明している [s7]。起源は定かではなく、過去の著名なランサムウェアグループとの類似から既存の攻撃者の発展形かもしれないと分析者が指摘している [s6][s7]。\n\n【手口】\n初期侵入について、Halcyon は悪意ある添付ファイルやリンクを含むフィッシングメールが典型だとしている [s4]。Zensec は、フィッシングメール、侵害されたRDPアクセス、ソフトウェアの脆弱性を挙げ、Windows ベースの企業環境が主な標的だと述べている [s6]。Solace Cyber はフィッシングメール、ソフトウェアの脆弱性、悪意あるダウンロードを侵入経路に挙げている [s7]。侵入後は難読化したスクリプトと独自バイナリで暗号化を始め、スケジュールタスクの作成とレジストリ変更で永続化する [s4]。認証情報の窃取には Mimikatz、横展開には RDP と Cobalt Strike を使い、ネットワーク偵察、脆弱性スキャン、弱いパスワードへのブルートフォースも行う [s4]。C2 は Tor と暗号化通信に依存している [s4]。\n\n検体は引数なしで動作し、管理者権限がなければ ShellExecuteExW の \"runas\" で自身を昇格して再実行する [s4]。CreateToolhelp32Snapshot でプロセスを列挙し、sqlservr.exe や mysqld.exe などの SQL 関連、outlook.exe や thunderbird.exe などのメールクライアント、Office 系を TerminateProcess で停止する [s4]。暗号化前に vssadmin delete shadows /all /quiet、wmic shadowcopy delete、bcdedit による回復無効化、wbadmin delete catalog -quiet を順に実行する [s4]。C:\\ProgramData\\svccost.exe に自身をコピーし、HKCU の Run キーに名前 \"cr\" で自動起動を登録するが、Unicode API に ASCII 文字列を渡すバグがある [s4]。さらにファイアウォールを無効化し、wevtutil cl Security でセキュリティログを消去する [s4]。\n\n暗号化は OpenSSL の ChaCha20 を使い、ファイルごとに生成した 32 バイト鍵を RSA-2048 で保護して各ファイル末尾に付加する [s4]。2 MiB 以下は全体を、2 MiB を超えるファイルは先頭と末尾の各 1 MiB を暗号化し、拡張子は [Encrypted].Arcus となる [s4]。各ディレクトリに Arcus-ReadMe.txt を置く [s4]。窃取データは暗号化前に安全なファイル転送プロトコルで持ち出され、二重脅迫に使われる [s4]。脅迫文は Tox での連絡を求め、24 時間応答がなければメールを促し、3 日連絡がなければリークブログに掲載、5 日後に機微データをすべて公開し、GDPR 違反や顧客への通知で追い込むと警告する [s4]。DDoS 攻撃を追加の圧力手段として使った例も観測されている [s6][s7]。\n\n【連絡手段とリークサイト】\nRansomLook は連絡手段として jabber、tox、email を記録している。Jabber は AlexanderPushkin@exploit[.]im と arcus@xmpp[.]onion、Tox ID は F6B2E01CFA4D3F2DB75E4EDD07EC28BF793E541A9674C3E6A66E1CDA9D931A1344E321FD2582、メールは arcustm@proton[.]me と arcusteam@proton[.]me である。リークサイト（dls）は hxxp://arcuufpr5xxbbkin4mlidt7itmr6znlppk63jbtkeguuhszmc5g7qdyd[.]onion に所在すると RansomLook は記録しているが、停止中とされている。\n\n【標的と主な被害】\nHalcyon は、2024年11月までに事業サービス、小売、メディアなどで 50 件超の攻撃を主張したと報告した [s4]。SecurityBuzz は 2025年1月時点で 50 件超とし、2024年5月に事業サービス業への攻撃で頭角を現し、7月に小売とメディアへ広げたと整理している [s5]。Solace Cyber は 94 の被害者を主張したと記し、金融、医療、政府機関を挙げている [s7]。The Record は、Halcyon が過去 1 か月に米国、英国、インド、ブラジルの被害者を標的にしたと伝えたことを報じた [s3]。Zensec の被害一覧は国別ではブラジルが目立ち、製造、技術、専門サービスなど多業種に及ぶ [s6]。\n\n個別の事例では、ブラジルの会計事務所 Braz Assessoria Contábil と、フィリピンの著作権団体 FILSCAP（Filipino Society of Composers, Authors, and Publishers）が 2024年11月の高リスク事案として挙がっている [s4][s5]。Braz Assessoria Contábil では財務データが暗号化され、暗号資産での身代金と税務・給与記録の公開が脅されたと説明されている [s5]。FILSCAP では著作権・ロイヤルティ関連の知的財産、財務記録、業務データが暗号化され、機密契約などの公開が脅された [s5]。出典に日本の組織の被害は挙がっていない。\n\n【動向】\nSecurityBuzz の時系列では、2024年9月にログ消去とシャドウコピー削除を含むアンチフォレンジックを強化し、2025年1月には 50 件超に達した [s5]。Solace Cyber は後に 94 の被害者を主張したと記している [s7]。RansomLook が記録するリークサイトは現在停止中である。Solace Cyber は、身代金額が 0.5m〜3m ポンドに及ぶとし、侵入は発覚の 2〜4 週間前に始まっていることが多いと注意を促している [s7]。", "techniques": [], "tools": [ { "name": "Arcus Media ransomware", "kind": "ransomware" }, { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "Cobalt Strike", "kind": "legit_tool" }, { "name": "vssadmin", "kind": "legit_tool" }, { "name": "wmic", "kind": "legit_tool" }, { "name": "bcdedit", "kind": "legit_tool" }, { "name": "wbadmin", "kind": "legit_tool" }, { "name": "wevtutil", "kind": "legit_tool" }, { "name": "netsh", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "jabber", "tox", "email" ], "anonymization": [ { "kind": "tor", "name": "Tor", "note": "C2 通信に Tor と暗号化チャネルを利用", "sourceId": "s4" } ], "contactHandles": [ { "channel": "jabber", "value": "AlexanderPushkin@exploit[.]im\r\narcus@xmpp[.]onion" }, { "channel": "tox", "value": "F6B2E01CFA4D3F2DB75E4EDD07EC28BF793E541A9674C3E6A66E1CDA9D931A1344E321FD2582" }, { "channel": "email", "value": "arcustm@proton[.]me\r\n\r\narcusteam@proton[.]me" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "argonauts-group", "createdAt": "2026-10-13T03:53:21+00:00", "updatedAt": "2026-10-13T10:56:46+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/argonauts%20group", "title": "RansomLook: argonauts group", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:53:21+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.halcyon.ai/jp/ransomware-alerts/an-old-tactic-returns-silent-ransom-groups-active-use-of-physical-intrusion-against-u-s-law-firms", "title": "古典的手口の再来：Silent Ransom Groupが米国の法律事務所に対し物理的侵入を積極活用", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T10:56:46+00:00" }, { "id": "s3", "url": "https://www.beforecrypt.com/en/argonauts-group-ransomware/", "title": "Argonauts Group Ransomware", "publisher": "beforecrypt.com", "kind": "news", "retrievedAt": "2026-10-13T10:56:46+00:00" }, { "id": "s4", "url": "https://fticybersecurity.com/wp-content/uploads/2025/02/FTI-Cybersecurity-Threat-Intel-Report-2024-Ransomware-Trends-Observations-2.pdf", "title": "Threat Intelligence Report", "publisher": "fticybersecurity.com", "kind": "news", "retrievedAt": "2026-10-13T10:56:46+00:00" }, { "id": "s5", "url": "https://www.bankinfosecurity.com/ransomware-leak-sites-suggest-attacks-reached-record-high-a-27299", "title": "Ransomware Leak Sites Suggest Attacks Reached Record High", "publisher": "bankinfosecurity.com", "kind": "news", "retrievedAt": "2026-10-13T10:56:46+00:00" }, { "id": "s6", "url": "https://ransom-isac.org/blog/ransomware-in-healthcare-three-years-of-insight/", "title": "Ransomware in Healthcare: Three Years of Insight", "publisher": "ransom-isac.org", "kind": "news", "retrievedAt": "2026-10-13T10:56:46+00:00" }, { "id": "s7", "url": "https://www.redpiranha.net/news/threat-intelligence-report-november-26-december-2-2024", "title": "Threat Intelligence Report 26th November", "publisher": "redpiranha.net", "kind": "news", "retrievedAt": "2026-10-13T10:56:46+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:53:21+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "argonauts group", "aliases": [ { "name": "Argonauts", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Argonauts Group Ransomware", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "argonauts group" }, "type": "ransomware", "origin": { "country": "ロシア", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2024-11-27", "status": { "value": "unknown", "since": "2024-11-27", "sourceId": "s1" }, "description": "【正体と来歴】\nArgonauts Group（別名 Argonauts、Argonauts Group Ransomware）は、RansomLook の記録で初出が 2024-11-27 とされるランサムウェア運営グループである。ReliaQuest は、2024年11月に現れた新規グループ 13 のうちの一つとして Argonauts Group を挙げた [s5]。一方 beforecrypt[.]com は、2021年10月に初めて確認され、ロシア拠点の「Argonauts」というグループが運営すると記し、トルコの QNB Finansbank が 2021年11月初旬に顧客データの大量流出に至る被害を受け、その数日後にサウジアラビアの複合企業 AHQ のシステムも攻撃されたと述べている [s3]。出現時期は ReliaQuest などの記録と食い違っている [s3][s5]。beforecrypt[.]com は、同グループが REvil など大手ランサムウェアギャングと関係を持ち、その手口を採り入れていると述べている [s3]。\n\n【手口】\n対象 OS は Windows で、暗号化したファイルには拡張子 .argonaut が付き、身代金要求文書の名称は ARGONAUTS_HELP.html である [s3]。典型的な二重脅迫の手法で、被害組織のデータを暗号化したうえで機密情報を窃取し、身代金が支払われなければ流出させると脅す [s3][s4]。身代金は高額で、ビットコインでの支払いが要求されることが多い [s3]。支払いを拒んだ被害者の情報は、リークサイトで定期的に公開されるという [s3]。\n\n【連絡手段とリークサイト】\nbeforecrypt[.]com は連絡先としてメールアドレスを掲載している [s3]。同サイトはリークサイトとして hxxps://as[.]arrranger[.]guru/victims を挙げている [s3]。RansomLook の記録では、リークサイト（dls）は jbmk7h6xlkedn2gg5yi76zca6y3jgdlp5wchlsrd7735tlnrmmvqe5ad[.]onion、ミラーは 4xi5jklauqmjfkwxhs2a6q2d26v2465zfnccacqpz75exv2kzu5aeiad[.]onion で、いずれも停止中とされる。\n\n【標的と主な被害】\nFTI Cybersecurity は、2024年11月下旬までに 10 件の被害者への攻撃を主張し、標的の中心はイタリアの技術・製造業の組織だったと報告した [s4]。beforecrypt[.]com は、主な標的を物流、医療、エネルギー、通信の各分野としている [s3]。Red Piranha の週次レポート（2024年11月26日〜12月2日）では、同週のランサムウェア攻撃全体のうち Argonauts Group が 8.93% を占めた [s7]。\n\n【動向】\nRansomLook の記録では、2つのリークサイトはいずれも停止中である。ReliaQuest は 2024年第4四半期に新規 13 グループが現れたと数え、そのなかに Argonauts Group が含まれる [s5]。ただしリークサイト上の被害件数は、攻撃者の誇張や偽の被害者掲載を含みうるため、慎重に扱う必要があると BankInfoSecurity は指摘している [s5]。", "techniques": [], "tools": [ { "name": "Argonauts Group Ransomware", "kind": "ransomware" } ], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2024, "claims": 3, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "audit-team", "createdAt": "2026-10-13T03:56:10+00:00", "updatedAt": "2026-10-13T11:02:27+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/audit%20team", "title": "RansomLook: audit team", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:56:10+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:02:27+00:00" }, { "id": "s3", "url": "https://www.halcyon.ai/jp/press/halcyon-japan-launch-press-release", "title": "ランサムウェア侵入コストはわずか6.6万円、復旧コストは2.3億円に：日本企業を狙う攻撃の経済的非対称性が3,500倍に", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:02:27+00:00" }, { "id": "s4", "url": "https://pmc.ncbi.nlm.nih.gov/articles/PMC5996174/", "title": "Cybersecurity in Hospitals: A Systematic, Organizational Perspective", "publisher": "pmc.ncbi.nlm.nih.gov", "kind": "news", "retrievedAt": "2026-10-13T11:02:27+00:00" }, { "id": "s5", "url": "https://redpiranha.net/news/threat-intelligence-report-sep-29-oct-5-2026", "title": "Threat Intelligence Report September 29 to October 5, 2026", "publisher": "redpiranha.net", "kind": "news", "retrievedAt": "2026-10-13T11:02:27+00:00" }, { "id": "s6", "url": "https://www.skyseaclientview.net/media/article/1589/", "title": "【ランサムウェア事例】感染経路や被害の実態を解説", "publisher": "skyseaclientview.net", "kind": "news", "retrievedAt": "2026-10-13T11:02:27+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:56:10+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "audit team", "aliases": [], "externalIds": { "ransomlook": "audit team" }, "type": "ransomware", "firstSeen": "2026-04-07", "status": { "value": "active", "since": "2026-04-07", "sourceId": "s1" }, "description": "【正体と来歴】\naudit team は RansomLook に 2026-04-07 初出として記録されたランサムウェア系グループである。名称の由来、RaaS かどうか、運営の特徴を述べた出典は無い。Red Piranha の脅威インテリジェンスレポート（2026年9月29日〜10月5日）は、ランサムウェアの被害掲載数を示す一覧で Audit Team を、2件の被害を出したグループの一つとして挙げた [s5]。\n\n【手口】\naudit team 固有の初期侵入経路、使用ツール、暗号化方式、二重脅迫の運用を述べた出典は無い。ランサムウェア攻撃一般については、Halcyon が次の傾向を報告している。攻撃者はダークウェブ上で約6万6,000円からネットワークへのアクセス権を購入できる [s3]。暗号化の前に BYOVD（脆弱なドライバの持ち込み）で300種類以上のエンドポイントセキュリティドライバを無効化し、Windows・Linux・ESXi を同時に暗号化する [s3]。攻撃の74〜77%にデータ窃取が含まれる [s3]。Trend Micro によれば、二重脅迫型では攻撃者が窃取した情報の項目や一部を自身の Web サイト上に暴露して交渉に持ち込み、交渉の成り行き次第で暴露内容が増えることもある [s2]。\n\n【連絡手段とリークサイト】\nRansomLook に連絡手段の記録は無い。リークサイトは RansomLook の記録で次の2か所である。dls は 6tdqqaxftvradka5d2frzgwixis7fmro7rfh4ettzcx7jfapkebe6jad[.]onion、mirror は cjg2avmzoly7k6mw7xobnyre354jxro4qegkoazhsmigdk2j3aziexyd[.]onion である。\n\n【標的と主な被害】\naudit team の標的地域・業種や、日本の組織への被害を述べた出典は無い。Red Piranha のレポートでは、2026年9月29日〜10月5日の週に Audit Team が2件の被害を出し、全体に占める割合は0.86%であった [s5]。同週の最多は The Gentlemen の34件（14.59%）で、2位は Metaencryptor の16件（6.87%）であった [s5]。参考として、Halcyon は日本でのランサムウェア攻撃の28%が製造業を標的とし、2年連続で最多の被害業種になっていると報告している [s3]。\n\n【動向】\naudit team は RansomLook への初出が2026-04-07 で、新しいグループである。摘発、改名、提携に関する出典の記述は無い。Halcyon によれば、2026年1〜3月には Gentlemen、NetRunner、Metaencryptor、Tengu の新興4グループが日本を新たに標的化し、世界では65グループが活動中である [s3]。Trend Micro は、2022年以降に登場した新興ファミリーがランサムウェアの脅威拡大の背景にあると述べている [s2]。", "techniques": [], "tools": [], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2026, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "aurora", "createdAt": "2026-10-13T04:01:17+00:00", "updatedAt": "2026-10-13T11:02:43+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/aurora", "title": "RansomLook: aurora", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:01:17+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:02:43+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:02:43+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:02:43+00:00" }, { "id": "s5", "url": "https://arcticwolf.com/ransomware-explained-understanding-the-ransomware-ecosystem/", "title": "Ransomware Explained: Understanding the Ransomware Ecosystem - Arctic Wolf", "publisher": "Arctic Wolf", "kind": "vendor", "retrievedAt": "2026-10-13T11:02:43+00:00" }, { "id": "s6", "url": "https://gambit.security/blog-posts/aurora-ransomware-targets-esxi-abuses-cursor-agent-for-exploitation", "title": "Aurora ransomware targets ESXi, abuses Cursor Agent for exploitation", "publisher": "gambit.security", "kind": "news", "retrievedAt": "2026-10-13T11:02:43+00:00" }, { "id": "s7", "url": "https://www.uvcyber.com/resources/threat-advisories/threat-advisory-aurora-ransomware-and-ai-assisted-exploitation", "title": "Threat Advisory: Aurora Ransomware and AI-Assisted Exploitation", "publisher": "uvcyber.com", "kind": "news", "retrievedAt": "2026-10-13T11:02:43+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:01:17+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "aurora", "aliases": [ { "name": "Aur0ra", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "aurora" }, "type": "ransomware", "origin": { "country": "ロシア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2026-04-29", "status": { "value": "active", "since": "2026-04-29", "sourceId": "s1" }, "description": "【正体と来歴】\nAurora（別名 Aur0ra）は、RansomLook の記録で初出が 2026-04-29 のランサムウェアグループである。Gambit Security は、同グループが約 2026 年 4 月から活動しており、リークサイトを運営して複数の国の組織を標的にしていると伝えた [s6]。UltraViolet Cyber（UVCyber）は、ロシア語圏と評価される独立系の犯罪アフィリエイトで、国家の関与が確認された事実はなく、国家支援型ではないとする [s7]。動機は金銭、恐喝、データ窃取とされる [s7]。暗号化ツールは単一の Zig コードベースから Windows 版と Linux/ESXi 版が作られている [s7]。オペレーターが使う指示文はロシア語で、Gambit Security は DCSync を禁じる指示などを引用している [s6]。身代金の分配は固定比率ではなく、被害ごとにアフィリエイトの取り分が異なると UVCyber は述べた [s7]。\n\n【手口】\n初期侵入として、UVCyber は認証情報を使った侵入、メール爆撃を伴うフィッシング、IT ヘルプデスクを装った電話（ビッシング）でリモートアクセスツールを入れさせる手口を挙げた [s7]。侵入後、オペレーターは被害側の通信をレンタルした SOCKS 中継経由に集約し、LDAP/SMB 列挙、ハッシュのクラック、権限昇格という一連の流れを繰り返した [s7]。権限昇格は、ドメインコントローラーのなりすましを狙う自作スクリプトの連鎖、Active Directory 証明書サービス（AD CS）の悪用、NTLM リレー強制の 3 経路のいずれかである [s7]。Gambit Security は、Cursor Agent（claude-4.5-sonnet-thinking）を使った実作業を 2026 年 4 月 8 日から 5 月 21 日にかけて 10 組織で観測した [s6]。エージェントは VPN クライアントや proxychains の設定、Nmap・NetExec による内部サブネット走査、NetExec の BloodHound コレクターによるドメイン列挙、PetitPotam・Coerce Plus・PrinterBug による認証強制と Impacket ntlmrelayx による中継、Certipy による証明書攻撃を担った [s6]。オペレーターは全被害組織で、DCSync 禁止、アカウントロックアウト禁止、ドメインへのコンピューター追加禁止を繰り返し指示していた [s6]。多くのコマンドは初回で失敗し修正を重ねたとされ、Gambit Security はまだ完全自律の侵害には至っていないと見ている [s6][s7]。\n\nLinux 版の暗号化ツール encrypt[.]out は、ファイル内容を ChaCha20 でその場で暗号化し、セッション鍵を埋め込みの RSA-4096 公開鍵で包む [s6]。-esxi 指定時は esxcli vm process list で World ID を集め、esxcli vm process kill --type=force で VM を強制終了してロックを解放してから、vmdk、vmx、vmsd、vmsn、nvram、vmem、vswp、log を暗号化する [s6]。システムボリュームは除外されるため、ハイパーバイザー自体は起動したままになり、被害者が脅迫文を読める [s6]。脅迫文は /etc/ssh/sshd-banner に書き込まれ、SSH 接続時にログイン前に表示される [s6]。脅迫文には、機密情報を窃取済みでファイルを暗号化したこと、Tor ブラウザで連絡することが記されている [s6]。ランサムノートのファイル名は !!!README!!!DO_NOT_DELETE.txt である [s6]。Windows 版はボリュームシャドウコピーの削除とシステムの復元の無効化を連続して実行する [s7]。窃取データは、公開前に一括アーカイブされて持ち出された [s7]。esxi_finder.py は NetExec の LDAP 向け自作モジュールで、ポート 443 と 902 を走査して TLS 証明書や /sdk、/ui/ から ESXi と vCenter のビルドを特定する [s6]。暗号化ツールは Cloudflare R2 上に置かれ、被害環境内の複数ホストへ手作業でコピーされた [s6]。\n\n【連絡手段とリークサイト】\nRansomLook に連絡手段の記録はない。リークサイト（DLS）は hxxp://ijexszhscln27nl263lmcd7tx3jttkhm4wjhd4e3y6r4csdbfyeprvid[.]onion で、現在は停止中と記録されている。ミラーは hxxp://pavregldzg2ypbd3gxbil2suxfok7ykmcknwhkli24anpks6lndymyyd[.]onion、クリアネットは exposedrecords[.]io（停止中）である。Gambit Security は、前者の onion を被害者向けの交渉ポータル（encrypt[.]out に埋め込み）、後者の exposedrecords[.]io をクリアネットのリークサイトと位置づけている [s6]。Gambit Security の IOC には、C2 として 172.86.113[.]245 と 172.86.90[.]75、SOCKS プロキシとして 89.106.83[.]49、104.194.134[.]167、68.210.224[.]231、45.61.148[.]166、167.88.167[.]37 が挙がっている（無効化表記では 172[.]86[.]113[.]245 のように記す）[s6]。encrypt[.]out の SHA-256 は a4af136d159a8eb96b54924fa80355ca52874913301300f55af7d67ae97edcfe、サイズは 139 KB の ELF である [s6]。\n\n【標的と主な被害】\nUVCyber によれば、CloudSEK は露出していたオペレーターのサーバーを調べ、2026 年 4 月から 7 月に 9 か国の 20 組織超への活動を確認した。うち 17 組織でドメイン権限が奪取され、4 組織がその後 Aurora の公開恐喝サイトに掲載された [s7]。業種は製造、食品・農業、専門サービス、物流、消費財、廃棄物管理、IT・バックアップ基盤で、国は米国、ドイツ、オランダ、カナダ、英国などである [s7]。UVCyber は、特定業種に絞らない機会的で無差別な標的選定だと評価し、中堅の製造業や流通業も容易に侵害されたと述べた [s7]。Gambit Security は、第 2 のクラスターで 8 組織を検知した。被害国はイスラエル、ドイツ、オーストリア、スペイン、米国、アルゼンチンである [s6]。第 2 クラスターでは、公開された SQL Server の xp_cmdshell を使った横展開、GodPotato による SYSTEM 昇格、ドメインコントローラーへの DCSync、s5cmd による自前 S3 互換ストレージへの持ち出しが使われた [s6]。このクラスターの帰属は中程度の確度で、根拠は、持ち出し先バケットに入ったデータを持つ組織が、転送の 9 日後にリークサイトへ掲載されたことである。第 1 クラスターとは別のオペレーターの可能性もある [s6]。日本の組織名や被害時期は出典に挙がっていない。\n\n【動向】\nGambit Security は 2026 年 4 月から 5 月にかけての Cursor Agent の悪用を観測し、第 2 のクラスターも特定した [s6]。CloudSEK はブロックチェーン分析企業 TRM Labs と組み、回収された身代金の支払いをオンチェーンで追跡した。その結果、複数の確認済み・推定の被害者から集めた収益を扱う資金洗浄ネットワークが判明した [s7]。UVCyber は、AI 支援の侵入が複数の調査チームで独立に裏づけられており、持続的で収益性の高い作戦の一部だと評価している [s7]。ロイターもこの件を報じたと、Gambit Security の記事は案内している [s6]。UVCyber の防御上の優先事項は、AD CS テンプレートの監査、バックアップ基盤の分離、ESXi と vCenter の管理画面の分離と監視、オフラインの不変バックアップ、ヘルプデスク依頼の折り返し確認、NetExec・BloodHound・Nmap の利用検知である [s7]。RansomLook 上では、DLS とクリアネットのリークサイトはいずれも停止中と記録されている。", "techniques": [], "tools": [ { "name": "Aurora ransomware (encrypt.out, Linux/ESXi 版)", "kind": "ransomware" }, { "name": "Cursor Agent", "kind": "legit_tool" }, { "name": "esxi_finder.py", "kind": "malware" }, { "name": "NetExec", "kind": "legit_tool" }, { "name": "BloodHound", "kind": "legit_tool" }, { "name": "Nmap", "kind": "legit_tool" }, { "name": "PetitPotam", "kind": "legit_tool" }, { "name": "Coerce Plus", "kind": "legit_tool" }, { "name": "PrinterBug", "kind": "legit_tool" }, { "name": "DFSCoerce", "kind": "legit_tool" }, { "name": "Impacket ntlmrelayx", "kind": "legit_tool" }, { "name": "Certipy", "kind": "legit_tool" }, { "name": "proxychains", "kind": "legit_tool" }, { "name": "GodPotato", "kind": "legit_tool" }, { "name": "s5cmd", "kind": "legit_tool" } ], "cves": [], "related": [], "anonymization": [ { "kind": "proxy", "name": "SOCKS プロキシ（レンタルした SOCKS ピボット）", "note": "被害組織向けの操作をすべて SOCKS 中継経由に集約した。IOC に 89.106.83[.]49 など複数の IP が挙がっている", "sourceId": "s7" }, { "kind": "other", "name": "Cloudflare R2", "note": "Linux/ESXi 版の暗号化ツールの配布元として使用", "sourceId": "s6" }, { "kind": "tor", "name": "Tor（onion の交渉ポータル）", "note": "被害者との交渉窓口を onion サービスで運営", "sourceId": "s6" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "babuk-bjorka", "createdAt": "2026-10-13T03:58:22+00:00", "updatedAt": "2026-10-13T11:03:19+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/babuk-bjorka", "title": "RansomLook: babuk-bjorka", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:58:22+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:03:19+00:00" }, { "id": "s3", "url": "https://socradar.io/blog/dark-web-profile-babuk-babuk2/", "title": "Dark Web Profile: Babuk/Babuk2", "publisher": "SOCRadar", "kind": "vendor", "retrievedAt": "2026-10-13T11:03:19+00:00" }, { "id": "s4", "url": "https://research.checkpoint.com/2025/the-state-of-ransomware-q2-2025/", "title": "The State of Ransomware – Q2 2025", "publisher": "Check Point", "kind": "vendor", "retrievedAt": "2026-10-13T11:03:19+00:00" }, { "id": "s5", "url": "https://www.rapid7.com/blog/post/2025/04/02/a-rebirth-of-a-cursed-existence-the-babuk-locker-2-0/", "title": "A Rebirth of a Cursed Existence? Examining ‘Babuk Locker 2.0’ Ransomware", "publisher": "Rapid7", "kind": "vendor", "retrievedAt": "2026-10-13T11:03:19+00:00" }, { "id": "s6", "url": "https://www.huntress.com/threat-library/threat-actors/babuk", "title": "Babuk Threat Actor Profile: TTPs, IOCs & Attacks | Huntress", "publisher": "Huntress", "kind": "vendor", "retrievedAt": "2026-10-13T11:03:19+00:00" }, { "id": "s7", "url": "https://www.halcyon.ai/blog/babuk2-ransomware-extortion-attempts-based-on-false-claims", "title": "Babuk2 Ransomware: Extortion Attempts Based on False Claims", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:03:19+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:58:22+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "babuk-bjorka", "aliases": [ { "name": "Babuk2", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Babuk 2.0", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Babuk Locker 2.0", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Bjorka", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "babuk-bjorka" }, "type": "ransomware", "firstSeen": "2025-01-27", "status": { "value": "dormant", "since": "2025-01-27", "sourceId": "s1" }, "description": "【正体と来歴】\nBabuk2 は Babuk-Bjorka、Babuk 2.0、Babuk Locker 2.0 などの名で 2025 年初頭に現れた活動である。RansomLook の記録では初出は 2025-01-27 である。Halcyon は 2025 年 1 月の出現と位置づけ、2021 年に活動した元の Babuk の直接の継続ではなく、信用を得るために名称を借りていると評した [s7]。SOCRadar も高い確度で直接の継続ではないとし、Bjorka とその関係者による名称と手法の流用とみている [s3]。元の Babuk は 2020 年に現れ、RaaS として大企業や政府機関を狙ったが、2021 年 4 月のワシントン D.C. 首都警察への攻撃後に解散を発表し、同年にソースコードが流出した [s3][s6]。Bjorka はインドネシア政府や市民のデータを侵害したと主張してきた名義で、2025 年初めに再び姿を見せた [s5][s3]。Babuk2 は分け前と引き換えに道具を提供する新アフィリエイト計画「Babuk 2.0」または「Babuk-Bjorka」を発表した [s3]。\n\n【手口】\nRapid7 が Telegram チャンネル「Babuk 2.0 Ransomware Affiliates」で共有された babuk.exe（SHA-256 3facc153ed82a72695ee2718084db91f85e2560407899e1c7f6938fd4ea011e9）を解析したところ、実体は LockBit 3.0（LockBit Black）だった。ファイルの暗号化は AES-256、その鍵の保護は RSA-2048 である [s5]。身代金要求文は「Orion Hackers」を名乗り、tox ID 32C12B278912E26E5EAC57AEBB3F4FF16F0E31603C7B9D46AC02E9D993EE14351CEC3AB5945C が Babuk 2.0 Affiliate Group の Telegram に結び付いた [s5]。リークサイトは元の Babuk や LockBit の画面構成を模している [s3]。Halcyon は、新たな暗号化や侵入の証拠はなく、過去の侵害データの使い回しで恐喝していると分析した [s7]。Huntress は、Cl0p や KillSec の過去の流出データを再利用して被害組織を再恐喝していると説明した [s6]。1 社あたり最大 100 テラバイトを盗んだと主張した [s3]。Telegram 上の複数のチャンネルは、作成から数日で詐欺と表示され利用できなくなった [s5]。\n\n【連絡手段とリークサイト】\nRansomLook は連絡手段として tox、Telegram、メールを記録している。tox は 022A7EEB83B648F55DA7A6BEFD130C2156C74F3501A31D853234EC2D18E77A1E5BEC7F602011552653D2E9A5701EA30612EAE77345293F2E35C5D29DB196BB62395BE71BB25F、Telegram は @babuklockberOffice と @bjorkanesiaaaa、メールは locksupport@onionmail[.]org、決済用の BTC アドレスは 1JdvS63gBEFH3auYStgeSB3Q2xMdi5cZiF である。リークサイトは hxxp://7dikawx73goypgfi4zyo5fcajxwb7agemmiwqax3p54aey4dwobcvcyd[.]onion で、ミラーは gtmx56k4hutn3ikv[.]onion、xeuvs5poflczn5i5kbynb5rupmidb5zjuza6gaq22uqsdp3jvkjkciqd[.]onion、fpwwt67hm3mkt6hdavkfyqi42oo3vkaggvjj4kxdr2ivsbzyka5yr2qd[.]onion、57mphyfkxoj5lph2unswd23akewz3jtj7mb6wignwmyto32ghp2visid[.]onion、bxwu33iefqfc3rxigynn3ghvq4gdw3gxgxna5m4aa3o4vscdeeqhiqad[.]onion である。いずれも RansomLook 上では停止中と記録されている。\n\n【標的と主な被害】\nRapid7 によれば、2025 年 1 月以降、少なくとも 100 組織を被害者として掲載した。Amazon、イスラエル議会（Knesset）、Sodexo などを挙げ、エネルギー、製造、IT、政府など複数の業種にまたがる [s5]。インドの Hindustan Aerospace & Engineering は 2023 年 12 月に Bjorka の被害として報告され、2025 年 3 月から Babuk の被害として再掲された [s5]。Halcyon はインドの軍事・政府データを狙ったとされる主張にも触れた [s7]。掲載された被害者の一部は HellCat、RansomHub、FunkSec などが先に攻撃した組織で、実害の真偽には疑義がある [s5][s7]。\n\n【動向】\nSOCRadar は、Bjorka が Skywave や GD Locker Sec とロゴを並べており、協力関係にあるとみている [s3]。Rapid7 も、リークサイトの「Contact Us」欄に Skywave と Bjorka のロゴ、および GD Locker Sec の名が並んでいたと報告した [s5]。Check Point は 2025 年第 2 四半期に、Babuk-Bjorka が RansomHub や LockBit などとともに新たな被害者の公表を止めたと報告した [s4]。同社は、見せかけの攻撃主張が減ったことも、この退場と時期が重なると指摘した [s4]。", "techniques": [], "tools": [ { "name": "LockBit 3.0 (LockBit Black)", "kind": "ransomware" } ], "cves": [], "related": [], "contactChannels": [ "tox", "telegram", "email" ], "contactHandles": [ { "channel": "tox", "value": "022A7EEB83B648F55DA7A6BEFD130C2156C74F3501A31D853234EC2D18E77A1E5BEC7F602011\r\n552653D2E9A5701EA30612EAE77345293F2E35C5D29DB196BB62395BE71BB25F" }, { "channel": "telegram", "value": "@babuklockberOffice\r\n@bjorkanesiaaaa" }, { "channel": "email", "value": "locksupport@onionmail[.]org" }, { "channel": "other", "value": "BTC:1JdvS63gBEFH3auYStgeSB3Q2xMdi5cZiF\r\nXMR:84aZsdYquVxDCVn49UDS8K89bhKyRzAqBMef4XxZ7QQ7eSuSPxnpD1oKbhZpE6pqPSG25V6Z3oRNkfXLuxqxYPzYL4xQPKV\r\nETC:0xFd8Cd01BAB931c9aF6a99A5F969a9052bBee6fd7\r\nETH:0x9e2f0" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "belsen-group", "createdAt": "2026-10-13T03:53:28+00:00", "updatedAt": "2026-10-13T11:04:04+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/belsen%20group", "title": "RansomLook: belsen group", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:53:28+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.trendmicro.com/ja_jp/jp-security/24/f/expertview-20240617-01.html", "title": "事例にみる国内に被害をもたらす2大ランサムウェア攻撃者グループ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:04+00:00" }, { "id": "s3", "url": "https://www.rapid7.com/blog/post/2025/04/08/2025-ransomware-business-as-usual-business-is-booming/", "title": "2025 Ransomware: Business as Usual, Business is Booming", "publisher": "Rapid7", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:04+00:00" }, { "id": "s4", "url": "https://www.halcyon.ai/jp/press/halcyon-japan-launch-press-release", "title": "ランサムウェア侵入コストはわずか6.6万円、復旧コストは2.3億円に：日本企業を狙う攻撃の経済的非対称性が3,500倍に", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:04+00:00" }, { "id": "s5", "url": "https://strobes.co/vi/threat-actors/?page=41", "title": "Threat Actors Database | Strobes VI", "publisher": "strobes.co", "kind": "news", "retrievedAt": "2026-10-13T11:04:04+00:00" }, { "id": "s6", "url": "https://malpedia.caad.fkie.fraunhofer.de/details/win.clop", "title": "Clop (Malware Family)", "publisher": "malpedia.caad.fkie.fraunhofer.de", "kind": "news", "retrievedAt": "2026-10-13T11:04:04+00:00" }, { "id": "s7", "url": "https://connect.securonix.com/threat-research-intelligence-62/the-gentlemen-raas-and-the-gentlekiller-edr-killer-framework-389", "title": "The \"Gentlemen\" RaaS and the GentleKiller EDR-Killer Framework", "publisher": "connect.securonix.com", "kind": "news", "retrievedAt": "2026-10-13T11:04:04+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:53:28+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "Belsen Group", "aliases": [], "externalIds": { "mispUuid": "3ef31ccd-60a9-4abc-a1a3-713ce625cbb7", "ransomlook": "belsen group" }, "type": "ransomware", "firstSeen": "2024-01-14", "status": { "value": "unknown", "since": "2024-01-14", "sourceId": "s1" }, "description": "【正体と来歴】\nBelsen Group は、ランサムウェア追跡サイト RansomLook に初出 2024-01-14 として記録されているグループである [s1]。一方、Rapid7 は 2025年の開始以降に活動を始めた新しいランサムウェアグループの一つとして Belsen Group を挙げ、Ailock、CrazyHunter、NightSpire、VanHelsing などと並べている [s3]。2025年第1四半期に活動していたグループは 80 で、うち 16 が 1月1日以降の新規だった [s3]。初出時期は出典によって食い違う。\n\n【手口】\n個別の侵入経路や使用ツールは出典で特定できない。2025年第1四半期の情勢として、ほとんどの事例でデータ窃取とリークサイト掲載による恐喝が中心だったと整理されている [s3]。Belsen Group は専用のリークサイト（dls）を運用していた [s1]。\n\n【連絡手段とリークサイト】\nRansomLook が記録する連絡手段は jabber と tox である [s1]。jabber のハンドルは belsengroup@xmpp[.]jp と belsen@xmpp[.]com、tox の ID は 53AF3716F2A331F47E247B3B4AC9EA4B8602D98D05600F5B898419CB3312CD1E42002D1A569E である [s1]。そのほかに BreachForums の @Belsen_Group と Twitter の @BelsenGroup が記録されている [s1]。リークサイトは hxxp://belsenacdodoy3nsmmyjfmtgjen6ipaqkti7dm2q57vabjx2vzq6tnad[.]onion に置かれ、RansomLook の記録では停止中である [s1]。\n\n【標的と主な被害】\n2025年第1四半期のランサムウェア全体では、上位の標的地域は米国、カナダ、英国、ドイツ、オーストラリアで、台湾、シンガポール、日本にも相応の被害があった [s3]。この傾向は個別グループの数字ではなく、全体の集計である。Securonix は、FortiGate の認証情報データセット「FortiBleed」の分析のなかで、2025年1月の Belsen Group によるリーク（約 15,000 台のデバイス）に触れている。Kevin Beaumont が FortiBleed の影響を受けた IP は Belsen Group のリークとは異なると確認したと記している [s7]。\n\n【動向】\nRansomLook ではリークサイトが停止中と記録されている [s1]。2026年6月に FortiBleed が公表された際も、Belsen Group の 2025年1月のリークは比較対象として参照されている [s7]。", "techniques": [], "tools": [], "cves": [], "related": [], "contactChannels": [ "jabber", "tox" ], "contactHandles": [ { "channel": "jabber", "value": "belsengroup@xmpp[.]jp\r\nbelsen@xmpp[.]com" }, { "channel": "tox", "value": "53AF3716F2A331F47E247B3B4AC9EA4B8602D98D05600F5B898419CB3312CD1E42002D1A569E" }, { "channel": "other", "value": "BreachForums:@Belsen_Group\r\nTwitter:@BelsenGroup" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "benzona", "createdAt": "2026-10-13T04:00:26+00:00", "updatedAt": "2026-10-13T11:12:51+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/benzona", "title": "RansomLook: benzona", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:00:26+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:12:51+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:12:51+00:00" }, { "id": "s4", "url": "https://www.cyfirma.com/news/weekly-intelligence-report-05-december-2025/", "title": "Weekly Intelligence Report – 05 December 2025 - CYFIRMA", "publisher": "cyfirma.com", "kind": "news", "retrievedAt": "2026-10-13T11:12:51+00:00" }, { "id": "s5", "url": "https://www.cybergensecurity.com/ransomware-in-2026-an-overview-of-active-and-emerging-threat-groups", "title": "\\\"Ransomware", "publisher": "cybergensecurity.com", "kind": "news", "retrievedAt": "2026-10-13T11:12:51+00:00" }, { "id": "s6", "url": "https://www.pcrisk.com/removal-guides/34426-benzona-ransomware", "title": "Benzona Ransomware", "publisher": "pcrisk.com", "kind": "news", "retrievedAt": "2026-10-13T11:12:51+00:00" }, { "id": "s7", "url": "https://www.skyseaclientview.net/media/article/1589/", "title": "【ランサムウェア事例】感染経路や被害の実態を解説", "publisher": "skyseaclientview.net", "kind": "news", "retrievedAt": "2026-10-13T11:12:51+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:00:26+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "benzona", "aliases": [], "externalIds": { "ransomlook": "benzona" }, "type": "ransomware", "firstSeen": "2025-11-26", "status": { "value": "unknown", "since": "2025-11-26", "sourceId": "s1" }, "description": "【正体と来歴】\nBenzona は、ファイルを暗号化して拡張子「.benzona」を付けるランサムウェアで、CYFIRMA は地下フォーラムの監視中に発見した [s4]。PCRisk は VirusTotal への新規ファイル投稿を調べる中で見つけたと述べている [s6]。RansomLook の記録では初出は 2025-11-26 である。CYFIRMA は Benzona をダブルエクストーションのモデルで動くと評価し、RaaS に見られる挙動と似ていると位置づけた [s4]。ただし RaaS として運営されているかどうかを明言した記述はない。Cybergen は Benzona を、公開情報が限られるが脅威フィードやリークサイト、地下フォーラムに現れたグループの一覧に挙げ、こうした存在はリブランドや分派、短期的なキャンペーンであることが多いとも述べた [s5]。拠点国や運営者の素性を示す記述はない。\n\n【手口】\n暗号化されたファイルには「.benzona」の拡張子が付き、「RECOVERY_INFO.txt」という名の脅迫文が作られる。PCRisk の検証では、1[.]jpg が 1.jpg[.]benzona に、2[.]png が 2.png[.]benzona になった [s4][s6]。対象は Windows である [s4]。CYFIRMA は、vssadmin.exe や wmic.exe に関わる処理でボリューム シャドウ コピーを消し、システムの復元ポイントなどからの復旧を妨げると説明している [s4]。サンドボックスや仮想マシン、デバッグ環境かどうかを調べ、検知された場合は実行を止めるなど挙動を変えることで解析を難しくするとも指摘した [s4]。CYFIRMA が MITRE ATT&CK に対応づけた手法には、コマンドとスクリプトのインタプリタ（T1059）、Windows サービスの作成・変更（T1543.003）、プロセス インジェクション（T1055）、セキュリティ ツールの無効化（T1562.001）、システム復旧の阻害（T1490）などがある [s4]。使用ツールの個別名は出典にない。初期侵入の経路も、Benzona について具体的に述べた出典はない。一般的な配布経路として PCRisk は、メール添付、トレントサイト、悪意のある広告を挙げている [s6]。\n\n脅迫文は、ファイルが暗号化され、データも持ち出されたと告げる。ファイル名の変更、復旧ツールの使用、法執行機関への連絡を禁じ、72 時間以内の連絡を求める。期限後はデータを売却または公開するとし、評判の毀損を避けたければ指示に従うよう迫る [s4][s6]。連絡は Tor ブラウザで接続するチャットで行い、被害者は固有の Chat ID を入力する [s4][s6]。\n\n【連絡手段とリークサイト】\nRansomLook の記録では、連絡手段は tox で、ハンドルは 7308E8CFE8AA18D718B5EF44C34A2E5E2C90B7FDB150FA2EC31E995F5F4B23044A98802A4DF0 である。別の連絡先として Twitter の @InfinityLeak も記録されている。リークサイトは、RansomLook によれば hxxp://rwsu75mtgj5oiz3alkfpnxnopcbiqed6wllyoffpuruuu6my6imjzuqd[.]onion（dls）で、いずれも停止中である。ミラーは次の 3 件で、これらも停止中である。hxxp://benzona6x5ggng3hx52h4mak5sgx5vukrdlrrd3of54g2uppqog2joyd[.]onion、hxxp://cpjhb63lxycwbyus2n35ddyhdzxhf756l4rtwdttojzhzgppt3vpmsqd[.]onion、hxxp://wor3mnvotoznof5puzoa35y4bwgtozqe3bae2rpkxmz5dai4xqbcbyad[.]onion。CYFIRMA によれば、リークサイトには被害組織の一覧とともに、持ち出したデータ量、身代金の要求額、公開予定日が表示される [s4]。\n\n【標的と主な被害】\nCYFIRMA は、Benzona の標的として特定の地域や業種を挙げていない。Windows が企業環境で広く使われているため、複数の業種に影響しうると指摘する [s4]。今後は多様な業種へ被害者の選定を広げる可能性があるとも見ている [s4]。日本の組織名や被害時期を示す記述は出典にない。参考として、警察庁は暗号化を伴わずデータを窃取して対価を要求する「ノーウェアランサム」の被害も確認されていると述べている [s2]。\n\n【動向】\n2025 年 12 月 5 日付の CYFIRMA の週次レポートで、今週のランサムウェアとして取り上げられた [s4]。RansomLook の記録では、リークサイトの本体とミラー 3 件はいずれも停止中である。摘発や逮捕、改名、提携に関する記述は出典にない。CYFIRMA は、Benzona のようなモデルを採る集団は、リークサイトの枠組みを強化し、データを軸にした恐喝をさらに進める可能性が高いと見ている [s4]。", "techniques": [ { "id": "T1059", "name": "Command and Scripting Interpreter", "tactic": "Execution" }, { "id": "T1106", "name": "Native API", "tactic": "Execution" }, { "id": "T1543.003", "name": "Create or Modify System Process: Windows Service", "tactic": "Persistence" }, { "id": "T1055", "name": "Process Injection", "tactic": "Privilege Escalation" }, { "id": "T1548", "name": "Abuse Elevation Control Mechanism", "tactic": "Privilege Escalation" }, { "id": "T1070.004", "name": "Indicator Removal: File Deletion", "tactic": "Defense Evasion" }, { "id": "T1070.006", "name": "Indicator Removal: Timestomp", "tactic": "Defense Evasion" }, { "id": "T1202", "name": "Indirect Command Execution", "tactic": "Defense Evasion" }, { "id": "T1497", "name": "Virtualization/Sandbox Evasion", "tactic": "Defense Evasion" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1057", "name": "Process Discovery", "tactic": "Discovery" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1518.001", "name": "Software Discovery: Security Software Discovery", "tactic": "Discovery" }, { "id": "T1560", "name": "Archive Collected Data", "tactic": "Collection" }, { "id": "T1071", "name": "Application Layer Protocol", "tactic": "Command and Control" }, { "id": "T1090", "name": "Proxy", "tactic": "Command and Control" }, { "id": "T1485", "name": "Data Destruction", "tactic": "Impact" }, { "id": "T1489", "name": "Service Stop", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" } ], "tools": [ { "name": "Benzona", "kind": "ransomware" }, { "name": "vssadmin.exe", "kind": "legit_tool" }, { "name": "wmic.exe", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "tox" ], "anonymization": [ { "kind": "tor", "name": "Tor", "note": "脅迫文が被害者との交渉用チャットへの接続に指定する Tor ブラウザ、およびリークサイトの .onion ホスティング", "sourceId": "s4" } ], "contactHandles": [ { "channel": "tox", "value": "7308E8CFE8AA18D718B5EF44C34A2E5E2C90B7FDB150FA2EC31E995F5F4B23044A98802A4DF0" }, { "channel": "other", "value": "Twitter:@InfinityLeak" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "bianlian", "createdAt": "2026-10-13T03:56:35+00:00", "updatedAt": "2026-10-13T11:05:15+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/bianlian", "title": "RansomLook: bianlian", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:56:35+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-136a", "title": "#StopRansomware: BianLian Ransomware Group | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T11:05:15+00:00" }, { "id": "s3", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:05:15+00:00" }, { "id": "s4", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:05:15+00:00" }, { "id": "s5", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:05:15+00:00" }, { "id": "s6", "url": "https://www.sentinelone.com/anthology/bianlian/", "title": "BianLian", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T11:05:15+00:00" }, { "id": "s7", "url": "https://unit42.paloaltonetworks.com/bianlian-ransomware-group-threat-assessment/", "title": "Threat Assessment: BianLian", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T11:05:15+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:56:35+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "bianlian", "aliases": [], "externalIds": { "ransomlook": "bianlian" }, "type": "ransomware", "origin": { "country": "ロシア", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2022-08-18", "status": { "value": "unknown", "since": "2022-08-18", "sourceId": "s1" }, "description": "【正体と来歴】\nBianLian は、ランサムウェアの開発・展開とデータ恐喝を行うサイバー犯罪グループである。FBI・CISA・豪 ASD's ACSC の共同勧告（2024年11月20日更新）は、ロシアを拠点とする可能性が高く、ロシア拠点の複数のアフィリエイトを抱えると評価した [s2]。同勧告は、複数のランサムウェアグループが外国語の名称を選んで所在地や国籍を偽り、帰属判断を難しくしていると指摘している [s2]。RansomLook の記録では初出は 2022-08-18 である。SentinelOne は活動開始を2021年末とし [s6]、FBI は2022年6月以降に米国の重要インフラ分野で被害を観測している [s2]。Palo Alto Networks Unit 42 は、2022年に登場して以来きわめて活発で、リークサイトに新たな被害組織が週単位で掲載されていると述べた [s7]。同社が確認したリークサイトのトップページ（2023年12月）には「Work with us」欄があり、標的組織の関連業者、ソフトウェアエンジニア、ペネトレーションテスター、ジャーナリストに呼びかけている。Unit 42 はこれを新たな開発者やアフィリエイトの募集による拡大の可能性と見ている [s7]。\n\n【手口】\n初期侵入では、侵害された RDP 認証情報を使う [s2]。認証情報は初期アクセスブローカーから入手した可能性が高く、フィッシングも使う [s2]。2024年11月の更新では、WindowsおよびESXi環境の公開アプリケーションが標的とされ、ProxyShell（CVE-2021-34473、CVE-2021-34523、CVE-2021-31207）の悪用が示唆された [s2]。SentinelOne は RDP、SonicWall VPN 機器、ProxyShell の悪用を挙げ [s6]、Unit 42 は VPN プロバイダの標的化やウェブシェルにも触れた [s7]。\n\n侵入後は、被害組織ごとに作られた Go 製のカスタムバックドアを設置し、遠隔管理ソフトで永続化と C2 を確保する [s2]。Ngrok や改変版 Rsocks で SOCKS5 トンネルを張り、C2 通信の宛先を隠した可能性がある [s2]。権限昇格には CVE-2022-37969 の悪用が報告された [s2]。PowerShell とコマンドシェルで Windows Defender と AMSI を無効化し、レジストリを変更して Sophos の改ざん防止を外したうえでサービスをアンインストールする [s2]。実行ファイルは UPX でパックされることがある [s2]。\n\n探索には Advanced Port Scanner、SoftPerfect Network Scanner、SharpShares、PingCastle を使う [s2]。認証情報は LSASS メモリや NTDS[.]dit から狙い、Impacket の secretsdump.py で認証ハッシュを取得した例もある [s2]。SessionGopher も使われた [s2]。Unit 42 は SAM レジストリハイブのダンプを観測した [s7]。横展開は PsExec と RDP で行う [s2]。SentinelOne は PowerShell、WMIC、WinRM、TightVNC、NSSM の多用を挙げた [s6]。Unit 42 の観測では、Impacket で計画タスクを作成し、c:\\programdata\\vmware\\ 配下のバックドア DLL を rundll32 で Entry 関数経由で定期実行していた [s7]。\n\nデータの持ち出しには FTP、Rclone、Mega を使い、支払いがなければデータを公開すると脅す [s2]。当初は窃取後に暗号化する二重脅迫だったが、FBI は2023年に窃取中心へ移行したと観測した [s2]。同勧告は、2023年1月ごろに主に窃取型へ、2024年1月ごろに完全な窃取型へ移ったとも記している。ASD's ACSC は2023年に窃取のみの恐喝へ移行したと観測した [s2]。暗号化の場合、SentinelOne によればペイロードは Go 製で、全ディスク暗号化は数分から数秒で終わる [s6]。Unit 42 が示した脅迫文は、被害組織が Tox メッセンジャーまたはメールで連絡するよう求め、10日後にデータを掲載すると警告していた [s7]。FBI と ACSC は、金銭、事業、法務上の悪影響を警告する文言も確認した [s2]。\n\n【連絡手段とリークサイト】\nRansomLook の記録による連絡手段は Tox とメールである。Tox ID は A8AD0FD4C931CDAA1408D5A60CBF38CEDF46B41E19A8A55E4EF1F1848AF3416AE52D278D37DFA4B3B0845DA242A64BF17E0DB4278EDF85855739667D3E2AE8B89D5439015F07E81D12D767FC、メールは deepmind@onionmail[.]org、swikipedia@onionmail[.]org、swikipedia[.]reserve@onionmail[.]org である。リークサイト（いずれも停止中）は、本体が hxxp://bianlianlbc5an4kgnay3opdemgcryg2kpfcbgczopmm3dnbz3uaunad[.]onion、ミラーが hxxp://bianlivemqbawcco4cx4a672k2fip3guyxudzurfqvdszafam3ofqgqd[.]onion と hxxp://bianliaoxoeriowgqohcly4a6sbkpc3se2yvxgidxomxlpuhx5ehrpad[.]onion である。SentinelOne は、Tor ベースのブログに加えて I2P ミラーを持つ点を、開始当時としては珍しい特徴と述べ、被害者には qTOX や onionmail アドレスでの連絡を指示すると記した [s6]。\n\n【標的と主な被害】\nFBI は米国の複数の重要インフラ分野での被害を観測した [s2]。ACSC は豪州で主に民間企業を標的とする動きを確認し、重要インフラ1組織を含むとしている。同勧告は専門サービスや不動産開発も挙げた [s2]。Unit 42 のリークサイト分析では医療と製造が中心で、専門・法務サービスも多く、被害は主に北米と欧州で、インドでも確認された。2023年は米国が最も多い [s7]。2023年1月には、カリフォルニア州の病院から患者と従業員の個人データを含む 1.7 TB を窃取したと主張した [s7]。SentinelOne は、医療、教育、政府機関を含め業種を選ばないと述べた [s6]。日本の組織名や被害時期を示す出典は、今回の資料には含まれていない。\n\n【動向】\nUnit 42 は、BianLian がカスタム .NET ツールを Makop ランサムウェアグループと共有していると指摘し、両者の関連の可能性を示した。同じハッシュの Advanced Port Scanner も共通して使われていたが、同一の外部開発者を使った可能性もあり、確認はされていない [s7]。Unit 42 は2022年9月以降、複数の BianLian 事案に対応している [s7]。2023年初めには Avast が BianLian の暗号化ツール用の復号ツールを公開した [s7]。窃取型恐喝への移行は、暗号化を伴わない攻撃が増える傾向とも重なる [s2][s7]。RansomLook の記録では、既知のリークサイトはすべて停止中である。", "techniques": [ { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1133", "name": "External Remote Services", "tactic": "Initial Access" }, { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1587.001", "name": "Develop Capabilities: Malware", "tactic": "Resource Development" }, { "id": "T1105", "name": "Ingress Tool Transfer", "tactic": "Command and Control" }, { "id": "T1219", "name": "Remote Access Software", "tactic": "Command and Control" }, { "id": "T1136.001", "name": "Create Account: Local Account", "tactic": "Persistence" }, { "id": "T1098", "name": "Account Manipulation", "tactic": "Persistence" }, { "id": "T1090", "name": "Proxy", "tactic": "Command and Control" }, { "id": "T1090.002", "name": "Proxy: External Proxy", "tactic": "Command and Control" }, { "id": "T1068", "name": "Exploitation for Privilege Escalation", "tactic": "Privilege Escalation" }, { "id": "T1059.001", "name": "Command and Scripting Interpreter: PowerShell", "tactic": "Execution" }, { "id": "T1059.003", "name": "Command and Scripting Interpreter: Windows Command Shell", "tactic": "Execution" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1112", "name": "Modify Registry", "tactic": "Defense Evasion" }, { "id": "T1036.004", "name": "Masquerading: Masquerade Task or Service", "tactic": "Defense Evasion" }, { "id": "T1027.002", "name": "Obfuscated Files or Information: Software Packing", "tactic": "Defense Evasion" }, { "id": "T1046", "name": "Network Service Discovery", "tactic": "Discovery" }, { "id": "T1135", "name": "Network Share Discovery", "tactic": "Discovery" }, { "id": "T1482", "name": "Domain Trust Discovery", "tactic": "Discovery" }, { "id": "T1033", "name": "System Owner/User Discovery", "tactic": "Discovery" }, { "id": "T1069.002", "name": "Permission Groups Discovery: Domain Groups", "tactic": "Discovery" }, { "id": "T1087.002", "name": "Permission Groups Discovery: Domain Groups", "tactic": "Discovery" }, { "id": "T1018", "name": "Remote System Discovery", "tactic": "Discovery" }, { "id": "T1057", "name": "Process Discovery", "tactic": "Discovery" }, { "id": "T1518", "name": "Software Discovery", "tactic": "Discovery" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1552.001", "name": "Unsecured Credentials: Credentials In Files", "tactic": "Credential Access" }, { "id": "T1003.001", "name": "OS Credential Dumping: LSASS Memory", "tactic": "Credential Access" }, { "id": "T1003.003", "name": "OS Credential Dumping: NTDS", "tactic": "Credential Access" }, { "id": "T1552.004", "name": "Unsecured Credentials: Private Keys", "tactic": "Credential Access" }, { "id": "T1021.001", "name": "Remote Services: Remote Desktop Protocol", "tactic": "Lateral Movement" } ], "tools": [ { "name": "BianLian（Go製カスタムバックドア）", "kind": "malware" }, { "name": "BianLian encryptor", "kind": "ransomware" }, { "name": "Ngrok", "kind": "legit_tool" }, { "name": "Rsocks", "kind": "legit_tool" }, { "name": "Advanced Port Scanner", "kind": "legit_tool" }, { "name": "SoftPerfect Network Scanner", "kind": "legit_tool" }, { "name": "SharpShares", "kind": "legit_tool" }, { "name": "PingCastle", "kind": "legit_tool" }, { "name": "RDP Recognizer", "kind": "legit_tool" }, { "name": "Impacket", "kind": "legit_tool" }, { "name": "SessionGopher", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "Mega", "kind": "legit_tool" }, { "name": "TightVNC", "kind": "legit_tool" }, { "name": "NSSM", "kind": "legit_tool" } ], "cves": [ "CVE-2021-34473", "CVE-2021-34523", "CVE-2021-31207", "CVE-2022-37969" ], "related": [], "contactChannels": [ "tox", "email" ], "anonymization": [ { "kind": "proxy", "name": "Rsocks", "note": "外部プロキシとして SOCKS5 トンネルを張り、C2 通信の宛先を隠した可能性", "sourceId": "s2" }, { "kind": "other", "name": "Ngrok", "note": "リバースプロキシツールとして使用した可能性", "sourceId": "s2" } ], "contactHandles": [ { "channel": "tox", "value": "A8AD0FD4C931CDAA1408D5A60CBF38CEDF46B41E19A8A55E4EF1F1848AF3416AE52D278D37DF\r\nA4B3B0845DA242A64BF17E0DB4278EDF85855739667D3E2AE8B89D5439015F07E81D12D767FC" }, { "channel": "email", "value": "deepmind@onionmail[.]org\r\nswikipedia@onionmail[.]org\r\nswikipedia[.]reserve@onionmail[.]org" } ], "derived": { "japanActivity": [ { "year": 2024, "claims": 1, "incidents": 0 }, { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "black-nevas", "createdAt": "2026-10-13T03:54:34+00:00", "updatedAt": "2026-10-13T11:05:56+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/black%20nevas", "title": "RansomLook: black nevas", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:54:34+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:05:56+00:00" }, { "id": "s3", "url": "https://asec.ahnlab.com/en/tag/gunra-en/", "title": "Gunra 보관 - ASEC", "publisher": "asec.ahnlab.com", "kind": "news", "retrievedAt": "2026-10-13T11:05:56+00:00" }, { "id": "s4", "url": "https://redpiranha.net/news/threat-intelligence-report-january-6-january-12-2026", "title": "Threat Intelligence Report January 6 to January 12, 2026", "publisher": "redpiranha.net", "kind": "news", "retrievedAt": "2026-10-13T11:05:56+00:00" }, { "id": "s5", "url": "https://www.threads.com/@undercodenews/post/DbwOsqgGKgp/black-nevas-ransomware-targets-otegroup-as-omans-corporate-sector-faces-a/", "title": "UNDERCODE NEWS (@undercodenews) on Threads", "publisher": "threads.com", "kind": "news", "retrievedAt": "2026-10-13T11:05:56+00:00" }, { "id": "s6", "url": "https://digitalrecovery.com/en/decrypt-ransomware/black-suit/", "title": "Black Suit", "publisher": "digitalrecovery.com", "kind": "news", "retrievedAt": "2026-10-13T11:05:56+00:00" }, { "id": "s7", "url": "https://www.skyseaclientview.net/media/article/1589/", "title": "【ランサムウェア事例】感染経路や被害の実態を解説", "publisher": "skyseaclientview.net", "kind": "news", "retrievedAt": "2026-10-13T11:05:56+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:54:34+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "black nevas", "aliases": [ { "name": "BlackNevas", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "black nevas" }, "type": "ransomware", "firstSeen": "2025-08-06", "status": { "value": "active", "since": "2025-08-06", "sourceId": "s1" }, "description": "【正体と来歴】\nBlack Nevas（BlackNevas とも表記される）は、ランサムウェアグループとして追跡されている攻撃者である。RansomLook の記録では、初出は 2025-08-06 で、連絡手段として telegram と email が登録されている。ASEC（AhnLab）は 2025 年 9 月第 1 週の「Ransom & Dark Web Issues」で、日本の自動車関連企業が Black Nevas の新たな被害者として掲載されたと伝えた [s3]。Red Piranha の 2026 年 1 月 6 日〜1 月 12 日の週次脅威インテリジェンスレポートも、同週にランサムウェア被害を公表したグループの一つとして Black Nevas を挙げている [s4]。\n\n【手口】\nASEC は、日本の自動車関連企業が Black Nevas の新たな被害者としてランサムウェアグループの掲載に載ったと報告した [s3]。Red Piranha はダークウェブ等の継続的な監視で被害組織を把握しており、同週の被害公表の内訳で Black Nevas を 0.8% を占める少数派のブランド群（Chaos、Sicari、Brotherhood、Toufan、Rhysida、Medusa、Anubis と並ぶ）に位置づけた [s4]。同レポートは、こうした少数ブランドを「個々には小さいが、全体としては意味のある」活動と評している [s4]。\n\n【連絡手段とリークサイト】\nRansomLook の記録によれば、Black Nevas の連絡先ハンドルは次のとおりである。telegram は hxxps://t[.]me/BlackNevas。email は compsupp@techie[.]com、paymeuk@consultant[.]com、Serina5Murrock@email[.]com、oxicavalon@myself[.]com の 4 件。リークサイト（dls）の所在は ctyfftrjgtwdjzlgqh4avbd35sqrs6tde4oyam2ufbjch6oqpqtkdtid[.]onion で、同記録では停止中とされている。セキュリティ担当者は、これらのドメインや連絡先をブロックリストや監視対象に加えることを検討できる。\n\n【標的と主な被害】\n日本では、自動車関連企業が 2025 年 9 月第 1 週に Black Nevas の被害者として掲載された [s3]。企業名は ASEC の記載には含まれていない。海外では、UNDERCODE NEWS が Threads への投稿で、オマーンを拠点とし自動車、電子機器、家電、工業用ポリマーなどの事業を展開する企業グループ OTEGROUP を巡るランサムウェア事案として BlackNevas の名を挙げ、オマーンの企業部門に対する脅威の高まりへの警鐘として報じた [s5]。自動車関連産業に属する組織が複数の地域で名前を挙げられている点は、同業種の担当者が留意すべき傾向である [s3][s5]。\n\n【動向】\nRansomLook の記録では初出は 2025-08-06 で、その約 1 か月後の 2025 年 9 月第 1 週に ASEC が日本企業の掲載を伝えた [s3]。2026 年 1 月第 2 週にも Red Piranha の被害公表の集計に Black Nevas が現れており [s4]、活動は少なくとも 2026 年 1 月まで続いていた。一方、RansomLook が記録するリークサイトは停止中とされている。", "techniques": [], "tools": [], "cves": [], "related": [], "contactChannels": [ "telegram", "email" ], "contactHandles": [ { "channel": "telegram", "value": "hxxps://t[.]me/BlackNevas" }, { "channel": "email", "value": "compsupp@techie[.]com\r\npaymeuk@consultant[.]com\r\nSerina5Murrock@email[.]com\r\noxicavalon@myself[.]com" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "black-suit", "createdAt": "2026-10-13T03:56:39+00:00", "updatedAt": "2026-10-13T11:06:33+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/black%20suit", "title": "RansomLook: black suit", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:56:39+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-061a", "title": "#StopRansomware: Blacksuit (Royal) Ransomware | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T11:06:33+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:06:33+00:00" }, { "id": "s4", "url": "https://www.sentinelone.com/cybersecurity-101/cybersecurity/ransomware-examples/", "title": "26 Ransomware Examples Explained in 2026", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T11:06:33+00:00" }, { "id": "s5", "url": "https://www.group-ib.com/blog/hunters-international-ransomware-group/", "title": "The beginning of the end: the story of Hunters International", "publisher": "Group-IB", "kind": "vendor", "retrievedAt": "2026-10-13T11:06:33+00:00" }, { "id": "s6", "url": "https://www.cybereason.co.jp/blog/security_information_explanation/threat-analysis-report/13565/", "title": "【脅威分析レポート】BlackSuitランサムウェア：データ流出とデータ暗号化を組み合わせたハイブリッドアプローチ", "publisher": "Cybereason", "kind": "vendor", "retrievedAt": "2026-10-13T11:06:33+00:00" }, { "id": "s7", "url": "https://fidelissecurity.com/threatgeek/threat-intelligence/blacksuit-ransomware/", "title": "Best Practices for Preventing BlackSuit Ransomware Infections", "publisher": "fidelissecurity.com", "kind": "news", "retrievedAt": "2026-10-13T11:06:33+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:56:39+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "black suit", "aliases": [ { "name": "Royal", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "BlackSuit", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Blacksuit", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "DEV-0569", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "black suit" }, "type": "ransomware", "origin": { "country": "ロシア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2023-06-18", "status": { "value": "unknown", "since": "2023-06-18", "sourceId": "s1" }, "description": "【正体と来歴】\nBlackSuit は Royal ランサムウェアの進化形とされるグループである。FBI と CISA の共同勧告は、Royal が 2022年9月ごろから2023年6月ごろまで使われ、BlackSuit は Royal とコード上の類似点が多く、機能が改良されていると説明している [s2]。2024年8月7日の更新では、Royal の攻撃者が「BlackSuit」へ名称を変えたことが周知された [s2]。RansomLook の記録上の初出は 2023-06-18 である。Trend Micro は活動開始を2023年5月ごろとし、Conti や Royal との関係が指摘されていると記した [s3]。Cybereason は、BlackSuit が2023年半ばに現れ、Royal の再ブランド化またはスピンオフと考えられ、Royal 自体もロシア語圏の Conti から派生したと述べている [s6]。Fidelis Security も Royal の再ブランドと見られるとしており、再ブランドは法執行機関の監視や防御側の検知を避けやすくするとの見方を示した [s7]。\n\n【手口】\n初期侵入で最も多いのはフィッシングメールである。悪意ある PDF 添付やマルバタイジングを通じてマルウェアが入り、BlackSuit が配布される事例が報告されている [s2]。次に多いのは RDP の侵害で、全体の約13.3% を占める [s2]。公開アプリケーションの脆弱性の悪用も観測されている [s2]。第三者報告では、初期アクセスブローカーがスティーラーログから VPN 認証情報を収集し、それを BlackSuit が利用している可能性が指摘されている [s2]。\n\n侵入後は C2 通信と複数のツール取得を行う。Royal 時代には Chisel、SSH クライアント、PuTTY、OpenSSH、MobaXterm が使われた [s2]。BlackSuit は RDP、PsExec、SMB で横展開する。ある事例では正規の管理者アカウントでドメインコントローラーに SMB ログオンし、グループポリシーを変更してウイルス対策を無効化した [s2]。持続化には正規の RMM ソフトを使い、SystemBC と Gootloader で追加ツールの読み込みと維持を行う [s2]。探索には SharpShares と SoftPerfect NetWorx、認証情報の窃取には Mimikatz と Nirsoft のツール、プロセス停止には PowerTool と GMER が使われた [s2]。データ流出には Cobalt Strike、Ursnif/Gozi、RClone、Brute Ratel を使い、第三者報告では最初の中継は通常米国の IP アドレスである [s2]。\n\nCybereason が観測した事例では、Cobalt Strike ビーコン（vm.dll、vm80.dll）を PowerShell で C2 の 184[.]174[.]96[.]71 から取得し、PsExec で他端末へコピーした [s6]。別のペイロードは 180[.]131[.]145[.]85:8098 から取得され、vmware.dll として rundll32 で実行された [s6]。rclone.exe は vmware.exe に改名され、約60GB のデータが送信された [s6]。ランサムウェアは -nomutex フラグでミューテックスの作成を無効化し、複数インスタンスの同時実行を可能にしていた [s6]。暗号化前には Restart Manager でファイルの使用状況を確認し、vssadmin でシャドウコピーを削除する [s2]。除外対象には .BlackSuit、.exe、.dll、README.BlackSuit.txt が含まれる [s6]。暗号化では、ファイルごとに暗号化する割合を選べる部分暗号化を採用しており、大きなファイルほど割合を下げて検知を避け、速度を上げる [s2]。\n\n脅迫は暗号化前のデータ窃取と、身代金不払い時のリークサイトでの公開による二重脅迫である [s2]。最初の身代金要求書に金額は書かれておらず、暗号化後に示される .onion の URL に Tor ブラウザで接続して直接交渉する必要がある [s2]。要求額はおおむね約100万〜1,000万米ドルで、支払いはビットコインを求められる。総要求額は5億米ドル超、単一の最大要求額は6,000万米ドルである。金額交渉には応じる姿勢が見られる [s2]。最近は、被害者への電話やメールによる連絡が増えている [s2]。\n\n【連絡手段とリークサイト】\nRansomLook はリークサイト（dls）1件とミラー17件を記録しており、すべて停止中である。dls は weg7sdx54bevnvulapqu6bpzwztryeflq3s23tegbmnhkbpqz637f2yd[.]onion である。ミラーは次のとおり。c7jpc6h2ccrdwmhofuij7kz6sr2fg2ndtbvvqy4fse23cf7m2e5hvqid[.]onion、nz2ihtemh2zli2wc3bovzps55clanspsqx5htu2plolby45a7pk4d3qd[.]onion、qjdremetxo2zpli32exwb5uct6cjljyj7v52d5thn7usmj5mlyxdojqd[.]onion、yef4xoqj2jq554rqetf2ikmpdtewdlbnx5xrtjtjqaotvfw77ipb6pad[.]onion、ptsfbwx5j7kyk5r6n6uz4faic43jtb55sbls7py5wztwbxkyvsikguid[.]onion、ro4h37fieb6oyfrwoi5u5wpvaalnegsxzxnwzwzw43anxqmv6hjcsfyd[.]onion、cyfafnmijhiqxxfhtofmn5lgk3w5ana6xzpc6gk5uvdfadqflvznpjyd[.]onion、betrvom4agzebo27bt7o3hk35tvr7ppw3hrx5xx4ecvijwfsb4iufoyd[.]onion、ybo3xr25btxs47nmwykoudoe23nyv6ftkcpjdo4gilfzww4djpurtgid[.]onion、k6wtpxwq72gpeil5hqofae7yhbtxphbkyoe2g7rwmpx5sadc4sgsfvid[.]onion、vm2rbvfkcqsx2xusltbxziwbsrunjegk6qeywf3bxpjlznq622s3iead[.]onion、ng2gzceugc2df6hp6s7wtg7hpupw37vqkvamaydhagv2qbrswdqlq6ad[.]onion、2yxf2ald2c67twt4663piypum2fu6yt4su453naxsdiilpd4m7pgu6qd[.]onion、wjdnuogx3mrnnutshrx7nbvjuwqfxnrb32rifaozygwdvs325s75keqd[.]onion、wxqhwn52dnzbrtqeywg35jfvzbpwkw7edlxxoil7ag44plraezw5z5id[.]onion、5bol522hpd3yknxfct2o35ilimxyo46licxxitjvajtvcedltfrj53qd[.]onion、weg7sdx54bevnvulapqu6bpzwztryeflq3s23trgbmnhkbpqz637f2yd[.]onion。\n\n【標的と主な被害】\nFidelis Security は、医療、政府、製造、教育、金融といった重要分野を主な標的としている [s7]。Group-IB も、BlackSuit が Qilin や RansomHub などと同様に医療業界を攻撃したと記した [s5]。Cybereason は BlackSuit の被害産業が複数にわたると説明した [s4]。ランサムウェアは Windows と Linux の両方を標的にするとされる [s7]。日本については、Trend Micro が2024年に日本の組織を攻撃した新興ファミリーの一つに BlackSuit を挙げ、2024年4月に活動の活発化を観測したと記している [s3]。出典には日本の被害組織名や具体的な被害時期の記載はない。\n\n【動向】\nBlackSuit は2024年に再び注目を集め、Royal の後継者と位置づけられている [s6]。FBI と CISA は、2024年7月までの脅威対応活動などで得た IOC と TTP を公開した [s2]。2024年8月7日の更新で、Royal から BlackSuit への再ブランドが周知された [s2]。Cybereason は2025年10月14日に BlackSuit の攻撃を分析した脅威分析レポートを公開しており、Cobalt Strike、rclone、BlackSuit ランサムウェアで C2、データ流出、暗号化を実現する攻撃を観測したと報告した [s6]。この事例では初期アクセスの経路は特定されていない [s6]。RansomLook に記録されたリークサイトとミラーは、いずれも停止中である。", "techniques": [ { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1566.001", "name": "Phishing: Spearphishing Attachment", "tactic": "Initial Access" }, { "id": "T1566.002", "name": "Phishing: Spearphishing Link", "tactic": "Initial Access" }, { "id": "T1021.001", "name": "Remote Services: Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1650", "name": "Acquire Access", "tactic": "Resource Development" }, { "id": "T1105", "name": "Ingress Tool Transfer", "tactic": "Command and Control" }, { "id": "T1572", "name": "Protocol Tunneling", "tactic": "Command and Control" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1484.001", "name": "Domain or Tenant Policy Modification: Group Policy Modification", "tactic": "Defense Evasion" }, { "id": "T1133", "name": "External Remote Services", "tactic": "Persistence" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" } ], "tools": [ { "name": "BlackSuit", "kind": "ransomware" }, { "name": "Royal", "kind": "ransomware" }, { "name": "Cobalt Strike", "kind": "legit_tool" }, { "name": "Brute Ratel", "kind": "legit_tool" }, { "name": "RClone", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "Chisel", "kind": "legit_tool" }, { "name": "PuTTY", "kind": "legit_tool" }, { "name": "OpenSSH", "kind": "legit_tool" }, { "name": "MobaXterm", "kind": "legit_tool" }, { "name": "SharpShares", "kind": "legit_tool" }, { "name": "SoftPerfect NetWorx", "kind": "legit_tool" }, { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "Nirsoft password tools", "kind": "legit_tool" }, { "name": "PowerTool", "kind": "legit_tool" }, { "name": "GMER", "kind": "legit_tool" }, { "name": "SystemBC", "kind": "malware" }, { "name": "Gootloader", "kind": "malware" }, { "name": "Ursnif/Gozi", "kind": "malware" } ], "cves": [], "related": [], "anonymization": [ { "kind": "tor", "name": "Tor", "note": "暗号化後に提示される .onion の URL に Tor ブラウザで接続させ、交渉に使う", "sourceId": "s2" } ], "derived": { "japanActivity": [ { "year": 2024, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "black-x", "createdAt": "2026-10-13T03:31:18+00:00", "updatedAt": "2026-10-13T11:07:24+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/black%20x", "title": "RansomLook: black x", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:31:18+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:07:24+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:07:24+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:07:24+00:00" }, { "id": "s5", "url": "https://www.dexpose.io/black-x-launches-ransomware-attack-on-sanaa-center/", "title": "Black X Launches Ransomware Attack on Sanaa Center - DeXpose", "publisher": "dexpose.io", "kind": "news", "retrievedAt": "2026-10-13T11:07:24+00:00" }, { "id": "s6", "url": "https://www.paloaltonetworks.com/cyberpedia/what-is-ransomware-as-a-service", "title": "What is Ransomware as a Service (RaaS)?", "publisher": "paloaltonetworks.de", "kind": "news", "retrievedAt": "2026-10-13T11:07:24+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:31:18+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "black x", "aliases": [], "externalIds": { "ransomlook": "black x" }, "type": "ransomware", "firstSeen": "2026-06-02", "status": { "value": "unknown", "since": "2026-06-02", "sourceId": "s1" }, "description": "【正体と来歴】\nBlack X は、ランサムウェアグループとして RansomLook に記録されている名称である。初出は 2026-06-02 である [s1]。DeXpose は 2026年7月16日付の報道記事で、Black X をランサムウェア攻撃の実行主体として扱っている [s5]。\n\n【手口】\nBlack X は Sanaa Center へのサイバー攻撃について犯行を主張し、交渉が速やかに始まらなければ機微な情報を公開すると脅した [s5]。詳細な公開声明は出されておらず、脅迫者の声明欄は「N/A」であった [s5]。\n\n二重脅迫型の攻撃一般について、トレンドマイクロは、攻撃者が事前に標的組織の情報を窃取し、その項目や一部を自身の Web サイト上に暴露して交渉に持ち込み、交渉の成り行き次第で暴露内容が増えて漏えい被害が深刻化する場合があると説明している [s4]。暗号化を行わずにデータを窃取して対価を要求する「ノーウェアランサム」の被害も、警察庁が確認している [s2]。\n\n【連絡手段とリークサイト】\nRansomLook は Black X のリークサイト（dls）として blackxppq2jvqyg4slyg3sbszv7ib2avaaycvhff5qipgdoepqi57xyd[.]onion を記録している。このサイトは停止中と記録されている [s1]。\n\n【標的と主な被害】\n確認できる被害は、イエメンの組織である Sanaa Center（ドメインは sanaa[.]center）である。Black X は 2026年7月16日にこの組織への攻撃を主張した [s5]。DeXpose はこの組織を同国の重要な組織の一つと紹介している [s5]。\n\n【動向】\nRansomLook の初出は 2026-06-02、Sanaa Center への攻撃の主張は 2026年7月16日であり、初出から約1か月半後に活動が報じられた [s1][s5]。リークサイトは停止中と記録されている [s1]。ランサムウェア全般では、各国の捜査機関が連携して従来のファミリーのテイクダウンや起訴を進める一方、脅威は拡大し続けているとトレンドマイクロは整理している [s4]。", "techniques": [], "tools": [], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "blackout", "createdAt": "2026-10-13T03:53:41+00:00", "updatedAt": "2026-10-13T11:08:11+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/blackout", "title": "RansomLook: blackout", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:53:41+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:08:11+00:00" }, { "id": "s3", "url": "https://unit42.paloaltonetworks.com/unit-42-ransomware-leak-site-data-analysis/", "title": "Ransomware Review: First Half of 2024", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T11:08:11+00:00" }, { "id": "s4", "url": "https://zensec.co.uk/blackout-ransomware/", "title": "Blackout ransomware - Zensec", "publisher": "zensec.co.uk", "kind": "news", "retrievedAt": "2026-10-13T11:08:11+00:00" }, { "id": "s5", "url": "https://www.druva.com/reconx-labs/knowledge-base/blackout", "title": "Blackout Ransomware", "publisher": "druva.com", "kind": "news", "retrievedAt": "2026-10-13T11:08:11+00:00" }, { "id": "s6", "url": "https://solacecyber.co.uk/blackout-ransomware/", "title": "Blackout Ransomware Recovery | Solace Cyber", "publisher": "solacecyber.co.uk", "kind": "news", "retrievedAt": "2026-10-13T11:08:11+00:00" }, { "id": "s7", "url": "https://home.treasury.gov/news/press-releases/jy2114", "title": "United States Sanctions Affiliates of Russia-Based LockBit Ransomware Group", "publisher": "home.treasury.gov", "kind": "news", "retrievedAt": "2026-10-13T11:08:11+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:53:41+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "blackout", "aliases": [], "externalIds": { "ransomlook": "blackout" }, "type": "ransomware", "firstSeen": "2024-02-27", "status": { "value": "active", "since": "2024-02-27", "sourceId": "s1" }, "description": "【正体と来歴】\nBlackout は、データの暗号化と窃取を組み合わせて二重脅迫を行うランサムウェアグループである。RansomLook の記録では初出は 2024-02-27 で、Solace Cyber も 2024 年 2 月にデータリーク兼交渉サイトで被害者の掲載を始めた時点で公に確認されたと説明している [s6]。一方、Zensec は少なくとも 2023 年から活動していると記しており、活動開始時期の見方は割れている [s4]。Zensec は、Blackout が他組織の共有ツールだけに頼らず独自のランサムウェアを開発・運用しているとみており、BlackCat などと異なり被害者の公表とデータ公開を重視していると述べた [s4]。Druva は、同グループをリークサイトの掲載内容から追跡している [s5]。Solace Cyber は、規模は小さいが混乱を与える力の大きいグループとみている [s6]。\n\n【手口】\n初期侵入について Zensec は、フィッシングメール、悪意ある添付ファイル、初期アクセスブローカーから購入した認証情報を挙げ、インターネットに公開されたシステムやクラウドサービスの脆弱性が入口になった例もあるとした [s4]。Solace Cyber はフィッシングメールや侵害されたリモートアクセスサービスに加え、悪意あるリンク、購入した認証情報、ソフトウェア更新の不備を経路として列挙している [s6]。侵入後は永続化と横展開を行い、高い権限のアカウントを悪用して機密データや重要システムに到達する [s4]。暗号化の前にデータを持ち出すため、バックアップがあっても圧力をかけられる [s4]。その後、ワークステーションとサーバーのファイルを暗号化し、バックアップやシャドウコピーなどの復旧手段の無効化も試みる [s4]。被害組織には暗号資産での支払いを求める脅迫状が表示され、支払わなければデータを削除または公開すると脅す [s6]。身代金が支払われない場合は、ダークウェブ上の専用リークブログにデータを掲載する [s4]。さらに地下フォーラムで活動を宣伝しており、犯罪者コミュニティでの知名度を高める狙いがあるとみられる [s4]。\n\n【連絡手段とリークサイト】\nRansomLook は連絡手段として tox と telegram を記録している。tox ID は 36A73D90C66948D9268BDC4174A40E0064C43F10A35AEAA9DD74B3A14EF5654872D5DC67FC14、telegram は hxxps://t[.]me/blackout_supp である。リークサイト（dls）は black3gnkizshuynieigw6ejgpblb53mpasftzd6pydqpmq2vn2xf6yd[.]onion で、停止中とされる。ミラーは 8 件記録されており、うち 4qyjonpyksc52bc3fsgfgedssqgo4a6vlfsjknqnkncbyl4layqkqjid[.]onion、ao5oo2luy6avdfomyw7hcegmfl4let2g5bzjqjzch6b5rpdshmuvccad[.]onion、urey23jtg6z7xx3tiybmc4sgcim7dawiz2abl6crpup2lfobf7yb5wyd[.]onion、mu6se7h7qfwuqclr4cc6zy7qevod6gyk37aq5vwnayrtbx3qqycx2fyd[.]onion、2cyxmof76rxeqze5snxxooqmhzjtcploqswxoxmenfayphumdhrtrzqd[.]onion、idep6vd7ywl7uruhsutqjdnjawe33hct35523rrmf73kb46xrhfb5sid[.]onion の 6 件は停止中、eleav2eq3ioyiuevbyvqaz3vruwvpislphszo4cm7n56itbpnupxngyd[.]onion と rqqn25k3hgmfkh7ykjbmakjgidwweomr7cbpy6pfecpxs57r5iwzwtyd[.]onion の 2 件には停止の注記がない。\n\n【標的と主な被害】\nZensec は、被害者にヘルスケア、建設、専門サービスなどが含まれ、特定の業種に絞らない機会主義的な標的選定だと分析している [s4]。Solace Cyber は被害報告がヘルスケアや事業サービスの分野に及ぶとし [s6]、ダウンタイムが直ちに金銭的または安全上の影響を生む組織を狙うとみている [s6]。リークサイト上の被害掲載数は、Druva が 9 件 [s5]、Solace Cyber が少なくとも 9 件と記している [s6]。\n\n【動向】\nSolace Cyber は Blackout を 2024 年初頭に観測された新興の活動と位置づけ、運用妨害を重視した攻撃的な二重脅迫を特徴とみている [s6]。Palo Alto Networks Unit 42 は 2024 年上半期のランサムウェアレビューで、53 のリークサイトに 1,762 件の新規投稿があったと集計し、取り上げたグループの一つに Blackout を挙げた [s3]。Druva は Blackout について公開された技術報告が限られるとし、リークサイトの掲載から追跡している [s5]。RansomLook の記録では、リークサイトと複数のミラーが停止中の状態にあり、2 件のミラーには停止の注記がない。", "techniques": [], "tools": [], "cves": [], "related": [], "contactChannels": [ "tox", "telegram" ], "contactHandles": [ { "channel": "tox", "value": "36A73D90C66948D9268BDC4174A40E0064C43F10A35AEAA9DD74B3A14EF5654872D5DC67FC14" }, { "channel": "telegram", "value": "hxxps://t[.]me/blackout_supp" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "blacktech", "createdAt": "2026-10-12T22:00:00+09:00", "updatedAt": "2026-10-12T22:00:00+09:00", "sources": [ { "id": "s1", "url": "https://www.npa.go.jp/bureau/cyber/koho/caution/caution20230927.html", "title": "中国を背景とするサイバー攻撃グループBlackTechによるサイバー攻撃について（注意喚起）", "publisher": "警察庁・内閣サイバーセキュリティセンター", "kind": "gov", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "政府標準利用規約" }, { "id": "s2", "url": "https://github.com/MISP/misp-galaxy/blob/main/clusters/threat-actor.json", "title": "MISP Galaxy threat-actor cluster (version 352)", "publisher": "MISP Project", "kind": "dataset", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "CC0" }, { "id": "s3", "url": "https://attack.mitre.org/groups/G0098/", "title": "MITRE ATT&CK G0098", "publisher": "The MITRE Corporation", "kind": "dataset", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation." } ], "reviewedBy": "human", "reviewedAt": "2026-10-12T22:00:00+09:00", "name": "BlackTech", "aliases": [ { "name": "BlackTech", "namedBy": "警察庁", "relation": "same_as", "sourceId": "s1" }, { "name": "CIRCUIT PANDA", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Temp.Overboard", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "HUAPI", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Palmerworm", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Manga Taurus", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Red Djinn", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Earth Hundun", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Canary Typhoon", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mitre": "G0098", "mispUuid": "320c42f7-eab7-4ef9-b09a-74396caa6c3e" }, "type": "state_sponsored", "origin": { "country": "中国", "sponsor": "中国を背景とするとされる", "confidence": "third_party", "sourceId": "s1" }, "status": { "value": "unknown" }, "description": "中国を背景とするサイバー攻撃グループ。2023年9月27日、警察庁と内閣サイバーセキュリティセンターは、米国の NSA・FBI・CISA とともに BlackTech によるサイバー攻撃について合同の注意喚起を発出した。英語の報告書の題名は「People's Republic of China-Linked Cyber Actors Hide in Router Firmware」で、ルーターのファームウェアへの潜伏を主題としている。警察庁の日本語ページには手口・標的・対策の具体的な記述はなく、詳細は合同の英語報告書と注意喚起 PDF に委ねられている。MITRE ATT&CK では G0098（別名 Palmerworm）、MISP Galaxy では CIRCUIT PANDA、Earth Hundun、Canary Typhoon などの別名が登録されている。手法と使用ツールは ATT&CK の記載を機械的に取り込んだもので、日本の事案との対応は個別に確認する。", "techniques": [ { "id": "T1021.004", "name": "SSH", "tactic": "lateral-movement" }, { "id": "T1036.002", "name": "Right-to-Left Override", "tactic": "stealth" }, { "id": "T1046", "name": "Network Service Discovery", "tactic": "discovery" }, { "id": "T1106", "name": "Native API", "tactic": "execution" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "initial-access" }, { "id": "T1203", "name": "Exploitation for Client Execution", "tactic": "execution" }, { "id": "T1204.001", "name": "Malicious Link", "tactic": "execution" }, { "id": "T1204.002", "name": "Malicious File", "tactic": "execution" }, { "id": "T1566.001", "name": "Spearphishing Attachment", "tactic": "initial-access" }, { "id": "T1566.002", "name": "Spearphishing Link", "tactic": "initial-access" }, { "id": "T1574.001", "name": "DLL", "tactic": "stealth" }, { "id": "T1588.002", "name": "Tool", "tactic": "resource-development" }, { "id": "T1588.003", "name": "Code Signing Certificates", "tactic": "resource-development" }, { "id": "T1588.004", "name": "Digital Certificates", "tactic": "resource-development" } ], "tools": [ { "name": "Flagpro", "kind": "malware" }, { "name": "Kivars", "kind": "malware" }, { "name": "PLEAD", "kind": "malware" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "TSCookie", "kind": "malware" }, { "name": "Waterbear", "kind": "malware" } ], "cves": [], "related": [], "derived": { "japanActivity": [], "advisorySlugs": [ "npa-20230927-blacktech" ] } }, { "slug": "brain-cipher", "createdAt": "2026-10-13T03:55:20+00:00", "updatedAt": "2026-10-13T11:08:52+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/brain%20cipher", "title": "RansomLook: brain cipher", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:55:20+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:08:52+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:08:52+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:08:52+00:00" }, { "id": "s5", "url": "https://www.sentinelone.com/anthology/brain-cipher/", "title": "Brain Cipher", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T11:08:52+00:00" }, { "id": "s6", "url": "https://www.group-ib.com/blog/brain-cipher-ransomware/", "title": "Deciphering the Brain Cipher Ransomware", "publisher": "Group-IB", "kind": "vendor", "retrievedAt": "2026-10-13T11:08:52+00:00" }, { "id": "s7", "url": "https://www.peris.ai/blog/peris-ai-analysis-brain-cipher-ransomware-attack-on-indonesias-national-data-center", "title": "Peris.ai Analysis: Brain Cipher Ransomware Attack on Indonesia’s National Data Center", "publisher": "peris.ai", "kind": "news", "retrievedAt": "2026-10-13T11:08:52+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:55:20+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "brain cipher", "aliases": [], "externalIds": { "ransomlook": "brain cipher" }, "type": "ransomware", "firstSeen": "2024-07-02", "status": { "value": "unknown", "since": "2024-07-02", "sourceId": "s1" }, "description": "【正体と来歴】\nBrain Cipher は2024年6月初旬に登場したランサムウェアグループで、Tor 上のリークサイトを運営し、多重恐喝を行う [s5]。Group-IB は少なくとも2024年4月から活動していたとみており、最初に確認した脅迫状は2024年6月16日付である [s6]。RansomLook は初出を2024-07-02と記録しており、出典間で時期に開きがある [s1]。ペイロードは流出した LockBit 3.0 ビルダーで生成され、機能は LockBit 3.0/LockBit Black の出力と同一とされる [s5]。Group-IB は、脅迫状の文面、連絡先、Tor サイトの類似から、EstateRansomware、SenSayQ、グループ名が示されない \"Noname\" を Brain Cipher と同じ人物が管理していると判断した [s6]。インドネシアの被害者向けに公開された Linux 版復号ツールは、Babuk の亜種だった [s6]。\n\n【手口】\n初期侵入について SentinelOne は、インターネットに露出したアプリケーションやインタフェースの悪用を挙げ、Windows CLFS ドライバの権限昇格の脆弱性 CVE-2023-28252 の悪用と、初期アクセスブローカー（IAB）への依存を指摘した [s5]。一方 peris[.]ai は、主な配布経路をフィッシングメールとしている [s7]。実行時には Windows Defender や VSS に関連するサービスの停止を試み、Windows イベントログも消去する。ペイロードは UPX や Python 製クリプターでさらに難読化されることがある [s5]。peris[.]ai は ATT&CK 手法として、実行の T1059.003 と T1204.002、権限昇格の T1548.002、認証情報アクセスの T1539、T1555.003、T1552.001、探索の T1012、T1082、T1518、影響の T1486 を挙げた [s7]。脅迫状には Tor 上のサポートページとサポート用メールが記され、被害者は脅迫状の暗号化 ID を入力してチャットに入り、支払額と暗号資産の種類が提示される [s6]。脅迫状とリークサイトの規約には「FBI、CIA、NSA 等の関与は禁止」「第三者の交渉人の関与は禁止」とあり、リークサイトの各掲載にはタイマーが付くことがある [s5][s6]。Group-IB は、監視した被害者の大半でデータが公開されなかったことから、主張どおりにはデータを窃取していない可能性があるとみている [s6]。\n\n【連絡手段とリークサイト】\nRansomLook は連絡手段を email とし、brain[.]support[@]cyberfear[.]com、brain[.]dataleak[@]cyberfear[.]com、brain[.]decrypt[@]cyberfear[.]com を記録している [s1]。SentinelOne は、cyberfear[.]com のメールエイリアスを被害者との連絡に使う点が Risen や SenSayQ と共通すると述べた [s5]。リークサイト（dls）として RansomLook が記録するのは hxxp://mybmtbgd7aprdnw2ekxht5qap5daam2wch25coqerrq2zdioanob34ad[.]onion で、停止中である [s1]。ミラーは多数記録され、大半が停止中だが、hxxp://inzk64xcf3sm6qzkehmio7piwhkslhnab3rlviniyg7alcgsxvy7kcyd[.]onion、hxxp://mejouwrwja4iou7myj34rqi7cixyhn7vsa42e2n2dhxzc5mmkiaki3yd[.]onion、hxxp://zztabnlnggxpbeiyvpievqtxl6te4amttfobwusmgo2l3hcabfpcgyad[.]onion、hxxp://hv5on6i3k3g24qtu3ac6vtbrcgl2imz3sasakhfslhbnbqbcri73mqad[.]onion は停止中の表記がない [s1]。Group-IB は、リークサイトへの onion リンクがフィリピンの被害者のものとみられる脅迫状に記載されていたと報告した [s6]。\n\n【標的と主な被害】\nSentinelOne によると、標的は医療、教育、製造の各分野に加え、政府機関や法執行機関にも及ぶ [s5]。最大の被害は、2024年6月20日のインドネシア国家データセンター（PDN）への攻撃である。税関や入国管理を含む約210の国・地方政府サービスが停止し、空港で旅行者に大幅な遅れが出た [s6]。SentinelOne は入国管理と新入生登録システムの混乱を挙げている [s5]。PDN は Telkom Sigma を通じて Telkom Group が運営し、攻撃者は8百万米ドル（約 Rp 131 billion）を要求した [s7]。Group-IB が確認した被害者の所在は、インドネシア、フィリピン、ポルトガル、イスラエル、南アフリカ、タイである [s6]。EstateRansomware、SenSayQ、Noname の被害者はフランス、マレーシア、香港、米国、イタリア、レバノンで確認された [s6]。\n\n【動向】\nGroup-IB によると、Brain Cipher は当初8百万米ドルを要求したが、その後復号ツールを無償で公開した [s6]。2024年7月には、脅迫状の形式が似た RebornRansomware による攻撃が確認された。連絡先メールが変わり、Tor サイトは Tox アカウントに置き換わっている [s6]。リークサイトの主ページには2024年8月13日時点で7社の掲載があり、同月にも Brain Cipher の被害者が見つかった [s6]。RansomLook の記録ではリークサイト本体と大半のミラーが停止中である [s1]。", "techniques": [ { "id": "T1059.003", "name": "Windows Command Shell", "tactic": "Execution" }, { "id": "T1204.002", "name": "User Execution: Malicious File", "tactic": "Execution" }, { "id": "T1548.002", "name": "Bypass User Account Control", "tactic": "Privilege Escalation" }, { "id": "T1539", "name": "Steal Web Session Cookie", "tactic": "Credential Access" }, { "id": "T1555.003", "name": "Credentials from Web Browsers", "tactic": "Credential Access" }, { "id": "T1552.001", "name": "Credentials In Files", "tactic": "Credential Access" }, { "id": "T1012", "name": "Query Registry", "tactic": "Discovery" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1518", "name": "Software Discovery", "tactic": "Discovery" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" } ], "tools": [ { "name": "LockBit 3.0 (leaked builder)", "kind": "ransomware" }, { "name": "Babuk (Linux decryptor variant)", "kind": "ransomware" }, { "name": "UPX", "kind": "legit_tool" } ], "cves": [ "CVE-2023-28252" ], "related": [], "contactChannels": [ "email" ], "anonymization": [ { "kind": "tor", "name": "Tor（リークサイトと被害者向けチャットポータル）", "note": "リークサイトの運営と、追跡付きの交渉・支払い用チャットに使用", "sourceId": "s5" }, { "kind": "tor", "name": "Tor onion サポートページ", "note": "脅迫状に記載された被害者向けサポートページ。暗号化 ID でチャットに入る", "sourceId": "s6" }, { "kind": "other", "name": "cyberfear[.]com", "note": "被害者との連絡に使うメールエイリアスのサービス", "sourceId": "s5" } ], "contactHandles": [ { "channel": "email", "value": "brain[.]support@cyberfear[.]com\r\nbrain[.]dataleak@cyberfear[.]com\r\nbrain[.]decrypt@cyberfear[.]com" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "cactus", "createdAt": "2026-10-13T03:58:17+00:00", "updatedAt": "2026-10-13T10:53:49+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/cactus", "title": "RansomLook: cactus", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:58:17+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T10:53:49+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T10:53:49+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/en_us/research/25/b/black-basta-cactus-ransomware-backconnect.html", "title": "Black Basta and Cactus Ransomware Groups Add BackConnect Malware to Their Arsenal", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T10:53:49+00:00" }, { "id": "s5", "url": "https://www.trendmicro.com/ja_jp/research/25/c/black-basta-cactus-ransomware-backconnect.html", "title": "サポートスタッフに成りすまして遠隔操作を確立：「Black Basta」と「Cactus」の詐欺的初期侵入によるランサムウェア攻撃手法 | トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T10:53:49+00:00" }, { "id": "s6", "url": "https://www.sophos.com/en-us/blog/turning-the-screws-the-pressure-tactics-of-ransomware-gangs", "title": "Turning the screws: The pressure tactics of ransomware gangs", "publisher": "Sophos", "kind": "vendor", "retrievedAt": "2026-10-13T10:53:49+00:00" }, { "id": "s7", "url": "https://www.checkpoint.com/cyber-hub/threat-prevention/ransomware/cactus-ransomware/", "title": "CACTUS Ransomware", "publisher": "Check Point", "kind": "vendor", "retrievedAt": "2026-10-13T10:53:49+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:58:17+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "cactus", "aliases": [ { "name": "Cactus Group", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "cactus" }, "type": "ransomware", "firstSeen": "2023-07-20", "status": { "value": "unknown", "since": "2023-07-20", "sourceId": "s1" }, "description": "【正体と来歴】\nCactus（CACTUS、Cactus Group）は、ランサムウェアとその運営グループが共通して使う呼称である。RansomLook の記録では、リークサイトへの初出は 2023-07-20 で、連絡手段は tox とされている。Trend Micro のインシデント対応チームが確認した事案では、電子メールで届いたランサムノートの中で、攻撃者が自らを「Cactus Group」と名乗っていた [s5]。Sophos は、Cactus がリークサイトの FAQ ページで自らを「Direct Security Audit Agency (DSAA) revolutionizing a customer journey, one hyper-targeted solution at a time」と称し、ネットワークのセキュリティ監査を行っていると主張していると報告した [s6]。この文面は企業の宣伝文句を思わせる、と Sophos は述べている [s6]。Trend Micro は、Black Basta の主要メンバーの一部が同グループを脱退して Cactus の運営に参加していると推測している。根拠は、両グループの戦術・手法・手順（TTPs）に類似点が多いことである [s5]。\n\n【手口】\nCheck Point によれば、CACTUS は通常、VPN ソフトウェアの脆弱性を悪用して標的環境に侵入する [s7]。侵入後は SSH で運営者との C2 通信を確立し、スケジュールタスクで再起動後も永続化する [s7]。続いてネットワークスキャンで感染対象を探し、Web ブラウザからの収集や LSASS のダンプで認証情報を窃取する [s7]。この認証情報を使ってリモート端末のアカウントを追加または利用し、ネットワーク内に拡散する [s7]。端末上では msiexec で一般的なウイルス対策ソフトをアンインストールし、AES 鍵がなければ展開できない暗号化形式でマルウェアを配布して解析を妨げる [s7]。\n\nTrend Micro が分析した別の事案では、侵入経路は VPN ではなくソーシャルエンジニアリングだった。被害者に大量のメールを送り付ける「メール爆撃」の後、Microsoft Teams 経由で admin_734@gamicalstudio[.]onmicrosoft[.]com から連絡し、Windows 標準の Quick Assist によるリモートアクセスを許可させた [s5]。その後、2 つの .bpx ファイル（kb153056-01[.]bpx、kb153064-02[.]bpx）をダウンロードして pack.zip に結合した。展開すると OneDriveStandaloneUpdater.exe、wscapi.dll などが OneDrive フォルダ内に置かれ、DLL サイドローディングが行われた [s5]。BackConnect マルウェアの C&C の IP アドレスはレジストリ「SOFTWARE\\TitanPlus」に保存された [s5]。\n\n内部活動では、SMB と WinRM による水平移動が確認された [s5]。ESXi ホストでは root の SSH セッションを有効化し、ExecInstalledOnly 設定とファイアウォールを無効化した上で、SystemBC と思われるバイナリ「socks[.]out」を実行した [s5]。ファイル転送には WinSCP が使われ、新規登録された pumpkinrab[.]com（208[.]115[.]200[.]146）への接続が確認された [s5]。\n\n二重脅迫の面では、Check Point が CACTUS を RSA と AES の組み合わせでデータを暗号化し、あわせて窃取も試みるダブルエクストーションの型と説明した。窃取には Rclone でクラウドストレージへ転送する手口が観測され、暗号化と窃取が終わるとランサムノートが端末上に置かれる [s7]。\n\n【連絡手段とリークサイト】\nRansomLook の記録では、連絡手段は tox（TOX: 7367B422CD7498D5F2AAF33F58F67A332F8520CF0279A5FBB4611E0121AE421AE1D49ACEABB2）と、SONAR の窓口（hxxp://sonarmsng5vzwqezlvtu2iiwwdn3dxkhotftikhowpfjuzg7p3ca5eid[.]onion/contact/Cactus_Support）である。リークサイト本体は cactusbloguuodvqjmnzlwetjlpj6aggc6iocwhuupb47laukux7ckid[.]onion で、いずれも停止中と記録されている。ミラーは次の 6 件で、同じく停止中である。\ncactus5dqnqkppa5ayckiyk6dttpqwczdqphv5mxh4dkk5ct544q5aad[.]onion\nvhfd5qagh6j7qbisjqvly7eejqbv6z5bv77v6yuhctn77wmd3hjkyvad[.]onion\nacfckf3l6l7v2tsnedfx222a4og63zt6dmvheqbvsd72hkhaqadrrsad[.]onion\n6wuivqgrv2g7brcwhjw5co3vligiqowpumzkcyebku7i2busrvlxnzid[.]onion\ntruysrv2txxvobngtlssbgqs3e3ekd53zl6zoxbotajyvmslp5rdxgid[.]onion\njvtxo5gdcgloguty322ynfnpqkc2whe2jauc7ucm7bzmgct3k7ogr4yd[.]onion\n\n【標的と主な被害】\nCheck Point は、CACTUS が既知の VPN 脆弱性を使って侵入するため、標的は脆弱な VPN 機器を使う組織に限られると説明している。観測された標的は主に、高額の身代金要求に応じる資力のある大企業である [s7]。Trend Micro のインシデント対応チームが分析した事案では、ネットワーク上のデータを暗号化しようとする試みが阻止された [s5]。\n\n【動向】\nTrend Micro は、Black Basta の内部チャットログが 2025年2月11日に流出したと報告している。PRODAFT が最初に公開した情報によれば、Black Basta がロシアの銀行を標的にしたことで内部紛争が起き、データが流出したという [s5]。Trend Micro は、Cactus が今後も活発な攻撃活動を続け、Black Basta を脱退した経験豊富な元メンバーが Cactus の運営の下で活動を続けると推測している [s5]。Cactus が使った BackConnect の C&C インフラは Black Basta の事例と同じで、45[.]8[.]157[.]199、5[.]181[.]3[.]164、38[.]180[.]25[.]3 などが共通していた [s5]。Trend Micro は 2025年3月3日付の英語版で、両グループが同じ BackConnect マルウェアを使って感染端末上の足場を強化していたと報告している [s4]。", "techniques": [], "tools": [ { "name": "CACTUS", "kind": "ransomware" }, { "name": "BackConnect (QBACKCONNECT)", "kind": "malware" }, { "name": "SystemBC (socks.out)", "kind": "malware" }, { "name": "Quick Assist", "kind": "legit_tool" }, { "name": "WinSCP", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "msiexec", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "TOX: 7367B422CD7498D5F2AAF33F58F67A332F8520CF0279A5FBB4611E0121AE421AE1D49ACEABB2" }, { "channel": "other", "value": "SONAR: hxxp://sonarmsng5vzwqezlvtu2iiwwdn3dxkhotftikhowpfjuzg7p3ca5eid[.]onion/contact/Cactus_Support" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "cephalus", "createdAt": "2026-10-13T03:54:47+00:00", "updatedAt": "2026-10-13T10:54:34+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/cephalus", "title": "RansomLook: cephalus", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:54:47+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T10:54:34+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T10:54:34+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T10:54:34+00:00" }, { "id": "s5", "url": "https://www.huntress.com/blog/cephalus-ransomware", "title": "Cephalus Ransomware: Don’t Lose Your Head", "publisher": "Huntress", "kind": "vendor", "retrievedAt": "2026-10-13T10:54:34+00:00" }, { "id": "s6", "url": "https://www.attackiq.com/2026/02/05/emulating-cephalus-ransomware/", "title": "Emulating the Elusive Cephalus Ransomware", "publisher": "attackiq.com", "kind": "news", "retrievedAt": "2026-10-13T10:54:34+00:00" }, { "id": "s7", "url": "https://www.vcsolutions.com/blog/cephalus-ransomware-key-insights-and-risks-revealed/", "title": "Understanding Cephalus Ransomware: Key Insights and Risks", "publisher": "vcsolutions.com", "kind": "news", "retrievedAt": "2026-10-13T10:54:34+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:54:47+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "cephalus", "aliases": [], "externalIds": { "ransomlook": "cephalus" }, "type": "ransomware", "firstSeen": "2025-08-26", "status": { "value": "unknown", "since": "2025-08-26", "sourceId": "s1" }, "description": "【正体と来歴】\nCephalus は2025年中頃に登場したランサムウェアグループで、動機は金銭目的と評されている [s7]。名称はギリシャ神話で必中の槍を持つ人物に由来する [s7]。Huntress はさらに、語源がギリシャ語で「頭」を意味する語にあると説明した [s5]。ランサムウェア本体は Go 言語で開発され、初期の被害活動は2025年6月にさかのぼり、公の報告は8月に出始めた [s6]。2025年8月1日には、X（旧 Twitter）上でも身代金要求文が共有されていた [s5]。RansomLook は初出を2025-08-26 と記録している。\n\n【手口】\n初期侵入は、多要素認証（MFA）のない RDP への侵害済みアカウントでのログインである [s5]。公開されている RDP サービスに対し、窃取した認証情報を使う例が多い [s6]。データ窃取には MEGA クラウドストレージが使われたとみられ、MEGAcmdUpdater.exe がスケジュールタスクとして起動された例もある [s5]。\n\nランサムウェアの起動方法に特徴がある。ユーザーの Downloads フォルダから正規の SentinelOne 実行ファイル SentinelBrowserNativeHost.exe を起動し、SentinelAgentCore.dll をサイドロードさせ、さらに data.bin から本体コードを読み込ませる [s5]。起動時にコマンドライン引数は使われておらず、ネットワーク越しの展開や他端末の共有への展開は行われていないようである [s5]。\n\n実行後は vssadmin delete shadows /all /quiet でシャドウコピーを削除する [s5]。続いて PowerShell の Add-MpPreference で Windows Defender の除外を追加し、reg.exe でリアルタイム保護を無効化し、Defender 関連サービスを停止・無効化する。これらはすべて暗号化と身代金要求文の作成より前に実行される [s5]。AttackIQ は、バックアップやデータベース関連サービスも停止すると説明している [s6]。永続化にはスケジュールタスクを使い、VirtualAlloc と VirtualProtect による別プロセスへのコード注入も行う [s6]。\n\n暗号化は AES-256 の CTR モードでファイルを暗号化し、鍵を RSA-1024 で保護する方式である [s6]。実行時に偽の AES 鍵を生成して解析を妨げ、本物の鍵はメモリ上の特別な構造で管理する [s7]。暗号化したファイルには拡張子 .sss が付き、各ディレクトリに recover.txt が置かれる [s5][s7]。\n\n二重脅迫の圧力手段として、Huntress が確認した身代金要求文は被害組織のドメイン宛てに書かれ、冒頭が「We’re Cephalus」で始まる。窃取した機密データを持つと主張し、過去の被害を報じた記事2本へのリンクで信憑性と切迫感を演出した。さらに GoFile[.]io の共有リンクとパスワードを示し、窃取データの見本を確認するよう促した [s5]。\n\n【連絡手段とリークサイト】\nRansomLook は連絡手段として Tox を記録している。ハンドルは 91C24CC1586713CA606047297516AF534FE57EFA8C3EA2031B7DF8D116AC751B156869CB8838 である。同じく RansomLook が記録するリークサイト（dls）は hxxp://cephalus6oiypuwumqlwurvbmwsfglg424zjdmywfgqm4iehkqivsjyd[.]onion で、現在は停止中と記録されている。\n\n【標的と主な被害】\n影響を受けた業種として、医療、法務、金融、技術分野が挙がっている [s7]。Huntress が対応した2件のインシデントは2025年8月13日と8月16日に発生し、2件とも被害組織は正規の SentinelOne を運用していた。このうち1件は Microsoft Defender がファイルを検知して隔離したため、展開に失敗した [s5]。AttackIQ は、標的を選り好みしない機会主義的な攻撃者と評した [s6]。\n\n【動向】\n要求文からリンクされた記事は、InsecureWeb が7月9日、DarkWebInformer が8月12日の掲載とされる。Huntress は、これらから Cephalus が登場して間もないと推測した [s5]。vcsolutions は、大規模攻撃との関連は確認されていないと述べている [s7]。2025年12月には AhnLab が報告を公開し、AttackIQ は Huntress（2025年8月21日）と AhnLab の報告に自社分析を加えて、2026年2月に Cephalus の TTP を再現するエミュレーションを公開した [s6]。", "techniques": [ { "id": "T1105", "name": "Ingress Tool Transfer", "tactic": "Command and Control" }, { "id": "T1055", "name": "Process Injection", "tactic": "Defense Evasion" }, { "id": "T1053.005", "name": "Scheduled Task", "tactic": "Persistence" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1033", "name": "System Owner/User Discovery", "tactic": "Discovery" }, { "id": "T1057", "name": "Process Discovery", "tactic": "Discovery" }, { "id": "T1016", "name": "System Network Configuration Discovery", "tactic": "Discovery" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "Discovery" }, { "id": "T1562.001", "name": "Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1112", "name": "Modify Registry", "tactic": "Defense Evasion" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1574.002", "name": "DLL Side-Loading", "tactic": "Defense Evasion" } ], "tools": [ { "name": "Cephalus", "kind": "ransomware" }, { "name": "SentinelBrowserNativeHost.exe", "kind": "legit_tool" }, { "name": "SentinelAgentCore.dll", "kind": "malware" }, { "name": "data.bin", "kind": "malware" }, { "name": "MEGAcmd", "kind": "legit_tool" }, { "name": "vssadmin", "kind": "legit_tool" }, { "name": "PowerShell", "kind": "legit_tool" }, { "name": "reg.exe", "kind": "legit_tool" }, { "name": "GoFile.io", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "91C24CC1586713CA606047297516AF534FE57EFA8C3EA2031B7DF8D116AC751B156869CB8838" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "cicada3301", "createdAt": "2026-10-13T03:58:30+00:00", "updatedAt": "2026-10-13T11:12:18+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/cicada3301", "title": "RansomLook: cicada3301", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:58:30+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:12:18+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:12:18+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:12:18+00:00" }, { "id": "s5", "url": "https://www.group-ib.com/blog/cicada3301/", "title": "Encrypted Symphony: Infiltrating the Cicada3301 Ransomware-as-a-Service Group", "publisher": "Group-IB", "kind": "vendor", "retrievedAt": "2026-10-13T11:12:18+00:00" }, { "id": "s6", "url": "https://unit42.paloaltonetworks.com/repellent-scorpius-cicada3301-ransomware/", "title": "Threat Assessment: Repellent Scorpius, Distributors of Cicada3301 Ransomware", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T11:12:18+00:00" }, { "id": "s7", "url": "https://www.truesec.com/hub/blog/dissecting-the-cicada", "title": "Dissecting the Cicada", "publisher": "truesec.com", "kind": "news", "retrievedAt": "2026-10-13T11:12:18+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:58:30+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "cicada3301", "aliases": [ { "name": "Cicada 3301", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Repellent Scorpius", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "cicada3301" }, "type": "ransomware", "origin": { "country": "ロシア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2024-06-19", "status": { "value": "unknown", "since": "2024-06-19", "sourceId": "s1" }, "description": "【正体と来歴】\nCicada3301（別名 Repellent Scorpius）は、Rust 製のロッカーを提供するランサムウェア・アズ・ア・サービス（RaaS）である。Group-IB は 2024年6月に初めて観測されたと記した [s5]。Unit 42 は、同社のインシデント対応の時系列から活動開始を 2024年5月と推定し、Repellent Scorpius をこのランサムウェアの配布者とみなした [s6]。Truesec は、リークサイトへの最初の掲載を 2024年6月25日付とし、その 4 日後の 6月29日にアフィリエイト募集がフォーラム Ramp に投稿されたと記した [s7]。Group-IB によれば、募集投稿は 29-June 2024 に「Cicada3301」というユーザーが RAMP に立てたトピックである [s5]。RansomLook の記録上の初出は 2024-06-19 である。\n\n名称は、2012年から 2014年にかけて 4chan に現れた「3301」署名の暗号パズルに由来するように見える。Truesec は、このランサムウェアグループをそのパズルに結び付ける材料は無いと述べた [s6][s7]。\n\n運営の特徴として、アフィリエイトに Rust 製ロッカー、Tor 上の管理パネル、交渉支援、Windows・Linux・ESXi・NAS・PowerPC 向けのビルドを提供する [s5]。Group-IB が翻訳した募集文では、募集対象はペンテスターとアクセス広告者（アクセスブローカー）で、報酬は身代金総額の 20%、参加には「ミニインタビュー」が必要とされる [s5]。身代金が US$1.5-million を超える場合はウォレットを 2 つ使い、アフィリエイト用と運営用に分ける [s5]。パネルのアクセスをサポートの承認なしに第三者へ共有することは禁止されている [s5]。\n\nTruesec は、ALPHV（BlackCat）との類似点を挙げた。Rust 製であること、ChaCha20 を使うこと、VM 停止とスナップショット削除のコマンドがほぼ同一であること、ノート名が「RECOVER-<拡張子>-FILES.txt」から「RECOVER-<拡張子>-DATA.txt」に変わっただけであることなどである [s7]。ただし、ALPHV の改名なのか、同じ開発者が作ったのか、コードを流用しただけなのかは断定できないとし、さらなる調査が必要としている [s7]。Unit 42 は、過去の侵害で得たデータをこのグループが持つ兆候を観測した。Unit 42 は、以前に別ブランドで活動していたのか、他グループからデータを購入または継承したのかは分からないとしている [s6]。\n\n【手口】\nUnit 42 が対応した事案では、同一ホストで複数の RDP ログオンが記録された。Unit 42 は、侵入は盗まれた認証情報による可能性が高く、IAB から購入された可能性もあると評価した [s6]。主に関連した公開 IP アドレスは 103.42.240[.]37 で、ホスト名 WIN-RMM48SHAUPR の RDP サーバであった。パキスタンのホスティング事業者 0DAYHOST (SMC-PRIVATE) LIMITED に関連付けられ、割り当ては Serverius Holding B.V. が管理していた [s6]。Truesec が調べた事案では、盗まれたか総当たりで得た有効な認証情報で ScreenConnect にログインしていた [s7]。使われた IP アドレス 91.92.249[.]203 は、ScreenConnect を含む VPN 製品へのパスワード推測キャンペーンに関連する「Brutus」ボットネットと結び付けられていた [s7]。Truesec は、Brutus の背後の攻撃者が Cicada3301 と直接つながっている可能性と、2 つの攻撃者が偶然同じ IP を使った可能性の両論を示した [s7]。\n\nUnit 42 の事案では、攻撃者が 1.bat というバッチスクリプトで複数ホストに対してランサムウェアを実行した [s6]。横展開には正規ツールの PsExec が使われた。PsExec はランサムウェア本体に埋め込まれており、C:\\Users\\Public\\psexec0.exe として展開される [s6]。収集段階では C:\\ProgramData\\found_shares.txt が作成され、PowerView でも同じパスにファイル共有の列挙結果が保存されるとされる [s6]。データ窃取には Rclone が使われ、C:\\ProgramData\\rclone.exe と rclone.conf が置かれた [s6]。窃取通信に使われた IP アドレス 91.238.181[.]238 は、ホスティング事業者 VDS&VPN services に由来する。この IP は以前に Cobalt Strike の活動（ウォーターマーク 674054486）で指摘され、2023年に Bashful Scorpius（Nokoyawa）や Ambitious Scorpius（ALPHV/BlackCat）との関連も指摘された。2024年2月には ScreenConnect の脆弱性（CVE-2024-1708 と CVE-2024-1709）の悪用試行も観測された [s6]。\n\n暗号化は ChaCha20 と RSA を使い、Full、Fast（1 MB のブロック 15 個）、Auto のモードがある [s5]。Unit 42 の解析では、実行に key 引数が必須で、埋め込まれた暗号化ノートを鍵で復号し、文字列 ***is_ok*** の有無で検証する [s6]。続いて vssadmin.exe Delete Shadows /all /quiet や wmic.exe Shadowcopy Delete でシャドウコピーを削除し、bcdedit で回復機能を無効化し、wevtutil でイベントログを消去する [s6]。ESXi 版では esxcli による VM の強制終了と vim-cmd によるスナップショット全削除を行う [s7]。ファイルは新しい拡張子に変更され、解析された検体では kcr5umw であった [s6]。\n\n脅迫は二重脅迫で、データを窃取して公開すると脅す [s6]。ランサムノートには、会社データを %SIZE% GB 以上ダウンロードしたという記述がある [s6]。パネルにはデータ漏えい専用のランディングページ（暗号化なし）を設定する機能もある [s5]。アフィリエイトパネルのニュース欄では、2024年6月15日に独自のファイルサーバを導入して窃取データのアップロードを呼びかけ、6月18日にはコールセンターの準備完了を告げ、被害組織への電話に使う連絡先や身代金文面の提供を求めた [s5]。\n\n【連絡手段とリークサイト】\nGroup-IB のアナリストは、Tox を通じて「Cicada3301」と接触し、アフィリエイトパネルへのアクセスを得た [s5]。募集投稿は Tox ID をフォーラムの PM で送るよう求め、保証金の支払い先として xss[.]is のメンバーページを示していた [s5]。Tor 上のパネルにはチャット、サポート、サブアフィリエイト用アカウント、ビルダー、ランディング生成の機能がある [s5]。秘密鍵はサーバに保存しないと主張しているが、この主張は検証されていない [s5]。\n\nリークサイトの所在は、Group-IB が示した専用リークサイト（DLS）のオニオンドメインが hxxp://cicadabv7vicyvgz5khl7v2x5yygcgow7ryy6yppwmxii4eoobdaztqd[.]onion/ である [s5]。RansomLook は、このドメインを dls（停止中）として記録している。RansomLook はミラーとして次の 15 件も記録しており、すべて停止中である。cicadacnft7gcgnveb7wjm6pjpjcjcsugogmlrat7u7pcel3iwb7bhyd[.]onion、cicadaxousmk6nbntd3ucxefmfgt2drhtfdvh7gmdeh3ttvudam6f2ad[.]onion、cicadafhqpjwm2sblkfbuwn7sglbibuejr3m7fildpqpjv3hghlhb4id[.]onion、zf6bl4dczp5z7uaba2lhm5wrhrpflwvzsx2nhf7zyf63tpsfzc54tbad[.]onion、hgannromwuui7n2jvphpteposc3gioqkuo2ncb6fzopasgcq7ixcjeqd[.]onion、osd6tsgegts2xaqo3o2hrpqatwlslqfyc3msvyksad4iucauif3oqqad[.]onion、uds75egfqi7mfpxckf2un742qsj6rh3kfrydqaldwgkrqp2a37lk6fyd[.]onion、wuyfbttjjzsmr5ghl5hoi75ytse3bwrqgk63c6guv3lhw7hwtxbgveid[.]onion、bmfyfxl74qb6rsukgwymv7e22ua4uvhszsamqwx7jmj57qkamxwlhbid[.]onion、yaoehn32c2s5pwsuzhaa4lsu2a4seycpwyvn5gfz3bn4i74t2jo3frad[.]onion、5atqn4dwosjauijzj445mm7t6bqrcvzlzcylpmpnx243jxvlimyb6aid[.]onion、ruzislhpcuvfzw3t2xfqu7gog3gs5j2u65ysaq3ybqkzri3hjddaqgad[.]onion、leakshrlgof456tiw4ww5moiqlnrcork7q7r3cjgmsvex6zazpluhlad[.]onion、cicadapkh4vg2qh4qcoelszhftota5cdcgrwbjcesdyiwjwmsfzgobid[.]onion、sia5sekp5vokknfigbnef53mrb677lm2vy42wgnespkr5af4z4y4stad[.]onion。\n\n【標的と主な被害】\nGroup-IB は、発見から 3 か月以内に重要分野の 30 組織を標的にし、米国と英国に特に集中していたと記した [s5]。Unit 42 は、被害者数がまだ限られていて特定の業種や地域を狙うと断言するのは早いとした [s6]。ただし、アフィリエイトパネルの FAQ に「CIS 諸国の標的化は厳禁」との趣旨の記載があるとも述べた [s6]。募集投稿も CIS 諸国での活動を厳禁している [s5]。Truesec が調べた事案では、ESXi 向けの暗号化機能が使われた [s7]。\n\n【動向】\nUnit 42 は、リークサイトで 6月19日から約 1 か月活動が見られなかったが、その後に再開したと記した [s6]。同社は Cicada3301 の活動が増え、被害者数も増えると予測した [s6]。一方、Truesec は、BlackCat/ALPHV が 3月初旬に出口詐欺（exit scam）と見られる形で活動を止め、その 2 週間後の 3月18日に Brutus ボットネットの活動が始まった経緯に注目し、これらが関連している可能性を示した [s7]。BlackCat が停止時にソースコードを 5 million ドルで売ると述べていたことも指摘している [s7]。RansomLook は、全てのリークサイトとミラーを停止中と記録している。", "techniques": [], "tools": [ { "name": "Cicada3301 ransomware (Rust-based locker)", "kind": "ransomware" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "PowerView", "kind": "legit_tool" }, { "name": "ScreenConnect", "kind": "legit_tool" }, { "name": "Cobalt Strike", "kind": "malware" }, { "name": "Tox", "kind": "legit_tool" } ], "cves": [ "CVE-2024-1708", "CVE-2024-1709" ], "related": [], "anonymization": [ { "kind": "other", "name": "Tor", "note": "アフィリエイト管理パネルとリークサイトの公開に使用 [s5]", "sourceId": "s5" }, { "kind": "bulletproof_hosting", "name": "VDS&VPN services", "note": "窃取通信の IP 91.238.181[.]238 の提供元ホスティング事業者 [s6]", "sourceId": "s6" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "cipherforce", "createdAt": "2026-10-13T04:00:44+00:00", "updatedAt": "2026-10-13T10:56:16+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/cipherforce", "title": "RansomLook: cipherforce", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:00:44+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T10:56:16+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T10:56:16+00:00" }, { "id": "s4", "url": "https://unit42.paloaltonetworks.com/teampcp-supply-chain-attacks/", "title": "Weaponizing the Protectors: TeamPCP’s Multi-Stage Supply Chain Attack on Security Infrastructure", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T10:56:16+00:00" }, { "id": "s5", "url": "https://www.halcyon.ai/ransomware-alerts/trivy-supply-chain-compromise-enters-extortion-phase-as-vect-ransomware-publishes-first-victim", "title": "Trivy Supply Chain Compromise Enters Extortion Phase as Vect Ransomware Publishes First Victim", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T10:56:16+00:00" }, { "id": "s6", "url": "https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Threat-Intelligence/Aktive-Crime-Gruppen/aktive-crime-gruppen_node.html", "title": "Active crime groups in Germany", "publisher": "bsi.bund.de", "kind": "news", "retrievedAt": "2026-10-13T10:56:16+00:00" }, { "id": "s7", "url": "https://redpiranha.net/news/threat-intelligence-report-february-24-march-2-2026", "title": "Threat Intelligence Report February 24 to March 2, 2026", "publisher": "redpiranha.net", "kind": "news", "retrievedAt": "2026-10-13T10:56:16+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:00:44+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "cipherforce", "aliases": [ { "name": "TeamPCP", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "PCPcat", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "ShellForce", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "DeadCatx3", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Persy_PCP", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "cipherforce" }, "type": "ransomware", "firstSeen": "2026-02-23", "status": { "value": "active", "since": "2026-02-23", "sourceId": "s1" }, "description": "【正体と来歴】\nCipherForce は、TeamPCP（別名 PCPcat、ShellForce、DeadCatx3）と結び付く二重脅迫型のランサムウェア系グループである。Palo Alto Networks Unit 42 は、TeamPCP が少なくとも 2025年9月に遡る活動を行い、2025年12月に React2Shell キャンペーンで注目を集めたと記した [s4]。Halcyon は、TeamPCP が 2025年12月下旬に、設定不備のある Docker API や Kubernetes クラスタを悪用する集団として現れたとし、DeadCatx3、PCPcat、Persy_PCP、ShellForce、CipherForce といったフォーラム上のペルソナを使い分けていると述べた [s5]。Unit 42 によれば、同グループは当初ランサムウェアに注力し、暗号資産のマイニングや窃取にもルーツを持つ [s4]。Red Piranha は、CipherForce を 2026年2月23日ごろから被害者の公開を始めた新顔の二重脅迫グループで、クラウドネイティブな犯罪集団 TeamPCP が運営していると記した。アフィリエイトを募集中で、TeamPCP や Shellforce としての過去の活動と自ら結び付けていたという [s7]。RansomLook の記録でも初出は 2026-02-23 である。\n\n【手口】\nUnit 42 は、2025年12月の React2Shell キャンペーンで CVE-2025-55182 を悪用したリモートコード実行が使われ、ほぼ全ての攻撃でポート 666 が使われた点を特徴的な検知痕跡として挙げた [s4]。2026年3月中旬以降は、スマッシュ・アンド・グラブ型のサプライチェーン侵害へ軸足を移したと Unit 42 は分析している [s4]。\n\nHalcyon によれば、Trivy への初期侵入は 2026年2月27日に、設定不備のある pull_request_target ワークフローを突いて Aqua Security の aqua-bot サービスアカウントの PAT を盗む形で行われた。Aqua が認証情報のローテーションを試みたが不完全で、攻撃者に再侵入の余地が残った [s5]。Unit 42 も、2月下旬の軽微な侵害後の不完全な認証情報ローテーションを突いたと記している [s4]。2026年3月19日には aquasecurity/trivy-action の 77 タグ中 76 と、setup-trivy の全タグに悪意あるコードが強制プッシュされ、この件は CVE-2026-33634 として扱われた [s4][s5]。Halcyon は、Trivy v0.69.4 のバイナリが GitHub Releases、Docker Hub、GHCR、ECR Public、deb/rpm リポジトリにも公開されたと述べた [s5]。\n\n主要ペイロードは「TeamPCP Cloud Stealer」で、kamikaze.sh スクリプトを通じて動作した。v1 は IMDS 経由で AWS/GCP/Azure の認証情報を収集し、/proc//mem から runner[.]worker のメモリを直接読んで GitHub のシークレットマスキングを回避した。v2 は 15 行のローダーで第2段階の kube.py を取得し、v3 は自己複製する CanisterWorm へ発展して、公開 Docker API（ポート 2375）とローカルサブネットのスキャン、SSH 鍵の収集を行った [s4]。CanisterWorm は分散型 C2 とワイパー機能を備える [s4]。Halcyon は、収集データが AES-256 と RSA-4096 で暗号化されて送信されたと述べている [s5]。\n\n窃取した認証情報は連鎖的な侵害に使われた。Trivy で得た npm トークンで @emilgroup、@opengov、@v7 の名前空間の 47 パッケージが 60 秒未満で感染した [s4]。3月21日には盗んだ GitHub PAT で Checkmarx KICS の 35 タグすべてが書き換えられ、3月23日には LiteLLM の PyPI バージョン 1.82.7 と 1.82.8 が汚染された。1.82.8 は litellm_init.pth により Python プロセスの起動ごとに実行される [s4][s5]。3月27日には Telnyx の Python SDK が、3 段階の RAT を含む版に置き換えられた [s5]。\n\n暗号化と二重脅迫については、CipherForce のリークサイトに「支払いを拒否した企業がここに公開される。カウントダウンはデータ公開までの時間」という趣旨の文言が掲げられていた [s4]。Unit 42 は、攻撃者が侵害した組織に身代金を要求できる立場にあるとも指摘している [s4]。\n\n使用インフラとして、Unit 42 は C2 に使われた偽装ドメイン scan[.]aquasecurtiy[.]org を挙げ、これが失敗した場合のバックアップとして tdtqy-oyaaa-aaaae-af2dq-cai[.]raw[.]icp0[.]io を使ったと記した [s4]。KICS の波では checkmarx[.]zone が使われ、代替経路として被害組織の GITHUB_TOKEN で組織内に docs-tpcp という非公開リポジトリを作成した [s4]。Halcyon は、Trivy の波のフォールバックとして tpcp-docs という名のリポジトリが作られたと記しており、リポジトリ名は両社で異なる [s4][s5]。Halcyon はさらに 45[.]148[.]10[.]212 と 83[.]142[.]209[.]203 を遮断対象のインジケータとして挙げた [s5]。Unit 42 の Cortex Xpanse は、3 つの波に対応する 3 つの固有の自己署名証明書を 3月27日時点で確認した [s4]。\n\n【連絡手段とリークサイト】\nRansomLook の記録によれば、連絡手段は Telegram と Session である。Telegram のハンドルは hxxps://t[.]me/fbi_open_door_911_Bot、hxxps://t[.]me/+fQrXQuy77Ng2YzBh、hxxps://t[.]me/Persy_PCP、hxxps://t[.]me/team_pcp で、Session ID は 05a04c7c548c39e903c5913973dd55b6f3d9c1a10d346ca9d49d10b9428095823e である。\n\nリークサイト（DLS）は o3ydbkayttkyg4iw2nc732jxmmex25bjeyqyvuuyngnxmpehdefjr3qd[.]onion、ミラーは 22evxpggnkyrxpluewqsrv5j4jtde6hut2peq3w44d6ase676qlkoead[.]onion で、RansomLook の記録ではどちらも停止中である。Red Piranha は、DLS が断続的にオフラインで稼働率が 30 日間で約 14% と不安定だと記した [s7]。Halcyon は、TeamPCP 関連の監視先として hxxps://teampcp[.]cyberdigest[.]international/ も挙げている [s5]。Unit 42 は、TeamPCP が Telegram チャンネルとダークウェブのリークサイトへの投稿を増やしていると述べた [s4]。\n\n【標的と主な被害】\n標的は特定の業種や地域ではなく、開発・CI/CD 基盤そのものである。Unit 42 は、Trivy と KICS が何百万もの企業の CI/CD パイプラインに組み込まれ、LiteLLM は月間ダウンロード数が 9,500 万を超えるとされる点を挙げた [s4]。同社は、vx-underground などが 50万台から 300GB 超のデータと認証情報を窃取したと見ていると記し、TeamPCP が盗んだトークンで追加の 48 パッケージに感染させ、少なくとも 16 組織をリークサイトで公表したと述べた [s4]。Halcyon は 1,000 を超える企業の SaaS 環境が影響を受けたと見られると記している [s5]。出典に日本の組織名や被害時期の記述はない。\n\n【動向】\nUnit 42 によれば、TeamPCP は最近の発表で CipherForce と手を組んで侵害情報を公開するとし、BreachForums でもランサムウェアグループ Vect との提携が告知された [s4]。Halcyon は、Vect が 2026年3月下旬に TeamPCP との同盟を表明し、Trivy と LiteLLM の侵害を受けた全組織へのランサムウェア攻撃を宣言したと述べた。BreachForums の全メンバーに個別のアフィリエイトキーを提供するとも告知されたという [s5]。2026年4月15日には、Vect が不動産管理系テクノロジー企業を最初の被害者として掲載し、約 400 万通のメールと 700GB のデータを窃取したと主張した [s5]。Red Piranha の 2026年2月24日〜3月2日の週次集計では、CipherForce は報告件数の 3.45% を占め、Vect は 9.77% だった [s7]。CipherForce のリークサイトは、3月下旬時点で総被害者 16、カウントダウン進行中 1、公開済み 11 と表示していた [s4]。RansomLook の記録ではリークサイトのミラーとも停止中である。", "techniques": [], "tools": [ { "name": "TeamPCP Cloud Stealer", "kind": "malware" }, { "name": "kamikaze.sh", "kind": "malware" }, { "name": "kube.py", "kind": "malware" }, { "name": "CanisterWorm", "kind": "malware" } ], "cves": [ "CVE-2025-55182", "CVE-2026-33634" ], "related": [], "contactChannels": [ "telegram", "session" ], "contactHandles": [ { "channel": "telegram", "value": "hhttps://t[.]me/fbi_open_door_911_Bot\r\nhxxps://t[.]me/+fQrXQuy77Ng2YzBh\r\nhxxps://t[.]me/Persy_PCP\r\nhxxps://t[.]me/team_pcp" }, { "channel": "session", "value": "05a04c7c548c39e903c5913973dd55b6f3d9c1a10d346ca9d49d10b9428095823e" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "clop", "createdAt": "2026-10-13T03:58:06+00:00", "updatedAt": "2026-10-13T10:56:52+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/clop", "title": "RansomLook: clop", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:58:06+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-158a", "title": "#StopRansomware: CL0P Ransomware Gang Exploits CVE-2023-34362 MOVEit Vulnerability | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T10:56:52+00:00" }, { "id": "s3", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T10:56:52+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/jp-security/23/g/securitytrend-20230727-03.html", "title": "米政府機関に影響を及ぼしたランサムウェア「Clop」の概要と対策 | トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T10:56:52+00:00" }, { "id": "s5", "url": "https://www.sophos.com/ja-jp/blog/clop-at-the-top", "title": "ランサムウェアグループ「Clop」の勢いはいつまで続くのか", "publisher": "Sophos", "kind": "vendor", "retrievedAt": "2026-10-13T10:56:52+00:00" }, { "id": "s6", "url": "https://unit42.paloaltonetworks.com/clop-ransomware/", "title": "Threat Assessment: Clop Ransomware", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T10:56:52+00:00" }, { "id": "s7", "url": "https://flashpoint.io/blog/cl0p-and-revil-escalate-their-ransomware-tactics/", "title": "CL0P and REvil Escalate Their Ransomware Tactics", "publisher": "Flashpoint", "kind": "vendor", "retrievedAt": "2026-10-13T10:56:52+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:58:06+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "clop", "aliases": [ { "name": "Cl0p", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "CL0P", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "TA505", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "FIN11", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "DEV-0950", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "clop" }, "type": "ransomware", "origin": { "country": "ロシア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2021-09-09", "status": { "value": "active", "since": "2021-09-09", "sourceId": "s1" }, "description": "【正体と来歴】\nClop（Cl0p）は、2022 年以前にはロシアおよびウクライナ、現在はロシア語圏全域で活動する金銭目的の組織で、TA505 や FIN11 とも関係するとされる [s5]。「Clop」（Клоп）はロシア語で「南京虫」を意味する [s5]。同名のランサムウェアは CryptoMix ファミリの亜種で、ロシア連邦で開発されたと考えられている [s5]。MITRE はこれを S0611 と呼ぶ [s5]。CISA と FBI の共同勧告は、2019 年 2 月に CryptoMix から派生して登場した CL0P が RaaS として使われ、署名付きバイナリを使う大規模なスピアフィッシングで拡散したと説明する [s2]。Sophos は 2019 年に初めて観測されたとする [s5]。Unit 42 は、初観測の 2019 年 2 月時点ではリークサイトがなく、2020 年 3 月に「Cl0p^_- Leaks」を開設したと説明する [s6]。RansomLook の記録上の初出は 2021-09-09 である。TA505 は RaaS の運営だけでなく他の RaaS のアフィリエイト、初期アクセスブローカー（IAB）、他の IAB の顧客、金融詐欺とフィッシングに特化した大規模ボットネット運営者としても動いてきた [s2]。FBI と CISA は Clop と TA505 を同一とみなす一方、3 者は手法が重複するだけ、あるいは FIN11 は TA505 の一部という指摘もある [s5]。\n\n【手口】\n初期侵入は、フィッシングメール、エクスプロイトキット、ソフトウェアやシステムの脆弱性の悪用が通常の経路である [s5]。2019 年のキャンペーンでは、マクロ付き文書から Get2 ローダーが SDBot、FlawedAmmyy、FlawedGrace を取得し、Clop が最終ペイロードとして投下された [s2][s6]。侵入後は偵察、ラテラルムーブメント、データ窃取を経てランサムウェアを展開する [s6]。常駐には Cobalt Strike Beacon が使われ、Sophos の事例では SMB 接続の後に対話型 RDP セッションへ移行した [s5]。TA505 は Truebot で FlawedGrace や Cobalt Strike ビーコンを取得させた [s2]。窃取には megasync、rclone、Filezilla、Windows Secure Copy などの第三者ツールを使う [s5]。\n\n2020 年から 2021 年にかけては、Accellion FTA にゼロデイで PHP の Web シェル DEWMODE を設置した [s2]。関連する CVE は CVE-2021-27101、CVE-2021-27102、CVE-2021-27103、CVE-2021-27104 である [s6]。2023 年 1 月下旬には GoAnywhere MFT のゼロデイ CVE-2023-0669 を悪用し、約 130 の被害組織から 10 日間でデータを窃取したと主張した [s2]。GoAnywhere 経由のラテラルムーブメントは確認されていない [s2]。2023 年 4 月には PaperCut サーバーを悪用し、GoAnywhere と同じ Truebot をインストールするのを Sophos が観測した [s5]。2023 年 5 月 27 日からは MOVEit Transfer の SQL インジェクション（CVE-2023-34362）を悪用し、C# 製の Web シェル LEMURLOOT を設置した [s2]。LEMURLOOT は当初 human2.aspx という名前で正規の human.aspx に偽装し、36 文字のランダムなパスワードと X-siLock-Comment ヘッダーで認証し、「Health Check Service」という管理者アカウントを作成・削除できる [s2]。CISA は 2023 年 6 月 2 日にこの脆弱性を KEV カタログへ追加した [s2]。\n\nランサムウェア本体は暗号化したファイルの拡張子を .clop、.CIIp、.Cllp、.C_L_O_P などに変え、ClopReadMe.txt、README_README.txt、Cl0pReadMe.txt、READ_ME_!!!.TXT を残す [s6]。バックアップやセキュリティ製品に関わるプロセスとサービスを停止し、仮想環境では実行されず、コード署名で検知を回避する [s6]。Sophos は README.TXT のランサムノートと、スケジュールタスクによる dwm.exe と sysinfo.exe の展開を報告している [s5]。2021 年以降の Clop は暗号化よりデータ窃取を重視し [s2]、Trend Micro は MOVEit の攻撃でデータ暗号化が確認されず、暴露による脅迫のみだったとされる点を特徴に挙げる [s4]。脅迫は二重脅迫が基本で、支払わない被害者のデータは Tor 上の「CL0P^_- LEAKS」で公開される [s2][s5]。圧力手段として、経営幹部の端末を狙い、従業員を doxxing し、報道機関に侵害を知らせる [s6]。侵入先サイトの顧客やパートナーに連絡して、身代金を支払うよう迫らせる手法もいち早く使った [s5]。Accellion の被害者には、被害者ごとの固有 URL を載せたメールで交渉を促し、無視すると Cl0p^_-Leaks での公開を予告した [s6]。GoAnywhere 後は経営幹部宛てに身代金要求メールを送り、ノートは「1 日 30〜50 千人のユニーク訪問者がある」ブログへの公開と闇市場での売却を警告し、連絡先として unlock@rsv-box[.]com と unlock@support-mult[.]com を挙げていた [s2]。2023 年 1 月の別のノートは、連絡期限を 2 週間とし、連絡が早いほど最終価格が下がると告げた [s5]。\n\n【連絡手段とリークサイト】\nRansomLook は連絡手段を email とし、SUPPORT@IN2PAY[.]COM、UNLOCK@GOTO-PAY[.]COM、support@he1p-center[.]com、unlock@cl-leaks[.]com、unlock@he1p-me[.]com、support@pubstorm[.]net、support@pubstorm[.]com、support@cryptohox[.]com、support@cypherhex[.]com を記録している。リークサイト（dls）は hxxp://ekbgzchl6x2ias37[.]onion で、いずれも停止中と記録されている。ミラーは次の 11 件で、いずれも停止中である。hxxp://santat7kpllt6iyvqbr7q4amdv6dzrh6paatvyrzl7ry3zm72zigf4ad[.]onion、hxxp://3ws3t4uo7fehnn4qpmadk3zjrxta5xlt3gsc5mx4sztrsy7ficuz5ayd[.]onion、hxxp://amnwxasjtjc6e42siac6t45mhbkgtycrx5krv7sf5festvqxmnchuayd[.]onion、hxxp://qahjimrublt35jlv4teesicrw6zhpwhkb6nhtonwxuqafmjhr7hax2id[.]onion、hxxp://npkoxkuygikbkpuf5yxte66um727wmdo2jtpg2djhb2e224i4r25v7ad[.]onion、hxxp://6v4q5w7di74grj2vtmikzgx2tnq5eagyg2cubpcnqrvvee2ijpmprzqd[.]onion、hxxp://l4rdimrqyonulqjttebry4t6wuzgjv5m62rnpjho3q22a6maf6d5evyd[.]onion、hxxp://frgp3f3u2ddafv4ny7tqn6tc674m6fyymyywoaxot7xskbjmiyhhsyqd[.]onion、hxxp://htmxyptur5wfjrd7uvg23snupub2pbtlfelk45n37b3augl2w4eearid[.]onion、hxxp://2vi357dgf4246nvrcsavrt5jsrm7pfqim4t2n3ykzedjim5bzqezmlyd[.]onion、hxxp://clopofffr7tth6hsvxx3cys4qkshrbbiitnxfwts6hj64mtnaovjieyd[.]onion。\n\n【標的と主な被害】\nClop は米国、カナダ、南米、アジア太平洋、ヨーロッパの組織を主な標的とし、年間売上高 500 万ドル以上の大企業を優先して狙う [s5]。Unit 42 は、卸売・小売、運輸・物流、教育、製造、エンジニアリング、自動車、エネルギー、金融、航空宇宙、通信、専門・法務サービス、医療、ハイテクの各業種への影響を報告した [s6]。2020 年 10 月には Software AG に対し、サイバーセキュリティ史上初めて 2,000 万ドルを超える身代金を要求したことで知られる [s5]。2021 年 3 月 8 日には、Accellion の脆弱性を介して侵害された Flagstar Bank のデータを、暗号化を伴わずにブログへ掲載した。Flagstar は同日、Accellion 利用に起因するデータ流出を公表した [s7]。Flashpoint は、窃取データを別の恐喝に転用するこの手法を他グループも採用するとみた [s7]。MOVEit の被害者として、銀行・金融サービス、教育、医療の大手企業の名が挙がった [s5]。Sophos は 2023 年 7 月 3 日時点で身代金を支払った被害者を確認していない [s5]。Trend Micro によれば、2023 年 1〜5 月に標的となった組織の約半数は北米／米国拠点で、米政府機関への攻撃が確認された 2023 年 5 月に検出数が激増した [s4]。日本国内の検出数はまだ限定的だが、海外で流行した攻撃が日本でも増える可能性があり警戒が必要とされる [s4]。出典に日本の被害組織名や時期の記述はない。\n\n【動向】\n2023 年上半期の Clop は、2 月の GoAnywhere、4 月の PaperCut に続いて、MOVEit で 3 件目の大規模事案を起こした [s5]。MOVEit の脆弱性は少なくとも 2021 年 7 月にテストされていたとする報告もある [s5]。CISA は 2023 年 6 月 15 日にセキュリティアラートを発令し、翌 16 日に米国政府機関が Clop の情報へ最大 1,000 万ドルの報奨金を設定した [s4]。同じ 6 月中旬、Clop は MOVEit 攻撃の被害団体に向けて、政府・市・警察のサービスのデータはすべて消去したので連絡不要で公開もしないと声明を出した [s5]。法執行機関は積極的に動き、メンバーの複数が逮捕・起訴されて活動が一時停止したこともあるが、勢いはほとんど変わらないと Sophos はみる [s5]。ハクティビズムに関連する事例では DDoS を併用したものもあるが、その動機は不明とされる [s5]。Clop は他グループと協力する傾向があり、DarkSide や FIN7 との共同攻撃が挙げられ、ランサムウェア自体が RaaS サイトで販売されることもある [s5]。", "techniques": [ { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1566.001", "name": "Spearphishing Attachment", "tactic": "Initial Access" }, { "id": "T1071", "name": "Application Layer Protocol", "tactic": "Command and Control" }, { "id": "T1105", "name": "Ingress Tool Transfer", "tactic": "Command and Control" }, { "id": "T1059.001", "name": "Command and Scripting Interpreter: PowerShell", "tactic": "Execution" }, { "id": "T1059.003", "name": "Windows Command Shell", "tactic": "Execution" }, { "id": "T1546.011", "name": "Event Triggered Execution: Application Shimming", "tactic": "Persistence" }, { "id": "T1505.003", "name": "Server Software Component: Web Shell", "tactic": "Persistence" }, { "id": "T1113", "name": "Screen Capture", "tactic": "Collection" }, { "id": "T1055", "name": "Process Injection", "tactic": "Defense Evasion" }, { "id": "T1574.002", "name": "Hijack Execution Flow: DLL Side-Loading", "tactic": "Persistence" }, { "id": "T1129", "name": "Shared Modules", "tactic": "Execution" }, { "id": "T1070", "name": "Indicator Removal", "tactic": "Defense Evasion" }, { "id": "T1018", "name": "Remote System Discovery", "tactic": "Discovery" }, { "id": "T1567", "name": "Exfiltration Over Web Service", "tactic": "Exfiltration" }, { "id": "T1219", "name": "Remote Access Software", "tactic": "Command and Control" }, { "id": "T1553.002", "name": "Subvert Trust Controls: Code Signing", "tactic": "Defense Evasion" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "Discovery" }, { "id": "T1057", "name": "Process Discovery", "tactic": "Discovery" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" }, { "id": "T1489", "name": "Service Stop", "tactic": "Impact" } ], "tools": [ { "name": "Clop", "kind": "ransomware" }, { "name": "CryptoMix", "kind": "ransomware" }, { "name": "FlawedAmmyy", "kind": "malware" }, { "name": "FlawedGrace", "kind": "malware" }, { "name": "SDBot", "kind": "malware" }, { "name": "Get2", "kind": "malware" }, { "name": "Truebot", "kind": "malware" }, { "name": "Cobalt Strike", "kind": "malware" }, { "name": "DEWMODE", "kind": "malware" }, { "name": "LEMURLOOT", "kind": "malware" }, { "name": "megasync", "kind": "legit_tool" }, { "name": "rclone", "kind": "legit_tool" }, { "name": "Filezilla", "kind": "legit_tool" }, { "name": "Windows Secure Copy", "kind": "legit_tool" } ], "cves": [ "CVE-2023-34362", "CVE-2023-0669", "CVE-2021-27101", "CVE-2021-27102", "CVE-2021-27103", "CVE-2021-27104", "CVE-2021-44228" ], "related": [], "contactChannels": [ "email" ], "anonymization": [ { "kind": "tor", "name": "Tor", "note": "リークサイト「CL0P^_- LEAKS」を Tor の隠しサービスで公開", "sourceId": "s5" } ], "contactHandles": [ { "channel": "email", "value": "SUPPORT@IN2PAY[.]COM\r\nUNLOCK@GOTO-PAY[.]COM\r\nsupport@he1p-center[.]com\r\nunlock@cl-leaks[.]com\r\nunlock@he1p-me[.]com\r\nsupport@pubstorm[.]net\r\nsupport@pubstorm[.]com\r\nsupport@cryptohox[.]com\r\nsupport@cypherhex[.]com" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 7, "incidents": 0 }, { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "coinbase-cartel", "createdAt": "2026-10-13T03:55:46+00:00", "updatedAt": "2026-10-13T11:13:16+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/coinbase%20cartel", "title": "RansomLook: coinbase cartel", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:55:46+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:13:16+00:00" }, { "id": "s3", "url": "https://xtech.nikkei.com/atcl/nxt/mag/nnw/18/041600214/061700017/?P=2", "title": "世界の被害件数は減少傾向もまだ高水準　「Coinbase Cartel」の攻撃が活発に", "publisher": "日経クロステック", "kind": "news", "retrievedAt": "2026-10-13T11:13:16+00:00" }, { "id": "s4", "url": "https://www.halcyon.ai/threat-group/coinbasecartel", "title": "CoinbaseCartel", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:13:16+00:00" }, { "id": "s5", "url": "https://www.halcyon.ai/jp/threat-group/coinbasecartel", "title": "CoinbaseCartel", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:13:16+00:00" }, { "id": "s6", "url": "https://www.bitdefender.com/en-us/blog/businessinsights/coinbase-cartel-ransomware-group-extortion-tactics", "title": "No Encryptors, No Problem: The Coinbase Cartel Ransomware Group", "publisher": "bitdefender.com", "kind": "news", "retrievedAt": "2026-10-13T11:13:16+00:00" }, { "id": "s7", "url": "https://www.infostealers.com/article/inside-the-coinbase-cartel-how-infostealer-credentials-fueled-a-100-company-ransomware-spree/", "title": "Inside the Coinbase Cartel: How Infostealer Credentials Fueled a 100+ Company Ransomware Spree", "publisher": "infostealers.com", "kind": "news", "retrievedAt": "2026-10-13T11:13:16+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:55:46+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "Coinbase Cartel", "aliases": [ { "name": "CoinbaseCartel", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "shinysp1d3r", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mispUuid": "bebcafbd-49ec-442f-9184-260c8c327f89", "ransomlook": "coinbase cartel" }, "type": "cybercrime", "firstSeen": "2025-09-15", "status": { "value": "dormant", "since": "2025-09-15", "sourceId": "s1" }, "description": "【正体と来歴】\nCoinbase Cartel（別名 CoinbaseCartel、shinysp1d3r）は、2025年9月15日に新設の Tor 上リークサイトへ10件近い掲載を同時に投稿して活動を始めた、データ窃取型の恐喝グループである [s4][s1]。shinysp1d3r は開発中の VMware ESXi 向け暗号化ツールの名称で、実際の攻撃では観測されていない [s4]。正規の Coinbase とは無関係である [s4]。Halcyon は、ShinyHunters、Scattered Spider、Lapsus$ から成る SLSH の分派と評価した。根拠は共有ドメイン affiliateshinysp1d3r[.]com と TTP の重複である [s4]。Bitdefender は、2025年10月に複数社が ShinyHunters 派生説を示したものの、連絡先やインフラ以上の関係は検証されていないとした [s6]。RaaS ではなく [s6]、追跡サービスの RaaS タグは未公開ツールに紐づく [s4]。\n\n【手口】\n主な侵入口は、RedLine、Lumma、Vidar などのインフォスティーラーのログから得たログイン情報で、クラウド、FTP、ファイル転送サービスに入る（T1078）[s4][s7]。Hudson Rock は被害164件の80%に過去の感染があったとした [s7]。ほかに内部関係者や委託先の勧誘がある [s4]。侵入後はログを改ざんし（T1070）、Salesforce Data Loader を模した Python スクリプトで持ち出す（T1567。ShinyHunters 関連に基づく推定）[s4]。OAuth トークンの窃取（T1528）で長期アクセスを保つ [s4]。暗号化はせず、単一の恐喝である [s4]。被害組織には48時間以内の応答と10日間の猶予が与えられ、支払いは BTC である [s4][s6]。リークサイトには AUCTIONS ページがあり、2025年10月にはゼロデイ購入予算として200万ドル超を提示した [s4][s6]。\n\n【連絡手段とリークサイト】\nRansomLook の記録では、連絡手段は Tox、Session、メールである。Tox: 58041B45371485934F798C77F2F9705DA735F28AC9EBA2A19B4C9DBAF462802B88E33CEF482A、Session: 056999a0f3681d5deddb6243e9387c9b9a310f1bacc2a4faa1b9085a867887fb22、メール: coinbasecartel@atomicmail[.]io、SimpleX: hxxps://smp18[.]simplex[.]im/a#gT8HD-rIsXs92qKGxvMC9Luup_jenLr83pkpfLVHF4E [s1]。Halcyon は別の Tox ID 1225DDE01980D7C7890A90E359EF4406D74DF7DB94F6C5F3B8378BB78444473022675C49FACB を挙げる [s4]。リークサイトとミラーはいずれも停止中で、fjg4zi4opkxkvdz7mvwp7h6goe4tcby3hhkrz43pht4j3vakhy75znyd[.]onion（DLS）、ミラーは vkhztfqsjbh2in6425uvomeutn3oc4eos4264oexk57zdmntt2hoidid[.]onion、c7izex5h5shupbutwzsj73yputkqudfm7pvurawov7ciig6nkwssclad[.]onion、c5oxtg26apmuh3omkhuto22jy37rsgfifbvblvog7ur6d2rbhx7emxqd[.]onion、pa4wtlap543g2gx34nphm5lcsrwwl3wwj6nb7omwqlrj3pruf4zuufyd[.]onion、rfqsuxf2c3epm7tcxtqrsfaol3kpqe2omxfdls4lbg54ntsaazidgqid[.]onion、won2bghjatxaavvf7eoepuwj74pej764mys575xan2h2uoctxnuojyyd[.]onion、5uvjhrqzsyyg4cku6uofsu7swmkqwit3na6plsaath4g3mgikievdead[.]onion、otlnqz4lzee2xpnyy7vx6mwj6nonwgdloxeykwxulvgjwc5wzfacrzid[.]onion、uzzgphpytgr7zpb6sudyf7ryds5g3cibrhwabwpf3sd7yjkv45b7uuad[.]onion、chk4gwd4yku5jmhrqvqv4t52dwhccmi5e4ssomqreirl5wbosqdnb3qd[.]onion、iu6t4jcin7iexrdcgyspal6rsafyu4mw4tkdvugx4nmioxs7mbifdzad[.]onion [s1]。\n\n【標的と主な被害】\n主張された標的は米国が全体の3分の1から半数を占め、アラブ首長国連邦、ドイツ、フランス、ブラジルが続く [s4]。業種はテクノロジーが最多で、ビジネスサービス、製造などが続く [s4]。2025年は医療、テクノロジー、運輸で被害の50%超を占め、医療はUAEの組織が中心だった [s6]。2026年3月にはバイオテクノロジーとゲノミクス企業がまとめて掲載された [s4]。掲載件数は集計元により160件超と25件程度に分かれ、少なくとも2件は組織の否定で取り下げられた [s4]。\n\n【動向】\n2025年9月と12月には Bitdefender の上位10グループに入り、年末までに60件超を掲載した [s6][s4]。Halcyon によれば、新規掲載は2026年4月まで続いた後に鈍り、活動は前四半期比で54%減少し、休眠に向かっている [s4][s5]。一方、日経NETWORK 2026年7月号は「攻撃が活発に」と題して取り上げた [s3]。", "techniques": [ { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1070", "name": "Indicator Removal", "tactic": "Defense Evasion" }, { "id": "T1567", "name": "Exfiltration Over Web Service", "tactic": "Exfiltration" }, { "id": "T1528", "name": "Steal Application Access Token", "tactic": "Credential Access" } ], "tools": [ { "name": "RedLine", "kind": "malware" }, { "name": "Lumma", "kind": "malware" }, { "name": "Vidar", "kind": "malware" }, { "name": "Salesforce Data Loader を模した Python スクリプト", "kind": "malware" }, { "name": "shinysp1d3r（ESXi 向け暗号化ツール、開発中）", "kind": "ransomware" } ], "cves": [], "related": [], "contactChannels": [ "tox", "session", "email" ], "contactHandles": [ { "channel": "tox", "value": "58041B45371485934F798C77F2F9705DA735F28AC9EBA2A19B4C9DBAF462802B88E33CEF482A" }, { "channel": "session", "value": "056999a0f3681d5deddb6243e9387c9b9a310f1bacc2a4faa1b9085a867887fb22" }, { "channel": "email", "value": "coinbasecartel@atomicmail[.]io" }, { "channel": "other", "value": "SimpleX: hxxps://smp18.simplex[.]im/a#gT8HD-rIsXs92qKGxvMC9Luup_jenLr83pkpfLVHF4E" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 2, "incidents": 0 }, { "year": 2026, "claims": 4, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "crypto24", "createdAt": "2026-10-13T04:00:07+00:00", "updatedAt": "2026-10-13T11:03:14+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/crypto24", "title": "RansomLook: crypto24", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:00:07+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:03:14+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:03:14+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/en_us/research/25/h/crypto24-ransomware-stealth-attacks.html", "title": "Crypto24 Ransomware Group Blends Legitimate Tools with Custom Malware for Stealth Attacks", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:03:14+00:00" }, { "id": "s5", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:03:14+00:00" }, { "id": "s6", "url": "https://www.halcyon.ai/threat-group/crypto24", "title": "Crypto24", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:03:14+00:00" }, { "id": "s7", "url": "https://www.picussecurity.com/resource/blog/crypto24-ransomware-uncovered-stealth-persistence-and-enterprise-scale-impact", "title": "Crypto24 Ransomware Uncovered: Stealth, Persistence, and Enterprise-Scale Impact", "publisher": "picussecurity.com", "kind": "news", "retrievedAt": "2026-10-13T11:03:14+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:00:07+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "crypto24", "aliases": [ { "name": "Public Data Storage", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "crypto24" }, "type": "ransomware", "origin": { "country": "東欧", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2025-04-08", "status": { "value": "active", "since": "2025-04-08", "sourceId": "s1" }, "description": "【正体と来歴】\nCrypto24 は Public Data Storage の名でも追跡されるランサムウェアグループである [s6]。Halcyon は、2025年4月に追跡対象として現れたが活動は2023年後半にさかのぼり、最初の攻撃は2024年初頭だったと整理している [s6]。Picus Security も出現時期を2023年後半としている [s7]。RansomLook の記録上の初出は 2025-04-08 である。運営形態は RaaS で、2024年7月から RAMP フォーラムでアフィリエイトを募り、素早い収益を宣伝した [s6]。報酬体系は標準的な利益配分型で、中核チームが取り分を保持する [s6]。多言語（英語・ドイツ語）のインフラから東欧起源と評価され、メンバーは活動停止したランサムウェアグループの出身者とみられる [s6]。CMSTPLUA UAC バイパスが BlackCat/ALPHV や LockBit と共通しており、ツールか知見の共有が示唆される [s6]。\n\n【手口】\n初期侵入の主経路は侵害された VPN 認証情報の悪用（T1078）で、フィッシングによる認証情報の窃取や公開された外部リモートサービスの悪用（T1133）も挙げられている [s6]。侵入後、Trend Micro は既定の管理者アカウントの再有効化と、汎用的な名前の新規アカウントの作成および Administrators への追加を確認した [s4]。偵察には WMIC と net コマンドを使い、横展開には PsExec と AnyDesk、RDP を使う [s4]。RDP は fDenyTSConnections の書き換えと TCP 3389 の許可ルール追加で有効化し、Advanced IP Scanner 3.9.1 も導入した [s7]。Halcyon は TightVNC の利用も挙げている [s6]。防御回避では RealBlindingEDR の改変版で多数ベンダーの製品を無効化し [s4]、gpscript.exe 経由で Trend Vision One のアンインストーラ XBCUninstaller.exe を実行した事例がある [s4]。VMProtect による難読化も使う [s6]。キーロガー WinMainSvc.dll は「Microsoft Help Manager」、ランサムウェア本体は「Microsoft Runtime Manager」という名のサービスとして登録される [s7][s4]。攻撃は閑散時間帯に行われる [s4]。\n\n暗号化は RSA と AES-128-CTR のハイブリッドで、拡張子は .crypto24、身代金要求文書は Decryption.txt である。Windows と VMware ESXi が対象で、vssadmin によるシャドウコピー削除も行う [s6]。データは Google Drive API で窃取し、1件あたり 200GB から 2TB、最大で 3TB に達した [s6]。Tor のリークサイトにカウントダウン付きで段階的に公開する二重脅迫を採り、支払いは Bitcoin である [s6]。交渉ではテスト復号（1MB 未満の文書1点と5MB 未満の画像1点）に応じ、期限は3日で超過すると価格が上がる [s6]。\n\n【連絡手段とリークサイト】\nRansomLook は連絡手段として session と email を記録している。session は 05627a685204cef278f7c6d90cb8cb0e213bc58e858e9602faffd5c22f1024af79、email は crypto24support[@]pm[.]me と noreply[@]crypto24lab[.]com である。リークサイト（dls）は hxxp://j5o5y2feotmhvr7cbcp2j2ewayv5mn5zenl3joqwx67gtfchhezjznad[.]onion で、停止中と記録されている。Halcyon はこれらに加えて haowieo2839[@]proton[.]me と、qTox ID CCF5C111AA435DB204B25101E4A352B2C26308550C3B085784B59E25E52DEE282A7BE67F0A7C を挙げている [s6]。\n\n【標的と主な被害】\nTrend Micro は、アジア・欧州・米国の大企業を狙い、金融サービス、製造、エンターテインメント、テクノロジーの各業種に集中していると分析した [s4]。Halcyon は製造・ヘルスケア・防衛を主な業種とし、アジア太平洋と米国が中心で、2026年初頭までに約35〜40件の被害を主張したと整理している [s6]。最初の既知の攻撃は2024年1月の欧州の物流企業とされる [s6]。2025年4月には8件の被害を主張し、7月には6件が発生して、マレーシア、米国、イタリアが標的になった [s6]。Halcyon Attack Lookout は2025年4月から12月に12か国で20件を追跡し、米国5件、マレーシア3件、イタリアとシンガポール各2件で、ほかにドイツ、フランス、ベトナム、台湾、アルゼンチン、ウルグアイ、インドネシア、アゼルバイジャンが含まれる [s6]。2025年第4四半期以降は防衛分野を狙い、NATO 関連データの持ち出しも観測された [s6]。\n\n【動向】\n2025年7〜8月に活動のピークを迎え、VMware ESXi 向けの亜種で仮想化環境にも標的を広げた [s6]。2026年1月28日に FBI が募集の場だった RAMP を押収し、短期的な混乱が見込まれるものの、グループは2026年2月時点で活動中とされる [s6]。暗号化処理にはマルチスレッドの競合状態があり、ファイルが複数回暗号化される場合がある [s6]。", "techniques": [ { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1133", "name": "External Remote Services", "tactic": "Initial Access" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1087.001", "name": "Local Account Discovery", "tactic": "Discovery" }, { "id": "T1562.001", "name": "Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1027", "name": "Obfuscated Files or Information", "tactic": "Defense Evasion" }, { "id": "T1070.004", "name": "File Deletion", "tactic": "Defense Evasion" }, { "id": "T1056.001", "name": "Keylogging", "tactic": "Credential Access" }, { "id": "T1570", "name": "Lateral Tool Transfer", "tactic": "Lateral Movement" }, { "id": "T1021.001", "name": "Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1567.002", "name": "Exfiltration to Cloud Storage", "tactic": "Exfiltration" }, { "id": "T1543.003", "name": "Windows Service", "tactic": "Persistence" }, { "id": "T1136.001", "name": "Local Account", "tactic": "Persistence" }, { "id": "T1053.005", "name": "Scheduled Task", "tactic": "Persistence" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" } ], "tools": [ { "name": "Crypto24 (MSRuntime.dll)", "kind": "ransomware" }, { "name": "RealBlindingEDR (customized variant)", "kind": "malware" }, { "name": "WinMainSvc.dll (keylogger)", "kind": "malware" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "TightVNC", "kind": "legit_tool" }, { "name": "Advanced IP Scanner", "kind": "legit_tool" }, { "name": "gpscript.exe", "kind": "legit_tool" }, { "name": "XBCUninstaller.exe", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "session", "email" ], "anonymization": [ { "kind": "tor", "name": "Tor", "note": "リークサイトの運営と被害者との連絡に使用", "sourceId": "s6" }, { "kind": "other", "name": "ProtonMail", "note": "二次的な連絡手段のメールに使用", "sourceId": "s6" } ], "contactHandles": [ { "channel": "session", "value": "05627a685204cef278f7c6d90cb8cb0e213bc58e858e9602faffd5c22f1024af79" }, { "channel": "email", "value": "crypto24support@pm[.]me\r\nnoreply@crypto24lab[.]com" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "d4rk4rmy", "createdAt": "2026-10-13T03:59:14+00:00", "updatedAt": "2026-10-13T11:04:05+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/d4rk4rmy", "title": "RansomLook: d4rk4rmy", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:59:14+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:04:05+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:05+00:00" }, { "id": "s4", "url": "https://www.huntress.com/threat-library/adversary-tactics/july-2025", "title": "Threat View from the Lens of Huntress Adversary Tactics: July 2025", "publisher": "Huntress", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:05+00:00" }, { "id": "s5", "url": "https://www.recordedfuture.com/research/dark-covenant-3-controlled-impunity-and-russias-cybercriminals", "title": "Dark Covenant 3.0: Controlled Impunity and Russia’s Cybercriminals", "publisher": "Recorded Future", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:05+00:00" }, { "id": "s6", "url": "https://www.cyfirma.com/research/tracking-ransomware-july-2025/", "title": "TRACKING RANSOMWARE : JULY 2025 - CYFIRMA", "publisher": "cyfirma.com", "kind": "news", "retrievedAt": "2026-10-13T11:04:05+00:00" }, { "id": "s7", "url": "https://2034462.fs1.hubspotusercontent-na1.net/hubfs/2034462/The%20Ransomware%20Security%20Report%20-%20Q3%202025.pdf", "title": "THE RANSOMWARE", "publisher": "2034462.fs1.hubspotusercontent-na1.net", "kind": "news", "retrievedAt": "2026-10-13T11:04:05+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:59:14+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "d4rk4rmy", "aliases": [], "externalIds": { "ransomlook": "d4rk4rmy" }, "type": "ransomware", "firstSeen": "2025-07-08", "status": { "value": "unknown", "since": "2025-07-08", "sourceId": "s1" }, "description": "【正体と来歴】\nd4rk4rmy は、2025年7月に現れた新興のランサムウェアグループである。RansomLook の記録上の初出は 2025-07-08 で [s2] ではなく RansomLook の記録に基づく。Check Point Software は、初めて観測されたのを 2025年7月7日とし、新たに登場したランサムウェアグループと位置づけた [s7]。自前のデータリークサイトを運営し、被害組織の掲載や交渉の詳細を公開している [s7]。同サイトには「Partner Relations」と題する投稿があり、他の既存グループや初期アクセスブローカー（IAB）との協業を募っている。Check Point Software はこれを、RaaS モデルへ成長する初期の意図を示すものとみている [s7]。RaaS とは、開発・運営側が攻撃の実行者にランサムウェアやリークサイトなどの環境を提供し、見返りに身代金の一部を受け取る仕組みである [s2]。現時点で d4rk4rmy が RaaS として稼働していると断定する記述はない。Check Point Software は、同グループの動きの速さと地理的な広がりから「rising mid-tier actor」と評した [s7]。\n\n【手口】\n手口の詳細な分析は限られているが、Huntress は、d4rk4rmy の被害組織の多くが、同グループの主張に先立ってインフォスティーラー（情報窃取型マルウェア）に感染していたとみている [s4]。さらに、同グループは入手可能なインフォスティーラーのログを購入したうえで侵害を主張しており、侵害の度合いを誇張している可能性もあるとの見方を示した [s4]。Huntress は、グループの正当性には議論があるとも述べている [s4]。CYFIRMA は、Dire Wolf と D4RK4RMY が従来型の暗号化中心の攻撃から離れ、データのリークと政治色のある主張に軸足を移していると評した [s6]。ランサムウェアの一般的な二重脅迫では、攻撃者が事前に情報を窃取し、その一部をウェブサイト上に暴露して交渉に持ち込む [s3]。暗号化を行わずにデータ窃取だけで対価を要求する「ノーウェアランサム」も確認されている [s2]。\n\n【連絡手段とリークサイト】\nRansomLook の記録によると、連絡手段は tox と telegram である。tox ID は 389EFCEB8DB8143C000A0A70B6C44A0436761784760F23E2F43A421F48A45D72A4A22814F01157A9B30B2D9E5F692A100C8E264082FC5F9B8F445C47E7333CBBB04DBF42640085620A9FA795、telegram は hxxps://t[.]me/D4RKLE4K および hxxps://t[.]me/D4RKLE4KS である。リークサイト（DLS）は d4rkd2fybtclo44hss2dpqpw7gmofboxhruax2az3uejw7puxxbpkvqd[.]onion で、RansomLook の記録では停止中である。\n\n【標的と主な被害】\nCheck Point Software によると、同グループは短期間に米国、英国、ブラジル、台湾、日本、南アフリカを含む11か国へ広がった [s7]。業種は教育、小売、建設、テクノロジーなど複数にまたがり、機会主義的で幅広い標的選定だと評された [s7]。Huntress は、同グループがモンテカルロのカジノ（Casino de Monte-Carlo）と Big Rock Resort への攻撃を主張したと述べ、エンターテインメントおよびホスピタリティ分野への積極的な攻撃姿勢に注意を促した [s4]。これらは攻撃者側の主張である [s4]。日本が被害国に含まれるとされるが [s7]、日本の被害組織名や時期を示す記述はない。\n\n【動向】\n同グループは、2025年7月の新興グループとして複数の調査で取り上げられた。CYFIRMA の 2025年7月の月次レポートは、Dire Wolf とともに D4RK4RMY をデータ漏えいと政治的な主張へ軸足を移す新興勢力に挙げた [s6]。Huntress は、グループの正当性が争われていると指摘し、購入ログの利用が実際の侵害水準を誇張している可能性を示した [s4]。Check Point Software は、2025年第3四半期の概況でも同グループの急速な拡大を取り上げ、既存グループや IAB との提携を募っている点を挙げた [s7]。同四半期は新規グループの出現が14、活動中のグループが85に及び、ブランドの乱立と入れ替わりが激しい環境にある [s7]。RansomLook の記録ではリークサイトは現在停止中である。", "techniques": [], "tools": [], "cves": [], "related": [], "contactChannels": [ "tox", "telegram" ], "contactHandles": [ { "channel": "tox", "value": "389EFCEB8DB8143C000A0A70B6C44A0436761784760F23E2F43A421F48A45D72A4A22814F011\r\n57A9B30B2D9E5F692A100C8E264082FC5F9B8F445C47E7333CBBB04DBF42640085620A9FA795" }, { "channel": "telegram", "value": "hxxps://t[.]me/D4RKLE4K\r\nhxxps://t[.]me/D4RKLE4KS" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "dataleak", "createdAt": "2026-10-13T04:01:43+00:00", "updatedAt": "2026-10-13T11:04:29+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/dataleak", "title": "RansomLook: dataleak", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:01:43+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-352a", "title": "#StopRansomware: Play Ransomware | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T11:04:29+00:00" }, { "id": "s3", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:04:29+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:29+00:00" }, { "id": "s5", "url": "https://www.checkpoint.com/cyber-hub/threat-prevention/ransomware/", "title": "Ransomware Attack - What is it and How Does it Work?", "publisher": "Check Point", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:29+00:00" }, { "id": "s6", "url": "https://www.halcyon.ai/ransomware-research-reports/threat-assessment-the-gentlemen-ransomware-group", "title": "The Gentlemen Ransomware Group Is Scaling Faster Than Any Other Group on Record", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:29+00:00" }, { "id": "s7", "url": "https://eset-info.canon-its.jp/malware_info/special/detail/260714.html", "title": "リークサイトでの情報暴露と圧力強化で企業を追い詰めるランサムウェアの手口 | サイバーセキュリティ情報局", "publisher": "キヤノンMJ / ESET", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:29+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:01:43+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "dataleak", "aliases": [], "externalIds": { "ransomlook": "dataleak" }, "type": "ransomware", "firstSeen": "2022-12-02", "status": { "value": "unknown", "since": "2022-12-02", "sourceId": "s1" }, "description": "【正体と来歴】\ndataleak は、RansomLook の記録で初出が 2022-12-02、連絡手段が tox とされるグループである。RansomLook が示す tox の連絡先ハンドルは 4A4966259BE6EB1341A2A6A06EA25D747354257EA47F5FD4987A0760FFAEAB1E8E8955A0354F である。\n\n【手口】\n手口の詳細は、提示された出典から dataleak に結び付けて特定できる範囲にない。一般論として、二重脅迫型ランサムウェアの攻撃者は暗号化の前にデータを窃取し、公開をちらつかせて脅迫する。キヤノンMJ / ESET はこの複合的な手法への移行を指摘した [s7]。\n\n【連絡手段とリークサイト】\nRansomLook は、dataleak のリークサイト(dls)として woqjumaahi662ka26jzxyx7fznbp4kg3bsjar4b52tqkxgm2pylcjlad[.]onion を挙げており、現在は停止中と記録している。連絡手段は tox で、ハンドルは上記のとおりである。リークサイトは Tor ネットワーク経由でアクセスされ、盗んだデータの一部の公開と、未払いの場合の追加公開の予告に使われるのが一般的である [s7]。\n\n【標的と主な被害】\ndataleak の標的地域・業種や、日本の組織の被害を示す具体的な記述は、提示された出典の範囲にはない。\n\n【動向】\nRansomLook の記録上、dataleak のリークサイトは停止中である。", "techniques": [], "tools": [], "cves": [], "related": [], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "4A4966259BE6EB1341A2A6A06EA25D747354257EA47F5FD4987A0760FFAEAB1E8E8955A0354F" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "devman", "createdAt": "2026-10-13T03:54:10+00:00", "updatedAt": "2026-10-13T11:04:42+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/devman", "title": "RansomLook: devman", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:54:10+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:04:42+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:04:42+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:42+00:00" }, { "id": "s5", "url": "https://www.halcyon.ai/threat-group/devman", "title": "DevMan", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:04:42+00:00" }, { "id": "s6", "url": "https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2025", "title": "Dragos Industrial Ransomware Analysis: Q2 2025", "publisher": "dragos.com", "kind": "news", "retrievedAt": "2026-10-13T11:04:42+00:00" }, { "id": "s7", "url": "https://www.vectra.ai/blog/from-conti-to-black-basta-to-devman-the-endless-ransomware-rebrand", "title": "From Conti to Black Basta to DevMan: The Endless Ransomware Rebrand", "publisher": "vectra.ai", "kind": "news", "retrievedAt": "2026-10-13T11:04:42+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:54:10+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "devman", "aliases": [], "externalIds": { "ransomlook": "devman" }, "type": "ransomware", "firstSeen": "2025-04-06", "status": { "value": "unknown", "since": "2025-04-06", "sourceId": "s1" }, "description": "【正体と来歴】\nDevMan（Dragos 表記は Devman）はランサムウェアを運用するグループである。Vectra AI によれば、2025年4月中旬に最初に確認され、当初は Qilin（Agenda）と DragonForce のアフィリエイトとして動き、APOS の活動とも関連づけられた [s7]。RansomLook は初出を 2025-04-06 と記録している。2025年7月には DragonForce から分かれ、独自のインフラと最初のリークサイト「DevMan's Place」を立ち上げた [s7]。ANY[.]RUN が7月1日に公開した解析では、ペイロードは Conti を基にした DragonForce のコードを流用していた [s7]。ただし Vectra AI は、ランサムウェアの帰属判断は複雑で、DevMan は特定の運営者の延長と確定できず、コード再利用やアフィリエイトの移動、ツール共有の産物と捉えるのが妥当だと述べる [s7]。Dragos は同グループが独立して活動していると評した [s6]。2025年9月30日に「DevMan 2.0」を始動し、アフィリエイト募集とビルダーのダッシュボードを備えた RaaS へ移行した [s7]。ダッシュボードでは Windows、Linux、ESXi を対象とした暗号化ツールを作成でき、売上が2,000万ドル未満のアフィリエイトには22%の取り分が示された [s7]。行動規範では CIS 諸国と子どもに関わる医療機関への攻撃が禁じられている [s7]。Dragos によれば、バージョン 1.0（C++）から 2.0（Rust）へ短期間で移行し、規律ある企業的な内部構造とアフィリエイトの厳格な審査を特徴とする [s6]。\n\n【手口】\n初期侵入は、悪意ある添付ファイル付きのフィッシング（T1566）、RDP へのブルートフォースやクレデンシャルスタッフィングによる正規アカウントの悪用（T1078）、VPN ゲートウェイやリモート管理インターフェースなど境界サービスの脆弱性悪用（T1190）である [s5]。内部では BloodHound で Active Directory の攻撃経路を可視化し、SoftPerfect Network Scanner と SMB スキャンで偵察する [s5]。認証情報は Mimikatz による LSASS メモリのダンプ（T1003）と、ブラウザ保存情報を狙う独自のインフォスティーラー（T1555）で窃取する [s5]。横展開は PsExec と管理共有（T1021.002）、盗んだ認証情報による RDP（T1021.001）で行い、実行は PowerShell や cmd のスクリプトで行う。従来型の RAT は使わない [s5]。バージョン 2.0 ではグループポリシー（T1484.001）によるドメイン全体への配布も使われる [s5]。暗号化の前に、アンチウイルス、EDR、バックアップソフトを停止し（T1562.001）、ボリュームシャドウコピーを削除する（T1490）[s5]。データは MEGA などのクラウドストレージへ持ち出され、容量は通常50GBから300GB、最大2.5TBが記録されている [s5]。暗号化は完全、ヘッダーのみ、カスタムの3モードで、Windows Restart Manager API を悪用してファイルロックを回避する [s5]。ランサムウェアはオフラインで動作し、C2 のビーコンを出さない [s5]。壁紙変更は Windows 10 では動くが Windows 11 では失敗する [s5][s7]。脅迫はデータ暴露を先行させる混合型で、カウントダウン付きの Tor リークサイトを使い、ランサムノートでデータ公開とツール破壊を警告する [s5]。身代金の要求額は、v1.0 が60,000ドルから2,500,000ドル（中央値450,000〜800,000ドル）、v2.0 が1,000,000ドルから91,000,000ドル（中央値1M〜7M ドル）と上昇した [s5]。\n\n【連絡手段とリークサイト】\n侵入後の連絡には TOX プロトコルと Tor の隠しサービスが使われる [s5]。RansomLook は連絡手段を tox と記録し、ハンドルを 9D97F166730F865F793E2EA07B173C742A6302879DE1B0BBB03817A5A04B572FBD82F984981D としている。リークサイトは qljmlmp4psnn3wqskkf3alqquatymo6hntficb4rhq5n76kuogcv7zyd[.]onion で、RansomLook では停止中と記録されている。\n\n【標的と主な被害】\nDragos によれば、Devman は重要インフラと医療分野の大規模組織への攻撃を強め、アフィリエイトに対し重要インフラは売上1億ドル、医療は5,000万ドルという基準を示している [s6]。被害の具体例として、Halcyon は国の社会保障基金で侵害された RDP アカウントからドメイン管理者権限が奪われた事例と、政府省庁で2,000システムが暗号化された事例を挙げている [s5]。\n\n【動向】\nVectra AI によれば、2025年7月に DragonForce から離れて独自インフラへ移り、9月30日には DevMan 2.0 として RaaS 提供者へ転換した [s7]。同月、DragonForce が Qilin や LockBit との連合を発表しており、同じ名前がリークサイトやアフィリエイト、共有インフラに繰り返し現れると Vectra AI は指摘する [s7]。Dragos は DevMan が報道露出を積極的に追求し、世論形成を心理的圧力に使っているとも評した [s6]。", "techniques": [ { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1482", "name": "Domain Trust Discovery", "tactic": "Discovery" }, { "id": "T1018", "name": "Remote System Discovery", "tactic": "Discovery" }, { "id": "T1135", "name": "Network Share Discovery", "tactic": "Discovery" }, { "id": "T1059.001", "name": "Command and Scripting Interpreter: PowerShell", "tactic": "Execution" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1070", "name": "Indicator Removal on Host", "tactic": "Defense Evasion" }, { "id": "T1003", "name": "OS Credential Dumping", "tactic": "Credential Access" }, { "id": "T1555", "name": "Credentials from Password Stores", "tactic": "Credential Access" }, { "id": "T1071", "name": "Application Layer Protocol", "tactic": "Command and Control" }, { "id": "T1021.002", "name": "Remote Services: SMB/Windows Admin Shares", "tactic": "Lateral Movement" }, { "id": "T1021.001", "name": "Remote Services: Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1484.001", "name": "Domain Policy Modification: Group Policy Modification", "tactic": "Defense Evasion" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration" }, { "id": "T1567", "name": "Exfiltration Over Web Service", "tactic": "Exfiltration" }, { "id": "T1547.001", "name": "Boot or Logon Autostart Execution: Registry Run Keys", "tactic": "Persistence" }, { "id": "T1543.003", "name": "Create or Modify System Process: Windows Service", "tactic": "Persistence" }, { "id": "T1053.005", "name": "Scheduled Task/Job: Scheduled Task", "tactic": "Execution" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1491", "name": "Defacement", "tactic": "Impact" }, { "id": "T1529", "name": "System Shutdown/Reboot", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" } ], "tools": [ { "name": "DevMan ransomware", "kind": "ransomware" }, { "name": "BloodHound", "kind": "legit_tool" }, { "name": "SoftPerfect Network Scanner", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "PowerShell", "kind": "legit_tool" }, { "name": "Mimikatz", "kind": "malware" }, { "name": "Custom info-stealer", "kind": "malware" } ], "cves": [], "related": [ { "actorSlug": "dragonforce", "relation": "possibly_related", "confidence": "third_party", "sourceId": "s2" }, { "actorSlug": "qilin", "relation": "affiliate", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "tox" ], "anonymization": [ { "kind": "tor", "name": "Tor hidden services", "note": "侵入後の連絡とリークサイトに使用", "sourceId": "s5" }, { "kind": "other", "name": "TOX", "note": "侵入後の連絡プロトコルとして使用", "sourceId": "s5" } ], "contactHandles": [ { "channel": "tox", "value": "9D97F166730F865F793E2EA07B173C742A6302879DE1B0BBB03817A5A04B572FBD82F984981D" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "devman2", "createdAt": "2026-10-13T03:54:27+00:00", "updatedAt": "2026-10-13T11:05:21+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/devman2", "title": "RansomLook: devman2", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:54:27+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:05:21+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:05:21+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:05:21+00:00" }, { "id": "s5", "url": "https://www.halcyon.ai/threat-group/devman", "title": "DevMan", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:05:21+00:00" }, { "id": "s6", "url": "https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2025", "title": "Dragos Industrial Ransomware Analysis: Q2 2025", "publisher": "dragos.com", "kind": "news", "retrievedAt": "2026-10-13T11:05:21+00:00" }, { "id": "s7", "url": "https://www.vectra.ai/blog/from-conti-to-black-basta-to-devman-the-endless-ransomware-rebrand", "title": "From Conti to Black Basta to DevMan: The Endless Ransomware Rebrand", "publisher": "vectra.ai", "kind": "news", "retrievedAt": "2026-10-13T11:05:21+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:54:27+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "devman2", "aliases": [ { "name": "DevMan", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Devman", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "DevMan's Place", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "devman2" }, "type": "ransomware", "firstSeen": "2025-07-06", "status": { "value": "unknown", "since": "2025-07-06", "sourceId": "s1" }, "description": "【正体と来歴】\nDevMan（devman2、Devman）は、RansomLook に初出 2025-07-06 として記録されたランサムウェアグループである。Vectra は、DragonForce の改変コードで動くグループで、Conti や Black Basta を土台とする系譜の最新の一つと位置づけた。ただし同社は、攻撃者の特定は難しく、コードの再利用や配下の移動、ツールの共有の延長として捉えるべきだとも述べている [s7]。活動は 2025年4月中旬に始まり、当初は Qilin（Agenda）と DragonForce のアフィリエイトとして動き、APOS の活動とも関連づけられた [s7]。一方 Dragos は、同グループは単独で運営されると評した [s6]。2025年7月に DragonForce から分かれ、最初のリークサイト「DevMan's Place」を含む独自の基盤を立ち上げた [s7]。2025年9月30日には RaaS「DevMan 2.0」を公開し、アフィリエイト募集、ビルダーのダッシュボード、Rust 製の新亜種を備えた [s7]。Dragos は、運営を企業のように規律立てた組織で、アフィリエイトの審査と統制が厳しく、メディア露出も積極的に狙うと評している [s6]。\n\n【手口】\n初期侵入は、悪意ある添付ファイル付きのフィッシング（T1566）、RDP へのブルートフォースやクレデンシャルスタッフィングによる有効なアカウントの悪用（T1078）、VPN ゲートウェイや遠隔管理インタフェースなど境界サービスの悪用（T1190）である [s5]。初期の攻撃は DragonForce の手口に似ており、侵入に VPN を悪用し、横展開には SMB のプロービングを使った [s7]。内部では BloodHound で Active Directory の攻撃経路を可視化し、SoftPerfect Network Scanner で偵察し、Mimikatz で LSASS メモリから認証情報を取得した [s5]。実行と展開は PowerShell と cmd のスクリプト、横展開は PsExec と RDP で行い、従来型の RAT は使わない [s5]。セキュリティ製品やバックアップソフトの停止、ボリュームシャドウコピーの削除も行う [s5]。\n\n暗号化の前に、MEGA などのクラウドストレージへ通常 50GB〜300GB（最大 2.5TB）を持ち出す [s5]。暗号化モードはフル、ヘッダのみ、カスタムの三つで、マルウェアは完全にオフラインで動作し、ネットワーク通信は SMB のみである [s7]。バージョン 1.0 は C++、2.0 は Rust で実装された [s6]。拡張子は .DEVMAN である [s7]。ランサムノートが自己暗号化される不具合や、Windows 11 で壁紙変更が失敗する不具合も確認された [s7]。脅迫はデータ暴露を優先する混合型で、カウントダウン付きの Tor リークサイトを使い、ノートでデータ公開とツール破壊を警告する [s5]。身代金の目安は、バージョン 1.0 で $60,000〜$2,500,000（中央値 $450,000〜$800,000）、2.0 で $1,000,000〜$91,000,000（中央値 $1M〜$7M）である [s5]。\n\n【連絡手段とリークサイト】\nRansomLook は連絡手段として tox を記録しており、ハンドルは 9D97F166730F865F793E2EA07B173C742A6302879DE1B0BBB03817A5A04B572FBD82F984981D である。侵入後の連絡は TOX プロトコルと Tor 隠しサービスを通じて行われる [s5]。RansomLook が記録するリークサイトは次のとおりで、いずれも停止中である。\n\nwugurgyscp5rxpihef5vl6b6m5ont3b6sezhl7boboso2enib2k3q6qd[.]onion（dls）\ndevmanblggk7ddrtqj3tsocnayow3bwnozab2s4yhv4shpv6ueitjzid[.]onion（mirror）\ntygjm32hxyqienrgwxveiaw3azbjmfaln2znn2hldz2oe6v453ngwlyd[.]onion（mirror）\n\n【標的と主な被害】\nDragos は、重要インフラと医療の大規模組織への攻撃を強めていると評した。アフィリエイトには、重要インフラは売上 $100 million、医療は $50 million を基準に大組織を狙うよう指示している [s6]。Halcyon によれば、侵害された RDP アカウントから国の社会保障基金でドメイン管理者権限を得た事例があり、政府省庁の侵害では 2,000 システムが暗号化された [s5]。DevMan 2.0 の行動規範は、CIS 諸国と、子どもに関わる医療機関への攻撃を禁じている [s7]。\n\n【動向】\n2025年7月に DragonForce から独立し、同年9月30日に DevMan 2.0 で運営者から RaaS 提供者へ移った [s7]。DevMan 2.0 は、Windows・Linux・ESXi 向けの暗号化ツールを作れるウェブ型ダッシュボードを備える。収益分配は、売上が $20 million 未満のアフィリエイトに 22% で、データ窃取の自動化機能とランサムノートのカスタマイズ機能も付く [s7]。Vectra は、DevMan 2.0 は DragonForce に似た仕組みだが、ブランドと基盤、アフィリエイトの統制は単独の運営者の下にあると評した [s7]。2025年9月には DragonForce が Qilin、LockBit との連合を発表している [s7]。RansomLook が記録する三つのリークサイトは、現在いずれも停止中である。", "techniques": [ { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1482", "name": "Domain Trust Discovery", "tactic": "Discovery" }, { "id": "T1018", "name": "Remote System Discovery", "tactic": "Discovery" }, { "id": "T1135", "name": "Network Share Discovery", "tactic": "Discovery" }, { "id": "T1059.001", "name": "Command and Scripting Interpreter: PowerShell", "tactic": "Execution" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1070", "name": "Indicator Removal on Host", "tactic": "Defense Evasion" }, { "id": "T1003", "name": "OS Credential Dumping", "tactic": "Credential Access" }, { "id": "T1555", "name": "Credentials from Password Stores", "tactic": "Credential Access" }, { "id": "T1071", "name": "Application Layer Protocol", "tactic": "Command and Control" }, { "id": "T1021.002", "name": "Remote Services: SMB/Windows Admin Shares", "tactic": "Lateral Movement" }, { "id": "T1021.001", "name": "Remote Services: Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1484.001", "name": "Domain Policy Modification: Group Policy Modification", "tactic": "Defense Evasion" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration" }, { "id": "T1567", "name": "Exfiltration Over Web Service", "tactic": "Exfiltration" }, { "id": "T1547.001", "name": "Boot or Logon Autostart Execution: Registry Run Keys", "tactic": "Persistence" }, { "id": "T1543.003", "name": "Create or Modify System Process: Windows Service", "tactic": "Persistence" }, { "id": "T1053.005", "name": "Scheduled Task/Job: Scheduled Task", "tactic": "Execution" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1491", "name": "Defacement", "tactic": "Impact" }, { "id": "T1529", "name": "System Shutdown/Reboot", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" } ], "tools": [ { "name": "DevMan ransomware", "kind": "ransomware" }, { "name": "BloodHound", "kind": "legit_tool" }, { "name": "SoftPerfect Network Scanner", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "PowerShell", "kind": "legit_tool" }, { "name": "Mimikatz", "kind": "malware" }, { "name": "Custom info-stealer", "kind": "malware" }, { "name": "MEGA", "kind": "legit_tool" } ], "cves": [], "related": [ { "actorSlug": "dragonforce", "relation": "affiliate", "confidence": "third_party", "sourceId": "s2" }, { "actorSlug": "qilin", "relation": "affiliate", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "tox" ], "anonymization": [ { "kind": "tor", "name": "Tor hidden services", "note": "侵入後の連絡とリークサイトに使用", "sourceId": "s5" }, { "kind": "other", "name": "TOX protocol", "note": "侵入後の連絡手段", "sourceId": "s5" } ], "contactHandles": [ { "channel": "tox", "value": "9D97F166730F865F793E2EA07B173C742A6302879DE1B0BBB03817A5A04B572FBD82F984981D" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 6, "incidents": 0 }, { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "direwolf", "createdAt": "2026-10-13T03:54:40+00:00", "updatedAt": "2026-10-13T11:06:03+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/direwolf", "title": "RansomLook: direwolf", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:54:40+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:06:03+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:06:03+00:00" }, { "id": "s4", "url": "https://www.halcyon.ai/threat-group/dire-wolf", "title": "Dire Wolf", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:06:03+00:00" }, { "id": "s5", "url": "https://eset-info.canon-its.jp/malware_info/special/detail/220922.html", "title": "進化するランサムウェアの手口、被害を防ぐためにしておきたい7つのこと | サイバーセキュリティ情報局", "publisher": "キヤノンMJ / ESET", "kind": "vendor", "retrievedAt": "2026-10-13T11:06:03+00:00" }, { "id": "s6", "url": "https://www.levelblue.com/blogs/spiderlabs-blog/dire-wolf-strikes-new-ransomware-group-targeting-global-sectors", "title": "Dire Wolf Strikes: New Ransomware Group Targeting Global Sectors", "publisher": "levelblue.com", "kind": "news", "retrievedAt": "2026-10-13T11:06:03+00:00" }, { "id": "s7", "url": "https://asec.ahnlab.com/en/89944/", "title": "Dire Wolf Ransomware: Threat Combining Data Encryption and Leak Extortion", "publisher": "asec.ahnlab.com", "kind": "news", "retrievedAt": "2026-10-13T11:06:03+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:54:40+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "direwolf", "aliases": [ { "name": "Dire Wolf", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "direwolf" }, "type": "ransomware", "origin": { "country": "ロシア語圏（東欧の可能性。リークサイトは米ニューヨークを自称）", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2025-05-27", "status": { "value": "active", "since": "2025-05-27", "sourceId": "s1" }, "description": "【正体と来歴】\nDire Wolf（DireWolf）は2025年5月に姿を現したランサムウェアグループである。[s6][s7] ダークウェブのリークサイトに最初の6件の被害組織を載せたのは5月26日で、これが本格的な活動の始まりとなった。[s7] RansomLook の記録では初出は2025-05-27、連絡手段は tox である。Halcyon は、アフィリエイトを募らず RaaS 基盤も持たない閉じた少人数の組織とみており、構成は開発者1〜2名、ネットワーク担当2〜3名、交渉担当1〜2名の計3〜7名と推定している。[s4] リークサイトでは「Based in New York, NY」と自称しているが、Halcyon は偽装と評価し、言語的な特徴からは東欧やロシア語圏の可能性があるとした。[s4] 同サイトの About ページでは金銭目的で政治的立場は持たないと主張している。[s6] 他のランサムウェアグループとのインフラ上の重複や直接のつながりは見つかっていない。[s4]\n\n【手口】\n初期侵入の経路は特定されていない。Halcyon は、スピアフィッシング、露出した RDP や VPN への Valid Accounts（T1078）の悪用、認証情報攻撃、第三者や MSP の侵害を疑っている。[s4] 侵入から暗号化までに数日から数週間をかけ、約265GB のデータを事前に持ち出すとされる。[s4] 暗号化機能は Golang 製の Windows 版のみで、Linux 版や ESXi 版は観測されていない。[s4] UPX でパックされている。[s6] 実行時はミューテックス Global\\direwolfAppMutex とマーカーファイル C:\\runfinish.exe を確認し、どちらかがあれば自己削除して終了する。[s6][s7] 続いて eventlog サービスのプロセスを WMI で特定して taskkill で止める処理を繰り返し、75のサービスと59のプロセス（Sophos、Symantec、Veeam、BackupExec、SQL Server、Exchange など）を停止する。[s4][s6] vssadmin、wmic、wbadmin、bcdedit でシャドウコピーやバックアップを削除して回復環境を無効化し、wevtutil でイベントログも消去する。[s6][s7] 暗号化は Curve25519 と ChaCha20 の組み合わせで、ファイルごとに乱数の秘密鍵を生成する。1MB 未満は全体を、1MB を超えるファイルは先頭1MB だけを暗号化し、拡張子は .direwolf になる。[s4][s7] 暗号化後は shutdown -r -f -t 10 で強制再起動をかけ、自己削除する。[s7] 身代金要求文書は HowToRecoveryFiles.txt で、被害組織ごとに埋め込まれた roomID、ユーザー名、パスワードと、gofile[.]io に置いた持ち出し証拠サンプルへのリンクが記載される。[s6][s7] 公開の流れは、サンプルとファイル一覧の掲載、約1か月の交渉期間、全データ公開の順である。[s6] Halcyon は30日の期限としている。[s4] ある被害組織への要求額は約 $500,000 だった。[s6]\n\n【連絡手段とリークサイト】\nRansomLook の記録による Tox ID は B344BECDC01A1282F69CB82979F40439E15E1FD1EF1FE9748EE467F5869E2148E6F1E55959E2 である。リークサイトは hxxp://direwolfcdkv5whaz2spehizdg22jsuf5aeje4asmetpbt6ri4jnd4qd[.]onion（停止中）、ミラーは hxxp://direwolfgpyqohwxwoetsz7a6p72diu32c3wfysqdx4ei6bwft7zh3yd[.]onion（停止中）と hxxp://direwolf66s5zealav7azcyqeipiswecvvnapyuby3dek473kyqfucad[.]onion である。いずれも RansomLook の記録による。Halcyon によれば、リークサイトと支払いポータルは Tor 上にあり、従来型の C2 インフラは文書化されていない。[s4]\n\n【標的と主な被害】\n製造業が最も多く、技術・IT サービスが続く。[s4][s6] 法務、金融、医療、建設・エンジニアリング、農業、ビジネスサービスも標的になった。[s4] AhnLab は、アジア、オーストラリア、イタリアなどの製造、IT、建設、金融を挙げている。[s7] 地域別の件数は出典で異なる。Trustwave SpiderLabs は、リークサイト掲載の16件が11か国に分布し、米国とタイが最多でタイワンが続くと報告した。[s6] AhnLab は、16組織が16の地域にまたがり、米国、タイ、台湾などを含むとした。[s7] Halcyon は、アジア太平洋が60%を占め、シンガポール、台湾、タイが特に多く、米国と欧州が次ぐと整理している。[s4]\n\n【動向】\n活動初期は速く、最初の1か月で被害は6件から16件以上に増え、11か国以上に広がった。[s4] Halcyon によれば、2025年11月までの被害は41件以上、月に約7件のペースで、13か国以上に及ぶ。[s4] 夏以降は法務、金融、ビジネスサービスにも対象が広がった。[s4] 2025年8月には政府機関からの警告 AL-2025-082 が出された。[s4] Halcyon は、活動が2025年11月時点でも続いており、手口に大きな変化はないと評価している。[s4]", "techniques": [ { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1016", "name": "System Network Configuration Discovery", "tactic": "Discovery" }, { "id": "T1046", "name": "Network Service Scanning", "tactic": "Discovery" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "Discovery" }, { "id": "T1027", "name": "Obfuscated Files or Information", "tactic": "Defense Evasion" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1070.001", "name": "Indicator Removal: Clear Windows Event Logs", "tactic": "Defense Evasion" }, { "id": "T1070.004", "name": "Indicator Removal: File Deletion", "tactic": "Defense Evasion" }, { "id": "T1543", "name": "Create or Modify System Process", "tactic": "Persistence" }, { "id": "T1567", "name": "Exfiltration Over Web Service", "tactic": "Exfiltration" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" }, { "id": "T1489", "name": "Service Stop", "tactic": "Impact" } ], "tools": [ { "name": "Dire Wolf ransomware (.direwolf)", "kind": "ransomware" }, { "name": "Tox / qTox", "kind": "legit_tool" }, { "name": "gofile.io", "kind": "legit_tool" }, { "name": "UPX", "kind": "legit_tool" }, { "name": "vssadmin", "kind": "legit_tool" }, { "name": "wmic", "kind": "legit_tool" }, { "name": "wbadmin", "kind": "legit_tool" }, { "name": "bcdedit", "kind": "legit_tool" }, { "name": "wevtutil", "kind": "legit_tool" }, { "name": "taskkill", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "tox" ], "anonymization": [ { "kind": "tor", "name": "Tor", "note": "リークサイトと支払い・交渉ポータルの運営に使用", "sourceId": "s4" } ], "contactHandles": [ { "channel": "tox", "value": "B344BECDC01A1282F69CB82979F40439E15E1FD1EF1FE9748EE467F5869E2148E6F1E55959E2" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 }, { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "dragonforce", "createdAt": "2026-10-13T04:01:34+00:00", "updatedAt": "2026-10-13T11:17:10+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/dragonforce", "title": "RansomLook: dragonforce", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:01:34+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:17:10+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T11:17:10+00:00" }, { "id": "s4", "url": "https://www.group-ib.com/blog/dragonforce-ransomware/", "title": "Inside the Dragon: DragonForce Ransomware Group", "publisher": "Group-IB", "kind": "vendor", "retrievedAt": "2026-10-13T11:17:10+00:00" }, { "id": "s5", "url": "https://www.trendaisecurity.com/en-us/resources-insights/deep-research/ransomware-spotlight-dragonforce", "title": "Ransomware Spotlight: DragonForce | TrendAI (US)", "publisher": "trendaisecurity.com", "kind": "news", "retrievedAt": "2026-10-13T11:17:10+00:00" }, { "id": "s6", "url": "https://www.loginsoft.com/post/dragonforce-ransomware-technical-analysis-and-mitigation-strategies", "title": "DragonForce Ransomware: Technical Analysis and Mitigation Strategies", "publisher": "loginsoft.com", "kind": "news", "retrievedAt": "2026-10-13T11:17:10+00:00" }, { "id": "s7", "url": "https://www.levelblue.com/blogs/spiderlabs-blog/the-godfather-of-ransomware-inside-dragonforces-cartel-ambitions", "title": "The Godfather of Ransomware? Inside DragonForce’s Cartel Ambitions", "publisher": "levelblue.com", "kind": "news", "retrievedAt": "2026-10-13T11:17:10+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:01:34+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "DragonForce", "aliases": [ { "name": "Water Tambanakua", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "DragonForce Ransomware Cartel", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mispUuid": "40375ed2-04ec-433f-969d-b9a004c0272e", "ransomlook": "dragonforce" }, "type": "ransomware", "firstSeen": "2023-12-13", "status": { "value": "active", "since": "2023-12-13", "sourceId": "s1" }, "description": "【正体と来歴】\nDragonForce は Trend Micro が Water Tambanakua と追跡する RaaS（Ransomware as a Service）グループである [s5]。ランサムウェアとしての活動は 2023 年 8 月に観測され [s4][s5]、RansomLook の記録では初出は 2023-12-13、連絡手段は tox である。出自には諸説あり、2021 年に政治的主張を始めたマレーシア拠点のハクティビスト集団 DragonForce Malaysia が RaaS に転じたとする報告と、同名の別組織とする報告がある。決定的な関連は確認されておらず、DragonForce Malaysia 側はランサムウェア活動への関与を否定した [s5]。Loginsoft はもともと親パレスチナのハクティビストだったと記している [s6]。\n\n2024 年 6 月 26 日、ハンドル「dragonforce」が地下フォーラム RAMP でアフィリエイト募集を開始し、身代金の 80% をアフィリエイトに渡す条件を示した [s4]。2025 年 3 月 19 日には「DragonForce Ransomware cartel」への移行を発表し、アフィリエイトが独自ブランドを立ち上げつつ同グループのツールや資源を使える体制になった [s5]。Loginsoft は、アフィリエイトが自らのブランドで攻撃しつつ、DragonForce 側がマルウェア展開、リークサイト運営、身代金交渉の基盤を提供し、取り分は 20% と記している [s6]。\n\n【手口】\n初期侵入は技術的な脆弱性悪用と社会的工学の併用である。Loginsoft は、フィッシングメール、偽の SSO ポータル、SIM スワップ、MFA プッシュ爆撃による認証情報の窃取を挙げ、IT ヘルプデスクが狙われることも多いと記している [s6]。悪用が挙げられた脆弱性は CVE-2024-21412、CVE-2024-21887、CVE-2024-21893、CVE-2024-57726、CVE-2024-57727、CVE-2024-57728、CVE-2023-46805、CVE-2021-44228 である [s6]。最近の攻撃では SimpleHelp を悪用して管理サービス事業者（MSP）のネットワークへ波及させた [s6]。英国小売への攻撃では、Scattered Spider が初期アクセスブローカー役、DragonForce が展開と恐喝を担ったとする報告がある [s5]。\n\n侵入後は Cobalt Strike、Mimikatz、SystemBC を使う [s4][s6]。ネットワーク把握には SoftPerfect Network Scanner [s4] や AdFind [s6]、認証情報の窃取には LSASS メモリからの取得（Mimikatz、procdump）[s6]、横展開には RDP や SMB、PsExec が使われる [s6]。防御回避では、脆弱なドライバーを悪用する BYOVD で EDR などを無効化し [s4][s5]、暗号化後には Windows イベントログを消去する [s4]。\n\nペイロードは LockBit 3.0 の流出ビルダー由来のものと、Conti V3 を基にした独自版の 2 系統である [s4][s5]。Windows、Linux、ESXi、NAS 向けの暗号化ツールを作成でき [s5]、LevelBlue は BSD 対応も挙げている [s7]。Windows 版は暗号化後のファイル名に「.locked」を付加し [s5]、Linux/ESXi 版は拡張子「.dragonforce_encrypted」を付ける [s5]。暗号化にはフル、ヘッダー、部分などのモードがあり、開始の遅延指定やドライランも備える [s7]。\n\nデータを窃取して暗号化する二重脅迫を採り、窃取データは SFTP、クラウドストレージ、WebDAV、rclone などで外部へ送られる。支払いがなければリークサイトに公開する [s6]。2025 年 8 月 23 日には「データ分析サービス」を開始した。標的組織と窃取データのリスク監査を行い、恐喝電話の台本や経営層宛書簡の草案などを作成する。手数料は身代金の 0〜23% で、年間売上が 15 million US ドル以上の組織を狙うアフィリエイト向けとされる [s5]。LevelBlue は、データ監査サービスが成功報酬型で提供されていると記している [s7]。\n\n【連絡手段とリークサイト】\n連絡手段は tox で、ID は 1C054B722BCBF41A918EF3C485712742088F5C3E81B2FDD91ADEA6BA55F4A856D90A65E99D20 である。同じ ID は RAMP の募集投稿にも記載されていた [s4]。RansomLook が記録するリークサイト（dls）は hxxp://z3wqggtxft7id3ibr7srivv5gjof5fwg76slewnzwwakjuf3nlhukdid[.]onion で、いずれも停止中である。この .onion は Group-IB が引用した募集投稿のブログ欄にも記載されていた [s4]。\n\nミラーも RansomLook が記録しており、すべて停止中である。\n3pktcrcbmssvrnwe5skburdwe2h3v6ibdnn5kbjqihsg6eu6s6b7ryqd[.]onion\ndragonforxxbp3awc7mzs5dkswrua3znqyx5roefmi4smjrsdi22xwqd[.]onion\nzsglo7t7osxyk3vcl7zxzup7hs4ir52sntteymmw63zvoxzcqytlw7qd[.]onion\n6dgi54prfmpuuolutr4hl3akasxbx4o34g5y2bj4blrvzzkjemhxenad[.]onion\neogeko3sdn66gb7vjpwpmlmmmzfx7umtwaugpf5l6tb5jveolfydnuad[.]onion\newrxgpvv7wsrqq7itfwg5jr7lkc6zzknndmru5su2ugrowxo3wwy5yad[.]onion\n3ro23rujyigqrlrwk3e4keh3a3i6ntgrm3f42tbiqtf7vke47c6a6ayd[.]onion\njziu7k7uee467r2wt66ndrwymmw7tsmqgcqi7aemcaxraqmaf2hdm3yd[.]onion\n2yczff6zyiey3gkgl5anwejktdp73abxbzbnvwobmrwkwgf3hudpyvyd[.]onion\nbpoowhokr3vi32l3t4mjdtdxfrfpigwachopk5ojwmgxihnojhsawuyd[.]onion\ndbvczza7nhwdb5kdvkzjtkrcvwnrt5viw7mihutueprvajy7rxhwq6id[.]onion\nxtcwd3xmxpggtizn7kmwwqeizexflkkyqsytg2kauccau6ddsfa4gfyd[.]onion\n4wcrfql53ljekid3sn66z6swjot725muveddq77utxltaelw64eikfid[.]onion\n73h3lxn24kuayyfkn4t6ij7e67jklo24vqzqdhpts3ygmim7hu6u6aid[.]onion\nnwtetzmrqhxieetg5lvth7szzvg35gfrqt23ly46vku56oo7pkueswyd[.]onion\ndszmdx3jr7vggdaf2c5k4qunt4mxclelhgbtjlgewlkmlnfpsnsg3sad[.]onion\nfsguestuctexqqaoxuahuydfa6ovxuhtng66pgyr5gqcrsi7qgchpkad[.]onion\ndragongoztkdfmnd7jkchznd3fvkpdmeh4vhbt6p3usrlsoy5dw2bhyd[.]onion\nxjhmtitnrdrgzw4vmsghirdoo2fk35a3tzj4enlmah4pvehdspydsiyd[.]onion\nクリアネットのミラーは dragongo[.]org で、こちらも停止中である。\n\n【標的と主な被害】\nGroup-IB によれば、2023 年 8 月から 2024 年 8 月にリークサイトに掲載された被害者は 82 件で、米国が 43 件（52.4%）、英国が 10 件（12.2%）、オーストラリアが 5 件（6%）だった。業種別では製造業 12 件（14.6%）、不動産 11 件（13.4%）、運輸 10 件（12.2%）の順である [s4]。LevelBlue は製造、ビジネスサービス、テクノロジー、建設を主な標的とし、国別では米国、英国、ドイツ、オーストラリア、イタリアに被害が集中するとしている [s7]。Loginsoft が挙げる被害国は米国、オーストラリア、インド、ニュージーランド、シンガポール、カナダ、英国などである [s6]。\n\n2025 年 6 月には、英国の著名な小売企業への攻撃の背後にいると報じられた [s5]。サプライチェーンやサービス事業者も標的にしている [s5]。Loginsoft は、医療の一部を避けるとする「倫理規範」を同グループが主張しているが、どこまで守られているかは明らかでないと記している [s6]。\n\n【動向】\n2025 年 3 月の cartel 宣言の前後に、他の RaaS との関係が表面化した。BlackLock（のち Mamona）の攻撃との関連が指摘され [s5]、LevelBlue は BlackLock のリークサイトが 24 時間以内に改ざんされたと記している [s7]。2025 年 6 月には DevMan ランサムウェアの新しい亜種が確認され、DragonForce と Mamona（BlackLock）の関連をさらに示唆するとされた [s5]。\n\nRansomHub は 2025 年 4 月 1 日にインフラがオフラインになった。DragonForce は RansomHub が cartel に加わったと主張して旧アフィリエイト向けの移行用ポータルまで設けたが、RansomHub は公に否定し、報道官 Koley が妨害や内部の裏切りを非難した [s7]。両者の関係については、敵対的な競争とも資源の統合ともみられ、実態は不透明である [s5]。\n\nLevelBlue は、DragonForce の代表者が LockBit や Qilin など大手ランサムウェア運営に協調を呼びかけ、アフィリエイトの条件を揃えることや、公の対立の解消を提案したと記している。Nova RaaS の代表も関与した形跡があるという [s7]。参加条件も変わり、LevelBlue は事前承認なしで登録できる自動登録サービスが新設されたとしている [s7]。2024 年 7 月 4 日の時点では、Group-IB によれば、アクセスを事前に取得し、その証拠を示し、データを持ち出し済みのアフィリエイトに限って受け入れるとされていた [s4]。Trend Micro は、DragonForce ブランドを使わないアフィリエイト経由の攻撃も今後増えると見ている [s5]。", "techniques": [ { "id": "T1588", "name": "Obtain Capabilities", "tactic": "Resource Development" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1133", "name": "External Remote Services", "tactic": "Initial Access" }, { "id": "T1204", "name": "User Execution", "tactic": "Execution" }, { "id": "T1059.001", "name": "Command & Scripting Interpreter: PowerShell", "tactic": "Execution" }, { "id": "T1204.002", "name": "User Execution: Malicious File", "tactic": "Execution" }, { "id": "T1053.005", "name": "Scheduled Task/Job: Scheduled Task", "tactic": "Persistence" }, { "id": "T1078.002", "name": "Valid Accounts", "tactic": "Persistence" }, { "id": "T1543.003", "name": "Create or Modify System Process: Windows Service", "tactic": "Persistence" }, { "id": "T1547.001", "name": "Boot or Logon AutoStart Execution: Registry Run Keys/Startup Folder", "tactic": "Persistence" }, { "id": "T1021", "name": "Remote Services", "tactic": "Persistence" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1070", "name": "Indicator Removal on Host", "tactic": "Defense Evasion" }, { "id": "T1027", "name": "Obfuscated Files or Information", "tactic": "Defense Evasion" }, { "id": "T1003", "name": "OS Credential Access: LSASS Memory", "tactic": "Credential Access" }, { "id": "T1083", "name": "File & Directory Discovery", "tactic": "Discovery" }, { "id": "T1016", "name": "System Network Configuration Discovery", "tactic": "Discovery" }, { "id": "T1018", "name": "Remote Services Discovery", "tactic": "Discovery" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1482", "name": "Domain Trust Discovery", "tactic": "Discovery" }, { "id": "T1021.001", "name": "Remote Services: Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1071.001", "name": "Application Layer Protocol: Web Protocols", "tactic": "Command and Control" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1657", "name": "Financial Theft", "tactic": "Impact" } ], "tools": [ { "name": "DragonForce ransomware (LockBit 3.0 builder-based)", "kind": "ransomware" }, { "name": "DragonForce ransomware (Conti V3-based)", "kind": "ransomware" }, { "name": "SystemBC", "kind": "malware" }, { "name": "Cobalt Strike", "kind": "malware" }, { "name": "Mimikatz", "kind": "malware" }, { "name": "SoftPerfect Network Scanner", "kind": "legit_tool" }, { "name": "AdFind", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "procdump", "kind": "legit_tool" }, { "name": "rclone", "kind": "legit_tool" }, { "name": "wget", "kind": "legit_tool" }, { "name": "SimpleHelp", "kind": "legit_tool" } ], "cves": [ "CVE-2024-21412", "CVE-2024-21887", "CVE-2024-21893", "CVE-2024-57726", "CVE-2024-57727", "CVE-2024-57728", "CVE-2023-46805", "CVE-2021-44228" ], "related": [ { "actorSlug": "ransomhub", "relation": "possibly_related", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "1C054B722BCBF41A918EF3C485712742088F5C3E81B2FDD91ADEA6BA55F4A856D90A65E99D20" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "eclipse", "createdAt": "2026-10-13T03:56:18+00:00", "updatedAt": "2026-10-13T11:07:35+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/eclipse", "title": "RansomLook: eclipse", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:56:18+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:07:35+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:07:35+00:00" }, { "id": "s4", "url": "https://www.huntress.com/blog/nightmare-eclipse-intrusion", "title": "Nightmare-Eclipse Tooling Moves From Public PoC to Real-World Intrusion", "publisher": "Huntress", "kind": "vendor", "retrievedAt": "2026-10-13T11:07:35+00:00" }, { "id": "s5", "url": "https://www.picussecurity.com/resource/blog/bianlian-ransomware-analysis-the-rise-of-exfiltration-based-extortion", "title": "BianLian Ransomware Analysis - The Rise of Exfiltration-based Extortion", "publisher": "picussecurity.com", "kind": "news", "retrievedAt": "2026-10-13T11:07:35+00:00" }, { "id": "s6", "url": "https://www.adaptivesecurity.com/blog/ransomware-attack-examples", "title": "Ransomware Attack Examples: 50+ Major Breaches, Their Real-World Cost, and the Defenses That Reduce Organizational Expos", "publisher": "adaptivesecurity.com", "kind": "news", "retrievedAt": "2026-10-13T11:07:35+00:00" }, { "id": "s7", "url": "https://cypro.co.uk/insights/cyber-bulletins/eclipse-ransomware-raas-targets-windows-linux-esxi/", "title": "Eclipse Ransomware RaaS Threatens Multiple Platforms", "publisher": "cypro.co.uk", "kind": "news", "retrievedAt": "2026-10-13T11:07:35+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:56:18+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "eclipse", "aliases": [ { "name": "EclipseSupport", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "eclipse" }, "type": "ransomware", "firstSeen": "2026-08-16", "status": { "value": "active", "since": "2026-08-16", "sourceId": "s1" }, "description": "【正体と来歴】\nEclipse は、EclipseSupport という別名の攻撃者が 2026年8月12日 にサイバー犯罪フォーラムで宣伝を始めた Ransomware-as-a-Service（RaaS）である。クロスプラットフォーム型の製品として売り込まれ、複雑な企業環境を狙えると謳っている [s7]。RaaS とは、開発・運営側が攻撃の実行者にランサムウェアやリークサイトなどの攻撃環境を提供し、見返りに身代金の一部を受け取る形態を指す [s2]。Eclipse の取り分は、最初の10件は 90/10、以降は 80/20 の収益配分で、参加費は 300ドル（初回の支払い後に返金）、最低ターゲット規模は 70,000ドルとされる [s7]。アフィリエイトには VirusTotal への検体提出が明示的に禁止されている [s7]。RansomLook は初出を 2026-08-16 と記録し、連絡手段として tox と session を挙げている。\n\n【手口】\n宣伝文によれば、Windows ドメイン環境、Linux サーバー、VMware ESXi、Microsoft Hyper-V、NAS、Nutanix 向けにペイロードを用意し、Veeam バックアップ基盤は無効化の対象になっている [s7]。Windows 版ロッカーは Rust、Linux・NAS・ESXi・Nutanix 版は C++ で開発されたと主張している [s7]。暗号化には ChaCha20 を使い、セッション鍵の保護に Kyber ベースの耐量子鍵交換を用いるとされる [s7]。Active Directory ドメイン内の自動横展開、エンドポイントセキュリティ製品の停止といった防御回避、暗号化前のデータベースサービス・バックアップエージェント・開いているファイルハンドルの終了、Veeam 基盤の無効化ルーチンも機能として挙げられている [s7]。アフィリエイト用の管理パネルでは、キャンペーンの細かな管理、被害者ごとに固有の暗号資産ウォレット（Bitcoin と Monero）、Tor ベースの交渉用アドレス、リークサイトへの直接掲載、身代金交渉用の LiveChat が提供されると説明されている [s7]。今後の追加モジュールとして、クラウド・テープバックアップを狙う自動化、データ窃取機能、FreeBSD/OpenBSD 対応が予告されている [s7]。\n\n【連絡手段とリークサイト】\nRansomLook が記録する連絡先ハンドルは、tox が FDE578D55F8B692C4EB2CB5518C8B4FEE05F1620085F30302D782A2778FBEA12302B1B3EEAF5、session が 0501a73078e4aaca2663f38de0a2397c8e6d8189f30b42bbec7d4e894bd0377766 である。リークサイトとして RansomLook が記録する所在は、eclipse4g5kxfwsvpu4qx5sdcnrji6gxl5gt67bucjlgt35g7akvjoid[.]onion（dls・停止中）、yecdjimqiaekprxza6wkqecma4bwt757qiyfjngsaxg7rkjv4xukpwad[.]onion（mirror）、rxgxga7ycwvxzriw3lkbc44egcbmlkgwlzl66c7va3gqmogsqpifnfyd[.]onion（mirror・停止中）の3件である。\n\n【標的と主な被害】\n宣伝文はエンタープライズやハイブリッドクラウド環境での被害最大化に焦点を当てており、バックアップと仮想化の層を狙う設計だと分析されている [s7]。Cypro は、バックアップと仮想化を使う英国の中小企業にとって、主張された機能は一般的なインフラ構成に関係すると述べている [s7]。確認された被害者の開示はなく、日本の組織名や被害時期を示す記述もない [s7]。\n\n【動向】\n2026年8月12日の初報の時点で、Eclipse は Ransomware[.]live や RansomLook などのリークサイト集計には載っておらず、主要なマルウェアリポジトリやセキュリティ勧告にも検体や技術的指標は見当たらなかったと Cypro は報じた [s7]。既知の攻撃者は EclipseSupport のみで、外部からの帰属付けや概念実証の検体も確認されていない [s7]。Cypro は、実被害の裏付けが乏しいため現時点では検証済みの脅威ではなく監視対象だと位置づけた [s7]。その一方で、RansomLook には 2026-08-16 の初出記録があり、dls と mirror の一部が停止中と記録されている。Cypro は対策として、バックアップリポジトリの不変性と分離、ESXi・Hyper-V の堅牢化とネットワーク分離、Active Directory と仮想化環境での不審な横展開と無許可のプロセス終了の監視を挙げている [s7]。", "techniques": [], "tools": [ { "name": "Eclipse Ransomware (Windows locker, Rust)", "kind": "ransomware" }, { "name": "Eclipse Ransomware (Linux/NAS/ESXi/Nutanix variants, C++)", "kind": "ransomware" } ], "cves": [], "related": [], "contactChannels": [ "tox", "session" ], "contactHandles": [ { "channel": "tox", "value": "FDE578D55F8B692C4EB2CB5518C8B4FEE05F1620085F30302D782A2778FBEA12302B1B3EEAF5" }, { "channel": "session", "value": "0501a73078e4aaca2663f38de0a2397c8e6d8189f30b42bbec7d4e894bd0377766" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "el-dorado", "createdAt": "2026-10-13T03:54:15+00:00", "updatedAt": "2026-10-13T11:07:55+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/el%20dorado", "title": "RansomLook: el dorado", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:54:15+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:07:55+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:07:55+00:00" }, { "id": "s4", "url": "https://reliaquest.com/blog/threat-spotlight-inside-the-worlds-fastest-rising-ransomware-operator-blacklock/", "title": "Threat Spotlight: Inside the World’s Fastest Rising Ransomware Operator — BlackLock", "publisher": "ReliaQuest", "kind": "vendor", "retrievedAt": "2026-10-13T11:07:55+00:00" }, { "id": "s5", "url": "https://www.loginsoft.com/post/the-blacklock-breakdown-tools-tactics-and-the-rivalry-that-brought-it-down", "title": "The BlackLock Breakdown: Tools, Tactics and The Rivalry that brought it down", "publisher": "loginsoft.com", "kind": "news", "retrievedAt": "2026-10-13T11:07:55+00:00" }, { "id": "s6", "url": "https://darkatlas.io/blog/blacklock-ransomware-a-growing-threat-across-industries?utm_source=Securitylabru", "title": "BlackLock Ransomware: A Growing Threat Across Industries", "publisher": "darkatlas.io", "kind": "news", "retrievedAt": "2026-10-13T11:07:55+00:00" }, { "id": "s7", "url": "https://www.hipaajournal.com/blacklock-ransomware/", "title": "Warning Issued BlackLock Ransomware Operation After 1,425% Increase in Data Leaks", "publisher": "hipaajournal.com", "kind": "news", "retrievedAt": "2026-10-13T11:07:55+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:54:15+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "BlackLock", "aliases": [ { "name": "el dorado", "namedBy": "RansomLook", "relation": "candidate", "sourceId": "s1" }, { "name": "El Dorado", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "BlackLocks", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Eldorado", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Mamona", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "GLOBAL GROUP", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mispUuid": "eb8fb25d-ba4f-4970-ae8a-b0020b2b9841", "ransomlook": "el dorado" }, "type": "ransomware", "origin": { "country": "ロシア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2024-06-06", "status": { "value": "dormant", "since": "2024-06-06", "sourceId": "s1" }, "description": "【正体と来歴】\nBlackLock は El Dorado（Eldorado）の名でも知られる RaaS（Ransomware as a Service）型のランサムウェアグループである。ReliaQuest は 2024年3月に初めて観測されたと報告し、HIPAA Journal によればその時点では El Dorado の名で活動し、2024年後半に BlackLock へ改名した [s4][s7]。RansomLook の記録上の初出は 2024-06-06 である。DarkAtlas は 2024年3月にロシア語圏の地下フォーラム RAMP で El Dorado に関連する新しいアフィリエイトプログラムが宣伝され、ランサムウェアのロッカーとローダーを売り込みつつペネトレーションテスターを募集していたと記した [s6]。DarkAtlas は同グループの代表者がロシア語話者だと判断した [s6]。\n\nRAMP では、利用者名「$$$」が BlackLock の代表として振る舞っていた。2025年1月時点の投稿数は 307 件で、RansomHub の運営者の 9 倍にあたる [s4]。ReliaQuest によれば、この活動によって IAB、アフィリエイト、技術者を効率よく集めていた [s4]。マルウェアは Babuk や LockBit の流出ビルダーに頼らず自社開発で、ReliaQuest は Play や Qilin と並ぶ上位グループの特徴と位置づけた [s4]。\n\n【手口】\n初期侵入では、スピアフィッシングメール、悪意ある添付ファイル、侵害された RDP 認証情報が使われる。さらに IAB から、ドメイン管理者の認証情報や Active Directory への足掛かりといった侵害済みアクセスを調達する [s5]。BlackLock は「traffer」を自ら募集しており、他の RaaS が通常アフィリエイトに任せる初期段階を自分たちで握っている。2024年10〜11月の攻撃波の数週間前に、$$$ が RAMP 上で IAB「guccigan」へ Sentinel One の回避可否を尋ねた記録がある [s4]。DarkAtlas は、アフィリエイトに渡すビルダーがドメイン管理者のパスワードまたは NTLM ハッシュといった高い権限を要求すると述べた [s6]。\n\n侵入後は PowerShell と PsExec でリモート実行し、認証情報の窃取と Pass-the-Hash（PtH）で横展開する [s5]。ReliaQuest は ESXi サービスアカウント「vpxuser」の不審なログオンとシャドウコピー削除を監視対象に挙げた [s4]。暗号化は ChaCha20 でファイル内容を、RSA-OAEP で鍵を処理する。ファイル名はランダム文字列に変更され、固有の拡張子が付く [s5][s6]。マルウェアは Go 言語製で、SMB 経由で共有ネットワーク上のファイルも暗号化する [s6]。対象は Windows、VMware ESXi、Linux で、Linux 版は Windows 版より機能が少ない [s4]。\n\n二重脅迫では、暗号化の前後に機密データを窃取し、公開をちらつかせて支払いを迫る [s4][s5]。身代金メモは「HOW_RETURN_YOUR_DATA.TXT」で、ビットコインでの支払いを求め、窃取ファイルの一覧提示と 1 ファイルの無料復号を提示する。再起動やファイル名変更は復旧不能になると警告する [s5]。リークサイトにも圧力の仕掛けがあり、フォルダ名取得の GET が速すぎると応答を止め、自動化されたダウンロードには連絡先だけを記した空ファイルを返す。ReliaQuest は、被害組織が被害範囲を把握する前に支払わせる狙いと分析した [s4]。\n\nデータの退避先には MEGA が使われ、少なくとも 8 つの MEGA アカウントが確認された。被害サーバーに MEGA クライアントを直接導入した例もある [s5]。ReliaQuest は、BlackLock が Microsoft の Entra Connect を悪用する方向へ転じる可能性を指摘した [s4]。\n\n【連絡手段とリークサイト】\nRansomLook が記録する連絡手段は、tox（tox:667798F921A68529C74094664C1B890D4E1156C4588906071398FA4F76C2095C0BF34A4C5D9C）、Telegram（hxxps://t[.]me/BlackLockChanel）、メール（blacklock@cyberfear[.]com）である。loginsoft は、暗号化された Telegram チャンネルで活動を調整していると述べた [s5]。RAMP 上でも Tox での個別連絡を求める投稿が確認されている [s4]。\n\nRansomLook はリークサイト（dls）1 件とミラー 5 件を記録しており、いずれも停止中である。リークサイトは hxxp://dataleakypypu7uwblm5kttv726l3iripago6p336xjnbstkjwrlnlid[.]onion、ミラーは次のとおり。\nhxxp://panelqbinglxczi2gqkwderfvgq6bcv5cbjwxrksjtvr5xv7ozh5wqad[.]onion\nhxxp://panela3eefdzfzxzxcshfnbustdprtlhlbe3x2fqomdz7t33iqtzvjyd[.]onion\nhxxp://26ubgm3vvrjawkdyfhvl2d2nhq77nu3zsagbih4yy2zgau5uv5ivfgyd[.]onion\nhxxp://zdkexsh2e7yihw5uhg5hpsgq3dois2m5je7lzfagij2y6iw5ptl35gyd[.]onion\nhxxp://4ozbomcjurd64vgeblkoqeqirvawi3dddswriw6qespscmequmqlshyd[.]onion\n\n【標的と主な被害】\nloginsoft は、被害業種を技術、建設、製造、金融、政府、不動産、防衛、医療、小売とし、被害国に米国、カナダ、スペイン、日本、イタリア、クロアチア、ブラジル、UAE、プエルトリコ、英国、オランダ、アルゼンチン、アルバ、ペルー、ドイツを挙げた。2025年6月時点で既知の被害者は少なくとも 60 とされる [s5]。DarkAtlas は 2025年の最初の 2 か月で 48 件の攻撃を数え、建設と不動産が頻繁に狙われ、政府機関が攻撃のおよそ 4 分の 1 を占めると述べた。IT サービス事業者は、1 度の侵害で下流の顧客企業へ波及できるため狙われやすいという [s6]。El Dorado の被害例として、ERP を手がける IT サービス企業 Acumen Group が挙げられている [s6]。\n\nHIPAA Journal は、リークサイトの掲載を見る限り医療機関は標的ではないが、医療機関にサービスを提供する企業は含まれると指摘した [s7]。日本の組織名と時期を具体的に示す記述は、与えられた出典にはない。\n\n【動向】\nReliaQuest によれば、2024年第4四半期にはリークサイト上で 7 番目に活発なランサムウェアグループとなり、第3四半期比で 1,425% の増加を記録した。2025年1月には 5 位へ上がった [s4][s7]。攻撃波は 2024年6月に 16 件（同年の 23%）、2024年11月18日〜12月18日に 10 件（同 15%）で、いずれも直前に RAMP で募集投稿があった [s4]。\n\n転機は 2025年に訪れた。Resecurity がリークサイトのローカルファイルインクルージョン（LFI）の脆弱性を突き、システム設定、シェルコマンド履歴、クリアネットの公開 IP、46 件の被害者データを入手したと loginsoft は伝えた [s5]。2025年3月20日にはリークサイトが競合の DragonForce によって改ざんされた。前日には Mamona のリークサイトも改ざんされている。loginsoft は、DragonForce が BlackLock のインフラとアフィリエイト網を引き継いだ可能性があるとしつつ、協力関係なのか支配権の移転なのか決め手はないと述べた。$$$ はこれらの混乱に目立った反応を示さず、事前に侵害を把握して静かに撤退したと同社は見ている [s5]。RansomLook の記録では、リークサイトとミラーはすべて停止中である。\n\nなお DarkAtlas は、BlackLock が El Dorado の改名版で、Babuk から BabLock、REvil から BlackMatter への移行と同様に、当局や研究者の監視を逃れる狙いがあるとの見方を示した [s6]。", "techniques": [ { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1566.001", "name": "Phishing: Spearphishing Attachment", "tactic": "Initial Access" }, { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1059.001", "name": "Command and Scripting Interpreter: PowerShell", "tactic": "Execution" }, { "id": "T1569.002", "name": "System Services: Service Execution", "tactic": "Execution" }, { "id": "T1550.002", "name": "Use Alternate Authentication Material: Pass the Hash", "tactic": "Defense Evasion" }, { "id": "T1036", "name": "Masquerading", "tactic": "Defense Evasion" }, { "id": "T1003", "name": "OS Credential Dumping", "tactic": "Credential Access" }, { "id": "T1021.002", "name": "Remote Services: SMB/Windows Admin Shares", "tactic": "Lateral Movement" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration" }, { "id": "T1565.001", "name": "Data Manipulation: Stored Data Manipulation", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" } ], "tools": [ { "name": "BlackLock ransomware", "kind": "ransomware" }, { "name": "PowerShell", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "MEGA", "kind": "legit_tool" } ], "cves": [], "related": [ { "actorSlug": "dragonforce", "relation": "possibly_related", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "tox", "telegram", "email" ], "anonymization": [ { "kind": "tor", "name": "Tor", "note": "リークサイトとミラーを .onion で運用していた [s5]", "sourceId": "s5" } ], "contactHandles": [ { "channel": "tox", "value": "tox:667798F921A68529C74094664C1B890D4E1156C4588906071398FA4F76C2095C0BF34A4C5D9C" }, { "channel": "telegram", "value": "hxxps://t[.]me/BlackLockChanel" }, { "channel": "email", "value": "blacklock@cyberfear[.]com" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "everest", "createdAt": "2026-10-13T04:00:30+00:00", "updatedAt": "2026-10-13T11:08:33+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/everest", "title": "RansomLook: everest", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:00:30+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:08:33+00:00" }, { "id": "s3", "url": "https://www.halcyon.ai/threat-group/everest", "title": "Everest", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:08:33+00:00" }, { "id": "s4", "url": "https://www.halcyon.ai/jp/ransomware-alerts/alert-everest-group-targeting-critical-infrastructure", "title": "Everestグループが重要インフラを標的に", "publisher": "Halcyon", "kind": "vendor", "retrievedAt": "2026-10-13T11:08:33+00:00" }, { "id": "s5", "url": "https://www.mbsd.jp/report/files/MBSD_Ransomware_Statistics_CIG_MonthlyReport_2024_05_JPN_Rev.1.00.pdf", "title": "暴露型ランサムウェア攻撃統計 2024", "publisher": "三井物産セキュアディレクション", "kind": "vendor", "retrievedAt": "2026-10-13T11:08:33+00:00" }, { "id": "s6", "url": "https://www.hipaajournal.com/everest-ransomware-warning-healthcare/", "title": "Healthcare Sector Warned About Everest Ransomware Group", "publisher": "hipaajournal.com", "kind": "news", "retrievedAt": "2026-10-13T11:08:33+00:00" }, { "id": "s7", "url": "https://zensec.au/everest-ransomware/", "title": "Everest ransomware - Zensec AU", "publisher": "zensec.au", "kind": "news", "retrievedAt": "2026-10-13T11:08:33+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:00:30+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "everest", "aliases": [ { "name": "Everest Ransomware Group", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "EverBe 2.0", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "everest" }, "type": "ransomware", "origin": { "country": "ロシア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2021-09-09", "status": { "value": "active", "since": "2021-09-09", "sourceId": "s1" }, "description": "【正体と来歴】\nEverest は Everest Ransomware Group や EverBe 2.0 の名でも知られる攻撃グループである。出典の記述には食い違いがある。HIPAA Journal は 2020年12月に初めて確認されたとし、ブラジル政府や NASA などの著名な標的への攻撃で知られるようになったと伝えた [s6]。Halcyon は 2020年の活動開始と記し、ロシア語圏で金銭を動機とするグループで、データ窃取・恐喝・初期アクセスブローカー活動を行うと説明した [s4]。Zensec AU は 2022年に初めて現れたと記した [s7]。RansomLook の記録上の初出は 2021-09-09 である。\n\n当初はデータ窃取を中心とし、ランサムウェアの使用は近年の攻撃に限られた [s6]。2022年後半からは初期アクセスブローカー (IAB) としての専門化が進んだ [s6]。IAB は侵入した企業ネットワークのアクセス権を他の攻撃者に売る役割である。HIPAA Journal は、暗号化ツールを持つ集団がアクセスを売る例は珍しいと指摘し、目立たず法執行機関の注意を避ける狙いがありうるとした [s6]。暗号化ツールの解析では BlackByte ランサムウェアとの類似が見つかっており、Halcyon も BlackByte の系譜に連なる特徴として、鍵を各ホストでローカル生成する点を挙げた [s3][s6]。Ransomed など他のランサムウェアグループとの協力も知られている [s6]。なお MBSD は、監視対象のランサムウェア攻撃グループの一つに Everest を挙げている [s5]。\n\n【手口】\n初期侵入では、MFA のない RDP や脆弱な VPN エンドポイントなど、インターネットに公開されたリモートサービスを狙う。Halcyon は特定の CVE の悪用は確認されていないとする [s3]。正規アカウントの入手経路は三つある。他の IAB からの購入、クレデンシャルスタッフィング、企業内部者の募集である [s3]。内部者の募集は 2023年10月に確認され、現金や利益分配を示して直接のネットワークアクセスを求めた [s3]。HIPAA Journal によれば、提供を求めるアクセス形態は shell、vnc、hvnc、RDP with VPN、各種リモートアクセスソフトで、他の犯罪者からの購入も確認されている [s6]。2025年の攻撃では、窃取または内部者から得た認証情報を使い、サプライヤーが管理するファイル転送システムへ侵入して機密データを盗み、被害者を恐喝している [s4]。Zensec AU は、RDP の悪用やクラウドバックアップ・サーバーへのアクセス試行を観測したと述べた [s7]。\n\n侵入後の探索には netscan.exe、netscanpack.exe、SoftPerfect Network Scanner を使い、トポロジー、ドメインコントローラー、ファイルサーバーを把握する [s3][s6]。出力は C:\\Users\\Public\\Downloads\\ に subnets.txt と trustdumps.txt として保存し、処理後に削除する [s3]。永続化と予備の C&C には AnyDesk、Splashtop、Atera の三つを Windows サービスとして毎回導入し、Cobalt Strike とは独立した経路を確保する [s3]。Cobalt Strike は HTTPS でポート 8080（ビーコン配布）と 10443（C2）を使い、PowerShell で配備する。過去のインフラとして AWS EC2 の 3.22.79[.]23、18.193.71[.]144 と、欧州の 45.84.0[.]164 が挙げられている [s3]。\n\n認証情報の窃取では、ProcDump で LSASS メモリを取得するコマンドを一貫して使い、NTDS[.]dit を ntds.dit.zip にまとめて持ち出す [s3]。横展開は侵害した正規アカウントでの RDP による [s3][s6]。データは WinRAR でアーカイブし、Splashtop のファイル転送で流出させる [s3][s6]。各段階の後にツール、出力ファイル、アーカイブ、ダンプを削除する点が特徴とされる [s3][s6]。\n\n暗号化では AES と DES の併用で、拡張子は .EVEREST または .everest、ランサムノートは EVEREST LOCKER .txt である [s3]。窃取と暗号化を組み合わせる二重脅迫を行い、ダークウェブのリークサイトでの公開を示して脅す [s3][s6]。圧力手段は、サンプル、一部、全体と段階的に公開すること、カウントダウンタイマー、規制当局への通報の示唆である [s3]。医療機関には 24時間の期限を設ける [s3]。2024年以降は暗号化を伴わないデータ恐喝への移行も見られ、最近の投稿にはパスワード保護が付く [s3]。\n\n【連絡手段とリークサイト】\nRansomLook の記録では、連絡手段は jabber、tox、email である。jabber は everestgrp@exploit[.]im と everestgrp@thesecure[.]biz、otr/omemo にも対応する。tox ID は 99D176DB79C7DB2A708F680C460CA48540230AA103F1EF69A26EBFE29661C933918DE7852521 である。メールは everestblog@cock[.]li、evrstgroup@onionmail[.]org、everestaf@onionmail[.]org である。\n\nリークサイトは RansomLook の記録で、本体 (dls) と 6 件のミラーがいずれも停止中である。本体は hxxp://ransomocmou6mnbquqz44ewosbkjk3o5qjsl3orawojexfook2j7esad[.]onion である。ミラーは hxxp://ransomoefralti2zh5nrv7iqybp3d5b4a2eeecz5yjosp7ggbepj7iyd[.]onion、hxxp://2vqamwfdpis5rkjtpkutigykp56n6hkxfurm6qukdxp6uz5uff5kkaid[.]onion、hxxp://bifpwatchoxp7tsb2kpes37b23ogjrb2kj4wgr7yncf4hhgsfahu7jad[.]onion、hxxp://aihvh6j6fbkfjyc6jqbsh2ed4s3rym2v2pu6kd3z3exdso2xc2qwcuqd[.]onion、hxxp://gxp6yt3wdj7yky27j37jfrrbkuy24n2zo5uxyuoy23uf76d6m2gnfpid[.]onion、hxxp://everestndkvzcibcje2cqxhre2hmmybl3rn2gwzwsblz7gx6uryn5rad[.]onion である。\n\n【標的と主な被害】\n米国、カナダ、欧州の組織が内部者募集の対象とされた [s3]。HIPAA Journal によれば、リークサイトには 120 件超の被害者が掲載され、約 34% が米国、そのうち約 27% が医療業界である。2021年4月から 2024年7月の間に医療機関への攻撃が少なくとも 20 件あり、医用画像の提供者が不釣り合いに多く狙われた [s6]。同グループは Gramercy Surgery Center（ニューヨーク）への攻撃の背後にいたとされ、Horizon View Medical Center（ラスベガス）、2K Dental（オハイオ）、Prime Imaging（テネシー）、Stages Pediatric Care（フロリダ）への攻撃も主張した [s6]。\n\n文書化された標的には、医療記録（医療）、顧客データ（金融）、法的文書（法律事務所）、知的財産（製造）がある [s3]。Zensec AU も法律事務所、医療機関、金融サービスを挙げている [s7]。2025年にはスウェーデン、アイルランド、サウジアラビア、米国のエネルギー・航空・通信分野の主要組織への攻撃やデータ窃取を主張しており、Halcyon は重要インフラへの攻撃を積極的に行っていると記した [s4]。参考資料にはスウェーデンの電力グリッド事業者のデータ侵害確認とダブリン空港への攻撃の報道が含まれる [s4]。出典に日本の被害組織名や時期の記載はない。\n\n【動向】\nHalcyon は、2025年7月から 10月を 2020年の活動開始以来で最も活発な時期と位置づけた [s4]。2024年以降は暗号化を伴わないデータ恐喝への移行が見られる [s3]。出典間で活動開始時期が異なる点と、リークサイトの全アドレスが RansomLook 上で停止中と記録されている点は留意が必要である。", "techniques": [ { "id": "T1133", "name": "External Remote Services", "tactic": "Initial Access" }, { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1046", "name": "Network Service Discovery", "tactic": "Discovery" }, { "id": "T1219", "name": "Remote Access Software", "tactic": "Command and Control" }, { "id": "T1070.004", "name": "Indicator Removal: File Deletion", "tactic": "Defense Evasion" }, { "id": "T1003.001", "name": "OS Credential Dumping: LSASS Memory", "tactic": "Credential Access" }, { "id": "T1003.003", "name": "OS Credential Dumping: NTDS", "tactic": "Credential Access" }, { "id": "T1071.001", "name": "Application Layer Protocol: Web Protocols", "tactic": "Command and Control" }, { "id": "T1021.001", "name": "Remote Services: Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration" }, { "id": "T1543.003", "name": "Create or Modify System Process: Windows Service", "tactic": "Persistence" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" } ], "tools": [ { "name": "Cobalt Strike", "kind": "malware" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "Splashtop", "kind": "legit_tool" }, { "name": "Atera", "kind": "legit_tool" }, { "name": "SoftPerfect Network Scanner", "kind": "legit_tool" }, { "name": "netscan.exe", "kind": "legit_tool" }, { "name": "netscanpack.exe", "kind": "legit_tool" }, { "name": "ProcDump", "kind": "legit_tool" }, { "name": "WinRAR", "kind": "legit_tool" }, { "name": "Everest ransomware (EVEREST LOCKER)", "kind": "ransomware" } ], "cves": [], "related": [], "contactChannels": [ "jabber", "tox", "email" ], "contactHandles": [ { "channel": "jabber", "value": "everestgrp@exploit[.]im\r\neverestgrp@thesecure[.]biz\r\notr/omemo" }, { "channel": "tox", "value": "99D176DB79C7DB2A708F680C460CA48540230AA103F1EF69A26EBFE29661C933918DE7852521" }, { "channel": "email", "value": "everestblog@cock[.]li\r\nevrstgroup@onionmail[.]org\r\neverestaf@onionmail[.]org" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 9, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "exitium", "createdAt": "2026-10-13T03:25:02+00:00", "updatedAt": "2026-10-13T11:17:41+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/exitium", "title": "RansomLook: exitium", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:25:02+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T11:17:41+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T11:17:41+00:00" }, { "id": "s4", "url": "https://eset-info.canon-its.jp/malware_info/special/detail/260714.html", "title": "リークサイトでの情報暴露と圧力強化で企業を追い詰めるランサムウェアの手口 | サイバーセキュリティ情報局", "publisher": "キヤノンMJ / ESET", "kind": "vendor", "retrievedAt": "2026-10-13T11:17:41+00:00" }, { "id": "s5", "url": "https://digitalrecovery.com/en/decrypt-ransomware/exitium/", "title": "Exitium", "publisher": "digitalrecovery.com", "kind": "news", "retrievedAt": "2026-10-13T11:17:41+00:00" }, { "id": "s6", "url": "https://www.pcrisk.com/removal-guides/35134-exitium-ransomware", "title": "Exitium Ransomware", "publisher": "pcrisk.com", "kind": "news", "retrievedAt": "2026-10-13T11:17:41+00:00" }, { "id": "s7", "url": "https://jp.security.ntt/insights_resources/security_magazine/what-is-ransomware/", "title": "【ランサムウェアとは】企業の事業継続を脅かす脅威｜最新手口、感染経路、必須対策、復旧までを徹底解説", "publisher": "jp.security.ntt", "kind": "news", "retrievedAt": "2026-10-13T11:17:41+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:25:02+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "exitium", "aliases": [], "externalIds": { "ransomlook": "exitium" }, "type": "ransomware", "firstSeen": "2026-03-12", "status": { "value": "unknown", "since": "2026-03-12", "sourceId": "s1" }, "description": "【正体と来歴】\nExitium（エクシティウム）は、RansomLook に初出 2026-03-12 として記録されたランサムウェアの攻撃グループである。pcrisk[.]com は、VirusTotal にアップロードされたマルウェア検体の調査でこのランサムウェアを見つけたと説明している [s6]。暗号化したファイルには「.exitium」拡張子が付く [s6]。RaaS として運営されているかどうかを示す記述はなく、名称の由来や運営者の素性を示す記述もない。\n\n【手口】\nExitium に感染すると、例えば「1[.]jpg」は「1.jpg[.]exitium」、「2[.]png」は「2.png[.]exitium」に改名される。脅迫文は「YOU ARE UNDER ATTACK!.html」として残される [s6]。脅迫文は「Hello, Management!」と経営層に呼びかけ、パスポート、ID、従業員、医療関連などのデータを暗号化したと主張する [s6]。\n\n交渉の圧力手段は期限である。脅迫文は 168 時間以内に連絡しなければファイルは永久に暗号化されたままになると告げ、暗号化ファイルの削除や改変は復号を不可能にすると警告する [s6]。警察や FBI への通報は無意味で、支払いを禁じられ、復号の機会を失うだけだとも主張する [s6]。さらに、支払い後にデータを返すと保証し、自分たちはハクティビストでも政治的動機を持つ者でもないと述べる [s6]。交渉と支払いは秘密にし、保有データも削除すると約束している [s6]。脅迫文は自らのブログ（Tor リンク）にも言及しているが、リンクの記載は空欄である [s6]。pcrisk[.]com は、盗んだデータの一覧を載せたリークサイトの画面も掲載している [s6]。一般に、リークサイトは Tor 経由でアクセスされ、盗んだデータの一部を公開して被害企業を脅す場である [s4]。pcrisk[.]com の脅威概要では、検出名として Avast、Combo Cleaner、ESET-NOD32、Kaspersky、Microsoft の名が挙がり、無償の復号ツールは存在しない [s6]。\n\n初期侵入の経路を特定した記述はない。pcrisk[.]com は一般論として、メール添付、偽の技術サポート、未更新ソフトの悪用などを配布経路の例に挙げているが、Exitium 固有の確認ではない [s6]。\n\n【連絡手段とリークサイト】\nRansomLook が記録する連絡手段は tox、telegram、email の 3 つである。\n\n脅迫文の Tox ID は 0932023CDBDC780B80B4772D22975C9AAD6D1A5921AA4C746C9E4851A307DE1888A6F56FDFBE で、RansomLook の tox ハンドルと一致する [s6]。脅迫文は、qTox のインストーラ（hxxps://github[.]com/TokTok/qTox/releases/download/v1.18.3/setup-qtox-x86_64-release[.]exe）を示し、「Add Friend」から上記 Tox ID へ申請するよう指示している [s6]。\n\nRansomLook には、Telegram が hxxps://t[.]me/exitiumCORP、メールが blushaimee@proton[.]me と記録されている。\n\nリークサイト（dls）の所在は RansomLook によれば m3ksukzn2glzfdvlusohril7n3iyk4z4fudf6mm22lwhpbpt5aiee5qd[.]onion で、現在は停止中である。\n\n【標的と主な被害】\n標的の地域や業種、被害組織名を特定した記述はない。脅迫文が挙げるパスポート、ID、従業員、医療関連のデータは、個人情報を扱う組織を意識した文面である [s6]。一方、digitalrecovery[.]com は、Exitium が医療、製造、教育、金融などの分野に影響を与えると記している [s5]。ただし同社は復旧サービスの事業者であり、この記述は被害の裏付けまで示したものではない。日本の組織の被害を示す記述もない。\n\n【動向】\nRansomLook の記録では、初出は 2026-03-12 である。リークサイトは現在停止中と記録されている。摘発、逮捕、改名、他グループとの提携を示す記述は見当たらない。復旧事業者の digitalrecovery[.]com は、Exitium の被害を受けたファイルの復旧に自社の独自技術 TRACER で対応できると案内している [s5]。pcrisk[.]com は、無償の復号ツールはなく、身代金は支払わないよう勧めている [s6]。警察庁は、データを暗号化せずに窃取して対価を要求する「ノーウェアランサム」の被害も確認されていると説明している [s2]。", "techniques": [], "tools": [ { "name": "Exitium", "kind": "ransomware" }, { "name": "qTox", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "tox", "telegram", "email" ], "anonymization": [ { "kind": "tor", "name": "Tor", "note": "リークサイトをTorのonionサービスとして運営。身代金交渉にはTox（qTox）を利用", "sourceId": "s5" } ], "contactHandles": [ { "channel": "tox", "value": "0932023CDBDC780B80B4772D22975C9AAD6D1A5921AA4C746C9E4851A307DE1888A6F56FDFBE" }, { "channel": "telegram", "value": "hxxps://t[.]me/exitiumCORP" }, { "channel": "email", "value": "blushaimee@proton[.]me" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "funksec", "createdAt": "2026-10-13T03:57:59+00:00", "updatedAt": "2026-10-13T05:02:01+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/funksec", "title": "RansomLook: funksec", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:57:59+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:02:01+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/jp-security/24/f/expertview-20240617-01.html", "title": "事例にみる国内に被害をもたらす2大ランサムウェア攻撃者グループ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:02:01+00:00" }, { "id": "s4", "url": "https://research.checkpoint.com/2025/funksec-alleged-top-ransomware-group-powered-by-ai/", "title": "FunkSec – Alleged Top Ransomware Group Powered by AI", "publisher": "Check Point", "kind": "vendor", "retrievedAt": "2026-10-13T05:02:01+00:00" }, { "id": "s5", "url": "https://www.picussecurity.com/resource/blog/funksec-raas-operations-hacktivism-meets-cybercrime", "title": "FunkSec RaaS Operations: Hacktivism Meets Cybercrime", "publisher": "picussecurity.com", "kind": "news", "retrievedAt": "2026-10-13T05:02:01+00:00" }, { "id": "s6", "url": "https://cyberflorida.org/funksec-a-top-ransomware-group-leveraging-ai/", "title": "FunkSec: A Top Ransomware Group Leveraging AI", "publisher": "cyberflorida.org", "kind": "news", "retrievedAt": "2026-10-13T05:02:01+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:57:59+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "FunkSec", "aliases": [ { "name": "Funklocker", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Scorpion", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "DesertStorm", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mispUuid": "052519d2-1a4f-49d1-abe6-baffce51fedb", "ransomlook": "funksec" }, "type": "ransomware", "origin": { "country": "アルジェリア", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2024-12-04", "status": { "value": "active", "since": "2024-12-04", "sourceId": "s1" }, "description": "FunkSec は2024年後半に登場したランサムウェアグループである。Check Point によれば、2024年12月に85件超の被害者を公開し、その月はどのランサムウェアグループよりも多かった [s4]。自らを新たな RaaS として打ち出しているが、既知のランサムウェア集団との関係は見つかっていない [s4]。RansomLook の記録では初出は2024年12月4日である。\n\nデータリークサイト（DLS）は2024年12月に立ち上げられ、活動を一元化する目的だった [s4][s5]。DLS には侵害の告知、自作の DDoS ツール、そして最近では RaaS として提供される自作ランサムウェアが掲載されている [s4]。動機はハクティビズムとサイバー犯罪の境界にあり、構成員の一部は以前ハクティビスト活動に関わっていた [s4]。Check Point は、中核の運用は経験の浅い者が担っている可能性が高いと評価している [s4]。暗号化ツールの作者はアルジェリアにいる比較的未熟な人物とみられ、ツールの開発には AI の支援があった可能性が高いという [s4]。Picus も、LLM 支援による開発と、Miniapps プラットフォームで悪用目的のカスタム AI チャットボットを作っていた点を指摘している [s5]。\n\n中心人物は Scorpion で、別名は DesertStorm である [s4]。2024年10月に Breached Forum と YouTube チャンネル経由で FunkSec の名を出し、AI 生成とみられる偽の通話音声を「流出」と称して公開した [s4]。DesertStorm は同フォーラムのアカウントが2024年11月に BAN され、その後は El_farado が宣伝役を担った [s4]。ほかに XTN（データ整理サービスに関連）、Blako、Bjorka との緩い関係も挙げられる [s4]。Bjorka との協力は確認されておらず、なりすましか緩い関係にとどまる可能性がある [s4]。Ghost Algéria や Cyb3r Fl00d など、すでに活動していないハクティビスト集団との関連を示す形跡も、ランサムノートなどに見られる [s4]。\n\n手口として、Check Point と Picus は、Rust 製の暗号化ツールが管理者権限を net session で確認し、なければ PowerShell で昇格を試みると述べている [s5]。続いて Windows Defender のリアルタイム監視を無効化し、Security と Application のイベントログ記録を停止し、PowerShell の実行ポリシーを回避し、vssadmin でシャドウコピーを削除する [s5]。ファイルロックを避けるため、あらかじめ定めたプロセスとサービスの一覧を停止する [s5]。暗号化は全ドライブを再帰的に走査して行い、拡張子は .funksec である [s4][s5]。Picus は暗号方式に orion.rs クレートの ChaCha20 を使うとし [s5]、Check Point が分析した初期のプロトタイプは RSA と AES の組み合わせだった [s4]。ビルド環境のパスには C:\\Users\\Abdellah\\ が含まれていた [s4]。\n\nデータ窃取と暗号化を組み合わせた二重脅迫を行い、身代金は最低約1万ドルと異例に低額で、盗んだデータも安価に第三者へ売ると報告されている [s4][s5]。ランサムノートは絵文字を多用し、0.1 BTC の支払いと、連絡手段として Session の利用を指示している [s5]。RansomLook は連絡手段を Session とし、ハンドルは 0538d726ae3cc264c1bd8e66c6c6fa366a3dfc589567944170001e6fdbea9efb3d としている。Scorpion 関連の窓口として hxxps://miniapps[.]ai/funksec が挙げられている [s6]。DLS は hxxp://funknqn44slwmgwgnewne6bintbooauwkaupik4yrlgtycew3ergraid[.]onion/ と hxxp://funkiydk7c6j3vvck5zk2giml2u746fa5irwalw2kjem6tvofji7rwid[.]onion/ が報告され、マルウェアの配布先として hxxps://gofile[.]io/d/8FOSeP も挙げられた [s6]。付随ツールは、Python 製の DDoS ツール FDDOS、C++ 製の HVNC である JQRAXY_HVNC、資格情報の収集・生成ツール funkgenerate である [s4][s5]。初期侵入について、cyberflorida は T1193、T1203、T1189 に基づくスピアフィッシング、クライアント側脆弱性の悪用、ドライブバイ、さらに偽ツールを装う torrent サイトを挙げている [s6]。ただし同資料は、情報が限られていると断っている [s6]。\n\n標的は主に米国とインドで、「Free Palestine」運動に沿った主張を伴うと主張されている [s4][s5]。cyberflorida は、政府、医療、製造、メディア、技術の各分野を標的として挙げる [s6]。出典には日本の組織名や被害時期の記載はない。Check Point は、公開された被害者数は実態より小さい可能性があり、流出データの一部は過去のハクティビスト関連の漏えいを使い回したものとして、真正性に疑問を呈している [s4]。\n\n動向として、同グループは2024年12月に被害公表を急増させて注目を集め、サイバー犯罪フォーラムでも広く話題になった [s4]。ランサムウェアは数日おきに新版を公開し、V1.5 の告知ではウイルス検知が3エンジンにとどまると誇示した [s4]。Check Point はこのことから、被害者数などの主張に頼ったグループ評価の信頼性に疑問を投げかけている [s4]。", "techniques": [ { "id": "T1193", "name": "Spearphishing Attachment", "tactic": "Initial Access" }, { "id": "T1203", "name": "Exploitation for Client Execution", "tactic": "Execution" }, { "id": "T1189", "name": "Drive-by Compromise", "tactic": "Initial Access" }, { "id": "T1204", "name": "User Execution", "tactic": "Execution" }, { "id": "T1059", "name": "Command and Scripting Interpreter", "tactic": "Execution" }, { "id": "T1071", "name": "Application Layer Protocol", "tactic": "Command and Control" }, { "id": "T1053", "name": "Scheduled Task/Job", "tactic": "Persistence" }, { "id": "T1548", "name": "Abuse Elevation Control Mechanism", "tactic": "Privilege Escalation" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1489", "name": "Service Stop", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" } ], "tools": [ { "name": "FunkSec ransomware (.funksec)", "kind": "ransomware" }, { "name": "FDDOS (Scorpion DDoS Tool)", "kind": "malware" }, { "name": "JQRAXY_HVNC", "kind": "malware" }, { "name": "funkgenerate", "kind": "malware" }, { "name": "Session", "kind": "legit_tool" }, { "name": "PowerShell", "kind": "legit_tool" }, { "name": "vssadmin", "kind": "legit_tool" }, { "name": "wevtutil", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "session" ], "contactHandles": [ { "channel": "session", "value": "0538d726ae3cc264c1bd8e66c6c6fa366a3dfc589567944170001e6fdbea9efb3d" }, { "channel": "other", "value": "hxxps://miniapps[.]ai/funksec" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "gunra", "createdAt": "2026-10-13T03:53:49+00:00", "updatedAt": "2026-10-13T05:02:33+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/gunra", "title": "RansomLook: gunra", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:53:49+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-222a", "title": "#StopRansomware: Gunra Ransomware | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T05:02:33+00:00" }, { "id": "s3", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:02:33+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:02:33+00:00" }, { "id": "s5", "url": "https://www.cyfirma.com/research/gunra-ransomware-a-brief-analysis/", "title": "Gunra Ransomware – A Brief Analysis - CYFIRMA", "publisher": "cyfirma.com", "kind": "news", "retrievedAt": "2026-10-13T05:02:33+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:53:49+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 4 件で書き直し（自動）" } ], "name": "gunra", "aliases": [ { "name": "Golden Community", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "gunra" }, "type": "ransomware", "firstSeen": "2025-04-23", "status": { "value": "active", "since": "2025-04-23", "sourceId": "s1" }, "description": "Gunra は2025年4月に登場したランサムウェアで、漏えいした Conti のソースコードに由来し、または強く影響を受けているとされる[s2][s5]。RansomLook の記録では初出は2025年4月23日で、連絡手段は tox とメールである。米FBIは2025年4月に初めて観測し、Tor 上にリークサイト（DLS）を早期に開設して被害組織の一覧と窃取データの公開に使わせたと説明する[s2]。CYFIRMA は2025年4月に出現した金銭目的の攻撃者とし、解析した検体のコンパイル時刻を2025年4月10日（UTC）としている[s5]。CISA は2026年1月時点で正式な RaaS アフィリエイト制度が始まったとし、アフィリエイトには管理パネル、設定可能なビルダー、クロスプラットフォームのロッカー、体系的な手引きが提供されると述べる[s2]。FBI は Golden Community という別ブランドでの活動も観測した[s2]。\n\n手口として、FBI は初期侵入の主経路をファイアウォールや VPN 機器など外部公開機器の既知の脆弱性悪用とし、CVE-2024-55591 と CVE-2025-24472（いずれも FortiOS・FortiProxy の認証回避）を挙げる[s2]。韓国警察庁（KNPA）は、VPN ゲートウェイの認証情報露出と SSH アクセス制御の不備を突く手口を観測した。ある被害では SSL-VPN 機器の管理者アカウントの初期パスワードが使われ、ロックアウト機能がなかった。その後、攻撃者は外部サーバーから OpenSSH を取得してトンネルを張り、アカウント設定を改変して永続化した[s2]。内部では Impacket の psexec.py と smbclient.py で SMB 経由の横展開を行い、secretsdump.py で NTDS からハッシュを取得して pass-the-hash や pass-the-ticket に使った[s2]。盗んだセッション情報で VDI 環境に入り、RDP で認証サーバー、Active Directory サーバー、IT 担当者の仮想デスクトップへ移った[s2]。\n\nWindows 版の暗号化プログラムは FindFirstFileW と FindNextFileW で A から Z までの全ドライブを列挙する[s2]。CYFIRMA の解析では、WMI でシャドウコピーを削除し、拡張子 .ENCRT を付与して、各ディレクトリに R3ADM3.txt を置く[s5]。実装は C/C++ で、IsDebuggerPresent による解析回避も確認された[s5]。2025年半ばには Linux 版が登場し、クロスプラットフォーム化が進んだと報じられた[s2]。\n\n二重脅迫では、データを窃取してから暗号化し、公開すると脅す[s2][s5]。ノートは Tor ベースの交渉ポータルへ誘導し、被害者には Client ID と初期パスワードが割り当てられる[s2]。その後 qTox での連絡を指示し、5〜7日以内の交渉を求める。支払われなければデータをリークサイト上で売ると脅す[s2]。CYFIRMA は5日間の期限と、WhatsApp 風の交渉画面に「Manager」などの役割がある点を指摘する[s5]。RansomLook に記録された連絡先は、tox: 2507312EC10BB44ED9DAA04E3C5C27E8C13154649B1A02E73ACFAE1681EE0208D05133A8FB2247829AF1C943D4C296C910706923A5199BDA4995B076ED9A9016F7DEF161D445DF00F13E6900、メール: a00f105546345756@proton[.]me である。\n\n標的と被害について、CISA はリークサイトの被害組織が南北アメリカ、欧州、中東、アフリカ、アジア太平洋に及ぶとする。業種は医療、金融・保険、製造・建設、運輸・物流、政府機関、公益、教育、メディア・通信、小売、専門サービス・非営利団体に広がる[s2]。CYFIRMA は不動産、製薬、製造を挙げ、日本、エジプト、パナマ、イタリア、アルゼンチンの企業が被害に遭ったと伝える[s5]。ただし提供された出典には、日本の被害組織名や公表時期は記載がない。\n\n動向としては、2026年に RaaS へ拡大し、ペネトレーションテスターや倫理的ハッカーを初期アクセスブローカーとして募り、身代金の分配を提示している[s2]。CISA は2026年8月10日に FBI、DC3、NSA、USSS、韓国警察庁との共同勧告 AA26-222A を公表した。勧告は VPN ゲートウェイや RDP 公開機器の既知の悪用脆弱性の優先的修正、オフラインかつ不変のバックアップ、ネットワーク分離を求めている[s2]。", "techniques": [ { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1106", "name": "Native API", "tactic": "Execution" }, { "id": "T1021.002", "name": "SMB/Windows Admin Shares", "tactic": "Lateral Movement" }, { "id": "T1133", "name": "External Remote Services", "tactic": "Persistence" }, { "id": "T1078.001", "name": "Default Accounts", "tactic": "Defense Evasion" }, { "id": "T1078.002", "name": "Domain Accounts", "tactic": "Defense Evasion" }, { "id": "T1105", "name": "Ingress Tool Transfer", "tactic": "Command and Control" }, { "id": "T1572", "name": "Protocol Tunneling", "tactic": "Command and Control" }, { "id": "T1098", "name": "Account Manipulation", "tactic": "Persistence" }, { "id": "T1021.001", "name": "Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1003.003", "name": "NTDS", "tactic": "Credential Access" }, { "id": "T1550.002", "name": "Pass the Hash", "tactic": "Lateral Movement" }, { "id": "T1550.003", "name": "Pass the Ticket", "tactic": "Lateral Movement" } ], "tools": [ { "name": "Gunra ransomware", "kind": "ransomware" }, { "name": "Impacket psexec.py", "kind": "legit_tool" }, { "name": "Impacket smbclient.py", "kind": "legit_tool" }, { "name": "Impacket secretsdump.py", "kind": "legit_tool" }, { "name": "OpenSSH", "kind": "legit_tool" }, { "name": "qTox", "kind": "legit_tool" } ], "cves": [ "CVE-2024-55591", "CVE-2025-24472" ], "related": [], "contactChannels": [ "tox", "email" ], "contactHandles": [ { "channel": "tox", "value": "2507312EC10BB44ED9DAA04E3C5C27E8C13154649B1A02E73ACFAE1681EE0208D05133A8FB22\r\n47829AF1C943D4C296C910706923A5199BDA4995B076ED9A9016F7DEF161D445DF00F13E6900" }, { "channel": "email", "value": "a00f105546345756@proton[.]me" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "hunters", "createdAt": "2026-10-13T03:57:41+00:00", "updatedAt": "2026-10-13T05:03:01+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/hunters", "title": "RansomLook: hunters", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:57:41+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:03:01+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:03:01+00:00" }, { "id": "s4", "url": "https://www.group-ib.com/blog/hunters-international-ransomware-group/", "title": "The beginning of the end: the story of Hunters International", "publisher": "Group-IB", "kind": "vendor", "retrievedAt": "2026-10-13T05:03:01+00:00" }, { "id": "s5", "url": "https://www.picussecurity.com/resource/blog/hunters-international-ransomware", "title": "Hunters International Ransomware: Tactics, Impact, and Defense Strategies", "publisher": "picussecurity.com", "kind": "news", "retrievedAt": "2026-10-13T05:03:01+00:00" }, { "id": "s6", "url": "https://www.darkwebiq.com/ransomware/hunters-international", "title": "Hunters International Ransomware", "publisher": "darkwebiq.com", "kind": "news", "retrievedAt": "2026-10-13T05:03:01+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:57:41+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "hunters", "aliases": [ { "name": "Hunters International", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "хайв", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "hunters" }, "type": "ransomware", "origin": { "country": "ロシア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2023-10-20", "status": { "value": "rebranded", "since": "2023-10-20", "sourceId": "s1" }, "description": "Hunters（Hunters International）の解説。\n\n(1) 正体と来歴\nRansomLook の記録では初出は 2023-10-20 である[s1]。Group-IB は、英国企業が同グループのリークサイトに初めて掲載された 2023年10月13日、Windows 版ランサムウェアが VirusTotal に提出された 10月19日、管理者が提携者向けパネルに最初の運営ルールを載せた 10月21日を根拠に、2023年10月ごろに正式に活動を始めたとみている[s4]。トレンドマイクロは活動開始を 2023年第3四半期ごろとし、2023年に法執行機関が解体した HIVE との関連が指摘されていると記す[s3]。RaaS（アフィリエイトにランサムウェアと環境を提供し、身代金の一部を受け取る形態）として運営され、Group-IB の分析では提携者パネルの画面に身代金支払い時の取り分 80％が表示される[s4][s5]。\n\n来歴には二つの見方がある。研究者は検体が Hive に似ていることから Hive の改名とみた。一方、管理者はリークサイトで Hive のソースコード（Web アプリを含む）を買ったと主張した[s4]。Group-IB は、地下フォーラムなどで Hunters が「хайв（Hive）」と呼ばれていること、Hive と同じメッセンジャーアカウントから連絡を受けたという証言があることから、Hive の改名の可能性があると中程度の確度で評価した[s4]。Picus や darkwebiq も Hive との類似を指摘する[s5][s6]。運営は「暗号化は主目的ではない」と述べ、Group-IB はデータ窃取が主目的とみている[s4]。管理者は事業志向が強く、標的登録から漏えいデータの公開、交渉、支払い処理までの手順が整っている[s4]。使用言語はロシア語と英語である[s4]。\n\n(2) 手口\n初期侵入について Picus は、Oracle WebLogic の CVE-2020-14644 で TCP 8453 のデバッグ口に接続し、java.exe 経由でコマンドを実行する事例を挙げる。続いて China Chopper を設置し、AutoIt 系マルウェアでネットワークスキャンと横展開を行い、Zerologon（CVE-2020-1472）や secretsdump の DCSync でドメインコントローラーを侵害した[s5]。ほかに ipconfig、nltest、dsquery、ntdsutil による情報収集、AnyDesk・Plink・TeamViewer・RDP・Impacket による遠隔操作、MEGA へのデータ送出、vssadmin などによるバックアップ削除が確認されている[s5]。darkwebiq は既知の脆弱性の悪用、初期アクセスの購入、フィッシングを挙げ、ATT&CK の T1190、T1566、T1486、T1567、T1027 を列挙する[s6]。\n\nGroup-IB によると、ランサムウェアは x64、x86、ARM と、Windows、FreeBSD、SunOS、ESXi を含む Linux に対応する。v6 以降は暗号化ファイルの改名も脅迫文の設置も行わない[s4]。提携者パネルにビルダーはなく、停止するプロセスや共有暗号化の無効化はコマンドライン引数で調整する[s4]。標的登録後には、窃取ファイルのメタデータをグループのサーバーへ送る独自ツール Storage Software が提供される。同ツールは SOCKSv5 プロキシで接続し、Windows と Linux で動く[s4]。被害者はパネルから保管ファイルをダウンロード・削除できる[s4]。二重脅迫は行うがデータ窃取に重点がある。ライブチャットでの交渉が不調に終わると、電話、メール、SNS などでも被害者を脅す。提携者向けにはそのための OSINT サービスも提供される[s4]。\n\n(3) 標的と被害\nGroup-IB によると、運営は 2024年2月2日の声明でイスラエル、トルコ、極東全域、CIS 諸国への攻撃を禁じた。それにもかかわらず、リークサイトには中国、トルコ、シンガポール、日本などの企業が掲載された[s4]。同グループは北米、欧州、アジアを標的とし、不動産、医療、専門サービスが目立つ[s4]。トレンドマイクロは、2024年に日本の組織を攻撃した新興ファミリーの一つに挙げ、リークサイトにロシアの組織は含まれないと述べる[s3]。Picus は被害を 200件超とし、米国、英国、ドイツ、日本、ブラジルなどの医療、自動車、製造、物流、金融、教育、食品の組織が被害に遭ったとする[s5]。darkwebiq は被害を 150件超と記す[s6]。Picus は、ICBC ロンドン支店から 520万ファイル・6.6TB を盗んだと同グループが主張したこと（2024年9月）や、Anderson Oil & Gas（2024年8月）、Barber Specialties（2025年1月）への攻撃を挙げる[s5]。darkwebiq は被害例として Fred Hutchinson Cancer Center（2023年）を挙げる[s6]。\n\n(4) 動向\nGroup-IB によれば、運営はプロジェクトを終了し、恐喝専用の World Leaks に改名する計画である[s4]。同社は、インフラの類似点が Hunters International、Lynx、INC Ransom の間にあるとしつつ、同一運営の証拠はないとする[s4]。", "techniques": [], "tools": [ { "name": "Storage Software", "kind": "malware" }, { "name": "China Chopper", "kind": "malware" }, { "name": "AutoIt malware", "kind": "malware" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "Plink", "kind": "legit_tool" }, { "name": "TeamViewer", "kind": "legit_tool" }, { "name": "Impacket", "kind": "legit_tool" }, { "name": "MEGA", "kind": "legit_tool" }, { "name": "WinRAR", "kind": "legit_tool" } ], "cves": [ "CVE-2020-14644", "CVE-2020-1472" ], "related": [ { "actorSlug": "lynx", "relation": "shares_infra", "confidence": "third_party", "sourceId": "s2" }, { "actorSlug": "inc-ransom", "relation": "shares_infra", "confidence": "third_party", "sourceId": "s2" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 4, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "inc-ransom", "createdAt": "2026-10-13T03:54:55+00:00", "updatedAt": "2026-10-13T05:03:26+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/inc%20ransom", "title": "RansomLook: inc ransom", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:54:55+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:03:26+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:03:26+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:03:26+00:00" }, { "id": "s5", "url": "https://www.sentinelone.com/anthology/inc-ransom/", "title": "Inc. Ransom", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T05:03:26+00:00" }, { "id": "s6", "url": "https://www.sophos.com/en-us/blog/gold-ionic-deploys-inc-ransomware", "title": "GOLD IONIC Deploys INC Ransomware", "publisher": "Sophos", "kind": "vendor", "retrievedAt": "2026-10-13T05:03:26+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:54:55+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "inc ransom", "aliases": [ { "name": "Inc. Ransomware", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "INC Ransomware", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "GOLD IONIC", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "inc ransom" }, "type": "ransomware", "origin": { "country": "ロシア語圏（ロシアまたはCIS諸国）", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2023-08-09", "status": { "value": "active", "since": "2023-08-09", "sourceId": "s1" }, "description": "INC Ransom（Inc. Ransomware）は、2023年に登場した二重脅迫型のランサムウェア攻撃グループである。RansomLookの記録では初出は2023年8月9日である[s1]。SentinelOneは2023年7月に出現した恐喝オペレーションと説明し[s5]、Secureworksは2023年8月に出現したと記述している[s6]。出現時期は出典によって7月と8月に分かれている。SentinelOneによれば、運営者は自らを被害者へのサービスとして位置づけ、身代金を払えば「評判を守れる」と主張し、自らの手口を明かすことで被害環境が「より安全になる」とも示唆している[s5]。Secureworksは本グループをGOLD IONICとして追跡しており[s6]、アフィリエイトを使うRaaSではなく、閉じたグループとして運営されているように見えると評価した[s6]。ロシアまたはCIS諸国を拠点とするとみており、その根拠は欧米の組織が被害に遭う一方、CIS諸国の被害者が見当たらないことである[s6]。\n\n手口について、初期侵入の経路は一定せず、スピアフィッシングメールや脆弱なサービスの悪用が観測されている[s5]。Citrix NetScalerのCVE-2023-3519の悪用も確認されている[s5]。Secureworksが対応したある事案では、Citrix Bleed（CVE-2023-4966）の悪用が初期侵入になった可能性がある[s6]。この経路はLockBit RaaSのアフィリエイトも好んで用いてきたものである[s6]。侵入後は市販ツールやLOLBINを使って内部偵察と横展開を進める[s5]。SentinelOneは関連ツールとして、NETSCAN.EXE、MEGAsyncSetup64.EXE、ESENTUTL.EXE、AnyDesk.exeを挙げている[s5]。Secureworksの事案では、p443x64.exeでMeterpreterシェルを導入し、AdFindでActive Directoryを列挙した[s6]。続いてWinRARでファイルをアーカイブし、Megasyncで70GB超を持ち出した[s6]。その後、500台超のシステムにINCランサムウェアの実行ファイルを複製し、PsExecで遠隔実行した[s6]。実行ファイル名は被害組織ごとに固有で、組織名を含んでいた[s6]。\n\n暗号化では、ファイルに.inc拡張子が付き、身代金要求文書INC-README.txtが置かれる[s6]。SentinelOneの分析では、要求文書はINC-README.TXTとINC-README.HTMLの2形式で暗号化対象の各フォルダに書き込まれ、HTML版は接続されたプリンターやFAXにも出力しようとする[s5]。ペイロードは--file、--dir、--sup、--ens、--lhdなどのコマンドライン引数に対応する[s5]。--ensはネットワーク共有を暗号化し、--lhdは隠しブートボリュームと回復ボリュームを暗号化するため、実行すると起動不能になる[s5]。引数を省略すると、ローカル端末の全ボリュームとファイルの暗号化を試みる[s5]。ボリュームシャドウコピーの削除も試みるようだが、SentinelOneのテストでは再現できなかった[s5]。解析サンプルにはデバッグ文字列C:\\source\\INC Encryptor\\Release\\INC Encryptor.pdbが残っていた[s5]。\n\n交渉の圧力手段は、データを窃取してから暗号化し、公開をちらつかせる二重脅迫（多重恐喝）である[s5][s6]。被害者は要求文書に記載された個別IDを使い、TORベースのポータルから連絡するよう指示される[s5]。要求文書にはTorの.onionアドレスと個別IDがあり、72時間以内に連絡しなければ機微データをリークサイトに公開すると警告する[s6]。リークサイトの構成とデザインはLockBitのものに似ているが、両グループの関連を示す他の兆候はない[s6]。\n\n標的は特定の業種に偏らず、医療、教育、政府機関にも及ぶ[s5]。リークサイトの掲載数は、Secureworksによれば2023年8月から2024年3月までに72件、4月には公表時点で7件である[s6]。被害の大半は米国で、英国が大きく離れて続き、その後は世界へ広がっている[s6]。業種別では産業、医療、教育が目立つ[s6]。教育機関の割合は、同期間の全ランサムウェアグループ平均の5%の2倍超だが、サンプル数が少なく意味のある結論は引き出しにくい[s6]。日本の被害組織名と時期は、今回の出典には記載がない。\n\n動向としては、INCのリークサイトに他のランサムウェア攻撃の被害者が掲載された例が確認されている[s6]。ある侵害環境では、実行ファイルと要求文書のファイル名形式（RECOVER-＜ランダム7文字＞-FILES.txt）がGOLD BLAZERのALPHVランサムウェアと一致した[s6]。データ窃取の時期は、法執行機関の措置でALPHVのTorインフラが到達不能になった時期と重なる[s6]。この間、LockBit側がALPHVのアフィリエイトを勧誘し、自らのリークサイトの利用を提案していた[s6]。そのため、この投稿はGOLD IONICがアフィリエイト型で運営している結果とは限らない[s6]。Donut Leaksのリークサイトには、窃取データを改変した連絡先付きで他サイトに投稿した人物への警告があり、INCにも言及しているが、関係は不明確である[s6]。GOLD IONICに複数のアフィリエイトが関与する証拠は乏しいと評価されている[s6]。", "techniques": [], "tools": [ { "name": "INC ransomware", "kind": "ransomware" }, { "name": "NETSCAN.EXE", "kind": "legit_tool" }, { "name": "MEGAsyncSetup64.EXE", "kind": "legit_tool" }, { "name": "ESENTUTL.EXE", "kind": "legit_tool" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "Meterpreter", "kind": "malware" }, { "name": "AdFind", "kind": "legit_tool" }, { "name": "WinRAR", "kind": "legit_tool" }, { "name": "Megasync", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" } ], "cves": [ "CVE-2023-3519", "CVE-2023-4966" ], "related": [], "derived": { "japanActivity": [ { "year": 2025, "claims": 4, "incidents": 0 }, { "year": 2026, "claims": 4, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "kawa", "createdAt": "2026-10-13T03:54:30+00:00", "updatedAt": "2026-10-13T05:04:02+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/kawa", "title": "RansomLook: kawa", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:54:30+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:04:02+00:00" }, { "id": "s3", "url": "https://www.levelblue.com/blogs/spiderlabs-blog/kawa4096s-ransomware-tide-rising-threat-with-borrowed-styles", "title": "KAWA4096’s Ransomware Tide: Rising Threat With Borrowed Styles", "publisher": "levelblue.com", "kind": "news", "retrievedAt": "2026-10-13T05:04:02+00:00" }, { "id": "s4", "url": "https://redpiranha.net/news/threat-intelligence-report-june-24-june-30-2025", "title": "Threat Intelligence Report June 24th to June 30th, 2025", "publisher": "redpiranha.net", "kind": "news", "retrievedAt": "2026-10-13T05:04:02+00:00" }, { "id": "s5", "url": "https://securityonline.info/kawa4096-new-ransomware-blends-qilin-akira-tactics-hits-us-and-japan/", "title": "KAWA4096: New Ransomware Blends Qilin & Akira Tactics, Hits US and Japan", "publisher": "securityonline.info", "kind": "news", "retrievedAt": "2026-10-13T05:04:02+00:00" }, { "id": "s6", "url": "https://cyberpress.org/new-kawa4096-ransomware-variant-exploits-windows-management/", "title": "New KAWA4096 Ransomware Variant Exploits Windows Management Instrumentation for Data Wipe", "publisher": "cyberpress.org", "kind": "news", "retrievedAt": "2026-10-13T05:04:02+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:54:30+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "kawa", "aliases": [ { "name": "KAWA4096", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "KaWaLocker", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "kawa" }, "type": "ransomware", "firstSeen": "2025-06-27", "status": { "value": "active", "since": "2025-06-27", "sourceId": "s1" }, "description": "(1) 正体と来歴\nKAWA4096 は、名称に日本語の「川」を意味する Kawa を含むランサムウェアで、2025年6月に登場した [s3]。RansomLook の記録上の初出は 2025-06-27 [s1]。Red Piranha も、同日にダークウェブ上でリークサイトを公開して初めて公に確認されたグループと説明し、別名として KaWaLocker を挙げる [s4]。RaaS 形態かどうかや運営の中核に関する記述は出典にない。一方、Trustwave は他の既知のランサムウェアグループとの関係を示す明確な情報はないとし [s3]、Cyberpress も既存グループとの明確な結び付きの証拠はまだないと述べる [s6]。SecurityOnline は、既存の有力グループの評判を借りようとする低〜中程度の技術水準の攻撃者だと評している [s5]。\n\nリークサイトは Akira のサイトに酷似する。緑地に黒の端末風インターフェースで、冒頭の文言もほぼ同一とされる [s3]。身代金要求文は Qilin のものとほぼ同じで、書式と文面に軽微な違いがあるだけだという [s3]。Trustwave はこの模倣を、知名度と信頼性を高める狙いと見ている [s3]。Cyberpress は、信頼性の補強か、調査担当者と被害者の混乱を狙った可能性を挙げる [s6]。\n\n(2) 手口\n初期侵入について、Red Piranha はフィッシングと不正な RDP を想定している [s4]。同社の報告では、悪意あるインストーラー shield.msi や感染した Office 文書を添付した標的型メールが使われ [s4]、ATT&CK では T1566.001 が挙げられている [s4]。一方 Trustwave は、TTP に関する明確な情報は得られていないとする [s3]。\n\n解析されたサンプルは、設定をバイナリ内にリソースとして持ち、LoadResource API で読み込む [s3]。設定には、暗号化の除外拡張子・ディレクトリ・ファイル名、終了させるプロセスとサービス、ローカルドライブと共有ドライブの暗号化可否、自己削除、スレッド数、部分暗号化などが含まれる [s3]。引数なしで起動すると -all を付けて自身を再実行し [s3]、ミューテックス SAY_HI_2025 で多重起動を防ぐ [s3]。\n\n終了対象にはウイルス対策、SQL、バックアップ、SAP 関連のサービスが含まれ、Veeam、Acronis、Sophos、QuickBooks、TeamViewer なども対象に挙がる [s3][s5]。専用スレッドがプロセスを常時監視して終了させ続ける [s3]。シャドウコピーは WMI 経由で vssadmin.exe Delete Shadows /all /quiet と wmic shadowcopy delete /nointeractive により削除する [s3]。暗号化にはセマフォとマルチスレッドを用い、このサンプルでは10スレッドで動作する [s3]。暗号化後のファイルには SQL Monitor に似たアイコンが付けられ、壁紙は黒一色になる [s3]。自己削除が有効なら実行後に自身を削除する [s3]。\n\nRed Piranha は、暗号化に ChaCha20 と RSA 鍵交換を使い、ファイル断片の消去も任意で行うと記す [s4]。同じ記事の別の表では AES-256 と RSA-4096 とされ、記述が分かれている [s4]。ランサムノートの名前は !!Restore-My-file-Kavva.txt で、Tor サイトと Tox への案内が書かれている [s4]。二重脅迫を行い、盗んだデータの公開で支払いを迫る [s4]。\n\n通信手段は Tor、Tox、OnionMail に限られる [s4]。リークサイトとして kawasa2qo7345dt7ogxmx7qmn6z2hnwaoi3h5aeosupozkddqwp6lqqd[.]onion と kawasax2ygoxytxtfjcy3a57vdyopj4k4c3m6rj5zht7io3t7g4wl3ad[.]onion が報告されている [s4]。連絡先は Tox ID 6A340207246B47E37F6D094D2236E5C6242B6E4461EEF8021FED2C9855240C3E11AEE886FAAF と、メール kawa4096@onionmail[.]org [s1][s4]。\n\n(3) 標的と主な被害\nTrustwave は、登場以来少なくとも11件の被害を主張しており、米国と日本が主な標的に含まれるとする [s3]。うち5件はリークサイトに未掲載だという [s3]。Red Piranha は、6月21〜27日の週に米国とドイツの組織で少なくとも4件の侵害を主張したと記す。1件は6月20日の発生で、同週中に公表された [s4]。同社の週次集計では、当該週のランサムウェア被害公表のうち Kawa は4.55% を占めた [s4]。日本の被害組織名と時期は出典に具体的な記載がない。\n\n(4) 動向\n出典から確認できる動きは、2025年6月の登場と同月27日のリークサイト公開、その後の被害の積み上がりである [s3][s4]。Trustwave と SpiderLabs は、今回の解析で見つかった影響・防御回避の手法に対する検知ルールを提供している [s3][s6]。\n\n警察庁は、ランサムウェアを、データを暗号化して復号の対価を要求する不正プログラムと説明し、暗号化せずにデータを窃取して対価を要求する「ノーウェアランサム」の被害も確認されていると述べる [s2]。また、開発・運営グループが実行者に攻撃環境を提供して身代金の一部を受け取る RaaS が多数確認されているとも述べる [s2]。ただし、これらを KAWA4096 に結び付ける記述は出典にない [s2]。", "techniques": [ { "id": "T1566.001", "name": "Spearphishing Attachment", "tactic": "Initial Access" }, { "id": "T1204.002", "name": "User Execution: Malicious File", "tactic": "Execution" }, { "id": "T1059.001", "name": "Command and Scripting Interpreter: PowerShell", "tactic": "Execution" }, { "id": "T1055", "name": "Process Injection", "tactic": "Privilege Escalation" }, { "id": "T1543.003", "name": "Windows Service", "tactic": "Persistence" }, { "id": "T1053.005", "name": "Scheduled Task", "tactic": "Persistence" }, { "id": "T1562.001", "name": "Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" }, { "id": "T1070.001", "name": "Clear Windows Event Logs", "tactic": "Defense Evasion" }, { "id": "T1218", "name": "System Binary Proxy Execution", "tactic": "Defense Evasion" }, { "id": "T1003", "name": "OS Credential Dumping", "tactic": "Credential Access" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1561", "name": "Disk Wipe", "tactic": "Impact" } ], "tools": [ { "name": "KAWA4096", "kind": "ransomware" }, { "name": "shield.msi", "kind": "malware" }, { "name": "vssadmin", "kind": "legit_tool" }, { "name": "wmic", "kind": "legit_tool" }, { "name": "Tox", "kind": "legit_tool" }, { "name": "OnionMail", "kind": "legit_tool" } ], "cves": [], "related": [ { "actorSlug": "akira", "relation": "possibly_related", "confidence": "third_party", "sourceId": "s2" }, { "actorSlug": "qilin", "relation": "possibly_related", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "tox", "email" ], "contactHandles": [ { "channel": "tox", "value": "6A340207246B47E37F6D094D2236E5C6242B6E4461EEF8021FED2C9855240C3E11AEE886FAAF" }, { "channel": "email", "value": "kawa4096@onionmail[.]org" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "killsec", "createdAt": "2026-10-13T03:56:27+00:00", "updatedAt": "2026-10-13T05:04:35+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/killsec", "title": "RansomLook: killsec", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:56:27+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:04:35+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:04:35+00:00" }, { "id": "s4", "url": "https://www.eurojust.europa.eu/news/teenagers-suspected-leading-ransomware-group-arrested-during-international-operation", "title": "Teenagers suspected of leading ransomware group arrested during international operation", "publisher": "eurojust.europa.eu", "kind": "news", "retrievedAt": "2026-10-13T05:04:35+00:00" }, { "id": "s5", "url": "https://sosransomware.com/en/ransomware-groups/killsec-from-hacktivism-to-ransomware-as-a-service/", "title": "KillSec: from hacktivism to ransomware-as-a-service", "publisher": "sosransomware.com", "kind": "news", "retrievedAt": "2026-10-13T05:04:35+00:00" }, { "id": "s6", "url": "https://aviatrix.ai/threat-research-center/police-dismantle-killsec-ransomware-gang-allegedly-led-by-16-year-old/", "title": "Operation KillSwitch: How International Law Enforcement Dismantled a Teen-Led Ransomware Empire", "publisher": "aviatrix.ai", "kind": "news", "retrievedAt": "2026-10-13T05:04:35+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:56:27+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "killsec", "aliases": [], "externalIds": { "ransomlook": "killsec" }, "type": "ransomware", "origin": { "country": "ロシア語圏（東欧・ロシア地域と推定）", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2024-03-21", "status": { "value": "seized", "since": "2024-03-21", "sourceId": "s1" }, "description": "KillSec（キルセック）の正体と来歴\n\nKillSecは、RansomLookの記録では2024年3月21日がリークサイトへの初出で、連絡手段の記録はない[s1]。sosransomware.comによれば、活動の起点は2023年秋の最初のTelegram投稿で、そこでは「ネットワーク侵入」「Web侵入」「マルウェア作成」の技能を持つ人材を募っていた[s5]。同サイトはAnonymousの旗印の下で生まれたハクティビスト色の強い集団が、金銭目的の活動へ移行したと位置づけている[s5]。2024年6月にはRaaS（Ransomware as a Service）の提携プログラムを正式に開始したとされる[s5]。一方、Eurojustは同グループが2024年から活動していたと説明している[s4]。拠点については、投稿の話題・言語・思想から東欧・ロシア圏と分析され、英語とロシア語の二言語で発信していたという[s5]。\n\nRaaSの仕組みは、C++製の「高度なロッカー」と、Tor経由の管理パネルで構成されていた。パネルにはリアルタイム統計、チャット機能、ビルドツールがあり、提携者は専門知識なしに攻撃を設定・実行できた[s5]。参加費は250ドルで、身代金の12%を手数料として取る条件だった。参加は「信頼できる者」に限られていた[s5]。さらに「ペンテスト」と称する不正アクセス提供、OSINTサービスの悪用も手がける複合的なサービス提供者として描かれている[s5]。運営体制については、Eurojustが管理者、開発者、交渉担当、提携者といった役割の容疑者を特定したと述べている。管理者かつ主犯格は10代の少年（16歳）とされ、開発者は最近18歳になった人物で、一部の犯行時は未成年だった[s4]。構成員は偽名を使い、暗号化メッセージングで連絡を取っていた[s4]。\n\n手口\n\nEurojustは、KillSecが特にクラウドストレージに関わる、設定の甘いアクセスポイントを突いて侵入したと説明している[s4]。侵入後はデータを窃取して自らのインフラにコピーし、支払いがなければ公開すると脅した。証拠として被害者にはサンプルが送られた。支払いがない場合は、盗んだファイルが無料でダウンロードできる状態にされた[s4]。sosransomware.comも、ブラジルの医療ソフト事業者MedicSolutionへの攻撃で、Resecurityの分析として設定不備のあるAWS S3バケットの悪用を挙げている。高度な侵入手法より設定不備を狙う「低い枝の果実」型だと評している[s5]。公開記事ではランサムウェアの使用より恐喝が中心だったともされる[s5]。一方、Aviatrixは、ソフトウェアの脆弱性や防御の弱いエッジ機器を突いて侵入し、データを窃取して恐喝に用いたと記し、ランサムウェアの展開、権限昇格、横展開も挙げている。ただし権限昇格と横展開は推定の扱いである[s6]。Aviatrixはまた、インフラ構築や被害者選定にAIを使ったと述べている[s6]。\n\nsosransomware.comがMITRE ATT&CKに基づく可能性の高い手法として挙げたのは、T1650、T1078、T1102、T1021、T1059、T1213、T1005である[s5]。Aviatrixは、T1190、T1078、T1041、T1486、T1567、T1083、T1587.001、T1589.001を対応づけている[s6]。2024年11月に主要なTelegramチャンネルを失った後は予備チャンネルへ切り替え、Tor経由のサイトでの公開を続けた[s5]。今後の機能として、DDoSツール、電話発信機能、高度なスティーラーの開発が予告されていた[s5]。\n\n標的と主な被害\n\nransomware.liveが記録した242件の被害を分析したsosransomware.comによると、被害はインドと米国に集中し、英国、ブラジル、ベルギーが続く。業種別では医療が14.9%（36件）で最多、技術13.6%、ビジネスサービス11.6%だった[s5]。提携者向け規約は重要インフラへの攻撃を禁じているが、実際には医療が最多の標的になっていた[s5]。2025年9月には、MedicSolution（ブラジル）への攻撃で34GB超・94,818ファイルが流出したとされ、同社の顧客である複数の医療機関にも影響が及び得る供給網型の攻撃だった。同月には米国のArcher Health、ペルーのSuiza Lab、コロンビアのGoTelemedicinaとeMedicoERPも攻撃されたとされる[s5]。Aviatrixは、被害に少なくとも70のドイツ組織が含まれると記している[s6]。本資料群に日本の組織名や時期の記述はない。\n\n動向\n\n2026年9月、欧州刑事警察機構（Europol）の支援のもと、Eurojustが調整した9か国による国際作戦でKillSecが摘発された[s4]。Eurojustは、被害が約1,000件に上ると説明している[s4]。ベルギー、ドイツ、ギリシャ、ルーマニアは共同捜査チームを設置し、容疑者の特定、インフラの所在確認、資金の流れの追跡を進めた[s4]。作戦の結果、3人が逮捕され、スペイン、ギリシャ、英国、ルーマニアで8か所の家宅捜索が行われた。少なくとも110テラバイトの窃取データが押収され、被害者のデータを保管していた5台のサーバーとKillSecが運用するドメインも押収された[s4]。Aviatrixはこの作戦を「Operation KillSwitch」と呼び、関与国を10か国、成功した攻撃を約500件とし、押収対象にダークウェブのリークサイトを含めている[s6]。Eurojustの記述（9か国、約1,000件）とは数字が異なる[s4][s6]。当局は押収した機器とデータの解析、資金の追跡を続け、他の被害者や攻撃、関与者の特定につなげるとしている[s4]。", "techniques": [ { "id": "T1650", "name": "Acquire Access", "tactic": "Resource Development" }, { "id": "T1078", "name": "Valid Accounts", "tactic": "Defense Evasion" }, { "id": "T1102", "name": "Web Service", "tactic": "Command and Control" }, { "id": "T1021", "name": "Remote Services", "tactic": "Lateral Movement" }, { "id": "T1059", "name": "Command and Scripting Interpreter", "tactic": "Execution" }, { "id": "T1213", "name": "Data from Information Repositories", "tactic": "Collection" }, { "id": "T1005", "name": "Data from Local System", "tactic": "Collection" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1567", "name": "Exfiltration Over Web Service", "tactic": "Exfiltration" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "Discovery" }, { "id": "T1587.001", "name": "Develop Capabilities: Malware", "tactic": "Resource Development" }, { "id": "T1589.001", "name": "Gather Victim Identity Information: Credentials", "tactic": "Reconnaissance" } ], "tools": [ { "name": "C++製ロッカー（KillSecのランサムウェア）", "kind": "ransomware" }, { "name": "Tor経由の管理パネル（ビルドツール付き）", "kind": "malware" } ], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2024, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "killsec3", "createdAt": "2026-10-13T03:56:32+00:00", "updatedAt": "2026-10-13T05:05:10+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/killsec3", "title": "RansomLook: killsec3", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:56:32+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.triskelelabs.com/resources/killsec3-what-australian-organisations-need-to-know", "title": "The Group That Didn't Need to Break In: How KillSec3 Exploited What Was Already Exposed", "publisher": "triskelelabs.com", "kind": "news", "retrievedAt": "2026-10-13T05:05:10+00:00" }, { "id": "s3", "url": "https://www.stateofcyber.com.au/report/dfir", "title": "The Annual State of Cyber 2025", "publisher": "stateofcyber.com.au", "kind": "news", "retrievedAt": "2026-10-13T05:05:10+00:00" }, { "id": "s4", "url": "https://redpiranha.net/news/threat-intelligence-report-december-23-december-29-2025", "title": "Threat Intelligence Report December 23rd to December 29th, 2025", "publisher": "redpiranha.net", "kind": "news", "retrievedAt": "2026-10-13T05:05:10+00:00" }, { "id": "s5", "url": "https://sosintel.co.uk/tag/cyber-threat-intelligence/", "title": "cyber threat intelligence Archives - SOS Intelligence", "publisher": "sosintel.co.uk", "kind": "news", "retrievedAt": "2026-10-13T05:05:10+00:00" }, { "id": "s6", "url": "https://www.skyseaclientview.net/media/article/1589/", "title": "【ランサムウェア事例】感染経路や被害の実態を解説", "publisher": "skyseaclientview.net", "kind": "news", "retrievedAt": "2026-10-13T05:05:10+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:56:32+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "killsec3", "aliases": [], "externalIds": { "ransomlook": "killsec3" }, "type": "ransomware", "firstSeen": "2024-10-28", "status": { "value": "active", "since": "2024-10-28", "sourceId": "s1" }, "description": "KillSec3は、2024年10月28日にRansomLookの記録へ初出した攻撃グループである[s1]。Triskele Labsは、金銭目的の脅威アクターで、2024-25会計年度（FY25）に豪州・ニュージーランドの企業を積極的に狙っていた20のランサムウェアグループの一つとして把握したと説明している[s2]。\n\n暗号化を行わない点が最大の特徴で、Triskele Labsによれば同業の多くと異なり、一般に被害者環境を暗号化しない[s2]。データの窃取（持ち出し）に注力し、ダークウェブのリークサイトで公開すると脅すことを主な恐喝手段とする[s2]。この方式はデータ窃取型、つまり単一恐喝モデルと呼ばれ、DragonForceやQilinのようにデータ窃取と暗号化を併用する二重恐喝型とは対照的だとされる[s2]。RaaSかどうかや、名称の由来、運営体制に関する記述は出典にない。\n\n手口は、VPNの脆弱性の悪用、RDPのブルートフォース、フィッシングによる認証情報の窃取といった一般的な侵入工程を省く点に特徴がある[s2]。第一に、Amazon S3やMicrosoft Azure Blob Storageなどの設定不備でインターネットに公開されたクラウドストレージを探索し、公開状態のデータをそのままダウンロードしている[s2]。第二に、認証が不十分なままインターネットから到達できるFTPサーバーを狙う[s2]。大規模なIPアドレス帯を走査して開放ポートやサービスを探すため、技術的な高度さは要さず、効率よく多数の被害候補を見つけられる[s2]。第三に、FY25にはCrushFTPの重大な脆弱性の大量悪用キャンペーンにも関与し、ランサムウェアを展開せずに世界中の脆弱な組織からデータを持ち出した[s2]。CrushFTPの欠陥は2024年と2025年に開示された認証回避の問題で、KillSec3は公開から数日以内に悪用した攻撃者の一つとされる[s2]。個別のCVE番号は出典に示されていない。\n\n侵入を伴わないため、マルウェアの展開、認証情報の侵害、内部での横展開がなく、フォレンジック上の痕跡が少ない[s2]。多くの被害組織は、自組織の名前がリークサイトに載って初めて被害に気づいたという[s2]。恐喝の圧力手段はリークサイトでの公開の予告である[s2]。連絡手段としてRansomLookはtox、telegram、sessionを記録している。Toxは9453686EAB63923D1C35C92DDE5E61A6534DD067B5448C1C8D996A460B92CA5055C1AB0FCD22、Telegramはhxxps://t[.]me/killsecc、Sessionは05cb94c52170c8119f7ebc2d8afc94b9746bc7c361d91c49e7d18e96e266582a07である[s1]。リークサイトのドメインは出典にない。\n\n標的と被害について、Triskele LabsはKillSec3がFY25に少なくとも7つの豪州組織を狙ったことを把握しており、同社が複数回のインシデント対応を行った脅威アクターの一覧にも名前が載ったとしている[s2]。業種別の内訳や日本の組織名・時期は出典にない。\n\n動向として、Triskele Labsは2026年5月22日付の記事でKillSec3の状態を「ACTIVE」と評価した[s2]。Red Piranhaの2025年12月23〜29日の週次レポートでも、ランサムウェア被害の投稿件数が少ない活動グループの一つとして、全体の0.55%を占める形でKillSec3が挙げられている[s4]。", "techniques": [], "tools": [], "cves": [], "related": [], "contactChannels": [ "tox", "telegram", "session" ], "contactHandles": [ { "channel": "tox", "value": "9453686EAB63923D1C35C92DDE5E61A6534DD067B5448C1C8D996A460B92CA5055C1AB0FCD22" }, { "channel": "telegram", "value": "hxxps://t[.]me/killsecc" }, { "channel": "session", "value": "05cb94c52170c8119f7ebc2d8afc94b9746bc7c361d91c49e7d18e96e266582a07" } ], "derived": { "japanActivity": [ { "year": 2024, "claims": 1, "incidents": 0 }, { "year": 2025, "claims": 3, "incidents": 0 }, { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "krybit", "createdAt": "2026-10-13T03:55:41+00:00", "updatedAt": "2026-10-13T05:38:12+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/krybit", "title": "RansomLook: krybit", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:55:41+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:38:12+00:00" }, { "id": "s3", "url": "https://socradar.io/blog/dark-web-profile-krybit-ransomware/", "title": "Dark Web Profile: Krybit Ransomware", "publisher": "SOCRadar", "kind": "vendor", "retrievedAt": "2026-10-13T05:38:12+00:00" }, { "id": "s4", "url": "https://www.halcyon.ai/threat-group/krybit", "title": "KryBit", "publisher": "halcyon.ai", "kind": "news", "retrievedAt": "2026-10-13T05:38:12+00:00" }, { "id": "s5", "url": "https://www.halcyon.ai/ransomware-research-reports/0apt-vs-krybit-ransomware-actors-list-opposing-operators-as-victims", "title": "0APT vs. KryBit Ransomware Actors List Opposing Operators as Victims", "publisher": "halcyon.ai", "kind": "news", "retrievedAt": "2026-10-13T05:38:12+00:00" }, { "id": "s6", "url": "https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2026", "title": "Industrial Ransomware Analysis for Q2 2026", "publisher": "dragos.com", "kind": "news", "retrievedAt": "2026-10-13T05:38:12+00:00" }, { "id": "s7", "url": "https://www.cyfirma.com/news/weekly-intelligence-report-01-may-2026/", "title": "Weekly Intelligence Report – 01 May 2026 - CYFIRMA", "publisher": "cyfirma.com", "kind": "news", "retrievedAt": "2026-10-13T05:38:12+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:55:41+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "Krybit", "aliases": [], "externalIds": { "mispUuid": "d73792c0-97d3-4aff-8e34-96bf335bf54b", "ransomlook": "krybit" }, "type": "ransomware", "firstSeen": "2026-04-01", "status": { "value": "active", "since": "2026-04-01", "sourceId": "s1" }, "description": "Krybit（KRYBIT、KryBit）は2026年3月下旬に確認されたRaaS（Ransomware-as-a-Service）で、金銭目的の日和見的な攻撃グループである[s3]。RansomLookの記録では初出は2026年4月1日、連絡手段はtoxとされる。独立した地下監視による最初の検出は4月3日と記録された[s3][s7]。名称の由来や象徴的なブランディングは公表されていない[s3]。\n\n運営の特徴は、アフィリエイトが収益の80%を受け取り、運営側が20%を取る分配モデルである[s3][s4]。Windows、Linux、VMware ESXi、NAS向けのビルダーを提供している[s3][s4]。2026年4月、競合RaaSの0APTがKrybitのアフィリエイト用管理パネルに侵入して内容を公開した。3月28日〜4月12日の活動が確認でき、管理者2名とアフィリエイト5名、交渉中の被害者20件、被害者1件あたり10〜250GBの窃取データ、40,000〜100,000ドルの身代金要求が含まれていた[s3][s4]。5つのBitcoinウォレットに取引はなく、支払いは1件も確認されていなかった。認証情報は平文で保存されていた[s3][s4]。管理者のハンドルは「KRYBIT」と「GREP」である[s3][s4]。捕獲検体はESET（Filecoder[.]Babyk.A）、Microsoft（Babuk!ic）、Combo Cleaner（Ransom[.]Babuk）にBabuk派生と判定され、流出したBabukのソースコードを基にした多数のRaaSの一つと位置づけられている[s3][s4]。既知の組織との提携は確認されておらず、0APTとの関係は敵対的なものに限られる[s3][s4]。\n\n手口として、初期侵入はアフィリエイトごとに異なり、単一の侵入経路は特定されていない[s3][s4]。追跡されているATT&CK手法には有効なアカウント（T1078）とリモートサービス（T1021、T1021.001）があり、侵害された認証情報やRDPが入口として一般的と見られる[s3]。悪用されたCVEやフィッシングの文面は公に帰属されていない[s3][s4]。実行にはコマンドとスクリプトインタプリタ（T1059）が使われ、永続化はT1547とT1037でタグ付けされている[s3][s7]。防御回避では、難読化、プロセスインジェクション、正規プロセスの悪用が挙げられている[s3][s7]。暗号化前にはvssadmin[.]exe delete shadows /all /quietでボリュームシャドウコピーを削除する[s3][s7]。暗号化後のファイルには.KRYBIT拡張子が付き、脅迫文はRECOVER-README[.]txtである[s3][s4][s7]。脅迫文は従業員データ、認証情報、財務記録、技術設計ファイルの窃取を主張し、Torの交渉ポータルへ誘導する[s3][s7]。データを先に窃取して暗号化する二重脅迫で、Tor上のリークサイト（DLS）での公開を圧力に使う[s3][s4][s7]。\n\nリークサイトとインフラについては、SOCRadarが流出パネルの分析から5つの.onionドメインを特定した[s3]。Halcyonが挙げるDLSは krybitxdpxohsmjooeb3gbgpmdddreh6mnflzac6bnezz74b7yje67yd[.]onion である[s4]。CYFIRMAによると、複数のonionドメインはApacheとPHP 8.0.30で稼働していた[s7]。連絡手段はToxで、RansomLookが記録した管理者KRYBITのToxは F65E1621B7A5DC0139FE108B9CD48404082951E7E7F421A07A7B88A8E8111C13C552EA2B0C4C である[s4]。もう一人の管理者GREPのToxは 48B547A7A6195593B9158E4B6160ED0310B2F9AD080992D44EA299878DCCD0551CC7CAD168CD である[s4]。アフィリエイトのハンドルはfsociety、M*A*R*Sなどである[s4]。検体のSHA-256は dab06e47581b87c21699bb1126b7cb2370cf86d069ad25b9b86cff8e450d7e29 である[s4]。\n\n標的は特定の業種や地域に絞られず、アフィリエイト主導の広範で日和見的な傾向を示す[s3]。SOCRadarでは国別でドイツが10.0%、スペインとブラジルが各7.1%で、業種別ではプロフェッショナルサービス（21.4%）、テクノロジー（17.1%）、製造（14.3%）が上位である。被害の主張は43か国に及ぶ[s3]。Halcyonは、被害主張がドイツ、メキシコ、タイ、スペイン、オーストリアに集中し、業種ではビジネスサービス、消費者サービス、製造、教育、テクノロジーに多いとする[s4]。CYFIRMAは標的国に日本を含めており、被害報告にも日本が挙がるが、日本の組織名は出典に示されていない[s7]。個別の主張には、6月25日のドミニカ共和国の観光当局、7月1日のDISS Corporation（米国）、JAWS Co., Ltd.とAeroVision Avionics/AAI（台湾）、Ford Motor Company S.A. de C.V.（メキシコ）、7月3日のMAJUHOME Concept（マレーシア）とDUFLO SAS（コロンビア）などがあり、いずれもグループによる主張である[s3]。SOCRadarの追跡では帰属被害者は70件にのぼる[s3]。Halcyonは、初の四半期末までに50件超の主張があったとする[s4]。\n\n動向として、4月12〜13日に0APTが管理者パネルを侵害し、運営者の氏名・写真・所在地を暴露すると脅した。Krybitのサイトは一時停止し、お詫びの表示に置き換わった[s3]。4月14〜15日、Krybitは報復として0APTのサーバーを侵害し、リークサイトを「HACKED BY KRYBIT — Next time, don't play with the big boys.」の文言で改ざんした。さらに0APTを自サイトの被害者として掲載し、0APTの190件超の被害主張が捏造だったと示した[s3][s4]。4月下旬以降、DLSは通常の被害掲載を再開し、改名や閉鎖は確認されていない[s3]。SOCRadarは、この露出が法執行機関による摘発リスクを高め、将来の改名につながる可能性があると評価した[s3]。Halcyonは2026年中頃まで活動が続き、Torのリークサイトへの新規掲載もあるとする[s4]。", "techniques": [ { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1021", "name": "Remote Services", "tactic": "Lateral Movement" }, { "id": "T1021.001", "name": "Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1059", "name": "Command and Scripting Interpreter", "tactic": "Execution" }, { "id": "T1547", "name": "Boot or Logon Autostart Execution", "tactic": "Persistence" }, { "id": "T1037", "name": "Boot or Logon Initialization Scripts", "tactic": "Persistence" }, { "id": "T1562", "name": "Impair Defenses", "tactic": "Defense Evasion" }, { "id": "T1071", "name": "Application Layer Protocol", "tactic": "Command and Control" }, { "id": "T1105", "name": "Ingress Tool Transfer", "tactic": "Command and Control" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1573", "name": "Encrypted Channel", "tactic": "Command and Control" }, { "id": "T1567", "name": "Exfiltration Over Web Service", "tactic": "Exfiltration" }, { "id": "T1657", "name": "Financial Theft", "tactic": "Impact" } ], "tools": [ { "name": "KRYBIT ransomware (.KRYBIT)", "kind": "ransomware" }, { "name": "vssadmin.exe", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "F65E1621B7A5DC0139FE108B9CD48404082951E7E7F421A07A7B88A8E8111C13C552EA2B0C4C" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "lamashtu", "createdAt": "2026-10-13T04:01:10+00:00", "updatedAt": "2026-10-13T05:06:02+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/lamashtu", "title": "RansomLook: lamashtu", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:01:10+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:06:02+00:00" }, { "id": "s3", "url": "https://www.beforecrypt.com/en/lamashtu-ransomware/", "title": "Lamashtu Ransomware Recovery & Response | BeforeCrypt", "publisher": "beforecrypt.com", "kind": "news", "retrievedAt": "2026-10-13T05:06:02+00:00" }, { "id": "s4", "url": "https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q2-2026", "title": "Industrial Ransomware Analysis for Q2 2026", "publisher": "dragos.com", "kind": "news", "retrievedAt": "2026-10-13T05:06:02+00:00" }, { "id": "s5", "url": "https://digitalrecovery.com/en/decrypt-ransomware/lamashtu/", "title": "Lamashtu", "publisher": "digitalrecovery.com", "kind": "news", "retrievedAt": "2026-10-13T05:06:02+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:01:10+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 4 件で書き直し（自動）" } ], "name": "Lamashtu", "aliases": [], "externalIds": { "mispUuid": "480b325a-7a08-44ae-8690-1ba5eaf9c899", "ransomlook": "lamashtu" }, "type": "cybercrime", "firstSeen": "2026-04-12", "status": { "value": "active", "since": "2026-04-12", "sourceId": "s1" }, "description": "Lamashtu は、2026年4月に姿を現した恐喝グループである。RansomLook の記録では初出は2026年4月12日で、連絡手段は email とされている[s1]。BeforeCrypt も2026年4月の出現とし、カウントダウンタイマー、被害組織ごとの侵害レポート、公開 API を備えた専用の Tor リークサイトを運営していると説明している[s3]。名称の由来や、RaaS（アフィリエイト型）かどうかについて、出典に記述はない。\n\nBeforeCrypt によれば、2026年10月までのオープンソース調査では、このグループに結び付く暗号化ツール、ファイル拡張子、ランサムノートは記録されていない。そのため同社は、確定した暗号化型ランサムウェアではなく、データ窃取と公開を軸にした活動として追跡している[s3]。一方、digitalrecovery.com は Lamashtu を重要データを暗号化するランサムウェアとして紹介しており、医療、教育、製造、金融などへの影響を挙げている[s5]。ただしこれは一般的な説明で、個別の観測結果は示されていない。同じく Dragos は2026年第2四半期の全体傾向として、恐喝モデルが暗号化からデータ窃取のみの運用へ移りつつあると指摘している[s4]。\n\n手口の中心はデータ窃取と公開による圧力である。BeforeCrypt は ATT&CK の T1567 に当たる Data Exfiltration を挙げている。リークサイトの掲載にはファイル数、データ量、証拠サンプルが表示され、公表前にデータが持ち出されていることを示すという[s3]。各被害組織のページにはカウントダウンタイマーと侵害影響レポートが付き、企業の担当者に連絡を促す指示が書かれている[s3]。リークサイトは Lamashtu[.]Blog（Tor）とされ、/api/posts という公開エンドポイントが、主張する被害組織の一覧を機械可読な形で返す[s3]。\n\n交渉は非公開の email で行われる。RansomLook が記録する連絡先ハンドルは LamashtuSupport@onionmail[.]org である[s1]。身代金額や支払いポータルは公開されていない[s3]。被害組織のシステム上にランサムノートのファイルが置かれた例は、オープンソースの報告では特定されていない[s3]。\n\n標的は、中規模の製造業、専門サービス業、食品製造業が中心で、欧州、米州、東南アジアに及ぶと BeforeCrypt は述べる。ドイツやオーストリアなどDACH地域の被害組織も、グループが主張する被害に含まれている[s3]。日本の組織名や被害時期は、出典に挙がっていない。\n\n被害主張数は、Ransomware.live が2026年6月17日までに34件、SOCRadar が2026年9月30日までに44件と数えている[s3]。出現から約半年で件数が増えており、活動は継続している。他グループとの関係や摘発、改名に関する記述は出典にない。\n\n実務上の要点は、バックアップがあってもデータ窃取のリスクは残ることである。被害組織が掲載された場合は、何が持ち出されたかを特定し、カウントダウンの期限が切れる前に対応方針を決める必要がある[s3]。", "techniques": [ { "id": "T1567", "name": "Data Exfiltration", "tactic": "Exfiltration" } ], "tools": [], "cves": [], "related": [], "contactChannels": [ "email" ], "contactHandles": [ { "channel": "email", "value": "LamashtuSupport@onionmail[.]org" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "lazarus", "createdAt": "2026-10-12T22:00:00+09:00", "updatedAt": "2026-10-12T22:00:00+09:00", "sources": [ { "id": "s1", "url": "https://www.npa.go.jp/bureau/cyber/pdf/R041014_cyber_alert.pdf", "title": "北朝鮮当局の下部組織とされるラザルスと呼称されるサイバー攻撃グループによる暗号資産関連事業者等を標的としたサイバー攻撃について（注意喚起）", "publisher": "金融庁・警察庁・内閣サイバーセキュリティセンター", "kind": "gov", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "政府標準利用規約" }, { "id": "s2", "url": "https://github.com/MISP/misp-galaxy/blob/main/clusters/threat-actor.json", "title": "MISP Galaxy threat-actor cluster (version 352)", "publisher": "MISP Project", "kind": "dataset", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "CC0" }, { "id": "s3", "url": "https://attack.mitre.org/groups/G0032/", "title": "MITRE ATT&CK G0032", "publisher": "The MITRE Corporation", "kind": "dataset", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation." } ], "reviewedBy": "human", "reviewedAt": "2026-10-12T22:00:00+09:00", "name": "Lazarus", "aliases": [ { "name": "ラザルス", "namedBy": "警察庁", "relation": "same_as", "sourceId": "s1" }, { "name": "Lazarus Group", "namedBy": "MITRE", "relation": "same_as", "sourceId": "s3" }, { "name": "Hidden Cobra", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Andariel", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Bluenoroff", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Labyrinth Chollima", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Unit 121", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Bureau 121", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Dark Seoul", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Group 77", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mitre": "G0032", "mispUuid": "68391641-859f-4a9a-9a1e-3e5cf71ec376" }, "type": "state_sponsored", "origin": { "country": "北朝鮮", "sponsor": "北朝鮮当局の下部組織とされる", "confidence": "third_party", "sourceId": "s1" }, "status": { "value": "active", "since": "2022-10-14", "sourceId": "s1" }, "description": "北朝鮮当局の下部組織とされるサイバー攻撃グループ。2022年10月14日に金融庁・警察庁・内閣サイバーセキュリティセンターが連名で注意喚起を出し、国連安保理北朝鮮制裁委員会専門家パネルの中間報告書（同年10月7日）が暗号資産関連企業や取引所を引き続き標的にしていると指摘していること、米国で FBI・CISA・財務省が同年4月18日に手口と対応策を公表していること、日本の暗号資産交換業者にも同様の攻撃が行われていることを示した。確認されている手口は、標的企業の幹部を装ったフィッシングメールを従業員に送る、SNS の虚偽アカウントで取引を装って従業員に接近する、といったソーシャルエンジニアリングでマルウェアをダウンロードさせ、それを足がかりに被害者のネットワークへ侵入するものである。MITRE ATT&CK では Lazarus Group（G0032）、MISP Galaxy では Hidden Cobra、Bluenoroff、Andariel などの別名が登録されている。手法と使用ツールは ATT&CK の記載を機械的に取り込んだもの。", "techniques": [ { "id": "T1001.003", "name": "Protocol or Service Impersonation", "tactic": "command-and-control" }, { "id": "T1005", "name": "Data from Local System", "tactic": "collection" }, { "id": "T1008", "name": "Fallback Channels", "tactic": "command-and-control" }, { "id": "T1010", "name": "Application Window Discovery", "tactic": "discovery" }, { "id": "T1012", "name": "Query Registry", "tactic": "discovery" }, { "id": "T1016", "name": "System Network Configuration Discovery", "tactic": "discovery" }, { "id": "T1021.001", "name": "Remote Desktop Protocol", "tactic": "lateral-movement" }, { "id": "T1021.002", "name": "SMB/Windows Admin Shares", "tactic": "lateral-movement" }, { "id": "T1021.004", "name": "SSH", "tactic": "lateral-movement" }, { "id": "T1027.007", "name": "Dynamic API Resolution", "tactic": "stealth" }, { "id": "T1027.009", "name": "Embedded Payloads", "tactic": "stealth" }, { "id": "T1027.013", "name": "Encrypted/Encoded File", "tactic": "stealth" }, { "id": "T1033", "name": "System Owner/User Discovery", "tactic": "discovery" }, { "id": "T1036.003", "name": "Rename Legitimate Utilities", "tactic": "stealth" }, { "id": "T1036.004", "name": "Masquerade Task or Service", "tactic": "stealth" }, { "id": "T1036.005", "name": "Match Legitimate Resource Name or Location", "tactic": "stealth" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "exfiltration" }, { "id": "T1046", "name": "Network Service Discovery", "tactic": "discovery" }, { "id": "T1047", "name": "Windows Management Instrumentation", "tactic": "execution" }, { "id": "T1048.003", "name": "Exfiltration Over Unencrypted Non-C2 Protocol", "tactic": "exfiltration" }, { "id": "T1049", "name": "System Network Connections Discovery", "tactic": "discovery" }, { "id": "T1053.005", "name": "Scheduled Task", "tactic": "execution" }, { "id": "T1055.001", "name": "Dynamic-link Library Injection", "tactic": "stealth" }, { "id": "T1056.001", "name": "Keylogging", "tactic": "collection" }, { "id": "T1057", "name": "Process Discovery", "tactic": "discovery" }, { "id": "T1059.001", "name": "PowerShell", "tactic": "execution" }, { "id": "T1059.003", "name": "Windows Command Shell", "tactic": "execution" }, { "id": "T1059.005", "name": "Visual Basic", "tactic": "execution" }, { "id": "T1070", "name": "Indicator Removal", "tactic": "stealth" }, { "id": "T1070.003", "name": "Clear Command History", "tactic": "stealth" }, { "id": "T1070.004", "name": "File Deletion", "tactic": "stealth" }, { "id": "T1070.006", "name": "Timestomp", "tactic": "stealth" }, { "id": "T1071.001", "name": "Web Protocols", "tactic": "command-and-control" }, { "id": "T1074.001", "name": "Local Data Staging", "tactic": "collection" }, { "id": "T1078", "name": "Valid Accounts", "tactic": "stealth" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "discovery" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "discovery" }, { "id": "T1090.001", "name": "Internal Proxy", "tactic": "command-and-control" }, { "id": "T1090.002", "name": "External Proxy", "tactic": "command-and-control" }, { "id": "T1098", "name": "Account Manipulation", "tactic": "persistence" }, { "id": "T1102.002", "name": "Bidirectional Communication", "tactic": "command-and-control" }, { "id": "T1104", "name": "Multi-Stage Channels", "tactic": "command-and-control" }, { "id": "T1105", "name": "Ingress Tool Transfer", "tactic": "command-and-control" }, { "id": "T1106", "name": "Native API", "tactic": "execution" }, { "id": "T1110.003", "name": "Password Spraying", "tactic": "credential-access" }, { "id": "T1124", "name": "System Time Discovery", "tactic": "discovery" }, { "id": "T1132.001", "name": "Standard Encoding", "tactic": "command-and-control" }, { "id": "T1134.002", "name": "Create Process with Token", "tactic": "stealth" }, { "id": "T1140", "name": "Deobfuscate/Decode Files or Information", "tactic": "stealth" }, { "id": "T1189", "name": "Drive-by Compromise", "tactic": "initial-access" }, { "id": "T1202", "name": "Indirect Command Execution", "tactic": "stealth" }, { "id": "T1203", "name": "Exploitation for Client Execution", "tactic": "execution" }, { "id": "T1204.002", "name": "Malicious File", "tactic": "execution" }, { "id": "T1218", "name": "System Binary Proxy Execution", "tactic": "stealth" }, { "id": "T1218.005", "name": "Mshta", "tactic": "stealth" }, { "id": "T1218.011", "name": "Rundll32", "tactic": "stealth" }, { "id": "T1485", "name": "Data Destruction", "tactic": "impact" }, { "id": "T1489", "name": "Service Stop", "tactic": "impact" }, { "id": "T1491.001", "name": "Internal Defacement", "tactic": "impact" }, { "id": "T1529", "name": "System Shutdown/Reboot", "tactic": "impact" }, { "id": "T1542.003", "name": "Bootkit", "tactic": "stealth" }, { "id": "T1543.003", "name": "Windows Service", "tactic": "persistence" }, { "id": "T1547.001", "name": "Registry Run Keys / Startup Folder", "tactic": "persistence" }, { "id": "T1547.009", "name": "Shortcut Modification", "tactic": "persistence" }, { "id": "T1553.002", "name": "Code Signing", "tactic": "defense-impairment" }, { "id": "T1557.001", "name": "Name Resolution Poisoning and SMB Relay", "tactic": "credential-access" }, { "id": "T1560", "name": "Archive Collected Data", "tactic": "collection" }, { "id": "T1560.002", "name": "Archive via Library", "tactic": "collection" }, { "id": "T1560.003", "name": "Archive via Custom Method", "tactic": "collection" }, { "id": "T1561.001", "name": "Disk Content Wipe", "tactic": "impact" }, { "id": "T1561.002", "name": "Disk Structure Wipe", "tactic": "impact" }, { "id": "T1564.001", "name": "Hidden Files and Directories", "tactic": "stealth" }, { "id": "T1566.001", "name": "Spearphishing Attachment", "tactic": "initial-access" }, { "id": "T1566.002", "name": "Spearphishing Link", "tactic": "initial-access" }, { "id": "T1566.003", "name": "Spearphishing via Service", "tactic": "initial-access" }, { "id": "T1571", "name": "Non-Standard Port", "tactic": "command-and-control" }, { "id": "T1573.001", "name": "Symmetric Cryptography", "tactic": "command-and-control" }, { "id": "T1574.001", "name": "DLL", "tactic": "stealth" }, { "id": "T1574.013", "name": "KernelCallbackTable", "tactic": "stealth" }, { "id": "T1583.001", "name": "Domains", "tactic": "resource-development" }, { "id": "T1583.006", "name": "Web Services", "tactic": "resource-development" }, { "id": "T1584.004", "name": "Server", "tactic": "resource-development" }, { "id": "T1585.001", "name": "Social Media Accounts", "tactic": "resource-development" }, { "id": "T1585.002", "name": "Email Accounts", "tactic": "resource-development" }, { "id": "T1587.001", "name": "Malware", "tactic": "resource-development" }, { "id": "T1588.002", "name": "Tool", "tactic": "resource-development" }, { "id": "T1588.004", "name": "Digital Certificates", "tactic": "resource-development" }, { "id": "T1589.002", "name": "Email Addresses", "tactic": "reconnaissance" }, { "id": "T1591", "name": "Gather Victim Org Information", "tactic": "reconnaissance" }, { "id": "T1620", "name": "Reflective Code Loading", "tactic": "stealth" }, { "id": "T1680", "name": "Local Storage Discovery", "tactic": "discovery" }, { "id": "T1685", "name": "Disable or Modify Tools", "tactic": "defense-impairment" }, { "id": "T1686.003", "name": "Windows Host Firewall", "tactic": "defense-impairment" } ], "tools": [ { "name": "AppleJeus", "kind": "malware" }, { "name": "AuditCred", "kind": "malware" }, { "name": "BADCALL", "kind": "malware" }, { "name": "BLINDINGCAN", "kind": "malware" }, { "name": "Bankshot", "kind": "malware" }, { "name": "Cryptoistic", "kind": "malware" }, { "name": "Dacls", "kind": "malware" }, { "name": "Dtrack", "kind": "malware" }, { "name": "ECCENTRICBANDWAGON", "kind": "malware" }, { "name": "FALLCHILL", "kind": "malware" }, { "name": "HARDRAIN", "kind": "malware" }, { "name": "HOPLIGHT", "kind": "malware" }, { "name": "HotCroissant", "kind": "malware" }, { "name": "KEYMARBLE", "kind": "malware" }, { "name": "MagicRAT", "kind": "malware" }, { "name": "Proxysvc", "kind": "malware" }, { "name": "RATANKBA", "kind": "malware" }, { "name": "RawDisk", "kind": "legit_tool" }, { "name": "Responder", "kind": "legit_tool" }, { "name": "TAINTEDSCRIBE", "kind": "malware" }, { "name": "TYPEFRAME", "kind": "malware" }, { "name": "ThreatNeedle", "kind": "malware" }, { "name": "Volgmer", "kind": "malware" }, { "name": "WannaCry", "kind": "ransomware" }, { "name": "netsh", "kind": "legit_tool" }, { "name": "route", "kind": "legit_tool" } ], "cves": [], "related": [], "derived": { "japanActivity": [], "advisorySlugs": [ "npa-20221014-lazarus" ] } }, { "slug": "lynx", "createdAt": "2026-10-13T03:53:54+00:00", "updatedAt": "2026-10-13T05:38:45+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/lynx", "title": "RansomLook: lynx", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:53:54+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:38:45+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:38:45+00:00" }, { "id": "s4", "url": "https://unit42.paloaltonetworks.com/inc-ransomware-rebrand-to-lynx/", "title": "Lynx Ransomware: A Rebranding of INC Ransomware", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T05:38:45+00:00" }, { "id": "s5", "url": "https://www.acronis.com/ja/tru/posts/msps-a-top-target-for-akira-and-lynx-ransomware/", "title": "MSP を狙い撃つランサムウェア「Akira」と「Lynx」", "publisher": "Acronis", "kind": "vendor", "retrievedAt": "2026-10-13T05:38:45+00:00" }, { "id": "s6", "url": "https://www.rapid7.com/blog/post/2024/09/12/ransomware-groups-demystified-lynx-ransomware/", "title": "Ransomware Groups Demystified: Lynx Ransomware", "publisher": "Rapid7", "kind": "vendor", "retrievedAt": "2026-10-13T05:38:45+00:00" }, { "id": "s7", "url": "https://www.picussecurity.com/resource/blog/lynx-ransomware", "title": "Lynx Ransomware: Exposing How INC Ransomware Rebrands Itself", "publisher": "picussecurity.com", "kind": "news", "retrievedAt": "2026-10-13T05:38:45+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:53:54+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "lynx", "aliases": [], "externalIds": { "ransomlook": "lynx" }, "type": "ransomware", "firstSeen": "2024-08-02", "status": { "value": "active", "since": "2024-08-02", "sourceId": "s1" }, "description": "Lynx は 2024 年 7 月に確認されたランサムウェアで、RaaS として運営されている。Unit 42 は INC ランサムウェアの後継と位置づけ、Picus も INC のリブランド版と見ている[s4][s7]。RansomLook の記録では初出は 2024-08-02 である[s1]。Rapid7 は 2024 年 7 月に識別したと述べている[s6]。\n\nINC は 2023 年 8 月に出現し、Windows 版と Linux 版の亜種があった[s4]。INC のソースコードは 2024 年 3 月ごろから地下市場で売りに出されており[s4]、2024 年 4 月には地下フォーラムのユーザーが INC ビルダーのコピー 3 本を各 30 万（おそらくルーブル）で販売すると投稿した[s5]。Acronis は、INC が 2025 年も活動を続けていることから単純なリブランドの可能性は低いとし、Lynx は INC ビルダーを購入して改変したと見ている[s5]。Rapid7 は、地下の噂として Lynx が INC のソースコードを購入したとされる点に触れた。バイナリ比較の全体類似度は 48%、関数の類似度は 70.8% で、関数や引数に重なりはあるものの、INC のソースコード由来と証明するには足りないとの見解である[s6]。Acronis は結論でも、単なる INC のリブランドかどうかは断定せず、コードに類似性があることは明らかとしている[s5]。一方 Acronis は、Lynx が流出した LockBit のソースコードの要素を取り入れていると考えられるとも述べている[s5]。\n\n運営面では、ロシアのアンダーグラウンドフォーラムに投稿してアフィリエートを募っている。投稿によれば、民間企業のみを標的とし、独自のビルダー、Windows 版と Linux 版、盗んだファイルの保管サービスを備え、アフィリエイトにはデータリークサイトの管理パネルへのアクセス権が与えられる[s5]。2024 年 7 月 24 日の声明では、金銭を動機としつつ、政府機関・病院・非営利団体は標的にしない方針だと主張した[s6][s4]。Rapid7 は、被害者への攻撃と恐喝が「倫理的」と言える状況はないとしている[s6]。Picus も、この方針を掲げながら攻撃が大きな混乱とデータ流出を招いたと指摘している[s7]。\n\n手口として、Unit 42 は配布経路にフィッシングメール、悪意あるダウンロード、ハッキングフォーラムを挙げている[s4]。Acronis も通常はフィッシングメールでマルウェアを送り込むとし、侵入後はシステム情報の収集、資格情報の取得、ネットワーク内の侵入拡大を行うと述べている。また、インストール済みソフトを調べて悪用できる脆弱性を探すこともできるという[s5]。2025 年の攻撃では、セキュリティソフトを見つけるとアンインストールを試みる事例が確認されている[s5]。データは暗号化の前に外部サーバーへ流出させる二重脅迫で、被害者には復号だけでなく個人データの非開示を条件に支払いを迫る[s4][s5]。Rapid7 は単一脅迫と二重脅迫の両方を使うとしている[s6]。\n\nランサムウェア本体は C++ 製で、暗号化後は拡張子 .lynx（.LYNX）が付く[s4][s5]。Unit 42 は AES-128 の CTR モードと Curve25519 Donna の使用を確認した[s4]。プロセスは sql、veeam、backup、exchange、java、notepad を、サービスは sql、veeam、backup、exchange を停止する[s5]。ファイルが使用中の場合は Restart Manager API で占有プロセスを終了させ[s4][s5]、書き込み権限がなければ SeTakeOwnership 権限で所有権の取得を試みる[s5]。シャドウコピーも削除し[s4][s5][s6]、隠しドライブのマウントやネットワーク共有の暗号化もできる[s4][s5]。暗号化後は README[.]txt を残し、壁紙にも身代金要求を書き込んで、接続された全プリンターで印刷する[s5]。\n\n交渉用インフラは、ランサムノートに Tor のチャットサイトとミラーが記載されている。Rapid7 が確認したノートには、チャット用の hxxp://lynxchatly4zludmhmi75jrwhycnoqvkxb4prohxmyzf4euf5gjxroad[.]onion/login と、ミラー 3 つが載っていた[s6]。Picus が引用したノートには、連絡用メールアドレス martina[.]lestariid1898@proton[.]me も記載されている[s7]。リークサイトは hxxp://lynxblog[.]net[s4][s6]、および Tor 上の hxxp://lynxbllrfr5262yvbgtqoyq76s7mpztcqkv6tjjxgpilpma7nyoeohyd[.]onion/disclosures である[s6][s7]。Acronis は、これ以外の lynxblog 系 .onion も挙げている[s5]。サイトには被害組織の公開ページ、被害者向けのログイン画面、報告フォームが設けられている[s4][s6]。\n\n標的と被害について、Unit 42 は小売、不動産、建築、金融、環境サービスなど複数業種の米国・英国の組織を挙げている[s4]。Picus は、中小企業が中心で、エネルギー、製造、エンジニアリング、法律サービスなど、主に北米・欧州と整理している[s7]。具体例では、2024 年 12 月にエネルギー供給会社 Electrica を狙ったとされ[s7]、2025 年 1 月には米国の法律事務所 Hunter Taubman Fischer & Li LLC が侵害された[s7]。Acronis は被害が約 145 件に上ると記し、公表された事例の一つとしてテネシー州チャタヌーガの CBS 系列テレビ局への攻撃を挙げている[s5]。日本の組織の被害は、提示された出典には記載がない。\n\n動向としては、Rapid7 が 2024 年 9 月時点で 20 件超の被害の主張を確認し[s6]、Unit 42 では 2024 年 8 月・9 月にサンプルの増加が目立った[s4]。Acronis は 2025 年第 1 四半期に目立った動きを見せたグループの一つとして取り上げている[s5]。Unit 42 は、INC のコードが出回っているため、新旧のグループによる再利用が増えると予想している[s4]。Acronis は Lynx を Akira、SafePay とともに RaaS と二重脅迫を採るグループとして扱い、MSP も標的になりうると警告している[s5]。", "techniques": [ { "id": "T1057", "name": "Process Discovery", "tactic": "Discovery" }, { "id": "T1489", "name": "Service Stop", "tactic": "Impact" }, { "id": "T1049", "name": "System Network Connections Discovery", "tactic": "Discovery" }, { "id": "T1018", "name": "Remote System Discovery", "tactic": "Discovery" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "Discovery" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1587.001", "name": "Develop Capabilities: Malware", "tactic": "Resource Development" }, { "id": "T1564.001", "name": "Hidden Files and Directories", "tactic": "Defense Evasion" }, { "id": "T1068", "name": "Exploitation for Privilege Escalation", "tactic": "Privilege Escalation" }, { "id": "T1203", "name": "Exploitation for Client Execution", "tactic": "Execution" }, { "id": "T1106", "name": "Native API", "tactic": "Execution" } ], "tools": [ { "name": "Lynx ransomware", "kind": "ransomware" }, { "name": "Restart Manager API (RstrtMgr)", "kind": "legit_tool" }, { "name": "Microsoft OneNote", "kind": "legit_tool" } ], "cves": [], "related": [ { "actorSlug": "inc-ransom", "relation": "predecessor", "confidence": "third_party", "sourceId": "s2" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 6, "incidents": 0 }, { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "lynxr", "createdAt": "2026-10-13T04:00:33+00:00", "updatedAt": "2026-10-13T05:31:48+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/lynxr", "title": "RansomLook: lynxr", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:00:33+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:31:48+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:31:48+00:00" }, { "id": "s4", "url": "https://jp.security.ntt/insights_resources/security_magazine/what-is-ransomware/", "title": "【ランサムウェアとは】企業の事業継続を脅かす脅威｜最新手口、感染経路、必須対策、復旧までを徹底解説", "publisher": "jp.security.ntt", "kind": "news", "retrievedAt": "2026-10-13T05:31:48+00:00" }, { "id": "s5", "url": "https://group.gmo/security/cybersecurity/cyberattack/blog/ransomware-case-study/", "title": "国内・海外のランサムウェア事例15選を紹介！業界別に被害状況を詳しく解説｜総合ネットセキュリティサービス｜GMOセキュリティ24", "publisher": "group.gmo", "kind": "news", "retrievedAt": "2026-10-13T05:31:48+00:00" }, { "id": "s6", "url": "https://www.jc3.or.jp/threats/topics/article-375.html", "title": "ランサムウェア対策について | トピックス | 脅威情報 | 一般財団法人日本サイバー犯罪対策センター（JC3）", "publisher": "jc3.or.jp", "kind": "news", "retrievedAt": "2026-10-13T05:31:48+00:00" }, { "id": "s7", "url": "https://www.menlosecurity.com/ja-jp/blog/ransomware-examples", "title": "ランサムウェアによる被害事例｜種類や対策方法も解説", "publisher": "menlosecurity.com", "kind": "news", "retrievedAt": "2026-10-13T05:31:48+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:00:33+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "lynxr", "aliases": [], "externalIds": { "ransomlook": "lynxr" }, "type": "ransomware", "firstSeen": "2026-01-23", "status": { "value": "unknown", "since": "2026-01-23", "sourceId": "s1" }, "description": "lynxr はランサムウェア関連の監視サイト RansomLook に 2026年1月23日が初出として記録された名称である。連絡手段の記録はない。\n\n与えられた出典はいずれもランサムウェア全般の解説記事であり、lynxr という名称は出典のどこにも現れない。このため、このグループ固有の来歴、運営形態、手口、標的、日本での被害、摘発や改名といった動向を、出典から裏付けて述べることはできない。\n\n実務上の参考として、出典が一般論として述べる内容を示す。警察庁は、ランサムウェアの開発・運営グループが実行者に攻撃環境やリークサイトを提供し、見返りに身代金の一部を受け取る RaaS が多数確認されていると述べている [s2]。トレンドマイクロは、2022年以降に登場した新興ファミリーが2024年下半期から急速に拡大したとしている [s3]。ただし、これらは lynxr 個別の記述ではない。\n\n侵入経路について、警察庁の統計を引いた NTT の記事は、被害企業の感染経路が VPN 機器 46.8%、リモートデスクトップ 36.2% で全体の約8割を占めると紹介している [s4]。二重脅迫への備えとしては、窃取データの暴露に対する対処と、VPN 機器・RDP の脆弱性対策や多要素認証の導入が挙げられている [s3][s4]。lynxr 名義の被害に遭った、または遭った可能性がある組織は、新興グループの一般的な傾向として、こうした侵入口の点検から始めるのが妥当である。", "techniques": [], "tools": [], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "medusa", "createdAt": "2026-10-13T03:58:09+00:00", "updatedAt": "2026-10-13T05:07:35+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/medusa", "title": "RansomLook: medusa", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:58:09+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-071a", "title": "#StopRansomware: Medusa Ransomware | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T05:07:35+00:00" }, { "id": "s3", "url": "https://unit42.paloaltonetworks.com/medusa-ransomware-escalation-new-leak-site/", "title": "Medusa Ransomware Turning Your Files into Stone", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T05:07:35+00:00" }, { "id": "s4", "url": "https://unit42.paloaltonetworks.com/ja/medusa-ransomware-escalation-new-leak-site/", "title": "見た者のファイルを石に変える: Medusa ランサムウェア", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T05:07:35+00:00" }, { "id": "s5", "url": "https://www.picussecurity.com/resource/blog/medusa-ransomware-cisa-alert-aa25-071a", "title": "Medusa Ransomware Analysis, Simulation, and Mitigation - CISA Alert AA25-071A", "publisher": "picussecurity.com", "kind": "news", "retrievedAt": "2026-10-13T05:07:35+00:00" }, { "id": "s6", "url": "https://nordlayer.com/blog/medusa-ransomware/", "title": "Medusa Ransomware: Group, Tactics, and Essential Defenses", "publisher": "nordlayer.com", "kind": "news", "retrievedAt": "2026-10-13T05:07:35+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:58:09+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "medusa", "aliases": [], "externalIds": { "ransomlook": "medusa" }, "type": "ransomware", "firstSeen": "2023-02-13", "status": { "value": "active", "since": "2023-02-13", "sourceId": "s1" }, "description": "Medusa ランサムウェアの正体と来歴\n\nMedusa は 2021 年 6 月に初めて確認されたランサムウェア・アズ・ア・サービス（RaaS）である [s2]。当初は同一の攻撃者集団が開発と攻撃キャンペーンの両方を統制するクローズド運営だったが、遅くとも 2023 年初頭からは、経験や収益性に応じて信頼度の異なるアフィリエイトに RaaS を提供する形へ移行した [s2]。新規または経験の浅いアフィリエイトについては、身代金交渉などの重要な工程を開発者が集中管理することがある [s2]。一方 Unit 42 は、Medusa が 2022 年後半に RaaS として登場し、2023 年初頭に悪名を高めたと説明しており、時期の見方に差がある [s3]。FBI によれば、Medusa は MedusaLocker や Medusa モバイルマルウェアとは無関係である [s2]。Unit 42 も、2019 年から提供されている MedusaLocker と混同しないよう注意している [s3]。RansomLook の初出記録は 2023 年 2 月 13 日で、連絡手段として tox と Telegram が挙げられている。Tox ID は 6E8CDBCFFCC204358615563A3C2325E08DE03B785F6A85D783DE6E43AF246430142D9CBD4664、Telegram の招待は hxxps://t[.]me/+lyskiDn9KiYxZjlh と hxxps://t[.]me/+yXOcSjVjI9tjM2E0 である。ランサムウェア本体のバイナリー名や設定ファイルには神話のメデューサにちなんだ「Gaze（凝視）」という語が使われている [s4]。\n\n手口\n\n初期アクセスでは、サイバー犯罪フォーラムなどで初期アクセスブローカー（IAB）を募る。支払額は 100 ドルから 100 万ドルとされ、専属で働く機会も提示するが、多くの IAB は複数のランサムウェアのために同時に働く [s2]。主な侵入経路は、認証情報を盗むためのフィッシング [T1566] と、未修正脆弱性の悪用 [T1190] である [s2]。悪用が確認された脆弱性は、ScreenConnect の CVE-2024-1709、Fortinet EMS の CVE-2023-48788、Fortra GoAnywhere の CVE-2025-10035、BeyondTrust の CVE-2026-1731 である [s2]。新たに公表された脆弱性は 24 時間以内に悪用し、公開の最大 1 週間前から悪用した例も観測されているが、自前でゼロデイや N-day を開発している兆候はない [s2]。侵入成功の確認には Interactsh の oast[.]site、oast[.]pro、oast[.]fun の各ドメインを使う [s2]。Unit 42 の対応事例では、侵害した Microsoft Exchange Server に Web シェルを置き、PowerShell で bitsadmin transfer を実行して filemail[.]com から baby.zip を取得し、RMM の ConnectWise を導入していた [s3]。RDP の弱い認証情報の悪用を挙げる出典もある [s6]。\n\n侵入後は Advanced IP Scanner や SoftPerfect Network Scanner で列挙し [s2]、PowerShell と cmd.exe、WMI を使う [s2]。認証情報の窃取には Mimikatz、タスクマネージャー、comsvcs.dll の Minidump を使い [s5]、データの持ち出しには rclone を使う [s5]。横展開には PDQ Deploy や BigFix、RDP、PsExec を使い [s5]、AnyDesk も悪用する [s5]。防御回避では、セキュリティ製品を終了させるカーネルドライバー 2 種を投下し、Safengine Shielden で保護していた [s4]。暗号化は AES-256 で、拡張子 .medusa を付け、暗号化プロセスは gaze.exe である [s5]。ボリュームシャドウコピーも削除する [s5]。\n\nリークサイト「Medusa Blog」は 2023 年初頭に Tor の .onion サイトとして開設された [s3]。投稿には価格、カウントダウン、訪問者数、被害者名が表示され、1 日延長の標準料金は 1 万ドル、データ削除やダウンロードの価格は組織ごとに異なる [s3]。公開 Telegram チャンネル「information support」でも漏えいデータが公開されている [s3]。盗んだデータを期限前に第三者へ競売にかけるほか、電話やメールで被害者に直接連絡し、支払い後に再度恐喝した例から三重恐喝の可能性も指摘されている [s5]。\n\n標的と主な被害\n\nFBI などによれば、2026 年 4 月時点で 500 以上の被害者があり、医療、教育、法務、保険、技術、製造業など重要インフラの各分野に及ぶ [s2]。特定の組織や業種を狙うのではなく、未修正のソフトウェアを持つ組織を日和見的に狙うが、医療・公衆衛生分野は頻繁に被害を受けている [s2]。リークサイトに基づく Unit 42 の集計では、2023 年に世界 74 組織に影響した可能性があり、ハイテク、教育、製造業が多い [s3]。国別では米国が 24 件で最多で、英国、フランス、イタリアなど欧州も多い [s3]。アフリカ、南米、アジアでも散発的な被害がある [s3]。2023 年には Toyota Financial Services が、中央ヨーロッパのシステムへの侵入を受けて 800 万ドルの身代金を要求されたとされる [s6]。\n\n動向\n\n2025 年 3 月 12 日に公開された CISA、FBI の共同勧告は、2026 年 8 月 18 日に HHS を加えて更新され、FBI の 2026 年 4 月時点の調査に基づき、アフィリエイトモデル、IAB への支払い幅、悪用された脆弱性の一覧が拡充された [s2]。", "techniques": [ { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1059.001", "name": "Command and Scripting Interpreter: PowerShell", "tactic": "Execution" }, { "id": "T1059.003", "name": "Command and Scripting Interpreter: Windows Command Shell", "tactic": "Execution" }, { "id": "T1046", "name": "Network Service Discovery", "tactic": "Discovery" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "Discovery" }, { "id": "T1105", "name": "Ingress Tool Transfer", "tactic": "Command and Control" }, { "id": "T1047", "name": "Windows Management Instrumentation", "tactic": "Execution" } ], "tools": [ { "name": "Medusa (gaze.exe)", "kind": "ransomware" }, { "name": "Advanced IP Scanner", "kind": "legit_tool" }, { "name": "SoftPerfect Network Scanner", "kind": "legit_tool" }, { "name": "ConnectWise", "kind": "legit_tool" }, { "name": "certutil", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "Mimikatz", "kind": "malware" }, { "name": "rclone", "kind": "legit_tool" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "PDQ Deploy", "kind": "legit_tool" }, { "name": "BigFix", "kind": "legit_tool" }, { "name": "Interactsh", "kind": "legit_tool" } ], "cves": [ "CVE-2024-1709", "CVE-2023-48788", "CVE-2025-10035", "CVE-2026-1731" ], "related": [], "contactChannels": [ "tox", "telegram" ], "contactHandles": [ { "channel": "tox", "value": "6E8CDBCFFCC204358615563A3C2325E08DE03B785F6A85D783DE6E43AF246430142D9CBD4664" }, { "channel": "telegram", "value": "hxxps://t[.]me/+lyskiDn9KiYxZjlh\r\nhxxps://t[.]me/+yXOcSjVjI9tjM2E0" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "metaencryptor", "createdAt": "2026-10-13T04:01:58+00:00", "updatedAt": "2026-10-13T05:08:02+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/metaencryptor", "title": "RansomLook: metaencryptor", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:01:58+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:08:02+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:08:02+00:00" }, { "id": "s4", "url": "https://www.sentinelone.com/anthology/losttrust/", "title": "LostTrust", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T05:08:02+00:00" }, { "id": "s5", "url": "https://www.sentinelone.com/blog/losttrust-ransomware-latest-multi-extortion-threat-shares-traits-with-sfile-and-mindware/", "title": "LostTrust Ransomware | Latest Multi-Extortion Threat Shares Traits with SFile and Mindware", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T05:08:02+00:00" }, { "id": "s6", "url": "https://www.druva.com/reconx-labs/knowledge-base/metaencryptor", "title": "Metaencryptor Ransomware", "publisher": "druva.com", "kind": "news", "retrievedAt": "2026-10-13T05:08:02+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:01:58+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "metaencryptor", "aliases": [ { "name": "MetaEncrypter", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "metaencryptor" }, "type": "ransomware", "firstSeen": "2023-08-17", "status": { "value": "active", "since": "2023-08-17", "sourceId": "s1" }, "description": "MetaEncryptor は、リークサイトで被害組織を公開するランサムウェア運営グループである。RansomLook の記録では初出は 2023-08-17 で、連絡手段は tox とされる。RansomLook に記録された tox ハンドルは 725035DCFC870A8088F3EB12D597D4D78F4024BF99F8F270AD0E8DCC70CEAB2253E31742ACD2 である。SentinelOne は、MetaEncryptor の活動は 2022 年初頭に遡ると述べている [s4]。同社の分析では、MetaEncryptor のペイロードは SFile の暗号化プログラムを基にしている [s5]。SFile と Mindware は同じ系譜にあり、MetaEncryptor、LostTrust、SFile、Mindware の 4 者は似た運用と手口を持つという [s5]。Druva は、MetaEncryptor に関する公開技術情報は限られており、リークサイトを通じて追跡していると述べている [s6]。\n\n手口については、MetaEncryptor 固有の詳細な技術報告は少ない。SentinelOne は、後継とされる LostTrust のペイロードに MetaEncryptor 由来のマークアップや文字列が残っていると報告している [s4]。LostTrust のペイロードは、Exchange、MSSQL、SharePoint、Tomcat、postgresql などのサービスやプロセスを停止する [s5]。その際、非表示の CMD.EXE を複数起動し、WMIC、NET、SC、taskkill、VSSADMIN、wevtutil のコマンドを実行する [s5]。VSSADMIN でボリュームシャドウコピーを削除し、wevtutil で Windows イベントログを消去する [s5]。コマンドライン引数として --enable-shares（ネットワークボリュームの探索と暗号化）と --onlypath（指定パスのみ暗号化）に対応する [s5]。暗号化対象と除外対象の指定は MetaEncryptor と似ており、除外はパターン文字列で処理される [s5]。以上は LostTrust のペイロード分析に基づくもので、MetaEncryptor の初期侵入経路を示す記述は出典にない。二重脅迫については、SentinelOne が MetaEncryptor の多重脅迫モデルを LostTrust が引き継いでいると述べ [s4]、Druva もリークサイトの掲載内容からデータ窃取と公開の脅迫による二重脅迫型の活動とみている [s6]。\n\n標的と被害について、Druva はリークサイト上の被害投稿を 31 件と記録している [s6]。SentinelOne の調査時点では、MetaEncryptor のブログに 13 件の被害が掲載されていた [s5]。出典に日本の被害組織名や発生時期の記載はない。LostTrust の運営は、医療や教育を含む複数の業種を区別なく狙うと SentinelOne は述べている [s4]。\n\n動向としては、2023 年 9 月に LostTrust が MetaEncryptor の発展形として登場し、9 月下旬に別名義の被害者向けブログが開設された [s4]。LostTrust の Tor ブログは MetaEncryptor のブログと同じ書式で、連絡先の TOX も一致していた [s5]。両者の被害者に直接の重複はない一方、LostTrust の被害者の一部は Royal、LockBit 3、Medusa のリークサイトにも掲載されていた [s5]。SentinelOne の調査時点では両方のブログが稼働しており、MetaEncryptor のブログも最近更新されていた [s5]。LostTrust のブログには 53 件の被害が掲載されていた [s5]。Druva は、同グループが 31 件の被害投稿を主張していると記している [s6]。", "techniques": [], "tools": [ { "name": "MetaEncryptor", "kind": "ransomware" }, { "name": "WMIC", "kind": "legit_tool" }, { "name": "VSSADMIN", "kind": "legit_tool" }, { "name": "wevtutil", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "725035DCFC870A8088F3EB12D597D4D78F4024BF99F8F270AD0E8DCC70CEAB2253E31742ACD2" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "mirrorface", "createdAt": "2026-10-12T22:00:00+09:00", "updatedAt": "2026-10-12T22:00:00+09:00", "sources": [ { "id": "s1", "url": "https://www.npa.go.jp/bureau/cyber/koho/caution/caution20250108.html", "title": "MirrorFaceによるサイバー攻撃について（注意喚起）", "publisher": "警察庁・内閣サイバーセキュリティセンター", "kind": "gov", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "政府標準利用規約" }, { "id": "s2", "url": "https://github.com/MISP/misp-galaxy/blob/main/clusters/threat-actor.json", "title": "MISP Galaxy threat-actor cluster (version 352)", "publisher": "MISP Project", "kind": "dataset", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "CC0" }, { "id": "s3", "url": "https://attack.mitre.org/groups/G1054/", "title": "MITRE ATT&CK G1054", "publisher": "The MITRE Corporation", "kind": "dataset", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "© 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation." } ], "reviewedBy": "human", "reviewedAt": "2026-10-12T22:00:00+09:00", "name": "MirrorFace", "aliases": [ { "name": "MirrorFace", "namedBy": "警察庁", "relation": "same_as", "sourceId": "s1" }, { "name": "Earth Kasha", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mitre": "G1054", "mispUuid": "e992d874-604b-4a09-9c6c-0319d5be652a" }, "type": "state_sponsored", "origin": { "country": "中国", "sponsor": "中国の関与が疑われる", "confidence": "third_party", "sourceId": "s1" }, "firstSeen": "2019-01-01", "status": { "value": "active", "since": "2019-01-01", "sourceId": "s1" }, "description": "2019年頃から現在に至るまで日本国内の組織、事業者、個人を対象にキャンペーンを続けているとされるサイバー攻撃グループ。別名 Earth Kasha。2025年1月8日、警察庁と内閣サイバーセキュリティセンターは、主に安全保障や先端技術に係る情報窃取を目的とした、中国の関与が疑われる組織的なサイバー攻撃と評価して注意喚起を出した。捜査は警察庁関東管区警察局サイバー特別捜査部と警視庁ほか道府県警察が行い、手口は別添資料「Windows Sandbox を悪用した手口及び痕跡・検知策」「VS Code を悪用した手口及び痕跡・検知策」として公表された。MITRE ATT&CK では G1054、MISP Galaxy でも Earth Kasha が別名として登録されている。手法と使用ツールは ATT&CK の記載を機械的に取り込んだもので、日本の事案との対応は個別に確認する。初出の「2019年頃」は注意喚起の記述によるもので、月日は確認できていない。", "techniques": [ { "id": "T1003.001", "name": "LSASS Memory", "tactic": "credential-access" }, { "id": "T1003.002", "name": "Security Account Manager", "tactic": "credential-access" }, { "id": "T1003.003", "name": "NTDS", "tactic": "credential-access" }, { "id": "T1005", "name": "Data from Local System", "tactic": "collection" }, { "id": "T1007", "name": "System Service Discovery", "tactic": "discovery" }, { "id": "T1016", "name": "System Network Configuration Discovery", "tactic": "discovery" }, { "id": "T1018", "name": "Remote System Discovery", "tactic": "discovery" }, { "id": "T1021.001", "name": "Remote Desktop Protocol", "tactic": "lateral-movement" }, { "id": "T1021.002", "name": "SMB/Windows Admin Shares", "tactic": "lateral-movement" }, { "id": "T1027.013", "name": "Encrypted/Encoded File", "tactic": "stealth" }, { "id": "T1033", "name": "System Owner/User Discovery", "tactic": "discovery" }, { "id": "T1036.008", "name": "Masquerade File Type", "tactic": "stealth" }, { "id": "T1047", "name": "Windows Management Instrumentation", "tactic": "execution" }, { "id": "T1048.002", "name": "Exfiltration Over Asymmetric Encrypted Non-C2 Protocol", "tactic": "exfiltration" }, { "id": "T1057", "name": "Process Discovery", "tactic": "discovery" }, { "id": "T1059.003", "name": "Windows Command Shell", "tactic": "execution" }, { "id": "T1059.005", "name": "Visual Basic", "tactic": "execution" }, { "id": "T1070.004", "name": "File Deletion", "tactic": "stealth" }, { "id": "T1071.002", "name": "File Transfer Protocols", "tactic": "command-and-control" }, { "id": "T1074.002", "name": "Remote Data Staging", "tactic": "collection" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "discovery" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "discovery" }, { "id": "T1087.002", "name": "Domain Account", "tactic": "discovery" }, { "id": "T1090", "name": "Proxy", "tactic": "command-and-control" }, { "id": "T1114.001", "name": "Local Email Collection", "tactic": "collection" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "initial-access" }, { "id": "T1204.002", "name": "Malicious File", "tactic": "execution" }, { "id": "T1221", "name": "Template Injection", "tactic": "stealth" }, { "id": "T1482", "name": "Domain Trust Discovery", "tactic": "discovery" }, { "id": "T1553.002", "name": "Code Signing", "tactic": "defense-impairment" }, { "id": "T1556.002", "name": "Password Filter DLL", "tactic": "defense-impairment" }, { "id": "T1560.001", "name": "Archive via Utility", "tactic": "collection" }, { "id": "T1566.001", "name": "Spearphishing Attachment", "tactic": "initial-access" }, { "id": "T1566.002", "name": "Spearphishing Link", "tactic": "initial-access" }, { "id": "T1574.001", "name": "DLL", "tactic": "stealth" }, { "id": "T1587.001", "name": "Malware", "tactic": "resource-development" }, { "id": "T1588.002", "name": "Tool", "tactic": "resource-development" }, { "id": "T1591", "name": "Gather Victim Org Information", "tactic": "reconnaissance" }, { "id": "T1614.001", "name": "System Language Discovery", "tactic": "discovery" }, { "id": "T1684.001", "name": "Impersonation", "tactic": "stealth" }, { "id": "T1685", "name": "Disable or Modify Tools", "tactic": "defense-impairment" }, { "id": "T1685.005", "name": "Clear Windows Event Logs", "tactic": "defense-impairment" }, { "id": "T1686.003", "name": "Windows Host Firewall", "tactic": "defense-impairment" } ], "tools": [ { "name": "BITSAdmin", "kind": "legit_tool" }, { "name": "Cobalt Strike", "kind": "malware" }, { "name": "DOWNIISSA", "kind": "malware" }, { "name": "HiddenFace", "kind": "malware" }, { "name": "LODEINFO", "kind": "malware" }, { "name": "MirrorStealer", "kind": "malware" }, { "name": "NOOPLDR", "kind": "malware" }, { "name": "Net", "kind": "legit_tool" }, { "name": "Nltest", "kind": "legit_tool" }, { "name": "Ping", "kind": "legit_tool" }, { "name": "ROAMINGHOUSE", "kind": "malware" }, { "name": "Tasklist", "kind": "legit_tool" }, { "name": "UPPERCUT", "kind": "malware" }, { "name": "Wevtutil", "kind": "legit_tool" }, { "name": "ipconfig", "kind": "legit_tool" }, { "name": "nbtstat", "kind": "legit_tool" } ], "cves": [], "related": [], "derived": { "japanActivity": [], "advisorySlugs": [ "npa-20250108-mirrorface" ] } }, { "slug": "n0n", "createdAt": "2026-10-13T03:31:09+00:00", "updatedAt": "2026-10-13T05:08:23+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/n0n", "title": "RansomLook: n0n", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:31:09+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:08:23+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:08:23+00:00" }, { "id": "s4", "url": "https://www.infosecurity-magazine.com/news/ransomware-gang-uses-backup/", "title": "Emerging Ransomware Gang Uses Backup Destruction Threats to Pressure Victims", "publisher": "infosecurity-magazine.com", "kind": "news", "retrievedAt": "2026-10-13T05:08:23+00:00" }, { "id": "s5", "url": "https://www.beforecrypt.com/en/n0n-ransomware/", "title": "N0n Ransomware Recovery & Response | BeforeCrypt", "publisher": "beforecrypt.com", "kind": "news", "retrievedAt": "2026-10-13T05:08:23+00:00" }, { "id": "s6", "url": "https://bellatorcyber.com/blog/n0n-ransomware-gang-2026", "title": "N0n Ransomware Gang Emerges With Dozen Victims", "publisher": "bellatorcyber.com", "kind": "news", "retrievedAt": "2026-10-13T05:08:23+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:31:09+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "n0n", "aliases": [], "externalIds": { "ransomlook": "n0n" }, "type": "ransomware", "firstSeen": "2026-09-18", "status": { "value": "active", "since": "2026-09-18", "sourceId": "s1" }, "description": "n0n（表記は N0n とも）は、2026年9月に現れた新興の恐喝グループである。RansomLook は初出を2026年9月18日と記録している[s1]。CyberXTron の調査によると、活動は9月18日に初めて確認され、9月22日までに Tor 上のリークサイトで十数件の被害組織の情報が公開された[s4]。Fortra の分析（2026年10月3日公開）を引いた Bellator Cyber も、9月中旬に初めて現れ数日で約12件の被害を掲載したと伝えている[s6]。名称の由来、RaaS かどうか、運営体制は出典に示されていない。Bellator は、新規グループに見られる一般的なパターンとして、既存グループの改名、RaaS 運営、過去の侵害の後出し公開を挙げる。ただし n0n がどれに当たるかは Fortra の投稿に記されておらず、同社自身も分析にとどまると断っている[s6]。\n\n手口について。CyberXTron の分析では、侵入はインフォスティーラー型マルウェアで盗まれた認証情報の悪用から始まる。その認証情報で企業ネットワークに初期侵入し、権限を昇格して管理ツールを掌握し、恐喝要求の前にデータを加工・集約する[s4]。一方、BeforeCrypt は、確認した範囲のベンダーや政府の情報源に初期侵入手法、悪用された脆弱性、MITRE ATT&CK との対応づけの公開はなく、SOCRadar のプロファイルにもツールや手法の記録がなかったと述べている[s5]。Fortra の投稿も初期侵入手法に触れていない[s6]。\n\n恐喝の特徴は、二重恐喝に加えてバックアップ破壊の脅しを前面に出す点にある。機密データの窃取に加え、バックアップやシャドウコピーを暗号化または破壊すると明示的に脅す[s4]。被害組織ごとにカウントダウンタイマーが設けられ、期限が切れた一部の案件ではデータが公開された。これは支払いに応じない被害組織がいることを示唆すると指摘されている[s4]。BeforeCrypt によれば、リークサイトの掲載には UTC の正確な期限が付き、期限後にデータを分割して公開すると記される。被害組織は掲載内の案内に従い、非公開の交渉ルームで確認と決着を図る。掲載に身代金額は示されず、金額は交渉ルームで初めて話し合われる。従来型の脅迫状ファイルは見つかっていない[s5]。投資家データを税務当局に送ると脅した例もある[s5]。暗号化の有無には見解の相違がある。SOCRadar は暗号化を伴わないデータ恐喝と評価し、WatchGuard は二重恐喝に分類している[s5]。n0n 自身の掲載には、バックアップとシャドウコピーを暗号化または破壊し業務を完全に停止させたとの記述があるが、これは本人の主張で未検証である[s5]。BeforeCrypt によれば、掲載には証拠が欠けるものや架空の被害組織に似たものがあるとの指摘もあるため[s5]、リークサイトの主張は攻撃者の言い分として扱い、被害確認を優先すべきである[s6]。\n\nリークサイトは Tor 上にある[s4][s5]。ミラーや連絡手段のハンドルは、出典に記載がない（RansomLook の連絡手段は記録なし）[s1]。\n\n標的と被害について。CyberXTron が確認した攻撃では金融サービスが最多で、被害の23％を占める。技術、小売、教育が各15％で続き、医療、防衛、専門サービスも標的になった[s4]。地域は米国が最も多いが、ベトナム、ウズベキスタン、ブラジル、スウェーデン、ルクセンブルクなど世界各地に被害を主張している[s4]。BeforeCrypt は、Ransomware.live が同月に9か国で12件の掲載を数え、金融、小売、教育に集中し、米国とベトナムの掲載が目立つと整理している。同社は政府機関も対象に挙げている[s5]。掲載内容として、ネットワーク図、顧客文書、投資家・受注の記録を窃取したと主張している[s5]。日本の組織が被害に遭ったとの記述は、出典にない。\n\n動向について。被害掲載数は初出後も増え続けていると Fortra は報告している[s6]。専門家は、公開された時点の情報は初期の兆候にすぎず、全体像ではないとしている[s6]。CyberXTron は、n0n を現在活動中で信頼できる二重恐喝の脅威として扱い、認証情報の衛生管理、アクセス監視、バックアップの隔離に早急に取り組むよう勧告している[s4]。具体策としては、外部アクセスすべてでの多要素認証、VPN や RDP など公開サービスの露出制限、最小権限の徹底、ネットワーク分離、内部のアクセス挙動の監視が挙げられている[s4]。なお、警察庁は、データを暗号化せず窃取だけで金銭を要求する「ノーウェアランサム」の被害も確認されていると注意を促している[s2]。改名や逮捕などの動きは、出典には見当たらない。", "techniques": [], "tools": [], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2026, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "netrunner", "createdAt": "2026-10-13T04:00:59+00:00", "updatedAt": "2026-10-13T05:08:49+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/netrunner", "title": "RansomLook: netrunner", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:00:59+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:08:49+00:00" }, { "id": "s3", "url": "https://blog.talosintelligence.com/ransomware-incidents-in-japan-in-the-first-half-of-2026/", "title": "Ransomware incidents in Japan in the first half of 2026: Investigation of The Gentlemen’s infrastructure and evidence of", "publisher": "Cisco Talos", "kind": "vendor", "retrievedAt": "2026-10-13T05:08:49+00:00" }, { "id": "s4", "url": "https://www.cybereason.co.jp/blog/japan-tech-blog/se-insight/14176/", "title": "【セミナーレポート】連鎖する医療機関へのランサムウェア攻撃の実態と防御 〜日本医科大学武蔵小杉病院の事例から学ぶ〜 | BLOG | サイバーリーズン | EDR（次世代エンドポイントセキュリティ）", "publisher": "Cybereason", "kind": "vendor", "retrievedAt": "2026-10-13T05:08:49+00:00" }, { "id": "s5", "url": "https://industrialcyber.co/ransomware/healthcare-ransomware-attacks-remain-resilient-in-h1-2026-as-extortion-groups-broaden-attacks-across-supply-chain/", "title": "Healthcare ransomware attacks remain resilient in H1 2026 as extortion groups broaden attacks across supply chain", "publisher": "industrialcyber.co", "kind": "news", "retrievedAt": "2026-10-13T05:08:49+00:00" }, { "id": "s6", "url": "https://www.paubox.com/blog/ransomware-in-healthcare-is-getting-worse-even-as-the-numbers-go-down", "title": "Ransomware in healthcare is getting worse, even as the numbers go down", "publisher": "paubox.com", "kind": "news", "retrievedAt": "2026-10-13T05:08:49+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:00:59+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "netrunner", "aliases": [ { "name": "NetRunnerPR", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "netrunner" }, "type": "ransomware", "firstSeen": "2026-04-02", "status": { "value": "active", "since": "2026-04-02", "sourceId": "s1" }, "description": "netrunner（NetRunner、攻撃者名義は「NetRunnerPR」）は、RansomLook の記録で初出が2026-04-02 とされるランサムウェアグループである。Cisco Talos は2026年上半期に日本で観測されたグループの一つとして NetRunner を挙げている [s3]。Cybereason はダークウェブ上で「NetRunnerPR」と名乗る攻撃グループが犯行声明を出したと伝えている [s4]。RaaS かどうか、活動開始時期、運営の特徴を述べた出典は見当たらない。\n\n手口について、Cybereason は日本医科大学武蔵小杉病院の事例で、原因は「医療機器保守用VPN装置からの不正侵入」だったと伝えている [s4]。被害はナースコールサーバー3台に及び、電子カルテへの影響はなく、病院業務は通常どおり継続された [s4]。ベンダー管理のVPNは病院側の統制が直接及ばない侵入口になりやすく、ナースコールなどの医療機器（IoMT）は一般的なアンチウイルスを導入できない場合があるため、VPN を突破されると横展開を許しやすいと Cybereason は指摘している [s4]。同社はこの事例を、データを盗み出したうえで「支払わなければ公開する」と脅す二重恐喝の典型的な手口と位置づけている [s4]。使用ツールや脆弱性の具体名を挙げた出典はない。\n\n交渉の圧力手段としては、武蔵小杉病院に対する1億ドル（約150億円）の身代金要求が確認されている [s4][s5][s6]。グループは約13万件のデータ窃取を主張し、証拠として CSV サンプルを公開したとされる [s4]。これは当時の公式発表の約13倍にあたる [s4]。病院は身代金を支払わなかった [s6]。4月には、要求を無視し続けるなら盗んだ約13万件の全データをインターネット上に漏洩させると追加で脅迫した [s4]。\n\n標的と被害について、日本の事例は2件確認できる。1件目は2026年2月9日深夜1時50分頃に障害が発覚した日本医科大学武蔵小杉病院である [s4]。病院側は当初、約1万人分の患者情報が漏洩したと発表し、その後第五報で件数を修正した [s4]。Comparitech は、同病院の漏えいを2026年上半期の医療系ランサムウェア関連で2番目に大きい131,700人規模と整理している [s5][s6]。1億ドルはその期間で最大の身代金要求でもある [s5][s6]。この要求が影響し、上半期の医療機関向け平均要求額は600万ドルを超え、第1四半期の平均は1690万ドルに跳ね上がった [s5][s6]。2件目は愛知県の白梅豊岡病院で、個人情報漏洩が発表され、NetRunnerPR がダークウェブ上で犯行声明を出したことが確認されている [s4]。Cybereason は、NetRunnerPR が日本の医療機関を狙って連続的かつ組織的な攻撃を展開している可能性が高いとみている [s4]。\n\n動向として、Cisco Talos は2026年上半期の日本の被害組織数を、前年同期の86件から4.7%増の90件としている。最多は The Gentlemen の14件で、NetRunner は NightSpire、LockBit 5.0、RansomEXX、Stormous、AiLock などとともに観測されたグループに含まれる [s3]。Cybereason は、武蔵小杉病院が身代金要求を無視し続けたことへの報復として、4月に追加の犯行声明が出されたと伝えている [s4]。そのうえで同社は、日本の医療機関を狙う動きを Qilin など過去に国内企業を狙ったグループと同様の傾向と位置づけ、侵入されることを前提とした優先度付きの検知・遮断を推奨している [s4]。リークサイトの所在や連絡手段のハンドルを示した出典はない。", "techniques": [], "tools": [], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2026, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "nightspire", "createdAt": "2026-10-13T03:53:34+00:00", "updatedAt": "2026-10-13T05:09:09+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/nightspire", "title": "RansomLook: nightspire", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:53:34+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:09:09+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:09:09+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:09:09+00:00" }, { "id": "s5", "url": "https://www.halcyon.ai/threat-group/nightspire", "title": "NightSpire", "publisher": "halcyon.ai", "kind": "news", "retrievedAt": "2026-10-13T05:09:09+00:00" }, { "id": "s6", "url": "https://blog.barracuda.com/2026/05/01/nightspire-wannabe-warlords-in-ransomwares-shadow-realm", "title": "NightSpire: Wannabe warlords in ransomware’s shadow realm", "publisher": "blog.barracuda.com", "kind": "news", "retrievedAt": "2026-10-13T05:09:09+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:53:34+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "nightspire", "aliases": [], "externalIds": { "ransomlook": "nightspire" }, "type": "ransomware", "firstSeen": "2025-03-12", "status": { "value": "active", "since": "2025-03-12", "sourceId": "s1" }, "description": "NightSpire は2025年に現れた金銭目的のランサムウェア恐喝グループである。\n\n正体と来歴：RansomLook の記録では初出は2025年3月12日で、連絡手段として tox、telegram、session、email が挙がっている。Halcyon は同日に Tor 上のリークサイトを正式に公開したと記し、2025年以前の活動はなく新規の登場だとしている[s5]。Barracuda は2025年2月に初観測されたとし、2026年5月1日時点で259件の被害を主張したと伝えている[s6]。Halcyon は Rbfs ransomware の改名の可能性が高いとみており、根拠として運営者 xdragon128 と cuteliyuan の共通性、被害組織の重複、時期の一致、ホスト名 XDRAGON-SERVER1 を挙げている[s5]。Barracuda も同様に、早期の2025年3月に Rbfs の活動が止まり NightSpire が現れたと説明する。両者の系譜は共通の運営者を介したもので、コードは共有していないという[s6]。xdragon128 は2024年に Paranodeus、CyberVolk、DarkAssault の周辺で活動していたと報告されている。ただし Paranodeus と xdragon128 が同一人物かどうかを示す証拠はない[s5][s6]。事業形態については、Halcyon は自前で全工程を行う非アフィリエイト型のクローズドグループとし、2025年3月に BreachForums で交渉担当者を利益の20%で募集して永久追放されたと記す[s5]。一方 Barracuda は、2026年4月の報告でアフィリエイトに連絡を促すスクリーンショットが確認され、アフィリエイト型への初の動きになりうると述べている[s6]。拠点について確定的な証拠はない。Barracuda は、挨拶文の末尾の「~」やハンドル名の cuteliyuan から中国語話者の関与の可能性を、また IP 14.139.185[.]60 がインドの大学のブロックに属することからインドとの関連を指摘する。ただしこの IP は侵害されたホストの可能性が高いとしている[s6]。\n\n手口：Halcyon と Barracuda は、初期侵入の主経路を FortiOS/FortiProxy の認証バイパス脆弱性 CVE-2024-55591 としている。細工したリクエストで認証なしにスーパー管理者権限を得られる[s5][s6]。このほか RDP 認証情報のブルートフォース、フィッシング、脆弱な VPN 機器、MFA 疲労攻撃、RMM 悪用も挙げられている[s5][s6]。Barracuda によれば、この脆弱性は2025年1月に公表されたが、悪用は2024年11月から観測されていた[s6]。カスタムマルウェアよりも正規ツールへの依存が目立つ。Advanced IP Scanner と Everything.exe で探索し、Mimikatz で LSASS から認証情報を取得し、PowerShell、PsExec、WMI、AnyDesk を使う。データは 7-Zip でまとめ、WinSCP、MEGACmd、Rclone で持ち出す[s5][s6]。ランサムウェアは Go 製で、AES-256 と RSA-2048 のハイブリッド方式を使う。iso や vhdx などの大きなファイルは1MB単位の部分暗号化、それ以外は全体を暗号化し、拡張子は .nspire、身代金メモは readme.txt である[s5][s6]。Halcyon は、ボリュームシャドウコピーを削除しない点を特徴として挙げている[s5]。Barracuda は、OneDrive 上のファイルを拡張子やアイコンを変えずに暗号化する点を挙げている[s6]。脅迫では、最初の通知から公開まで最短48時間とし、交渉が停滞すると従業員に直接連絡したり、データの一部や交渉記録を公開したりする。支払いがなければデータを他の攻撃者に渡す[s6]。Halcyon は要求額を15万〜200万ドルとし、交渉に qTox、Telegram、ProtonMail、OnionMail、Gmail を使うと記す[s5]。RansomLook は連絡先として Telegram の @night_spire_team と @nightspireteam2025、メールの night.spire.team@gmail[.]com、night.spire.team@proton[.]me、night.spire.team@onionmail[.]org、nightspireteam.receiver@proton[.]me、nightspireteam.receiver@onionmail[.]org、および tox と session の ID を記録している。Halcyon によれば、リークサイトには Apache、OpenSSL、PHP のバージョンが露出していた[s5]。\n\n標的と被害：Halcyon は、従業員1,000人未満の中小企業が被害の約4分の3を占め、米国が4割超、台湾、香港、エジプトも目立つとしている。業種は製造業が3分の1超で、IT、金融、医療、専門サービスが続く。被害は33カ国に及び、医療分野で1.5TB の持ち出しが記録されたという[s5]。2025年3〜6月に約25〜30件の被害組織がリークサイトに掲載された[s5]。\n\n動向：Barracuda は、2026年5月1日時点で NightSpire に対する摘発、逮捕、起訴は報告されていないとしている[s6]。Halcyon は2025年10月まで活動が続いたと記す。2026年第2四半期にかけて主張件数は減り、2026年半ば時点ではほぼ休眠状態だとしている[s5]。", "techniques": [ { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1046", "name": "Network Service Discovery", "tactic": "Discovery" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "Discovery" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1036", "name": "Masquerading", "tactic": "Defense Evasion" }, { "id": "T1218", "name": "System Binary Proxy Execution", "tactic": "Defense Evasion" }, { "id": "T1027", "name": "Obfuscated Files or Information", "tactic": "Defense Evasion" }, { "id": "T1070", "name": "Indicator Removal", "tactic": "Defense Evasion" }, { "id": "T1003.001", "name": "LSASS Memory", "tactic": "Credential Access" } ], "tools": [ { "name": "NightSpire ransomware (.nspire)", "kind": "ransomware" }, { "name": "MEGACmd", "kind": "legit_tool" }, { "name": "WinSCP", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "7-Zip", "kind": "legit_tool" }, { "name": "PowerShell", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "WMI", "kind": "legit_tool" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "Advanced IP Scanner", "kind": "legit_tool" }, { "name": "Everything.exe", "kind": "legit_tool" }, { "name": "Mimikatz", "kind": "malware" } ], "cves": [ "CVE-2024-55591" ], "related": [ { "actorSlug": "akira", "relation": "possibly_related", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "tox", "telegram", "session", "email" ], "contactHandles": [ { "channel": "tox", "value": "3B61CFD6E12D789A439816E1DE08CFDA58D76EB0B26585AA34CDA617C41D5943CDD15DB0B7E6\r\n8D663FD10BF662930F4C076CBF95FACFCC4ABD8F1A5E328DE75D0B0237A74E1AE1E0C5C37E7F\r\n038F61A270B8094E713E4815C4FA5086E4AD3A021575" }, { "channel": "telegram", "value": "@night_spire_team\r\n@nightspireteam2025" }, { "channel": "session", "value": "057d49830799b1fb3f73d7c6111f67a82322efedd8a04ff08011a38ade05459a02" }, { "channel": "email", "value": "night.spire[.]team@gmail[.]com\r\nnight.spire[.]team@proton[.]me\r\nnight.spire[.]team@onionmail[.]org\r\nnightspireteam[.]receiver@proton[.]me\r\nnightspireteam[.]receiver@onionmail[.]org" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 4, "incidents": 0 }, { "year": 2026, "claims": 6, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "orova", "createdAt": "2026-10-13T03:24:50+00:00", "updatedAt": "2026-10-13T05:09:40+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/orova", "title": "RansomLook: orova", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:24:50+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:09:40+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:09:40+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:09:40+00:00" }, { "id": "s5", "url": "https://www.alvaka.net/orova-ransomware-recovery-services/", "title": "Orova Ransomware Recovery Services", "publisher": "alvaka.net", "kind": "news", "retrievedAt": "2026-10-13T05:09:40+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:24:50+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 4 件で書き直し（自動）" } ], "name": "Orova", "aliases": [], "externalIds": { "mispUuid": "a7eddaa5-685d-49a4-9053-d7b1d972ef2d", "ransomlook": "orova" }, "type": "ransomware", "firstSeen": "2026-08-04", "status": { "value": "active", "since": "2026-08-04", "sourceId": "s1" }, "description": "Orova（オロヴァ）は、RansomLook の記録で初出が 2026-08-04 とされるランサムウェア／恐喝グループです。\n\nOrova について、alvaka.net は公開情報が限られた新興のランサムウェア兼サイバー恐喝の活動体だと説明している[s5]。確認済みの公開ツールを持つ十分に文書化されたマルウェアファミリーというより、新興の脅威として捉えるのが適切だとも述べている[s5]。公開情報が乏しいことを理由にリスクが低いと見なすべきではない、というのが同社の見解である[s5]。\n\n一般論として、ランサムウェアの運営には、攻撃者自身が開発から攻撃までを担う垂直統合型と、RaaS（Ransomware as a Service）による分業型がある[s4]。RaaS では、開発・運営側が攻撃実行者にランサムウェアやリークサイトなどの環境を提供し、見返りに身代金の一部を受け取る[s2]。ただし、Orova がどちらの形態で運営されているかを示す出典はない。\n\n侵入から恐喝までの流れについて、alvaka.net は、Orova 関連の事案では不正アクセス、偵察、権限昇格、横展開、機微データへのアクセス、バックアップへの攻撃を経て、最終的に恐喝圧力に至る可能性があると説明している[s5]。初期侵入の経路としては、フィッシング、窃取された認証情報、露出したリモートアクセスサービス、脆弱なエッジ機器、保護の弱い管理ツールといった一般的な入口が挙げられている[s5]。同社はこれらを Orova 固有の確認済み手口ではなく、可能性の高い侵入カテゴリとして扱うよう求めている[s5]。使用ツールや暗号化の挙動、リークサイトの所在、連絡手段は、出典では特定されていない。\n\n攻撃者は、環境の把握、特権アカウントの特定、ファイル共有やバックアップ経路の確認を行い、業務への圧力が最も大きくなる系統を見極めるとされる[s5]。暗号化、データ窃取、恐喝メッセージは、十分な交渉材料を得たと攻撃者が判断した後に出てくる場合がある[s5]。同社は、暗号化が見えなくても、機微ファイル、管理者アカウント、クラウド資源、バックアップが侵害されている可能性があるため、二重脅迫型の事案として扱うよう勧めている[s5]。\n\n二重脅迫の一般的な仕組みとして、攻撃者は事前に窃取した情報の項目や一部を自らのサイトに公開して交渉に持ち込み、交渉の成り行き次第で公開内容を増やすことがある[s4]。国内の被害例では、ソフトウェア開発企業で従業員の個人情報や業務計画などが窃取され、攻撃者のサイトに公開されたという[s4]。\n\n警察庁は、データを暗号化せずに窃取して対価を要求する「ノーウェアランサム」の被害も確認されていると述べている[s2]。\n\n日本の組織に対する Orova の被害は、出典に記載がない。被害組織の名称や時期、地域・業種の傾向を示す出典もない。\n\n防御面では、alvaka.net は次の兆候への注意を挙げている。\n\n- 不審な VPN・RDP・リモート管理・管理者ログイン[s5]\n- 通常サーバを管理しないアカウントによるシステム間の移動[s5]\n- 業務パターンから外れた大容量転送やアーカイブ作成[s5]\n- バックアップ、エンドポイント保護、ログ、復旧ツールへの改ざん[s5]\n\n疑いが生じた場合は、証拠を保全しながら疑わしいシステムをネットワークから隔離し、ランサムノートやログ、認証データを保存し、バックアップの検証を経てから復旧に進むべきだとしている[s5]。法務、保険、経営層、インシデント対応の関係者と調整することも勧めている[s5]。侵入経路を把握しないまま復元すると、攻撃者のアクセスが残り再感染のリスクが高まるとも指摘している[s5]。\n\nOrova の動向としては、RansomLook に初出 2026-08-04 の記録があり、alvaka.net が新興グループとして復旧支援ページを設けている[s5]。摘発、改名、提携といった動きを示す出典はない。なお Trend Micro は、2022 年以降に登場した新興グループが 2024 年下半期から急拡大し、同年 10 月時点で上位 10 グループがリーク数の 90％ を占めたと報告している[s4]。", "techniques": [], "tools": [], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "payload", "createdAt": "2026-10-13T03:55:51+00:00", "updatedAt": "2026-10-13T05:10:04+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/payload", "title": "RansomLook: payload", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:55:51+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:10:04+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:10:04+00:00" }, { "id": "s4", "url": "https://www.paloaltonetworks.com/cyberpedia/ransomware-common-attack-methods", "title": "What are Ransomware Attacks?", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T05:10:04+00:00" }, { "id": "s5", "url": "https://darkatlas.io/blog/behind-payload-in-depth-technical-analysis-of-payload-ransomware", "title": "Behind .payload: In-Depth Technical Analysis of Payload Ransomware", "publisher": "darkatlas.io", "kind": "news", "retrievedAt": "2026-10-13T05:10:04+00:00" }, { "id": "s6", "url": "https://cloud.google.com/blog/topics/threat-intelligence/ransomware-ttps-shifting-threat-landscape", "title": "Ransomware Tactics, Techniques, and Procedures in a Shifting Threat Landscape", "publisher": "cloud.google.com", "kind": "news", "retrievedAt": "2026-10-13T05:10:04+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:55:51+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "payload", "aliases": [], "externalIds": { "ransomlook": "payload" }, "type": "ransomware", "firstSeen": "2026-02-17", "status": { "value": "active", "since": "2026-02-17", "sourceId": "s1" }, "description": "payload は 2026年2月に現れたランサムウェアグループで、Windows 向けのランサムウェアを使う。RansomLook の記録では初出は 2026-02-17 である[s1]。darkatlas.io は、2026年2月15日に新たなランサムウェアグループ Payload が登場したと記述している[s5]。出典の初出日には 2 日の差がある[s1][s5]。バイナリの内部文字列に「.payload」「RECOVER_payload.txt」「g:payload」などがあり、これらが運営者のブランド名を裏付けると同社は分析した[s5]。コンパイル時刻は 2026-02-17 08:39:07 UTC である[s5]。\n\n手口について、同社の分析では、検体は PE32 の Windows 実行ファイルで、ChaCha20 でファイルを暗号化する。ファイルごとに 32 バイトの被害者側秘密鍵と 12 バイトのノンスを生成し、Curve25519 ECDH で導出した共有鍵を ChaCha20 の鍵に使う[s5]。暗号化したファイルには拡張子「.payload」を付け、被害ディレクトリに身代金要求文書「RECOVER_payload.txt」を置き、鍵の復旧情報を recovery.ini に書き出す[s5]。暗号化ファイルには、被害者の一時公開鍵・ノンス・「payload」タグを含む 56 バイトの RC4 暗号化フッターが付く[s5]。ミューテックス名は「MakeAmericaGreatAgain」である[s5]。コマンドラインフラグは 14 種類あり、ネットワーク共有の暗号化（-s）、プロセスとサービスの停止（-k）、ETW のメモリ上パッチ（--bypass-etw）、イベントログ消去（-li）などを制御する[s5]。検体にはアンチフォレンジック機能として ETW パッチ、VSS シャドウコピー削除、Windows イベントログ消去、プロセス・サービスの強制終了が含まれる[s5]。初期侵入の経路は出典に記述がない。\n\n標的と被害について、darkatlas.io によれば、最初に公開された被害組織はエジプトの大手不動産開発企業 SODIC で、この掲載がリークサイトの公開と最初の兆候となった[s5]。被害はエジプト、メキシコ、ポーランドなど複数地域に及び、エジプトと中東・北アフリカ（MENA）地域への集中が目立つという[s5]。業種は物流・運輸、不動産・建設が目立ち、製造、専門サービス、技術、一般企業も含まれる。同社はこれを特定業種に絞らない日和見的な傾向と評価した[s5]。2026年3月24日時点のリークサイト掲載数は 50 件で、直近の掲載は A-Sonic Logistics Solutions だった[s5]。日本の組織の被害は出典にない。\n\n動向について、2026年3月24日時点で掲載は 50 件に達しており、活動は拡大傾向にあると同社は見ている[s5]。単一地域を超えて展開していることから、当初から国際的なランサムウェア運営を目指している可能性があると指摘している[s5]。摘発や改名、他グループとの関係は出典にない。", "techniques": [], "tools": [ { "name": "Payload ransomware", "kind": "ransomware" } ], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "payoutsking", "createdAt": "2026-10-13T04:00:18+00:00", "updatedAt": "2026-10-13T05:10:22+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/payoutsking", "title": "RansomLook: payoutsking", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:00:18+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:10:22+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:10:22+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:10:22+00:00" }, { "id": "s5", "url": "https://www.sophos.com/en-us/blog/qemu-abused-to-evade-detection-and-enable-ransomware-delivery", "title": "QEMU abused to evade detection and enable ransomware delivery", "publisher": "Sophos", "kind": "vendor", "retrievedAt": "2026-10-13T05:10:22+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:00:18+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 4 件で書き直し（自動）" } ], "name": "payoutsking", "aliases": [ { "name": "GOLD ENCOUNTER", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "payoutsking" }, "type": "ransomware", "firstSeen": "2025-07-07", "status": { "value": "active", "since": "2025-07-07", "sourceId": "s1" }, "description": "【ご注意】本稿は、与えられた出典で PayoutsKing に直接言及している [s5] を中心にまとめた草稿です。\n\n(1) 正体と来歴\nPayoutsKing は、2025年中ごろに登場したランサムウェア兼恐喝の活動である[s5]。Sophos の CTU 研究者は、この活動を脅威グループ GOLD ENCOUNTER によるものと見ている[s5]。PayoutsKing の運営者自身は、RaaS（ランサムウェア・アズ・ア・サービス）モデルでは運営しておらず、アフィリエイトとも組まないと明言している[s5]。Sophos はこの点から、観測された事案ごとの戦術の違いは別の攻撃者によるものではなく、攻撃者が意図して選んだ結果だと見ている[s5]。RansomLook の記録では、初出は2025年7月7日、連絡手段は tox である。tox のハンドルは次のとおりである: 535F403A2EA2DC71A392E18D7DB77FEF70845C0B7E5B9114CD30D301870304379C3547E324E2E37F4D443B7FECE0E9775E82D6DC3B304890F80BA03F5101DFD43B2C249AD625CF00EC8B57D4。\n\n(2) 手口\nSophos はこのグループがハイパーバイザーに注力しており、VMware と ESXi の両環境を狙う暗号化ツールを持つと分析している[s5]。2025年11月に初観測された STAC4713 は、PayoutsKing ランサムウェアと関連する金銭目的のキャンペーンである[s5]。Sophos は、この STAC4713 がデータ窃取および PayoutsKing の展開と結びついている可能性が非常に高いとしている[s5]。\n\nこのキャンペーンでは、QEMU を隠れた逆方向 SSH のバックドアとして使い、攻撃ツールの持ち込みとドメイン認証情報の収集を行っていた[s5]。まず「TPMProfiler」というスケジュールタスクを作成し、SYSTEM 権限で QEMU の仮想マシン（qemu-system-x86_64.exe）を起動する[s5]。仮想ディスクイメージは当初 vault.db に偽装されていたが、2026年1月に DLL（bisrv.dll）への偽装へ切り替わった[s5]。このタスクはカスタムポート（32567、22022）からポート22（SSH）へのポート転送も有効にして永続化を図る[s5]。起動時にはイメージ内の AdaptixC2 または OpenSSH が、外部 IP アドレスへ逆方向 SSH トンネルを張る[s5]。仮想マシンには Alpine 3.22.0 のディスクイメージが載っており、tinker2（AdaptixC2）、wg-obfuscator（独自の WireGuard トラフィック難読化ツール）、BusyBox、Chisel、Rclone などを含む[s5]。\n\n認証情報の窃取では、VSS ユーザーインターフェース（vssuirun.exe）でボリュームシャドウコピーを作成した[s5]。続いて print コマンドを使い、Active Directory データベース（NTDS.dit）と SAM、SYSTEM ハイブを SMB 経由で一時ディレクトリへコピーした[s5]。ネットワーク共有の探索やファイル参照には、Microsoft Paint、メモ帳、Microsoft Edge などの標準ツールと、無償のサードパーティ製ツール WizTree を悪用した[s5]。\n\n初期侵入の経路は事案ごとに異なる[s5]。古い事案では多要素認証（MFA）が未設定で公開された SonicWall VPN が使われ、2026年1月の事案では SolarWinds Web Help Desk の脆弱性（CVE-2025-26399）が悪用された[s5]。2026年2月以降は戦術に変化が見られ、初期侵入経路が変わり、QEMU による隠れたリモートアクセスも使われなくなった[s5]。2026年2月の事案では公開された Cisco SSL VPN から侵入した[s5]。3月の事案ではメールスパムで従業員を狙い、Microsoft Teams で IT サポートを装って QuickAssist をダウンロードさせた[s5]。この2件では、正規の ADNotificationManager.exe を使って Havoc C2 のペイロード（vcruntime140_1.dll）をサイドロードし、Rclone でリモートの SFTP 先へデータを持ち出した[s5]。\n\n(3) 標的と主な被害\nPayoutsKing の標的の地域・業種や日本の被害組織について、与えられた出典に記述はない。\n\n(4) 動向\nSophos は、2026年2月から GOLD ENCOUNTER の戦術に顕著な変化があったとしている[s5]。具体的には、前述のとおり初期侵入経路が変わり、QEMU による隠れたリモートアクセスは使われなくなった[s5]。\n\n別のキャンペーンとして、2026年2月に初観測された STAC3725 がある[s5]。CitrixBleed2（CVE-2025-5777）を悪用して侵入し、悪意ある ScreenConnect クライアントで永続化する[s5]。この STAC3725 を PayoutsKing や GOLD ENCOUNTER と結びつける記述は出典にない。Sophos は、STAC3725 の後続の活動が侵入ごとに異なる点から、初期アクセスブローカーが侵入したうえで、そのアクセスを他の攻撃者に売却した可能性を示唆している[s5]。\n\n防御側への推奨として、Sophos は未承認の QEMU インストール、とくに SYSTEM 権限で動くスケジュールタスク、ポート22へのポート転送ルールの監査を挙げている[s5]。あわせて非標準ポートから発信される SSH トンネルを監視し、.db、.dll、.qcow2 など通常と異なる拡張子の仮想ディスクイメージに注意するよう勧めている[s5]。", "techniques": [], "tools": [ { "name": "PayoutsKing", "kind": "ransomware" }, { "name": "QEMU", "kind": "legit_tool" }, { "name": "AdaptixC2", "kind": "malware" }, { "name": "OpenSSH", "kind": "legit_tool" }, { "name": "wg-obfuscator", "kind": "malware" }, { "name": "BusyBox", "kind": "legit_tool" }, { "name": "Chisel", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "Havoc C2", "kind": "malware" }, { "name": "WizTree", "kind": "legit_tool" }, { "name": "QuickAssist", "kind": "legit_tool" } ], "cves": [ "CVE-2025-26399" ], "related": [], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "535F403A2EA2DC71A392E18D7DB77FEF70845C0B7E5B9114CD30D301870304379C3547E324E2\r\nE37F4D443B7FECE0E9775E82D6DC3B304890F80BA03F5101DFD43B2C249AD625CF00EC8B57D4" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "play", "createdAt": "2026-10-13T03:57:27+00:00", "updatedAt": "2026-10-13T05:10:49+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/play", "title": "RansomLook: play", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:57:27+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-352a", "title": "#StopRansomware: Play Ransomware | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T05:10:49+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:10:49+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:10:49+00:00" }, { "id": "s5", "url": "https://www.huntress.com/threat-library/threat-actors/play", "title": "Ransomware Group Play Threat Actor Profile - Tactics, Techniques, and Updates | Huntress", "publisher": "huntress.com", "kind": "news", "retrievedAt": "2026-10-13T05:10:49+00:00" }, { "id": "s6", "url": "https://cybelangel.com/blog/play-ransomware-double-extortion-gang/", "title": "PLAY Ransomware: The Double-Extortion Gang", "publisher": "cybelangel.com", "kind": "news", "retrievedAt": "2026-10-13T05:10:49+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:57:27+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "play", "aliases": [ { "name": "Playcrypt", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "PlayCrypt", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "play" }, "type": "ransomware", "firstSeen": "2022-11-26", "status": { "value": "active", "since": "2022-11-26", "sourceId": "s1" }, "description": "Play（別名 Playcrypt）の解説。\n\n(1) 正体と来歴\nPlay は Playcrypt とも呼ばれるランサムウェアグループで、2022年6月から北米・南米・欧州の幅広い企業や重要インフラに被害を与えてきた[s2]。Huntress も2022年6月に初めて確認された金銭目的のグループと位置づけ、二重脅迫を専門とすると説明している[s5]。RansomLook は初出を2022-11-26 としており、連絡手段は email である[s1]。名称は、暗号化後に付く拡張子 .play に由来するとされる[s6]。CISA は、リークサイト上の「取引の秘密を保証する」という声明に基づき、Play を閉じたグループと推定している[s2]。CybelAngel も、アフィリエイトを使わない閉じたグループとしている[s6]。FBI は2025年5月時点で約900の被害組織を把握していた[s2]。2024年には最も活発なランサムウェアグループの一つだった[s2]。出身国は特定されておらず、リーダーや構成員の身元も公になっていない[s5]。\n\n(2) 手口\n初期侵入では、ダークウェブで購入したとみられる有効なアカウントの悪用[s2]と、公開アプリケーションの脆弱性悪用を使う。具体的には FortiOS の CVE-2018-13379・CVE-2020-12812 と、Exchange の ProxyNotShell（CVE-2022-41040・CVE-2022-41082）が挙げられている[s2]。RDP や VPN など外部公開サービスの利用も観測されている[s2]。CybelAngel は FortiOS の CVE-2022-42475・CVE-2023-27997・CVE-2024-21762 の標的化も挙げる[s6]。2025年1月の開示後には、Play 運営者と関係する初期アクセスブローカーを含む複数のグループが、RMM ツール SimpleHelp の CVE-2024-57727 を悪用した[s2]。\n\n侵入後は AdFind で Active Directory を照会し、情報窃取ツール Grixba でネットワーク情報を列挙して AV を探索する[s2]。GMER、IOBit、PowerTool で AV を無効化しログを削除する[s2]。横展開と実行には Cobalt Strike、SystemBC、PsExec を使い、Mimikatz で資格情報を取得してドメイン管理者権限を得る[s2]。権限昇格の経路探索には WinPEAS を使い、実行ファイルはグループポリシー経由で配布する[s2]。\n\nデータは WinRAR で RAR 形式に圧縮し、WinSCP で攻撃者管理のアカウントへ送る[s2]。その後 AES-RSA のハイブリッド暗号化と間欠暗号化で暗号化し、拡張子 .PLAY を付ける[s2]。ランサムウェア本体は攻撃ごとに再コンパイルされ、ハッシュが毎回異なる[s2]。ESXi 向け亜種は VM を停止して VM 関連ファイルを AES-256 で暗号化し、PLAY_Readme.txt を置く[s2]。\n\n身代金メモには初期の要求額も支払い方法も書かれず、被害者はメールで連絡するよう指示される[s2]。連絡先は被害者ごとに固有の @gmx.de または @web.de のアドレスである[s2]。RansomLook は連絡先ハンドルとして marinachin@gmx[.]de、Nicolebackserami3@gmx[.]net、reinaldo-jukes092@gmx[.]com を記録している[s1]。一部の被害者には電話もかかり、データ公開の脅しと支払いの督促を受ける[s2]。支払いは暗号資産で行い、拒否するとデータが Tor 上のリークサイトに公開される[s2]。\n\n(3) 標的と主な被害\n被害は北米・南米・欧州に及ぶ[s2]。オーストラリアでは2023年4月に最初の事案が観測され、直近は2023年11月だった[s2]。CybelAngel によれば、米国・英国・欧州・オーストラリアに広がり、旧ソ連圏諸国は被害リストに現れないが、意図的だとする直接の証拠はない[s6]。通信業と医療が上位の標的業種で、資金力のある大企業が好まれる[s6]。2023年にはスイスの IT 企業 Xplain が被害を受け、約6万5千件の政府文書が漏えいしたと報じられている[s6]。\n\n(4) 動向\n2025年6月に CISA・FBI・ASD の ACSC が共同アドバイザリーを更新し、2025年1月までの FBI 調査に基づく新たな TTP と IOC を公表した[s2]。Huntress によれば、確認された逮捕や法執行措置はない[s5]。", "techniques": [ { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1133", "name": "External Remote Services", "tactic": "Initial Access" }, { "id": "T1059.001", "name": "PowerShell", "tactic": "Execution" }, { "id": "T1016", "name": "System Network Configuration Discovery", "tactic": "Discovery" }, { "id": "T1518.001", "name": "Security Software Discovery", "tactic": "Discovery" }, { "id": "T1562.001", "name": "Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1070.001", "name": "Clear Windows Event Logs", "tactic": "Defense Evasion" }, { "id": "T1552", "name": "Unsecured Credentials", "tactic": "Credential Access" }, { "id": "T1003", "name": "OS Credential Dumping", "tactic": "Credential Access" }, { "id": "T1570", "name": "Lateral Tool Transfer", "tactic": "Lateral Movement" }, { "id": "T1484.001", "name": "Group Policy Modification", "tactic": "Defense Evasion" }, { "id": "T1027", "name": "Obfuscated Files or Information", "tactic": "Defense Evasion" }, { "id": "T1560.001", "name": "Archive via Utility", "tactic": "Collection" }, { "id": "T1048", "name": "Exfiltration Over Alternative Protocol", "tactic": "Exfiltration" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1657", "name": "Financial Theft", "tactic": "Impact" } ], "tools": [ { "name": "Play ransomware", "kind": "ransomware" }, { "name": "Grixba", "kind": "malware" }, { "name": "SystemBC", "kind": "malware" }, { "name": "Cobalt Strike", "kind": "legit_tool" }, { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "AdFind", "kind": "legit_tool" }, { "name": "BloodHound", "kind": "legit_tool" }, { "name": "GMER", "kind": "legit_tool" }, { "name": "IOBit", "kind": "legit_tool" }, { "name": "PowerTool", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "PowerShell", "kind": "legit_tool" }, { "name": "WinPEAS", "kind": "legit_tool" }, { "name": "WinRAR", "kind": "legit_tool" }, { "name": "WinSCP", "kind": "legit_tool" }, { "name": "Nltest", "kind": "legit_tool" } ], "cves": [ "CVE-2018-13379", "CVE-2020-12812", "CVE-2022-41040", "CVE-2022-41082", "CVE-2024-57727", "CVE-2022-42475", "CVE-2023-27997", "CVE-2024-21762" ], "related": [], "contactChannels": [ "email" ], "contactHandles": [ { "channel": "email", "value": "marinachin@gmx[.]de\r\nNicolebackserami3@gmx[.]net\r\nreinaldo-jukes092@gmx[.]com" } ], "derived": { "japanActivity": [ { "year": 2024, "claims": 1, "incidents": 0 }, { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "qilin", "createdAt": "2026-10-13T03:54:04+00:00", "updatedAt": "2026-10-13T04:42:51+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/qilin", "title": "RansomLook: qilin", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:54:04+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.group-ib.com/blog/qilin-ransomware/", "title": "The Qilin Ransomware: Analysis and Protection Strategies", "publisher": "Group-IB", "kind": "vendor", "retrievedAt": "2026-10-13T04:42:51+00:00" }, { "id": "s3", "url": "https://www.acronis.com/ja/blog/posts/qilin-ransomware-attack-japan-companies-expert-analysis/", "title": "止まらないQilinランサムウェアの脅威――日本企業を襲う攻撃シナリオを解説　| アクロニス", "publisher": "Acronis", "kind": "vendor", "retrievedAt": "2026-10-13T04:42:51+00:00" }, { "id": "s4", "url": "https://www.checkpoint.com/cyber-hub/threat-prevention/ransomware/qilin-ransomware/", "title": "Qilin Ransomware (Agenda): A Deep Dive", "publisher": "Check Point", "kind": "vendor", "retrievedAt": "2026-10-13T04:42:51+00:00" }, { "id": "s5", "url": "https://www.threatlocker.com/blog/qilin-raas-group-technical-analysis-from-initial-access-to-beaconing", "title": "Qilin Ransomware: Technical analysis, from initial access to beaconing", "publisher": "ThreatLocker", "kind": "vendor", "retrievedAt": "2026-10-13T04:42:51+00:00" }, { "id": "s6", "url": "https://cybelangel.com/blog/qilin-ransomware-tactics-attack/", "title": "Qilin Ransomware: Attack Methods and 2026 Status", "publisher": "cybelangel.com", "kind": "news", "retrievedAt": "2026-10-13T04:42:51+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:54:04+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "qilin", "aliases": [ { "name": "Agenda", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "qilin" }, "type": "ransomware", "origin": { "country": "ロシア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2022-10-08", "status": { "value": "active", "since": "2022-10-08", "sourceId": "s1" }, "description": "【正体と来歴】Qilin は、2022年8月に「Agenda」として確認され、翌月に Qilin へ改称した RaaS 型ランサムウェアである [s2][s6]。名称は中国神話の生き物に由来する [s4][s6]。RansomLook の記録上、リークサイトへの初出は 2022-10-08 で、連絡手段は Jabber と Tox である [s1]。Check Point は 2022年9月までに改称したと記し、cybelangel は同年10月に最初の被害者が Agenda 名義で掲載されたとする [s4][s6]。実装は Go と Rust が中心で、Windows、Linux、VMware ESXi に対応する [s2][s5][s6]。Group-IB は 2023年3月にこのグループへ潜入し、アフィリエイト用管理パネルを分析した。パネルは Targets、Blogs、Stuffers、News、Payments、FAQs の各項目で構成される [s2]。Tox 上で、フォーラム RAMP で特定された Haise と接触し、分配率は 300万ドル以下なら 80%、超えれば 85% とされた [s2]。一方、Check Point や Acronis は運営側の取り分を 15〜20% と記している [s3][s4]。リクルート投稿はロシア語で、「CIS 諸国では活動しない」と書かれていた [s2]。このため Check Point は「ロシア系の可能性」を指摘し、cybelangel は Russia との関連を示しつつ政府による正式な帰属はないとする [s4][s6]。\n\n【手口】初期侵入は、フィッシング、盗まれた VPN/SSO 認証情報、Chrome を狙うインフォスティーラー、Citrix や RDP などの公開サービスの悪用である [s3][s4]。ThreatLocker は、IAB から購入した認証情報や BEC も挙げる [s5]。Fortinet の CVE-2024-21762 と CVE-2024-55591 の悪用が確認されており、Check Point によると、この攻撃は自動化され、アフィリエイトは標的を選ぶだけで実行できる [s3][s4][s6]。cybelangel は、TeamCity の CVE-2024-27198 や Veeam の CVE-2023-27532 の悪用も挙げる [s6]。Acronis は SAP NetWeaver の CVE-2025-31324 と SimpleHelp の CVE-2024-57726〜57728 を挙げるが、いずれも可能性の指摘にとどまる [s3]。横展開には Cobalt Strike、Mimikatz、NetExec、PsExec、RMM ツールが使われる [s3][s4]。ThreatLocker の観測では PsExec は英数字のランダム名へ改名され、Nmap による偵察も確認された [s5]。cybelangel によれば、AnyDesk、ScreenConnect、Splashtop、TeamViewer も侵入で観測され、データの持ち出しには Rclone、Cyberduck、WinRAR が使われた [s6]。BYOVD として TPwSav.sys も挙がっている [s6]。ThreatLocker は C2 ドメインに cloudflariz[.]com、cybelangel は bloglake7[.]cfd を挙げる [s5][s6]。暗号化は ChaCha20、AES、RSA-4096 を用い、モードは normal、step-skip、fast、percent から選べる [s4]。被害者ごとの会社 ID が拡張子に付く [s4]。Qilin.B は Rust 製で、セキュリティ関連サービスの停止、イベントログ消去、ボリュームシャドウコピー削除を行う [s4]。脅迫は二重恐喝で、窃取データを Tor 上のリークサイトに掲載すると脅す [s2][s4]。交渉の圧力手段として、法務専門家へアクセスできる「Call Lawyer」機能が追加された [s3][s4][s5]。ランサムノートのファイル名には README-RECOVER-[company_id].txt などがある [s6]。\n\n【標的と主な被害】標的の業種は幅広く、製造業が最多で、医療や技術分野が続く [s5][s6]。地域は米国が中心で、フランス、カナダ、英国、ドイツ、ブラジルが続く [s5]。Group-IB が 2023年5月に確認したリークサイトの 12 社には、日本の組織が 1 件含まれていた [s2]。2024年6月には英国の Synnovis を攻撃し、5,000万ドルの身代金を要求した。約 400GB を公開し、病院の予約や手術に大きな支障が出た [s4][s6]。日本では、2025年9月末にアサヒグループホールディングスが被害を受けた [s3][s6]。Qilin 側は約 27GB・9,300 ファイルを窃取したと主張した [s3][s6]。cybelangel によると、侵入は盗まれた認証情報によるもので、ゼロデイや新規ツールはなかった [s6]。Acronis は侵入経路について公式発表はないとする [s3]。操業停止の範囲や損失額は出典間で食い違う。Acronis は国内6か所の製造施設の停止と最大約500億円の損失の可能性を伝える [s3]。cybelangel は約30工場の大半が停止し、国内ビール6工場は10月2日に再開し、売上損失は約50億円と推計されたとする [s6]。同社は 11 月に 150 万人超の個人データ流出も確認した [s6]。\n\n【動向】Check Point によれば、アフィリエイトの募集は 2023年後半に確認され、RansomHub の停止を受けて 2025年に再び活発化した [s3][s4]。ThreatLocker は 2024年の活動が前年の約4倍、2025年は14倍になり、被害は 900 件超に達したと述べる [s5]。cybelangel は 2025年の被害主張が 1,000 件超だったとし、2026年1月も勢いが続くと記す [s6]。2025年9月には、LockBit および DragonForce との連携が発表された [s5][s6]。10月には、Windows Subsystem for Linux 内で Linux 版暗号化ツールを動かして EDR を回避する手口が報告された [s6]。2026年には、Check Point VPN の CVE-2026-50751 を悪用した侵入に Qilin のアフィリエイトが関与したとされた。Check Point は確度を中程度としている [s6]。同年 Q2 には Halcyon の追跡で月間の出力が約3分の1減り、元アフィリエイトの TheGentlemen が6月に月間首位となった [s6]。", "techniques": [ { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1059", "name": "Command and Scripting Interpreter", "tactic": "Execution" }, { "id": "T1072", "name": "Software Deployment Tools", "tactic": "Execution" } ], "tools": [ { "name": "Qilin ransomware (Agenda)", "kind": "ransomware" }, { "name": "Qilin.B", "kind": "ransomware" }, { "name": "Cobalt Strike", "kind": "malware" }, { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "NetExec", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "SimpleHelp", "kind": "legit_tool" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "ScreenConnect", "kind": "legit_tool" }, { "name": "Splashtop", "kind": "legit_tool" }, { "name": "TeamViewer", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "Cyberduck", "kind": "legit_tool" }, { "name": "WinRAR", "kind": "legit_tool" }, { "name": "Nmap", "kind": "legit_tool" }, { "name": "NETXLOADER", "kind": "malware" }, { "name": "hosts.exe", "kind": "malware" }, { "name": "dato.exe", "kind": "malware" }, { "name": "TPwSav.sys", "kind": "legit_tool" } ], "cves": [ "CVE-2024-21762", "CVE-2024-55591", "CVE-2025-31324", "CVE-2024-57726", "CVE-2024-57727", "CVE-2024-57728", "CVE-2024-27198", "CVE-2023-27532", "CVE-2026-50751" ], "related": [ { "actorSlug": "dragonforce", "relation": "affiliate", "confidence": "third_party", "sourceId": "s2" }, { "actorSlug": "ransomhub", "relation": "possibly_related", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "jabber", "tox" ], "derived": { "japanActivity": [ { "year": 2025, "claims": 18, "incidents": 0 }, { "year": 2026, "claims": 16, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "ralord", "createdAt": "2026-10-13T03:58:34+00:00", "updatedAt": "2026-10-13T05:11:16+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/ralord", "title": "RansomLook: ralord", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:58:34+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:11:16+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:11:16+00:00" }, { "id": "s4", "url": "https://www.halcyon.ai/threat-group/nova", "title": "Nova", "publisher": "halcyon.ai", "kind": "news", "retrievedAt": "2026-10-13T05:11:16+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:58:34+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 3 件で書き直し（自動）" } ], "name": "ralord", "aliases": [ { "name": "Nova", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "RNOVA", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "ralord" }, "type": "ransomware", "firstSeen": "2025-03-25", "status": { "value": "rebranded", "since": "2025-03-25", "sourceId": "s1" }, "description": "正体と来歴\n\nralord（RALord）は2025年3月下旬に初めて確認されたランサムウェア・アズ・ア・サービス（RaaS）で、ロシア語と英語の二言語で運営するデータリークサイト（DLS）を持つ。最初の被害者として工学・産業サービス企業を掲載した [s4]。RansomLook での初出は 2025-03-25 で、連絡手段として tox と session が記録されている。DLS には「our product is not a new product」と記され、当初から RaaS の経験があると主張していた [s4]。リークされた Babuk のソースコード（2021年秋流出）を基にしたとされる [s4]。数週間以内に名称を RALord から Nova へ改名した。グループは、RAWorld（RAGroup、中国系のランサムウェア集団）から「参加したいと接触があったが、他チームとは組まないので名前を変えた」と説明した [s4]。同じインフラとコードベースの直接の改名と評価されている一方、RAWorld を含む既知のランサムウェアグループとの関係は確認されていない [s4]。改名と同時にアフィリエイトプログラム APIPN が始まった [s4]。2025年11月の調査で、ロンドン在住とみられる中心人物が GitHub に「ForLord」名義のリポジトリを持つと特定されたが、その後も攻撃のペースは上がったとされる [s4]。なお RaaS では、開発・運営側が攻撃の実行者に環境を提供して身代金の一部を受け取る分業が広がっている [s2]。\n\n手口\n\n初期侵入の主な経路は、パスワードの使い回しや第三者の漏えいデータベースから得た正規の認証情報の悪用である（T1078）。これに従業員メールを狙うフィッシング（T1566）と、多要素認証のない RDP や VPN 機器の公開が加わる [s4]。侵入後は PowerShell、net コマンド、WMI で横展開し、認証情報の窃取、監査ログの消去、MFA 回避でセキュリティ制御を弱める [s4]。データは暗号化前に Tor 上のインフラへ送られる [s4]。ペイロードは Rust で書かれ、静的解析と署名検知の回避を狙う。Windows、Linux、VMware ESXi 向けのビルダーがあり、アフィリエイト用パネルが OS 別のペイロードを生成する [s4]。暗号化はファイルごとの鍵を持つ AES-256-CBC で、各鍵を RSA-2048 で保護する。バックアップも無効化する [s4]。拡張子は .nova、.RALord、.ralord、.LORD、.RNOVA、.happy11、.KARMA が挙げられている [s4]。身代金要求書には金額がなく、qTox での交渉に誘導する。要求額は7桁に達した例がある [s4]。DLS にはカウントダウンタイマー、窃取の証拠資料、被害者を辱めるメッセージが並ぶ。グループはこれを意図した圧力手段だと説明している [s4]。APIPN は220ドルの有料枠（復号ツールの手数料10%）、週に5件以上の企業ネットワークを提供する者への無料枠、1件200ユーロの単体ロッカー販売を設け、分配は85/15である。ロシアとパレスチナの政府機関、学校、非営利団体は標的外とする規約がある [s4]。\n\n標的と主な被害\n\n被害は5大陸・15か国以上に及ぶ。米国が約12件で最多で、フランス、ブラジル、スペイン、オランダが続く。西欧、中南米、中東、東アジアにまたがる [s4]。業種はヘルスケアが12件超で最多、次いでテクノロジー、製造業で、欧州と東南アジアの政府機関も狙われた [s4]。春には欧州の自治体が攻撃を受けた [s4]。欧州の医療分野の事案では、検診参加者数十万人に影響し、数百万ユーロ規模の身代金が支払われたが、2度目の要求でグループの交渉上の信用が損なわれた。検察当局には100件超の刑事告発があり、数万人のための集団訴訟も始まった [s4]。DLS への掲載は1年で約95件に増え、2025年後半には月に約12件に達した [s4]。出典に日本の組織の被害は挙がっていない。\n\n動向\n\n2026年第2四半期も二重脅迫の活動は同じペースで続いており、拡大も縮小もしていない [s4]。CISA の勧告、米司法省の起訴、法執行機関による妨害は確認されていない [s4]。DLS の onion アドレスは3つが稼働している。主系は hxxp://novavdivko2zvtrvtllnq45lxhba2rfzp76qigb4nrliklem5au7czqd[.]onion、副系は hxxp://pifk3xu3vad6cuxsjll4qjomyaaaoyvnyqppro75pazadzctrrvpdnyd[.]onion、第3は hxxp://novadmrkp4vbk2padk5t6pbxolndceuc7hrcq4mjaoyed6nxsqiuzyyd[.]onion である [s4]。交渉用の tox ID は 8E9A6195A769FE7115F087C61D75CF32874C339B3AB0947D07480C9A8A12DA5009151BE6A51F0C8E5B45C57AE244E9C904C5BC74F73306937469D9CEA22541CA69AC162B8D42A20F4C0382AC で、RansomLook には session ID 054f55ec93aca9bac362b9d91eff36a7ce451e7caba47c0b2e004ba429f9529c79 も記録されている。ProtonMail と独自のアフィリエイト向けチャットも使われる [s4]。ランサムウェアの確認済みサンプルの SHA-256 は 456B9ADAABAE9F3DCE2207AA71410987F0A571CD8C11F2E7B41468501A863606 である [s4]。2024年下半期以降は RansomHub など新興グループが急拡大しており [s3]、日本でも2024年の公表被害は80件超に上る [s3]。", "techniques": [ { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1021", "name": "Remote Services", "tactic": "Lateral Movement" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "Discovery" }, { "id": "T1562", "name": "Impair Defenses", "tactic": "Defense Evasion" }, { "id": "T1071", "name": "Application Layer Protocol", "tactic": "Command and Control" }, { "id": "T1106", "name": "Native API", "tactic": "Execution" }, { "id": "T1574", "name": "Hijack Execution Flow", "tactic": "Persistence" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" } ], "tools": [ { "name": "Nova ransomware (.nova / .RALord)", "kind": "ransomware" }, { "name": "qTox", "kind": "legit_tool" }, { "name": "ProtonMail", "kind": "legit_tool" }, { "name": "PowerShell", "kind": "legit_tool" }, { "name": "WMI", "kind": "legit_tool" }, { "name": "net", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "tox", "session" ], "contactHandles": [ { "channel": "tox", "value": "8E9A6195A769FE7115F087C61D75CF32874C339B3AB0947D07480C9A8A12DA5009151BE6A51F\r\n0C8E5B45C57AE244E9C904C5BC74F73306937469D9CEA22541CA69AC162B8D42A20F4C0382AC" }, { "channel": "session", "value": "054f55ec93aca9bac362b9d91eff36a7ce451e7caba47c0b2e004ba429f9529c79" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "ransomexx", "createdAt": "2026-10-13T04:01:04+00:00", "updatedAt": "2026-10-13T05:11:48+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/ransomexx", "title": "RansomLook: ransomexx", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:01:04+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:11:48+00:00" }, { "id": "s3", "url": "https://www.trendaisecurity.com/zh-hk/resources-insights/deep-research/ransomware-spotlight-ransomexx", "title": "Ransomware Spotlight: RansomEXX | TrendAI (HK)", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:11:48+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:11:48+00:00" }, { "id": "s5", "url": "https://www.sentinelone.com/cybersecurity-101/cybersecurity/ransomware-examples/", "title": "26 Ransomware Examples Explained in 2026", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T05:11:48+00:00" }, { "id": "s6", "url": "https://www.sophos.com/en-us/research/ransomware-evolution", "title": "Ransomware Evolution", "publisher": "Sophos", "kind": "vendor", "retrievedAt": "2026-10-13T05:11:48+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:01:04+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "ransomexx", "aliases": [ { "name": "Defray777", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "777", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "ransomexx" }, "type": "ransomware", "firstSeen": "2021-09-09", "status": { "value": "rebranded", "since": "2021-09-09", "sourceId": "s1" }, "description": "RansomEXX は、2018 年に Defray777 として登場したランサムウェアである[s3]。2020 年に政府機関や製造業への攻撃が広く報じられ、その頃にバイナリ内の文字列「ransom.exx」から RansomEXX と呼ばれるようになった[s3]。同じ 2020 年に、窃取データを公開するリークサイトも開設した[s3]。RansomLook の記録上の初出は 2021 年 9 月 9 日である[s1]。ランサムウェア・アズ・ア・サービス(RaaS)として運営され、発見以来継続的に活動してきた[s3]。Secureworks は Defray を、攻撃者が手作業で侵入先を操作する「侵入後型」ランサムウェアの初期の系統に挙げ、「777」を GOLD DUPONT と対応づけて、名指しで晒す恐喝(ネーム・アンド・シェイム)を行う活動の一覧に載せている[s6]。Trend Micro は、2018 年から活動する金銭目的の犯罪集団 Gold Dupont と関連づけている。その主な武器は RansomEXX(Defray777)、Cobalt Strike、Metasploit、Vatet Loader である[s3]。\n\n手口は RaaS の性質上、標的や実行役(アフィリエイト)によって侵入の流れが変わる[s3]。Trend Micro は初期侵入にマルスパムを使うと述べ、実行段階では IcedID、TrickBot、Cobalt Strike ビーコン、PyXie RAT を確認した[s3]。PyXie RAT には情報の持ち出し機能もある[s3]。横展開では SMB 通信が多数観測され、Vatet Loader の配布に使われた[s3]。認証情報の窃取には Mimikatz と LaZagne を用いる[s3]。攻撃前に偵察を行ってツールを選び、IcedID と Vatet Loader を使った事例では、初期侵入から 5 時間でランサムウェアを展開した[s3]。正規ツールをトロイの木馬化して使うことも、Gold Dupont の攻撃の典型とされる[s3]。\n\nバイナリには標的の名前が埋め込まれており、ランサムノートや暗号化後の拡張子に標的の略称が入る。事前準備を伴う標的型の攻撃であることを示す[s3]。暗号化は AES で行い、その AES 鍵を RSA で暗号化する[s3]。システムフォルダや実行ファイルなどは暗号化を避ける一方、データベース、メール、バックアップ(Veeam、Acronis、Backup Exec など)、仮想化関連のプロセスやサービスを停止する[s3]。Windows 版に加え、2020 年後半に確認された Linux 版がある。主要な Windows 向けランサムウェアが Linux に拡張した最初の既知の例とされる[s3]。データ窃取を伴う二重脅迫を行い、リークサイトで盗んだデータを公開する[s3]。\n\n標的は世界各地に及ぶ。Trend Micro の 2021 年 3 月 31 日〜2022 年 3 月 31 日のテレメトリでは、米国とフランスが最多で、ブラジルが続いた。この集中は、2021 年の台湾の大手ハードウェアメーカーへの攻撃が背景にある[s3]。業種別では製造業が最多で、教育、銀行が続いたが、差は小さく標本数も少ない[s3]。過去の標的には政府機関やブラジルの大手衣料品店がある[s3]。2022 年 3 月にはスコットランドのメンタルヘルス系慈善団体を攻撃し、12GB のデータを公開した。支払い能力で標的を選ぶ傾向からは外れた事例と評されている[s3]。\n\n動向として、Trend Micro は 2022 年時点で RansomEXX を LockBit や Conti と並ぶ現役の名称と位置づけている[s3]。一方、SentinelOne は Defray777 すなわち RansomEXX が 2023 年にリブランドしたと記している[s5]。", "techniques": [], "tools": [ { "name": "RansomEXX", "kind": "ransomware" }, { "name": "Vatet Loader", "kind": "malware" }, { "name": "PyXie RAT", "kind": "malware" }, { "name": "TrickBot", "kind": "malware" }, { "name": "IcedID", "kind": "malware" }, { "name": "Cobalt Strike", "kind": "legit_tool" }, { "name": "Metasploit", "kind": "legit_tool" }, { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "LaZagne", "kind": "legit_tool" } ], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "ransomhouse", "createdAt": "2026-10-13T03:59:25+00:00", "updatedAt": "2026-10-13T05:12:27+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/ransomhouse", "title": "RansomLook: ransomhouse", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:59:25+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:12:27+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:12:27+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:12:27+00:00" }, { "id": "s5", "url": "https://www.trendmicro.com/ja_jp/jp-security/25/k/securitytrend-20251110-01.html", "title": "Water Balinsugu（RansomHouse）とは？攻撃手法や特徴を解説", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:12:27+00:00" }, { "id": "s6", "url": "https://www.sentinelone.com/anthology/ransomhouse/", "title": "RansomHouse", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T05:12:27+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:59:25+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "RansomHouse", "aliases": [ { "name": "Water Balinsugu", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mispUuid": "4d522fad-452c-46be-94ea-5803aec9b709", "ransomlook": "ransomhouse" }, "type": "ransomware", "firstSeen": "2022-08-18", "status": { "value": "active", "since": "2022-08-18", "sourceId": "s1" }, "description": "RansomHouse の正体と来歴\n\nRansomHouse は、RansomLook の記録で初出が 2022-08-18 とされるグループである[s1]。SentinelOne は 2022 年 3 月の出現としており、出典間で時期に差がある[s6]。トレンドマイクロは同グループを「Water Balinsugu」の名称で追跡し、活動を 2021 年後半から観測している[s5]。当初は、ランサムウェアの作成・使用を行わないと主張し、データを暗号化せず、窃取データに対する身代金のみを要求していたようだ[s5]。SentinelOne によれば、代表者自身が「extortion only」だと述べている[s6]。同グループは「プロの仲介者集団」というイメージを醸成し、典型的なランサムウェア攻撃者との差別化を図ろうとしているようだ[s5]。標的組織のセキュリティ上の欠陥を見つけることに専念していると主張し、自らを、欠陥のある企業に「光を当てる」ための「force for good」と位置づけている[s5][s6]。運営は他の大手より「smaller」「controlled」な傾向があり、アンダーグラウンドの市場で新しい「team members」を公然と募集し、Telegram でも連携している[s6]。\n\n手口\n\n初期アクセスについて、トレンドマイクロはフィッシング、VPN などネットワーク機器の脆弱性の悪用、IAB（イニシャルアクセスブローカー）の利用を挙げる[s5]。SentinelOne はフィッシングとスピアフィッシングのメールを挙げ、Vatet Loader、Metasploit、Cobalt Strike といったサードパーティのフレームワークの使用が知られているとする[s6]。IAB としては、別のサイバー犯罪者グループ「Pioneer Kitten」（別名 Fox Kitten、UNC757、Parisite、RUBIDIUM、Lemon Sandstorm）と協力関係にあるとされ、初期侵入時のアクセス権の提供や、身代金を担保とした暗号化作業の支援を受けていると指摘されている[s5]。\n\n使用ツールについて、トレンドマイクロの調査では、独自のランサムウェア亜種「Mario ESXi」、ランサムウェアファミリー「White Rabbit」、ツール「MrAgent」を使い、Windows と Linux ベースの両方のシステムを標的にする[s5]。Mario ESXi は VMware ESXi を標的に設計され、2021 年に登場した Babuk のリークされたソースコードを基に開発されたとみられる[s5]。White Rabbit は FIN8 との関連が考えられており、ペイロード内部が暗号化され、特定のコマンドラインパスワードで復号して動作する。これは Egregor が検出回避に用いた仕組みである[s5]。MrAgent は、大規模環境でのランサムウェア配信の自動化や、複数のハイパーバイザーへの同時展開を行えるツールである[s5]。横展開ではネットワークをスキャンして RDP、SSH、PsExec を使い、認証情報の取得には Mimikatz、ProcDump、ブルートフォース攻撃を使う。対策回避では EDR などセキュリティソフトを無効化する[s5]。\n\n脅迫の形は変化している。現在は暗号化も実施する二重脅迫で、まずファイルを暗号化して身代金を要求し、支払いを拒否した被害組織をリークサイトで組織名とともに公表し、同時に窃取データを公開する[s5]。SentinelOne によれば、2023 年時点で支払いは Bitcoin のみを受け付けている[s6]。被害組織のセキュリティ対策の不備を批判したり、再び攻撃されないよう助言したりする独特の特徴もある[s5]。\n\n連絡手段とインフラ\n\n連絡手段は Telegram である[s1]。RansomLook は Telegram のハンドルとして hxxps://t[.]me/RHouseNews、hxxps://t[.]me/DatabaseCartel、hxxps://t[.]me/AgentGlobal を記録している[s1]。トレンドマイクロも、Telegram チャンネルと onion サイトを連絡手段として用いると述べる[s5]。被害組織だけでなく報道関係者も、同グループの「PR Telegram Channel」へ誘導される[s6]。\n\n標的と主な被害\n\n標的はテクノロジー、ヘルスケア、小売など多岐にわたり、米国、イタリア、英国の企業とみられている[s5]。SentinelOne は大企業や価値の高い標的を狙うとする[s6]。今回の出典に、日本の被害組織名や時期の記載はない。\n\n動向\n\nトレンドマイクロは、2025 年 11 月の公開記事を 2026 年 7 月 23 日に更新し、初期アクセスや横展開などの TTP を追記した[s5]。同グループは報道などで多くの人々の耳目を集めている[s5]。国や地域、業種に関わらず、金銭的成果が上がると判断すれば標的になり得る[s5]。身代金を要求する以上、動機は金銭の窃取にあると同社は評価している[s5]。", "techniques": [], "tools": [ { "name": "Mario ESXi", "kind": "ransomware" }, { "name": "White Rabbit", "kind": "ransomware" }, { "name": "MrAgent", "kind": "malware" }, { "name": "Vatet Loader", "kind": "malware" }, { "name": "Metasploit", "kind": "legit_tool" }, { "name": "Cobalt Strike", "kind": "legit_tool" }, { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "ProcDump", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "telegram" ], "contactHandles": [ { "channel": "telegram", "value": "hxxps://t[.]me/RHouseNews\r\nhxxps://t[.]me/DatabaseCartel\r\nhxxps://t[.]me/AgentGlobal" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 7, "incidents": 0 }, { "year": 2026, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "ransomhub", "createdAt": "2026-10-13T03:53:09+00:00", "updatedAt": "2026-10-13T05:12:53+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/ransomhub", "title": "RansomLook: ransomhub", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:53:09+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-242a", "title": "#StopRansomware: RansomHub Ransomware | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T05:12:53+00:00" }, { "id": "s3", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:12:53+00:00" }, { "id": "s4", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:12:53+00:00" }, { "id": "s5", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:12:53+00:00" }, { "id": "s6", "url": "https://www.sentinelone.com/anthology/ransomhub/", "title": "RansomHub", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T05:12:53+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:53:09+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "RansomHub", "aliases": [ { "name": "Cyclops", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Knight", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mispUuid": "9d218bb3-fc59-43e0-a273-a0a0fb5c463e", "ransomlook": "ransomhub" }, "type": "ransomware", "firstSeen": "2024-02-10", "status": { "value": "active", "since": "2024-02-10", "sourceId": "s1" }, "description": "RansomHubの正体と来歴\n\nRansomHubはRaaS(Ransomware as a Service)型のランサムウェアで、CISAの勧告は旧称をCyclopsおよびKnightとしている[s2]。2024年2月に活動が始まり[s2][s6]、RansomLookの記録でも初出は2024-02-10である。トレンドマイクロは活動開始を2024年2月頃とし、2024年下半期に最も活発だったグループと位置づけている[s5]。運営側はLinuxとWindows向けのペイロードや専用ツールをアフィリエイトに提供し、支払額に応じて上位の「レベル」を設けている。上位レベルにはより多くの支援と追加ツールが与えられる[s6]。運営者はDLSサイト、フォーラム投稿、Telegramなどで他の犯罪組織のアフィリエイトを公然と募集してきた[s6]。CISAによると、LockBitやALPHVといった有力な変種の高名なアフィリエイトを呼び込んでいる[s2]。ALPHVの崩壊後には複数のアフィリエイトがRansomHubへ移ったという[s6]。また他のランサムウェア運営とも協力している[s6]。RansomLookが記録する連絡手段はtoxで、ハンドルは次のとおり。tox: 4D598799696AD5399FABF7D40C4D1BE9F05D74CFB311047D7391AC0BF64BED47B56EEE66A5284E4781574FAB76B417F106F8E3DEFFD0D8E826F47D3BD9219B4EC9520C20CE68257E179403B0。\n\n手口\n\n初期侵入はアフィリエイトごとに異なる[s6]。CISAは、フィッシングメール(T1566)、既知の脆弱性の悪用(T1190)、パスワードスプレー(T1110.003)を挙げる。パスワードスプレーは過去の情報漏えいで侵害されたアカウントを狙い、悪用に使うPoC exploitはExploitDBやGitHubから入手する[s2]。SentinelOneは、スピアフィッシングや音声フィッシングなどのソーシャルエンジニアリング、VPNやRDPへの攻撃、IAMへのブルートフォースも挙げる[s6]。観測された脆弱性は、Citrix ADCのCVE-2023-3519、FortiOSのCVE-2023-27997、Apache ActiveMQのCVE-2023-46604、ConfluenceのCVE-2023-22515、F5 BIG-IPのCVE-2023-46747、FortiClientEMSのCVE-2023-48788、SMBのCVE-2017-0144、NetlogonのCVE-2020-1472、CVE-2020-0787である[s2]。SentinelOneはこのほかVeeamのCVE-2023-27532を挙げ、FortiClientEMSの番号をCVE-2024-48788と記載している(CISAはCVE-2023-48788)[s2][s6]。\n\n侵入後は、AngryIPScanner、Nmap、PowerShellで探索する[s2]。アカウントの作成や再有効化を行い、Mimikatzで認証情報を取得してSYSTEMへ昇格する[s2]。横展開にはRDP、PsExec、AnyDesk、ConnectWise、N-Able、Cobalt Strike、Metasploitを使う[s2]。防御回避では、実行ファイルを無害な名前に偽装し、ログを消去し、WMIでウイルス対策を無効化し、独自ツールでEDRを停止させた例もある[s2]。上位アフィリエイトにはTDSSベースのEDR killerが提供され、標準レベルにはimpacketのSecretsdumpとSMBEXECが提供される[s6]。トレンドマイクロも多様なアンチEDR技術を確認している[s5]。\n\nデータ窃取の方法はアフィリエイト次第で、PuTTY、AWS S3、HTTP POST、WinSCP、Rcloneなどが使われた[s2]。暗号化はCurve 25519が中心で、被害組織ごとに固有の鍵を用いる[s2]。SentinelOneによればAESとの組み合わせが基本で、ESXi向けはChaCha20を使う[s6]。ペイロードはWindows、Linux/NAS、ESXi、SFTP向けにオペレーターパネルで生成でき、Windows版はセーフモード実行やVSSADMINによるシャドウコピー削除にも対応する[s6]。\n\n二重脅迫を採用し、身代金要求書には当初金額や支払い手順が書かれず、クライアントIDと固有の.onion URLが示される。支払い猶予はアフィリエイトにより3〜90日で、期限後にTorのリークサイトで公開する[s2]。SentinelOneは、被害者へのメール送付や、医療機関など高額被害者への再恐喝にも関連づけている[s6]。\n\n標的と主な被害\n\nCISAによれば、2024年2月の開始以来、水道・下水、IT、政府施設、医療、緊急サービス、食品・農業、金融、商業施設、重要製造業、運輸、通信の各分野で少なくとも210の被害者のデータを暗号化・窃取した[s2]。SentinelOneはIT、緊急サービス、食品・農業、通信を頻繁な標的とし、小売、製造、医療、政府、金融も多いとする[s6]。出典に日本の被害組織名や時期の具体的な記述はない。ただしトレンドマイクロは、2024年に日本の組織を攻撃した新興グループの一つとしてRansomHubを挙げている[s5]。\n\n動向\n\nトレンドマイクロのリークサイト監視では、RansomHubを含む新興グループが2024年下半期から急拡大し、10月時点で上位10グループによるリーク数の90%を占めた[s5]。CISAはFBIの対応活動と第三者報告に基づき、2024年8月までの情報として本勧告を公表した[s2]。アフィリエイトの流入が続く一方で、運営側の摘発や解体に関する出典の記述はない。", "techniques": [ { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1110.003", "name": "Brute Force: Password Spraying", "tactic": "Credential Access" }, { "id": "T1588.005", "name": "Obtain Capabilities: Exploits", "tactic": "Resource Development" }, { "id": "T1210", "name": "Exploitation of Remote Services", "tactic": "Lateral Movement" }, { "id": "T1018", "name": "Remote System Discovery", "tactic": "Discovery" }, { "id": "T1046", "name": "Network Service Discovery", "tactic": "Discovery" }, { "id": "T1059.001", "name": "Command and Scripting Interpreter: PowerShell", "tactic": "Execution" }, { "id": "T1036", "name": "Masquerading", "tactic": "Defense Evasion" }, { "id": "T1070", "name": "Indicator Removal", "tactic": "Defense Evasion" }, { "id": "T1047", "name": "Windows Management Instrumentation", "tactic": "Execution" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1136", "name": "Create Account", "tactic": "Persistence" }, { "id": "T1098", "name": "Account Manipulation", "tactic": "Persistence" }, { "id": "T1003", "name": "OS Credential Dumping", "tactic": "Credential Access" }, { "id": "T1068", "name": "Exploitation for Privilege Escalation", "tactic": "Privilege Escalation" }, { "id": "T1021.001", "name": "Remote Services: Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1219", "name": "Remote Access Software", "tactic": "Command and Control" }, { "id": "T1048.002", "name": "Exfiltration Over Alternative Protocol: Exfiltration Over Asymmetric Encrypted Non-C2 Protocol", "tactic": "Exfiltration" }, { "id": "T1537", "name": "Transfer Data to Cloud Account", "tactic": "Exfiltration" }, { "id": "T1048.003", "name": "Exfiltration Over Alternative Protocol: Exfiltration Over Unencrypted Non-C2 Protocol", "tactic": "Exfiltration" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" } ], "tools": [ { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "ConnectWise", "kind": "legit_tool" }, { "name": "N-Able", "kind": "legit_tool" }, { "name": "Cobalt Strike", "kind": "malware" }, { "name": "Metasploit", "kind": "legit_tool" }, { "name": "AngryIPScanner", "kind": "legit_tool" }, { "name": "Nmap", "kind": "legit_tool" }, { "name": "PuTTY", "kind": "legit_tool" }, { "name": "WinSCP", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "Secretsdump", "kind": "legit_tool" }, { "name": "SMBEXEC", "kind": "legit_tool" }, { "name": "TDSSベースのEDR killer", "kind": "malware" }, { "name": "RansomHub", "kind": "ransomware" } ], "cves": [ "CVE-2023-3519", "CVE-2023-27997", "CVE-2023-46604", "CVE-2023-22515", "CVE-2023-46747", "CVE-2023-48788", "CVE-2017-0144", "CVE-2020-1472", "CVE-2020-0787", "CVE-2023-27532", "CVE-2024-48788" ], "related": [], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "4D598799696AD5399FABF7D40C4D1BE9F05D74CFB311047D7391AC0BF64BED47B56EEE66A528\r\n4E4781574FAB76B417F106F8E3DEFFD0D8E826F47D3BD9219B4EC9520C20CE68257E179403B0" } ], "derived": { "japanActivity": [ { "year": 2024, "claims": 1, "incidents": 0 }, { "year": 2025, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "rhysida", "createdAt": "2026-10-13T04:00:01+00:00", "updatedAt": "2026-10-13T05:13:26+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/rhysida", "title": "RansomLook: rhysida", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:00:01+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-319a", "title": "#StopRansomware: Rhysida Ransomware | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T05:13:26+00:00" }, { "id": "s3", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:13:26+00:00" }, { "id": "s4", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:13:26+00:00" }, { "id": "s5", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:13:26+00:00" }, { "id": "s6", "url": "https://www.picussecurity.com/resource/blog/rhysida-ransomware-explained", "title": "Rhysida Ransomware Explained: Tactics, Techniques, and Procedures", "publisher": "picussecurity.com", "kind": "news", "retrievedAt": "2026-10-13T05:13:26+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:00:01+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "rhysida", "aliases": [], "externalIds": { "ransomlook": "rhysida" }, "type": "ransomware", "firstSeen": "2023-06-09", "status": { "value": "active", "since": "2023-06-09", "sourceId": "s1" }, "description": "Rhysida は 2023 年 5 月に出現したランサムウェアで、RansomLook の記録では初出は 2023 年 6 月 9 日である [s1][s2][s6]。\n\nCISA・FBI・MS-ISAC の共同勧告によれば、Rhysida は 2023 年 5 月以降、教育、医療、製造、情報技術、政府の各分野に対して主に使われてきた [s2]。Fortinet の公開報告では、ランサムウェアのツールとインフラを貸し出して利益を分配する RaaS 形態で動く事例が確認されており、身代金は運営側とアフィリエイトで分け合う [s2]。Picus も、ペイロードを他の攻撃者に貸し出す、または販売する RaaS モデルだと説明している [s6]。公開報告には、Vice Society (DEV-0832) の活動と Rhysida を展開する攻撃者の活動に類似点があるとの指摘もある [s2]。RansomLook は連絡手段として email を挙げ、ハンドルとして rhysidacrypting@onionmail[.]org と rhysida@onionmail[.]org を記録している [s1]。なお、一般論として、RaaS は運営側がランサムウェアやリークサイトなどの攻撃環境を実行者に提供し、見返りに身代金の一部を受け取る仕組みである [s3]。\n\n初期侵入について、CISA は外部公開のリモートサービスの悪用を挙げている。とくに、多要素認証 (MFA) が既定で有効でない組織の VPN に、侵害された正規の認証情報でログインする例が多いという [s2]。2025 年 4 月の更新では、Gootloader マルウェアを初期侵入に使う場合もあると追記された [s2]。一方 Picus は、アフィリエイトが初期アクセスブローカー (IAB) から侵害済みの RDP・VPN アカウントを入手するほか、悪意あるリンクや添付ファイルを含むフィッシングメールも使い、Cobalt Strike ビーコンを展開すると説明している [s6]。\n\n侵入後は、組み込みの管理ツールを使う living off the land の手法が目立つ。RDP による横展開、PowerShell の利用、ipconfig、whoami、nltest、net コマンドによる環境の列挙などである [s2]。使用が確認されたツールは、PsExec(横展開と遠隔実行で多用)、PuTTY(SSH 接続)、AnyDesk、PowerView、secretsdump、ntdsutil.exe(NTDS.dit の取得)、wevtutil.exe(イベントログ消去)、バックドアスクリプトの PortStarter などである [s2]。2025 年 4 月の更新では、AZCopy と StorageExplorer-windows-x64.exe によるクラウドストレージ経由の操作が最近の手法として追加された [s2]。ある調査では、C:\\ 直下に「in」「out」というステージング用フォルダが作られ、ランサムウェアのバイナリ (conhost.exe)、バッチスクリプト (S_0.bat)、暗号化対象の拡張子リストを定義する 1.ps1 などが置かれていた [s2]。Picus によれば、永続化には「Rhsd」という名前のスケジュールタスクを使い、実行後は自身と痕跡を削除する [s6]。ボリュームシャドウコピーも全削除して復旧を妨げる [s6]。\n\n暗号化は RSA と ChaCha20 を組み合わせたハイブリッド方式で、暗号化後のファイルには .rhysida の拡張子が付く [s6]。二重脅迫として、暗号化の前に被害者の機密データを C2 サーバへ送り出し、支払いに応じなければ公開すると脅す [s6]。\n\n標的は「機会があれば狙う」型で、教育、医療、製造、情報技術、政府が中心である [s2]。Picus は、被害組織が中東、中南米、欧州にあり、出現以降に世界で約 50 組織が被害を受けたとしている [s6]。\n\n動向としては、CISA の勧告が 2025 年 4 月 30 日に更新され、2024 年 12 月までの調査で確認されたアフィリエイトの新しい IOC が反映され、古い IOC と TTP が削除された [s2]。", "techniques": [ { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1021.001", "name": "Remote Services: Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1059.001", "name": "Command and Scripting Interpreter: PowerShell", "tactic": "Execution" }, { "id": "T1016", "name": "System Network Configuration Discovery", "tactic": "Discovery" }, { "id": "T1033", "name": "System Owner/User Discovery", "tactic": "Discovery" }, { "id": "T1482", "name": "Domain Trust Discovery", "tactic": "Discovery" }, { "id": "T1087.002", "name": "Account Discovery: Domain Account", "tactic": "Discovery" }, { "id": "T1018", "name": "Remote System Discovery", "tactic": "Discovery" }, { "id": "T1069.002", "name": "Permission Groups Discovery: Domain Groups", "tactic": "Discovery" }, { "id": "T1069.001", "name": "Permission Groups Discovery: Local Groups", "tactic": "Discovery" }, { "id": "T1021.004", "name": "Remote Services: SSH", "tactic": "Lateral Movement" }, { "id": "T1003.003", "name": "OS Credential Dumping: NTDS", "tactic": "Credential Access" }, { "id": "T1219", "name": "Remote Access Software", "tactic": "Command and Control" }, { "id": "T1070.001", "name": "Indicator Removal: Clear Windows Event Logs", "tactic": "Defense Evasion" }, { "id": "T1059.003", "name": "Command and Scripting Interpreter: Windows Command Shell", "tactic": "Execution" }, { "id": "T1059.009", "name": "Command and Scripting Interpreter: Cloud API", "tactic": "Execution" }, { "id": "T1530", "name": "Data from Cloud Storage", "tactic": "Collection" }, { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1053", "name": "Scheduled Task/Job", "tactic": "Persistence" }, { "id": "T1070.004", "name": "Indicator Removal: File Deletion", "tactic": "Defense Evasion" }, { "id": "T1112", "name": "Modify Registry", "tactic": "Defense Evasion" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" } ], "tools": [ { "name": "Rhysida ransomware", "kind": "ransomware" }, { "name": "Gootloader", "kind": "malware" }, { "name": "PortStarter", "kind": "malware" }, { "name": "Cobalt Strike", "kind": "malware" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "PuTTY", "kind": "legit_tool" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "secretsdump", "kind": "legit_tool" }, { "name": "ntdsutil.exe", "kind": "legit_tool" }, { "name": "wevtutil.exe", "kind": "legit_tool" }, { "name": "PowerView", "kind": "legit_tool" }, { "name": "AZCopy", "kind": "legit_tool" }, { "name": "Azure Storage Explorer", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "email" ], "contactHandles": [ { "channel": "email", "value": "rhysidacrypting@onionmail[.]org\r\nrhysida@onionmail[.]org" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "root", "createdAt": "2026-10-13T03:54:59+00:00", "updatedAt": "2026-10-13T05:13:57+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/root", "title": "RansomLook: root", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:54:59+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.cisa.gov/stopransomware/ransomware-guide", "title": "#StopRansomware Guide | CISA", "publisher": "CISA", "kind": "gov", "retrievedAt": "2026-10-13T05:13:57+00:00" }, { "id": "s3", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:13:57+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:13:57+00:00" }, { "id": "s5", "url": "https://www.sophos.com/en-us/content/state-of-ransomware", "title": "2026 Ransomware Report: Sophos State of Ransomware", "publisher": "Sophos", "kind": "vendor", "retrievedAt": "2026-10-13T05:13:57+00:00" }, { "id": "s6", "url": "https://www.paloaltonetworks.com/cyberpedia/ransomware-common-attack-methods", "title": "What are Ransomware Attacks?", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T05:13:57+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:54:59+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "root", "aliases": [], "externalIds": { "ransomlook": "root" }, "type": "ransomware", "firstSeen": "2025-11-28", "status": { "value": "unknown", "since": "2025-11-28", "sourceId": "s1" }, "description": "「root」に関する記録は RansomLook の初出日 2025-11-28 のみで、連絡手段の記録はない[s1]。\n\n提供された出典（CISA、警察庁、トレンドマイクロ、Sophos、Unit 42）はいずれもランサムウェア全般の解説であり、「root」という名称のグループの来歴、RaaS かどうか、運営体制、手口、標的、被害組織、動向には触れていない[s2][s3][s4][s5][s6]。そのため、このグループ固有の手口や被害については出典から述べられない。\n\n参考として、ランサムウェア攻撃全般の一般論は次のとおり。警察庁は、ランサムウェアの開発・運営グループが攻撃の実行者にランサムウェアやリークサイト等の環境を提供し、見返りに身代金の一部を受け取る RaaS が多数確認されていると説明している[s3]。トレンドマイクロも、RaaS の普及で技術的知識のない攻撃者でも攻撃が可能になったとしている[s4]。\n\nUnit 42 は初期侵入の主な経路として、脆弱性の悪用、ブルートフォースによる認証情報攻撃、ソーシャルエンジニアリング、過去に侵害された認証情報、信頼の悪用の5つを挙げている[s6]。CISA は、暗号化に加えてデータを窃取し公開をちらつかせる二重脅迫や、暗号化を伴わずデータ窃取のみで恐喝する手口があると説明している[s2]。警察庁も、データを暗号化せず窃取して対価を要求する「ノーウェアランサム」の被害を確認している[s3]。\n\n対策面では、CISA はオフラインで暗号化したバックアップの維持、インターネットに公開するサービス（リモートデスクトップなど）の制限、定期的な脆弱性スキャンとパッチ適用を勧めている[s2]。", "techniques": [], "tools": [], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2025, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "safepay", "createdAt": "2026-10-13T03:53:17+00:00", "updatedAt": "2026-10-13T05:14:12+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/safepay", "title": "RansomLook: safepay", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:53:17+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:14:12+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:14:12+00:00" }, { "id": "s4", "url": "https://www.checkpoint.com/cyber-hub/threat-prevention/ransomware/safepay-ransomware/", "title": "SafePay Ransomware: An Emerging Threat in 2025", "publisher": "Check Point", "kind": "vendor", "retrievedAt": "2026-10-13T05:14:12+00:00" }, { "id": "s5", "url": "https://www.checkpoint.com/jp/cyber-hub/threat-prevention/ransomware/safepay-ransomware/", "title": "SafePay Ransomware: An Emerging Threat in 2025", "publisher": "Check Point", "kind": "vendor", "retrievedAt": "2026-10-13T05:14:12+00:00" }, { "id": "s6", "url": "https://www.threatlocker.com/blog/safepay-ransomware-explained-iocs-ttps-and-defense-strategies", "title": "SafePay ransomware explained: IOCs, TTPs, and defense strategies", "publisher": "ThreatLocker", "kind": "vendor", "retrievedAt": "2026-10-13T05:14:12+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:53:17+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "safepay", "aliases": [], "externalIds": { "ransomlook": "safepay" }, "type": "ransomware", "firstSeen": "2024-11-20", "status": { "value": "active", "since": "2024-11-20", "sourceId": "s1" }, "description": "SafePay（safepay）は、2024年に登場したランサムウェアグループである。\n\nCheck Point は初の確認活動を2024年9月とし [s4][s5]、ThreatLocker は2024年11月ごろにセキュリティベンダーが把握したとする [s6]。RansomLook の初出記録は2024年11月20日である [s1]。Check Point は、LockBit と ALPHV の活動停止で生じた空白を、RansomHub や Akira などの既存勢力と SafePay のような新規参入者が埋めようと競っていると説明する [s4][s5]。メンバーや所在地に関する公開情報はなく、ダークウェブのフォーラムでの議論もほとんどないという [s4][s5]。ThreatLocker は、CIS 諸国の現・旧加盟国の組織を意図的には標的にしないことから、拠点は東欧またはアジアの可能性があると述べる [s6]。ランサムウェアのバイナリは2022年後半の LockBit と類似点があり、ALPHV や INC Ransom の要素も取り込んでいる [s4][s5]。ThreatLocker は初期サンプルに漏えい版 LockBit Black や Hive との類似があるとしつつ、暗号化ツールは独自開発の可能性が高いとする [s6]。初期サンプルにはキリル文字圏の言語を検出するキルスイッチがあり、ThreatLocker は東欧の国家支援の可能性に言及するが、このチェックは後のサンプルで削除された [s4][s6]。\n\n初期侵入について、Check Point は、ダークウェブで購入したとみられる有効な認証情報と VPN ゲートウェイ経由のアクセスを挙げ、既知の VPN 脆弱性の悪用も予想している [s4][s5]。ThreatLocker は主な経路を VPN ゲートウェイ、ファイアウォール、リモートデスクトップゲートウェイなどエッジ機器の脆弱性とし、フィッシングや初期アクセスブローカー、公開された認証情報ダンプによる入手も挙げる [s6]。侵入後は Remote Desktop Protocol を起点とする多段階の手法を取り、LOLBins で Windows Defender などを無効化する [s4][s5]。ネットワークや SMB 共有を列挙し、PowerTools の ShareFinder.ps1 を使う [s6]。横展開は PSExec、WinRM、RDP、RMM ソフトなどで行い、必要ならトークン偽装で権限を昇格する [s6]。マルウェアは権限昇格、UAC バイパス、ネットワーク伝播を備えたモジュール設計である [s4][s5]。データの圧縮と持ち出しには WinRAR、7-Zip、Rclone、FileZilla、RDP クリップボードを使う [s4][s6]。感染端末ではミューテックスを生成して再実行を防ぎ、通常は被害者ごとに異なるものを使う [s6]。\n\n暗号化後のファイルには .SafePay 拡張子が付き、身代金メモは readme_SafePay.txt である [s4][s5]。回復オプションの無効化とシャドウコピーの削除も行う [s4][s5]。ThreatLocker によれば、Volume Shadow Copy サービスの停止後にシャドウコピーとサードパーティ製バックアップが静かに削除される [s6]。二重脅迫では、復号ツールの代金に加え、データ削除のためにも支払いを求める [s6]。盗んだデータは支払いがなければリークサイトで公開すると脅す [s4][s5]。Check Point は、侵入から展開まで通常24時間未満と述べる [s4][s5]。被害者との連絡には The Open Network（TON）を使い、Tor のリークサイトとダークウェブ上のブログを運営している [s4][s5]。RansomLook は連絡手段を email とし、ハンドルとして VanessaCooke94@protonmail[.]com を記録している [s1]。\n\n標的は公共・民間を問わず幅広い業種にわたる [s4][s5]。2025年の攻撃は米国、英国、ドイツに集中し、米国とドイツでは1日10件以上の波状攻撃も見られた [s4][s5]。ThreatLocker は主な標的国に米国、ドイツ、英国、オーストラリア、カナダを挙げる [s6]。2025年第1四半期のドイツでは、報告された被害者の24％が SafePay 関連で、Check Point はこれを単一グループとして国別で最高の割合とする [s4][s5]。初期の著名な事案は英国のテレマティクス企業 Microlise で、同社は2024年10月にインシデントを公表し、2024年11月に SafePay が1.2TB のデータを盗んだと主張して24時間以内の支払いを要求した [s4][s5]。ThreatLocker は、米国の IT 製品・サービス販売会社 Ingram Micro の3.5TB 超の内部データを公開すると脅したことが国際的に報じられたと述べる [s6]。\n\n動向としては、2024年11月に報告された被害者の5％を SafePay が占めた [s4][s5]。2025年第1四半期には公に主張された被害者が77件となり、9番目に多いランサムウェアとなった [s4][s5]。ThreatLocker によれば、Tor のリークサイトで200組織超を主張しており、最も活発なグループの一つになった [s6]。同社は、より攻撃的な標的選定への転換について、Ingram Micro 事案の報道や法執行機関の圧力の高まりが一因の可能性があるとする [s6]。Check Point は、能力の全容評価のため調査が続いているとしている [s4][s5]。", "techniques": [], "tools": [ { "name": "SafePay ransomware", "kind": "ransomware" }, { "name": "ShareFinder.ps1", "kind": "legit_tool" }, { "name": "PSExec", "kind": "legit_tool" }, { "name": "WinRM", "kind": "legit_tool" }, { "name": "RDP", "kind": "legit_tool" }, { "name": "RMM software", "kind": "legit_tool" }, { "name": "WinRAR", "kind": "legit_tool" }, { "name": "7-Zip", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "FileZilla", "kind": "legit_tool" }, { "name": "The Open Network (TON)", "kind": "legit_tool" } ], "cves": [], "related": [ { "actorSlug": "inc-ransom", "relation": "possibly_related", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "email" ], "contactHandles": [ { "channel": "email", "value": "VanessaCooke94@protonmail[.]com" } ], "derived": { "japanActivity": [ { "year": 2024, "claims": 1, "incidents": 0 }, { "year": 2025, "claims": 3, "incidents": 0 }, { "year": 2026, "claims": 7, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "sarcoma", "createdAt": "2026-10-13T03:58:55+00:00", "updatedAt": "2026-10-13T05:39:14+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/sarcoma", "title": "RansomLook: sarcoma", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:58:55+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:39:14+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:39:14+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:39:14+00:00" }, { "id": "s5", "url": "https://socradar.io/blog/dark-web-profile-sarcoma-ransomware/", "title": "Dark Web Profile: Sarcoma Ransomware", "publisher": "SOCRadar", "kind": "vendor", "retrievedAt": "2026-10-13T05:39:14+00:00" }, { "id": "s6", "url": "https://www.cybereason.co.jp/blog/japan-tech-blog/se-insight/14176/", "title": "【セミナーレポート】連鎖する医療機関へのランサムウェア攻撃の実態と防御 〜日本医科大学武蔵小杉病院の事例から学ぶ〜 | BLOG | サイバーリーズン | EDR（次世代エンドポイントセキュリティ）", "publisher": "Cybereason", "kind": "vendor", "retrievedAt": "2026-10-13T05:39:14+00:00" }, { "id": "s7", "url": "https://www.halcyon.ai/threat-group/sarcoma", "title": "Sarcoma", "publisher": "halcyon.ai", "kind": "news", "retrievedAt": "2026-10-13T05:39:14+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:58:55+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "sarcoma", "aliases": [], "externalIds": { "ransomlook": "sarcoma" }, "type": "ransomware", "origin": { "country": "ロシア語圏または東欧・CIS周辺", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2024-10-09", "status": { "value": "active", "since": "2024-10-09", "sourceId": "s1" }, "description": "Sarcoma（サルコーマ）は、2024年10月9日にRansomLookへ初めて記録されたランサムウェアグループで [s1]、SOCRadarは2024年後半に登場したと述べている [s5]。金銭目的で、データ窃取と暗号化を組み合わせて身代金交渉の圧力を高める [s5]。RaaS 型で活動しているが、公開のアフィリエイト募集ではなく、限られた信頼できるパートナーと協力する形で、従来型の RaaS とは言い切れないとする研究者もいる [s5]。少数の中核チームが偵察から恐喝までを統制して進めるとされる [s5]。国家との結び付きは指摘されていない。一方、CIS 諸国の端末では実行を避ける挙動から、ロシア語圏または東欧・CIS 周辺の運営者と見られている [s5]。リークサイトでは、アクセスブローカー、第三者、内部関係者に協力を呼びかけている [s5]。連絡手段は tox と email で、RansomLook は tox: D7A5E0027572764BE600925712D079472FF950F954553FF07E823FF1D068C31292E5E5F31AE4、email: SarcomaGroup@onionmail[.]org を記録している [s1]。\n\n手口は偵察、初期侵入、認証情報の窃取、横展開、データ窃取、暗号化、恐喝の順に進む [s5]。初期侵入は、Citrix、Fortinet、Microsoft Exchange など公開アプリケーションの悪用（T1190）、添付ファイル付きのスピアフィッシング（T1566）、設定不備のある RDP など外部リモートサービス（T1133）が中心である [s7]。盗んだ、あるいは購入した認証情報を VPN や SSO に使う手口、委託先経由の侵入も挙げられている [s5]。2024年10月の攻撃ではゼロデイ悪用が確認されたとされる [s7]。侵入後は RMM ツール、RDP、AnyDesk、PsExec で横展開し [s7]、Mimikatz で認証情報を窃取し [s7]、pass-the-hash や pass-the-ticket も使う [s7]。セキュリティプロセスの停止、DLL サイドローディング、レジストリ改変、スケジュールタスクによる永続化も観測されている [s7]。データ窃取には Rclone（インシデントの57%）、WinSCP、cURL を使い、Google Drive、Amazon S3、Mega、temp[.]sh へ送り出し、7z で圧縮する [s7]。暗号化はマルチスレッドで、Windows、Linux、VMware ESXi を対象とし、システムの重要ディレクトリは避ける [s7]。ChaCha20 でファイルを暗号化し、RSA でセッション鍵を暗号化する [s5]。ボリュームシャドウコピーの削除や、VM スナップショット、バックアップサーバの破壊も行う [s7][s5]。脅迫では、被害者ごとの Tor 交渉ポータルと7日間の期限を設定し、FAIL_STATE_NOTIFICATION.pdf の脅迫文でデータの公開またはダークネット販売を告げる [s7]。あわせて、サンプルデータとカウントダウンタイマーを公開する [s7]。支払わない被害者には追加のデータ公開と実名掲載で圧力を強める [s5]。\n\n標的は米国が掲載被害者の最大で、イタリア、カナダが続く [s5]。業種は製造業が最多で、技術、建設が続き、小売や農業も含まれる [s5]。設計図、CAD ファイル、顧客記録、バックアップなど、停止と漏えいの両面で効く業種が選ばれる [s5]。中堅から大規模の組織が中心で、マネージドサービスプロバイダ経由の波及もある [s5]。被害組織のダウンタイムは平均1～3週間とされる [s7]。\n\n動向としては、要求額が当初の数万ドル台半ばから、2025年第2四半期までに100万ドル超へ拡大した [s7]。暗号化ツールは検知回避のためパッキングやコード変更、インフラやファイル名の入れ替えを繰り返し、継続的に改良されている [s5]。攻撃は急速に被害者数を増やし、ゼロデイ悪用の報告もあるため、SOCRadar は深刻な脅威と評価している [s5]。", "techniques": [ { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1133", "name": "External Remote Services", "tactic": "Initial Access" }, { "id": "T1018", "name": "Remote System Discovery", "tactic": "Discovery" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "Discovery" }, { "id": "T1055", "name": "Process Injection", "tactic": "Defense Evasion" }, { "id": "T1070", "name": "Indicator Removal", "tactic": "Defense Evasion" }, { "id": "T1574.002", "name": "DLL Side-Loading", "tactic": "Defense Evasion" }, { "id": "T1027", "name": "Obfuscated Files or Information", "tactic": "Defense Evasion" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1112", "name": "Modify Registry", "tactic": "Defense Evasion" }, { "id": "T1003", "name": "OS Credential Dumping", "tactic": "Credential Access" }, { "id": "T1110", "name": "Brute Force", "tactic": "Credential Access" }, { "id": "T1071", "name": "Application Layer Protocol", "tactic": "Command and Control" }, { "id": "T1105", "name": "Ingress Tool Transfer", "tactic": "Command and Control" }, { "id": "T1090", "name": "Proxy", "tactic": "Command and Control" }, { "id": "T1021", "name": "Remote Services", "tactic": "Lateral Movement" }, { "id": "T1550", "name": "Use Alternate Authentication Material", "tactic": "Lateral Movement" }, { "id": "T1048", "name": "Exfiltration Over Alternative Protocol", "tactic": "Exfiltration" }, { "id": "T1567", "name": "Exfiltration Over Web Service", "tactic": "Exfiltration" }, { "id": "T1560", "name": "Archive Collected Data", "tactic": "Collection" }, { "id": "T1053.003", "name": "Scheduled Task/Job", "tactic": "Persistence" }, { "id": "T1546.011", "name": "Event Triggered Execution", "tactic": "Persistence" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" }, { "id": "T1489", "name": "Service Stop", "tactic": "Impact" } ], "tools": [ { "name": "Sarcoma ransomware", "kind": "ransomware" }, { "name": "Mimikatz", "kind": "malware" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "RMM tools", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "WinSCP", "kind": "legit_tool" }, { "name": "cURL", "kind": "legit_tool" }, { "name": "7z", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "tox", "email" ], "contactHandles": [ { "channel": "tox", "value": "D7A5E0027572764BE600925712D079472FF950F954553FF07E823FF1D068C31292E5E5F31AE4" }, { "channel": "email", "value": "SarcomaGroup@onionmail[.]org" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "scattered-lapsus-hunters", "createdAt": "2026-10-13T03:59:41+00:00", "updatedAt": "2026-10-13T05:32:36+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/scattered%20lapsus%24%20hunters", "title": "RansomLook: scattered lapsus$ hunters", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:59:41+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://unit42.paloaltonetworks.com/scattered-lapsus-hunters/", "title": "The Golden Scale: Bling Libra and the Evolving Extortion Economy", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T05:32:36+00:00" }, { "id": "s3", "url": "https://unit42.paloaltonetworks.com/ja/new-shinysp1d3r-ransomware/", "title": "The Golden Scale: 望まれない贈り物の季節", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T05:32:36+00:00" }, { "id": "s4", "url": "https://socradar.io/blog/dark-web-profile-scattered-lapsus-hunters/", "title": "Dark Web Profile: Scattered Lapsus$ Hunters", "publisher": "SOCRadar", "kind": "vendor", "retrievedAt": "2026-10-13T05:32:36+00:00" }, { "id": "s5", "url": "https://www.picussecurity.com/resource/blog/scattered-lapsus-hunters-2025s-most-dangerous-cybercrime-supergroup", "title": "Scattered LAPSUS$ Hunters: 2025's Most Dangerous Cybercrime Supergroup", "publisher": "picussecurity.com", "kind": "news", "retrievedAt": "2026-10-13T05:32:36+00:00" }, { "id": "s6", "url": "https://www.levelblue.com/blogs/spiderlabs-blog/scattered-lapsuss-hunters-anatomy-of-a-federated-cybercriminal-brand", "title": "Scattered LAPSUS$ Hunters: Anatomy of a Federated Cybercriminal Brand", "publisher": "levelblue.com", "kind": "news", "retrievedAt": "2026-10-13T05:32:36+00:00" }, { "id": "s7", "url": "https://pushsecurity.com/blog/scattered-lapsus-hunters", "title": "Analyzing \"Scattered Lapsus$ Hunters\" breaches since 2021", "publisher": "pushsecurity.com", "kind": "news", "retrievedAt": "2026-10-13T05:32:36+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:59:41+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 6 件で書き直し（自動）" } ], "name": "Scattered Lapsus Hunters", "aliases": [ { "name": "scattered lapsus$ hunters", "namedBy": "RansomLook", "relation": "candidate", "sourceId": "s1" }, { "name": "Scattered Lapsus$ Hunters", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "SP1D3R HUNTERS", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "SLSH", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "SLH", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Trinity of Chaos", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mispUuid": "c216b83d-f298-438c-be47-0506ec773d8f", "ransomlook": "scattered lapsus$ hunters" }, "type": "cybercrime", "origin": { "country": "英語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2025-10-03", "status": { "value": "active", "since": "2025-10-03", "sourceId": "s1" }, "description": "正体と来歴\n\nScattered Lapsus$ Hunters（SLH、SLSH、SP1D3R HUNTERSとも）は、Scattered Spider（Muddled Libra）、Bling Libra（ShinyHunters）、LAPSUS$の3つに連なる者たちから成るとされる犯罪者同盟である[s2]。2025年8月8日にTelegramチャネルが現れ、3組織の構成員とブランドを束ねると称し、近日公開をうたうRaaS「shinysp1d3r」を宣伝した。このチャネルは後にTelegramに削除された[s4][s5]。LevelBlue（Trustwave SpiderLabs）は、チャネルが少なくとも16回削除・再作成されたと報告している[s6]。同社はSLHを3組織の正式な合併ではなく、状況に応じた連合のブランドと評価し、約30のハンドルが確認される一方で中核を担うのは5人未満とみている[s6]。主導役は「shinycorp」（@sp1d3rhunters、@sloke48、@shinyc0rpなどの名義）とされる[s6]。KrebsOnSecurityは「Rey」を主管理者かつ技術担当に結びつけ、Hellcatランサムウェアのリークサイトや直近のBreachForums再開との関係も指摘している[s4]。The Comと呼ばれる英語圏中心の犯罪サブカルチャーに連なる[s2][s4][s7]。主な動機は金銭だが、注目を集める演出的な振る舞いが目立つ[s6]。\n\n手口\n\n初期侵入の中心はvishingである。ITヘルプデスクを装って従業員に電話し、MFAのリセット、リモート管理ツールの導入、Salesforceの/setup/connectページでの不正アプリ承認へ誘導する[s4][s5]。承認されたアプリ（細工されたData Loaderとされる）が長期有効なOAuthトークンを生み、MFAを回避してCRMデータへAPIアクセスできるようになる。Salesforce自体の脆弱性は悪用されていない[s2][s4]。AI音声エージェントによる自動架電の利用も報じられた[s4][s5]。インフォスティーラーで得たセッションクッキーの悪用、OktaやMicrosoft SSO、Citrix、GitHub／GitLab権限を持つ内部関係者の公募も確認されている[s4][s5]。8月31日の募集投稿では連絡先に@shinyc0rpが示された[s5]。SalesloftのDriftを狙ったサプライチェーン攻撃では、GitHubアカウントのフィッシングからAWSに入り、OAuthトークンを盗んで下流の顧客環境へ進んだ[s5][s7]。Gainsight経由では、そのトークンを使って新たに285のSalesforceインスタンスに到達したと主張している[s3][s7]。\n\n恐喝の形としては、暗号化を伴わないデータ窃取型のExtortion-as-a-Service（EaaS）を掲げ、支払額の25〜30%を取り分とすると主張した[s2]。Telegramでは経営層宛てのメール送付を手伝う協力者も募った[s2]。2025年10月3日に暴露サイトを開設し、39組織の名を掲げて10月10日を支払期限とした[s2]。Salesforce本体にも要求したが、同社は支払わない方針を示した[s2]。さらにWindows向けRaaS「ShinySp1d3r」が開発中で、Linux・ESXi版も近いと代表者は語った[s3]。\n\n標的と主な被害\n\n標的はテクノロジー、小売、高級ファッション、航空、保険で、顧客データや連携アプリの管理が弱い大企業が狙われる[s4]。被害は米国、英国、カナダ、豪州に多く、フランスとドイツでも出ている[s4]。Unit 42は小売・宿泊業の被害に警鐘を鳴らし、ポイント詐欺などへの悪用を指摘した[s2]。攻撃者は91組織のデータを盗んだと主張し、Adidas、Cartier、Google、Louis Vuitton、Qantas、Air France–KLM、Allianz、Cisco、Pandoraなどの名を挙げた[s4]。また、Salesloft Drift関連で1000社超・15億件超のレコードを盗んだと主張した[s7]。Red Hatは、Crimson Collectiveが主張した約570GBの流出の原因がGitLabインスタンスへの侵入だったと確認した[s2]。このとき、SLHは暴露サイトで被害者を掲載する形で連携した[s2]。2025年11月21日にCrowdStrikeは、解雇済みの従業員が社内画面のスクリーンショットを共有したと認めた[s3]。Bling Libraは内部者に25,000ドルを支払うことに同意したと述べた[s3]。日本の組織名は出典に挙がっていない。\n\n動向\n\n2025年9月17日に「going dark」を宣言したが、活動は続いた[s2][s5]。2025年10月9日、FBIがBreachForums関連ドメインを押収し、暴露サイトのクリアネット版も止まった。Bling Libraは中核メンバーの逮捕はなくダークネット版は無事と述べた[s2]。SOCRadarはFBIとフランスのBL2Cが押収したと伝え、内部メッセージには欠員やサーバー侵害をうかがわせる内容があるとした[s4]。11月中旬以降は活動を再開し、Gainsight関連の期限を示唆し、ShinySp1d3rの実サンプルが確認された[s3][s4]。同月24日には2025年の被害者総数を約1,500件と主張した[s3]。2026年にはAiTM型フィッシングキットでOkta、Entra、Google SSOを狙い、SoundCloudやMatch Groupなどの被害が報じられた[s7]。RansomLookは初出を2025年10月3日、連絡手段をメール（shinyc0rp@tuta[.]io）と記録している。", "techniques": [ { "id": "T1650", "name": "Acquire Access", "tactic": "Resource Development" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1566.004", "name": "Phishing: Spearphishing Voice", "tactic": "Initial Access" }, { "id": "T1003.003", "name": "OS Credential Dumping: NTDS", "tactic": "Credential Access" }, { "id": "T1552.005", "name": "Unsecured Credentials: Cloud Instance Metadata API", "tactic": "Credential Access" }, { "id": "T1555.003", "name": "Credentials from Password Stores: Credentials from Web Browsers", "tactic": "Credential Access" }, { "id": "T1621", "name": "Multi-Factor Authentication Request Generation", "tactic": "Credential Access" }, { "id": "T1046", "name": "Network Service Discovery", "tactic": "Discovery" }, { "id": "T1087", "name": "Account Discovery", "tactic": "Discovery" }, { "id": "T1114.003", "name": "Email Collection: Email Forwarding Rule", "tactic": "Collection" }, { "id": "T1219", "name": "Remote Access Tools", "tactic": "Command and Control" }, { "id": "T1657", "name": "Financial Theft", "tactic": "Impact" } ], "tools": [ { "name": "ShinySp1d3r", "kind": "ransomware" }, { "name": "Salesforce Data Loader（不正版）", "kind": "malware" }, { "name": "RedLine", "kind": "malware" }, { "name": "ntdsutil", "kind": "legit_tool" }, { "name": "RustScan", "kind": "legit_tool" }, { "name": "linpeas.sh", "kind": "legit_tool" }, { "name": "ADExplorer", "kind": "legit_tool" }, { "name": "ADRecon.ps1", "kind": "legit_tool" }, { "name": "ScreenConnect", "kind": "legit_tool" }, { "name": "TeamViewer", "kind": "legit_tool" }, { "name": "Splashtop", "kind": "legit_tool" }, { "name": "Pulseway", "kind": "legit_tool" }, { "name": "DragonForce", "kind": "ransomware" } ], "cves": [ "CVE-2021-35464" ], "related": [], "contactChannels": [ "email" ], "contactHandles": [ { "channel": "email", "value": "shinyc0rp@tuta[.]io" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 4, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "sinobi", "createdAt": "2026-10-13T04:00:13+00:00", "updatedAt": "2026-10-13T05:15:57+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/sinobi", "title": "RansomLook: sinobi", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:00:13+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:15:57+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:15:57+00:00" }, { "id": "s4", "url": "https://socradar.io/blog/dark-web-profile-sinobi-ransomware/", "title": "Dark Web Profile: Sinobi Ransomware", "publisher": "SOCRadar", "kind": "vendor", "retrievedAt": "2026-10-13T05:15:57+00:00" }, { "id": "s5", "url": "https://blog.barracuda.com/2025/11/17/sinobi--the-bougie-exclusive-ransomware-group-that-wants-to-be-a", "title": "Sinobi: The bougie-exclusive ransomware group that wants to be a ninja", "publisher": "blog.barracuda.com", "kind": "news", "retrievedAt": "2026-10-13T05:15:57+00:00" }, { "id": "s6", "url": "https://www.halcyon.ai/threat-group/sinobi", "title": "Sinobi", "publisher": "halcyon.ai", "kind": "news", "retrievedAt": "2026-10-13T05:15:57+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:00:13+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "Sinobi", "aliases": [], "externalIds": { "mispUuid": "8e156f06-5e7b-404b-aeab-25f94fa2ba9e", "ransomlook": "sinobi" }, "type": "ransomware", "origin": { "country": "ロシア語圏・東欧", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2025-07-05", "status": { "value": "active", "since": "2025-07-05", "sourceId": "s1" }, "description": "Sinobi は 2025 年半ばに現れたランサムウェア運営グループである[s4][s5]。RansomLook は初出を 2025-07-05 と記録しており[s1]、Barracuda は 2025 年 6 月の登場としている[s5]。名称は日本語の「忍び」を意味する shinobi をもじったものとされ、ゲームなどの shinobi との類似も指摘されている[s4][s5]。ダークウェブフォーラムでは、関係者が「quiet in, quiet out」という表現を使っていたという[s5]。ランサムウェア運営形態はハイブリッド型 RaaS で、公募はせず、信頼できる提携者を絞った閉じたネットワークと社内の運営者で動く[s4][s5]。中核メンバーがランサムウェアのコードと Tor 基盤の保守、交渉、資金洗浄を担い、アフィリエイトが侵入から暗号化までを担当すると見られているが、この分担は観測された交渉や身代金要求文の傾向からの推測で、公的な確認はない[s5]。ランサムウェアのコードは Lynx と重なり、BinDiff の関数類似度は Lynx と 63.2%、INC と 55.9% だった[s4]。このため Lynx の改名、後継、派生と広く見られており、Lynx 自体が INC 由来とされる[s4][s5]。ただしコードの類似は同一の運営者を証明するものではなく、共有ツールか共有ソースを示すにとどまる[s4]。Barracuda は、通信の特徴や活動時間帯からロシア・東欧圏の出身と見ており、交渉はロシア語と英語が中心で、国家の関与を示す証拠はない[s5]。身代金要求文では政治的動機を否定し、金銭だけが目的だと述べている[s4]。\n\n手口は次のとおり。初期侵入は、VPN や RDP の窃取済み認証情報が中心である[s4]。SonicWall SSL VPN の CVE-2024-53704 や CVE-2024-40766 の悪用も観測された[s4]。CVE-2024-53704 は不適切なセッション Cookie 処理による認証回避で、ドメイン管理者権限を持つ MSP アカウントも侵入に使われた[s6]。ほかに初期アクセスブローカー（IAB）からの購入、フィッシング、Citrix や Fortinet などの脆弱な機器の悪用、委託先経由の侵入が挙げられている[s5]。侵入後は、ローカル管理者アカウントの作成や Domain Admins への追加で権限を昇格させ、永続化には AnyDesk などの正規リモートツールを使う[s4][s5][s6]。ドメイン構成、ファイル共有、特権アカウントを列挙するスクリプトも実行する[s4][s5]。ProcDump による LSASS ダンプで認証情報を取得する[s6]。防御回避では、ネットワーク共有上にあった Carbon Black EDR のアンインストール用認証情報を使って製品を削除した[s4][s6]。データの持ち出しには Rclone を使い、WinSCP などが使われることもある[s4][s5]。Halcyon は、持ち出し先として ASN 215540 の基盤を挙げている[s6]。また、通信に使う Tor の隠しサービスは 9 つとされる[s6]。暗号化のペイロードは bin.exe のような汎用名で実行され、鍵交換に Curve-25519、ファイル暗号化に AES-128-CTR を使う[s4][s6]。SQL、バックアップ、Exchange 関連のプロセスを停止し、ボリュームシャドウコピーを削除し、ごみ箱を空にする[s4][s6]。暗号化したファイルには .SINOBI 拡張子が付き、各フォルダに README.txt が置かれ、壁紙も変更される[s4][s5]。要求文には被害者 ID、Tor での交渉手順、通常 7 日のカウントダウンが書かれる[s4][s6]。二重脅迫では、リークサイトにデータのサンプルとカウントダウンタイマーを掲載する[s5][s6]。応じない場合は従業員や顧客への連絡、GDPR・HIPAA・SEC 開示などの規制上のリスクを持ち出して脅す[s5]。\n\nリークサイトは Tor 上にあり、交渉用チャットサイトは別に設けられ、いずれもクリアウェブのミラーがある[s5]。要求文には Tor のリークサイトと、公開クリアウェブ版の URL も記されている[s5]。標的は、停止の許容度が低い中堅から大規模の組織で、製造、ビジネスサービス、医療、金融、教育などが被害に遭っている[s4][s5]。被害は米国が大多数で、次いでカナダ、オーストラリア、英国である[s4][s5]。小規模企業はほとんど狙わず、政府機関、公共インフラ、東欧の組織は避ける傾向がある[s5]。Halcyon は、被害組織の業務停止が平均 2〜4 週間に及ぶとしている[s6]。\n\n動向としては、Lynx は約 1 年活発に活動した後、2025 年半ばに縮小し、その頃に Sinobi が現れた[s5]。INC は 2024 年 5 月に地下フォーラムで売りに出され、その後に INC のリークサイトの見た目が変わった[s5]。SOCRadar は、Sinobi の基盤が購入した INC のソースコードに基づくと見る[s4]。一方 Barracuda は、Lynx の運営者が INC のソースを買ったという確認はないとする[s5]。Sinobi は IAB からのアクセス購入、防弾ホスティング、ダークネット市場の認証情報、ボットネット運営者との提携を使い分ける[s5]。資金洗浄の手口は Qilin や Akira と見分けがつかないとされる[s5]。Barracuda は成長傾向にあると見ており、アフィリエイトの拡大、ツールの強化、Linux や VMware ESXi 向け版の追加を予想している[s5]。投稿頻度は控えめで、法執行機関の注目を避ける姿勢がうかがえる[s5]。", "techniques": [ { "id": "T1587.001", "name": "Develop Capabilities: Malware", "tactic": "Resource Development" }, { "id": "T1588.002", "name": "Obtain Capabilities: Tool", "tactic": "Resource Development" }, { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1133", "name": "External Remote Services", "tactic": "Initial Access" }, { "id": "T1569.002", "name": "System Services: Service Execution", "tactic": "Execution" }, { "id": "T1059.003", "name": "Command and Scripting Interpreter: Windows Command Shell", "tactic": "Execution" }, { "id": "T1087", "name": "Account Discovery", "tactic": "Discovery" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1016", "name": "System Network Configuration Discovery", "tactic": "Discovery" }, { "id": "T1120", "name": "Peripheral Device Discovery", "tactic": "Discovery" }, { "id": "T1482", "name": "Domain Trust Discovery", "tactic": "Discovery" }, { "id": "T1562.001", "name": "Impair Defenses: Disable or Modify Tools", "tactic": "Defense Evasion" }, { "id": "T1006", "name": "Direct Volume Access", "tactic": "Defense Evasion" }, { "id": "T1027.002", "name": "Obfuscated Files or Information: Software Packing", "tactic": "Defense Evasion" }, { "id": "T1036.005", "name": "Masquerading: Match Legitimate Name or Location", "tactic": "Defense Evasion" }, { "id": "T1055.001", "name": "Process Injection: Dynamic-link Library Injection", "tactic": "Defense Evasion" }, { "id": "T1003", "name": "OS Credential Dumping", "tactic": "Credential Access" }, { "id": "T1555", "name": "Credentials from Password Stores", "tactic": "Credential Access" }, { "id": "T1552.001", "name": "Unsecured Credentials: Credentials In Files", "tactic": "Credential Access" }, { "id": "T1090", "name": "Proxy", "tactic": "Command and Control" }, { "id": "T1071", "name": "Application Layer Protocol", "tactic": "Command and Control" }, { "id": "T1021.001", "name": "Remote Services: Remote Desktop Protocol", "tactic": "Lateral Movement" }, { "id": "T1021.002", "name": "Remote Services: SMB/Windows Admin Shares", "tactic": "Lateral Movement" }, { "id": "T1021.003", "name": "Remote Services: Distributed Component Object Model", "tactic": "Lateral Movement" }, { "id": "T1047", "name": "Windows Management Instrumentation", "tactic": "Execution" }, { "id": "T1048", "name": "Exfiltration Over Alternative Protocol", "tactic": "Exfiltration" }, { "id": "T1560.001", "name": "Archive Collected Data: Archive via Utility", "tactic": "Collection" }, { "id": "T1567", "name": "Exfiltration Over Web Service", "tactic": "Exfiltration" }, { "id": "T1136", "name": "Create Account", "tactic": "Persistence" }, { "id": "T1543.003", "name": "Create or Modify System Process: Windows Service", "tactic": "Persistence" }, { "id": "T1486", "name": "Data Encrypted for Impact", "tactic": "Impact" }, { "id": "T1489", "name": "Service Stop", "tactic": "Impact" }, { "id": "T1490", "name": "Inhibit System Recovery", "tactic": "Impact" } ], "tools": [ { "name": "Sinobi ransomware (bin.exe)", "kind": "ransomware" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "WinSCP", "kind": "legit_tool" }, { "name": "AnyDesk", "kind": "legit_tool" }, { "name": "ProcDump", "kind": "legit_tool" } ], "cves": [ "CVE-2024-53704", "CVE-2024-40766" ], "related": [ { "actorSlug": "lynx", "relation": "predecessor", "confidence": "third_party", "sourceId": "s2" }, { "actorSlug": "inc-ransom", "relation": "predecessor", "confidence": "third_party", "sourceId": "s2" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "space-bears", "createdAt": "2026-10-13T03:57:47+00:00", "updatedAt": "2026-10-13T05:16:47+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/space%20bears", "title": "RansomLook: space bears", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:57:47+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.trendmicro.com/ja_jp/jp-security/24/f/expertview-20240617-01.html", "title": "事例にみる国内に被害をもたらす2大ランサムウェア攻撃者グループ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:16:47+00:00" }, { "id": "s3", "url": "https://www.sophos.com/en-us/blog/turning-the-screws-the-pressure-tactics-of-ransomware-gangs", "title": "Turning the screws: The pressure tactics of ransomware gangs", "publisher": "Sophos", "kind": "vendor", "retrievedAt": "2026-10-13T05:16:47+00:00" }, { "id": "s4", "url": "https://zensec.au/space-bears-ransomware/", "title": "Space Bears ransomware - Zensec AU", "publisher": "zensec.au", "kind": "news", "retrievedAt": "2026-10-13T05:16:47+00:00" }, { "id": "s5", "url": "https://solacecyber.co.uk/space-bears-ransomware/", "title": "Space Bears Ransomware Recovery | Solace Cyber", "publisher": "solacecyber.co.uk", "kind": "news", "retrievedAt": "2026-10-13T05:16:47+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:57:47+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 4 件で書き直し（自動）" } ], "name": "space bears", "aliases": [], "externalIds": { "ransomlook": "space bears" }, "type": "ransomware", "firstSeen": "2024-04-29", "status": { "value": "active", "since": "2024-04-29", "sourceId": "s1" }, "description": "Space Bears（スペース・ベアーズ）は2024年初頭に確認されたランサムウェア攻撃者グループです。RansomLookの記録では初出は2024年4月29日です。[s4][s5] 出典はいずれも、2024年初頭に現れた比較的新しいグループと位置付けています。[s4][s5] 名称の由来や運営形態（RaaSかどうか）に関する記述は出典にありません。出自は定かでなく、長く活動してきたサイバー犯罪ネットワークとの間でツール、ソフトウェア、手口に共通点があるとの分析が複数あり、経験豊富な犯罪者ネットワークとのつながりを示唆するとされています。[s4][s5] 組織的で統制の取れたグループで、大企業、重要インフラ、政府部門を主な標的にしているとされます。[s4][s5]\n\n手口は二重脅迫型です。ファイルを暗号化し、機密データを窃取したうえで、復旧のための支払いと、データの公開・ダークネット上のリークサイトへの掲載や販売の阻止という二つの目的で金銭を要求します。[s4][s5] 身代金は暗号資産での支払いを求めることが多いとされています。[s4][s5] 攻撃対象はWindowsとLinuxの両環境です。[s4][s5] 初期侵入の経路として、RDPの脆弱性、フィッシングメール、サプライチェーン（ソフトウェアサプライチェーン）の脆弱性が挙げられており、悪意あるダウンロードを挙げる出典もあります。[s4][s5] 侵入後はセキュリティ機能を無効化し、SQLデータベースを破壊し、重要データを暗号化するとされます。[s4][s5] 窃取したデータは第三者のインフラ経由で送り出し、追跡を難しくしているとされます。[s4] 支払いに応じない被害者にはDDoS攻撃を仕掛けた例も報告されており、圧力を重ねる手段になっています。[s4][s5] 脅迫の圧力手段としては、同業のリークサイトが被害組織を「無責任」「怠慢」と非難し、個人や取引先に訴訟や賠償請求を促す手法も他グループで広がっていると報告されています。ただしSophosの記事はSpace Bearsを名指ししていません。[s3] 初期侵入の経路や使用ツールについて、MITRE ATT&CKのIDやCVE番号を挙げた出典はありません。\n\n標的は特定の業種に限られず、製造、小売・Eコマース、専門サービス、ヘルスケア、テクノロジー、エネルギー・公益、運輸、金融、政府・防衛など広範にわたります。[s4] 国別でも米国、イタリア、ドイツ、ブラジル、スペイン、英国などに被害が分布しています。[s4] 日本の被害として、ホスピタリティ業の組織が2026年3月19日に掲載された例のほか、製造業の組織が2025年1月9日に、テクノロジー業の組織が2025年5月28日に掲載された例があります。[s4] いずれも組織名は出典に記載がありません。また、豪州の被害者としてITプロバイダの大手が挙げられ、Atosの専有データが露出したと伝えられています。[s4] 被害の対象には、財務文書、顧客データ、税務サービス、会計記録が含まれる例があります。[s4] 累計の被害件数について、ある出典は「74件」と記しています。[s5] 一方で、別の出典の被害一覧は2024年6月から2026年9月まで多数の掲載を並べており、掲載件数は大きく増えています。[s4] 出典間の数字は集計時点の違いによるものとみられます。身代金要求額は50万〜300万ポンドの範囲とする見方があります。[s5] 侵害から発覚まで通常2〜4週間かかるため、暗号化された時点ですでにデータは持ち出されている可能性が高いと指摘されています。[s5]\n\n動向として、グループは初出から2年以上たった2026年9月時点でも被害掲載が続いており、活動は継続中とみられます。[s4] 同じ出典は、速度と手口の複雑さから「深刻で進化する脅威」と評しています。[s4] 摘発、逮捕、改名、内紛、提携に関する記述は出典にありません。リークサイトの所在や連絡手段のハンドルも出典には示されていません。", "techniques": [], "tools": [], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2025, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "stormous", "createdAt": "2026-10-13T03:56:02+00:00", "updatedAt": "2026-10-13T05:17:18+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/stormous", "title": "RansomLook: stormous", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:56:02+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:17:18+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:17:18+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:17:18+00:00" }, { "id": "s5", "url": "https://www.sentinelone.com/cybersecurity-101/cybersecurity/ransomware-examples/", "title": "26 Ransomware Examples Explained in 2026", "publisher": "SentinelOne", "kind": "vendor", "retrievedAt": "2026-10-13T05:17:18+00:00" }, { "id": "s6", "url": "https://cybercentaurs.com/ghostsec-and-stormous-unveiling-the-new-era-of-cyber-threat-alliances/", "title": "GhostSec and Stormous – Unveiling the New Era of Cyber Threat Alliances", "publisher": "cybercentaurs.com", "kind": "news", "retrievedAt": "2026-10-13T05:17:18+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:56:02+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "stormous", "aliases": [], "externalIds": { "ransomlook": "stormous" }, "type": "ransomware", "origin": { "country": "アラビア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2022-04-12", "status": { "value": "active", "since": "2022-04-12", "sourceId": "s1" }, "description": "（1）正体と来歴\n\nStormous は、2021年から活動しているとされるランサムウェアグループで、Telegram と Tor ベースのウェブサイトで存在感を示してきた [s6]。出典はこのグループをアラビア語話者の主体と位置づけ、ロシアとウクライナの紛争ではロシア寄りの立場を表明していると述べる。この姿勢は、同じ考えを持つ支持者を集める狙いの可能性があるという [s6]。RansomLook は初出を 2022-04-12 と記録しており、連絡手段として Tox を挙げている。Tox の ID は C286720F7592E5668A932F1D06EDEECBAFACB3BE369632C908F9511D072C142575BA8109CBC60E67D9C77F417ABA9564B97C616A6ADAEDC2D3B2CD32B4868FD65E661F6C79311F5C9D908716 である。運営形態として RaaS かどうかを示す記述は、Stormous 単体については出典にない。\n\n（2）手口\n\n出典によれば、Stormous は GhostSec との共同攻撃で、Golang で書かれた GhostLocker ランサムウェアと二重脅迫の手法を併用した [s6]。二重脅迫とは、データを暗号化したうえで、身代金が支払われなければ公開すると脅す手口である [s6]。Cisco Talos の Chetan Raghuprasad による分析が、この提携の詳細を伝えている [s6]。GhostLocker は GhostSec が専用の Telegram チャンネルで RaaS として提供している [s6]。一般論として、二重脅迫では攻撃者が事前に標的の情報を窃取し、その項目や一部を自身のウェブサイトで暴露して交渉に持ち込む。交渉の成り行き次第で暴露内容が増え、被害が深刻化することもある [s4]。なお Stormous 自身の初期侵入経路や使用ツールについては、出典に具体的な記述がない。\n\n（3）標的と主な被害\n\n GhostSec との共同攻撃は 15 か国超に及んだと報じられている [s6]。標的とされた業種は、技術、教育、医療、政府機関である。これらはデジタルシステムへの依存度が高く、機微なデータを保有しているため、ランサムウェア攻撃で収益化しやすいと説明されている [s6]。一方で出典は、Stormous が多数の攻撃成功を主張しながら、侵入を裏づける具体的な証拠を示さないことが多く、すでに公開されている情報を共有するだけの場合もあると指摘する。このため同グループの実力には疑問が呈されている [s6]。日本の組織名や被害時期は、与えられた出典に記載がない。\n\n（4）動向\n\n Stormous は2022年半ばに活動が目立って減ったが、2023年には被害の主張と身代金要求を再び増やした [s6]。2023年には GhostSec と提携し、共同でランサムウェア攻撃を展開している [s6]。GhostSec はもともとテロ対策活動で知られ、Anonymous を出自とするグループである [s6]。GhostSec は現在イスラエルを標的としており、これは従来の活動からの転換だと出典は述べる [s6]。この提携は、Cisco Talos の分析に基づくものである [s6]。", "techniques": [], "tools": [ { "name": "GhostLocker", "kind": "ransomware" } ], "cves": [], "related": [], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "C286720F7592E5668A932F1D06EDEECBAFACB3BE369632C908F9511D072C142575BA8109CBC6\r\n0E67D9C77F417ABA9564B97C616A6ADAEDC2D3B2CD32B4868FD65E661F6C79311F5C9D908716" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 }, { "year": 2026, "claims": 2, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "tengu", "createdAt": "2026-10-13T03:55:32+00:00", "updatedAt": "2026-10-13T05:17:41+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/tengu", "title": "RansomLook: tengu", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:55:32+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:17:41+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:17:41+00:00" }, { "id": "s4", "url": "https://socradar.io/blog/dark-web-profile-tengu-ransomware-shisa/", "title": "Dark Web Profile: Tengu Ransomware (Shisa)", "publisher": "SOCRadar", "kind": "vendor", "retrievedAt": "2026-10-13T05:17:41+00:00" }, { "id": "s5", "url": "https://www.beforecrypt.com/en/the-emergence-of-the-tengu-ransomware/", "title": "The Emergence of the Tengu Ransomware", "publisher": "beforecrypt.com", "kind": "news", "retrievedAt": "2026-10-13T05:17:41+00:00" }, { "id": "s6", "url": "https://zensec.ae/tengu-ransomware/", "title": "Tengu Ransomware - Zensec AE", "publisher": "zensec.ae", "kind": "news", "retrievedAt": "2026-10-13T05:17:41+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:55:32+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "tengu", "aliases": [ { "name": "Shisa Ransomware", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "Shisa", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "tengu" }, "type": "ransomware", "firstSeen": "2025-10-10", "status": { "value": "rebranded", "since": "2025-10-10", "sourceId": "s1" }, "description": "Tengu(天狗)は、2025年10月に登場したランサムウェア・アズ・ア・サービス(RaaS)運営グループで、2026年3月に「Shisa Ransomware」へ改名した。名称は日本の神道・民間信仰の天狗に由来し、SOCRadarはその振る舞いを「自信に満ち、芝居がかっている」と評している[s4]。リークサイト(DLS)に最初の被害者を載せたのは2025年10月9日で[s4]、RansomLookの初出記録は同月10日である[s1]。アフィリエイトへの取り分は80対20でアフィリエイト側が多く、連絡には専用のTOX IDを使う。ビルドはWindows・Linux・ESXi向けで、サイズは約90〜100KBと報告されている[s4]。別の報告ではWindows向けで、拡張子は「.tengu」、脅迫文は「TENGU.README.txt」または「[random].README.txt」とされる[s5]。データを持たないアフィリエイトには返金可能な1,500ドルの保証金を求める。運営はこれを研究者や法執行機関を除くためのフィルターだと説明している。ロシアとCIS諸国への攻撃を禁じる規定もある[s4]。初期の標的が中東・北アフリカ中心だったことから、SOCRadarはメンバーの少なくとも1人が中東にいる可能性を指摘している[s4]。\n\n初期侵入は認証情報が中心で、公開されたRDPやSMBへのブルートフォースに、住宅用プロキシと商用VPSを組み合わせる。ブルートフォースが難しい場合は、スピアフィッシング、公開アプリケーションの悪用、過去の漏えいで得た認証情報の再利用に切り替える[s4]。MFAのないRDPやVPNの悪用も挙げられている[s5]。実行はpowershell.exe、cmd.exe、rundll32.exe、sc.exe、wevtutil.exe、vssadmin.exeなどの署名付き標準バイナリ(LOLBins)に頼る。LSASSメモリからの認証情報窃取を行い、未パッチのドメインコントローラーにZeroLogon(CVE-2020-1472)を使った事例が1件ある。横展開にはSMB経由のNetExecとRDPを使う[s4]。Windows Defenderは署名のない.NET実行ファイルで早期に無効化し、イベントログを消去し、暗号化の直前にシャドウコピーを削除する[s4]。永続化にはレジストリのRunキーとスケジュールタスクを使い、痕跡としてwraithnet_bot.exeやcontroller_gui.exeが報告されている[s5]。データ窃取には自作のStealTENGU(2026年2月22日に告知)とStealTG(同2月28日に告知)のほか、RcloneやWinSCPを使い、主な保管先はMEGA、副次的にSFTP、PixelDrain、StorJである。認定パートナーにはEDRキラーや独自のピボットツールも提供される[s4]。暗号化は、ファイルヘッダーだけを対象にする断続的暗号化である。2026年3月には、米国の被害者が22.9TBを14時間で暗号化されたと主張した[s4]。脅迫は暗号化とデータ公開の二重脅迫で、DLSの被害者ページには機密文書の画像と公開までのカウントダウンを載せ、交渉チャットのログも公開することがある[s4]。\n\n最初に載った6件の被害者は、カタール、モロッコ、UAE、スペイン、ブラジルの組織である[s4]。2026年1月26〜27日の48時間には9件を掲載し、被害地域は北米、インド、欧州、東南アジアなどに広がった[s4]。国別ではインドが約10.6%、米国とモロッコが各8.5%を占める。業種別では技術が約17%、製造が14.9%である。SOCRadarは、アフィリエイトが機会的にアクセスを得ていると見ている[s4]。個別の被害としては、Samson Equipmentの被害が2026年1月の事案として挙げられ[s4][s5]、2026年1月から2月にかけてタイの製造業Charoenchai Transformer Co., Ltdと、日本の寺院である成就院(Jouju-in)が被害者として掲載されたと主張された[s4]。IT・マネージドサービス事業者や専門サービス企業が被害に含まれるとの報告もある[s6]。\n\n2026年1月27日に新DLSの告知と旧DLSの閉鎖、TOX IDの変更があり、1月30日にはDLSの刷新のため完全にオフラインになった[s4]。2月には新DLSが稼働し、リーク保管用のファイルサーバーが別ドメインで用意され、バックアップ用のonionドメインが4つ作られた。4つとも語頭に「long」を含み、Torのバニティドメイン生成を使ったとみられる。このファイルサーバーは2月14日から稼働し、3月初旬時点で約450GB、被害者フォルダーは最大145GBに達した[s4]。3月10日にDLSが「Shisa Ransomware」へ正式に改名された。累計の被害者は約50件で、改装後のサイトには12件だけが残った[s4]。第三者の調査では、運用上のミスからTor隠しサービスの実IP、ブルートフォースに使われた52のIP、インドの住宅用プロキシ、ポーランドのMEVSPACE VPSが判明している[s4]。初期ドロッパーのハッシュは公開情報でSalatStealerと分類されたが、サンドボックスではランサムウェア的な挙動を示した[s4]。", "techniques": [], "tools": [ { "name": "Tengu ransomware", "kind": "ransomware" }, { "name": "StealTENGU", "kind": "malware" }, { "name": "StealTG", "kind": "malware" }, { "name": "EDR-killer", "kind": "malware" }, { "name": "wraithnet_bot.exe", "kind": "malware" }, { "name": "controller_gui.exe", "kind": "malware" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "WinSCP", "kind": "legit_tool" }, { "name": "NetExec", "kind": "legit_tool" }, { "name": "PowerShell", "kind": "legit_tool" }, { "name": "wevtutil", "kind": "legit_tool" }, { "name": "vssadmin", "kind": "legit_tool" }, { "name": "MEGA", "kind": "legit_tool" } ], "cves": [ "CVE-2020-1472" ], "related": [], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "the-gentlemen", "createdAt": "2026-10-13T03:55:24+00:00", "updatedAt": "2026-10-13T05:18:20+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/the%20gentlemen", "title": "RansomLook: the gentlemen", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:55:24+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:18:20+00:00" }, { "id": "s3", "url": "https://www.sophos.com/en-us/blog/ungentlemanly-behavior-insights-into-a-ransomware-operation", "title": "Ungentlemanly behavior: Insights into a ransomware operation", "publisher": "Sophos", "kind": "vendor", "retrievedAt": "2026-10-13T05:18:20+00:00" }, { "id": "s4", "url": "https://www.microsoft.com/en-us/security/blog/2026/05/28/the-gentlemen-ransomware-dissecting-a-self-propagating-go-encryptor/", "title": "The Gentlemen ransomware: Dissecting a self-propagating Go encryptor", "publisher": "Microsoft", "kind": "vendor", "retrievedAt": "2026-10-13T05:18:20+00:00" }, { "id": "s5", "url": "https://unit42.paloaltonetworks.com/the-gentlemen-ransomware/", "title": "No Manners Here: The Ruthless Rise of The Gentlemen Ransomware", "publisher": "Palo Alto Networks Unit 42", "kind": "vendor", "retrievedAt": "2026-10-13T05:18:20+00:00" }, { "id": "s6", "url": "https://www.halcyon.ai/ransomware-research-reports/threat-assessment-the-gentlemen-ransomware-group", "title": "The Gentlemen Ransomware Group Is Scaling Faster Than Any Other Group on Record", "publisher": "halcyon.ai", "kind": "news", "retrievedAt": "2026-10-13T05:18:20+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:55:24+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "The Gentlemen", "aliases": [ { "name": "Storm-2697", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" }, { "name": "GOLD SHERWOOD", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "mispUuid": "1c047671-227b-466f-9929-37df40abd485", "ransomlook": "the gentlemen" }, "type": "ransomware", "firstSeen": "2025-09-09", "status": { "value": "active", "since": "2025-09-09", "sourceId": "s1" }, "description": "The Gentlemen は、Microsoft が Storm-2697、Sophos CTU が GOLD SHERWOOD として追跡する RaaS（Ransomware-as-a-Service）運営グループです[s3][s4]。2025年半ばごろに登場し、当初はクローズドなランサムウェアグループでしたが、2025年9月にアフィリエイト募集を始めました[s4]。Sophos によれば、同月に被害組織名を掲載する専用リークサイトが開設され、RAMP フォーラムには身代金の 90/10 配分をうたう募集広告が出ました[s3]。Unit 42 は、運営者（約20人とされる）が9月ごろ非公開の組織から RaaS 型へ移行したとし、一般的な 70〜80% に対し 90% という配分は異例だと指摘しています[s5]。同社は、運営者が Qilin の RaaS でアフィリエイト（ArmCorp）として活動していた可能性にも言及しています[s5]。RansomLook の記録では初出は 2025-09-09、連絡手段は tox で、ハンドルは F8E24C7F5B12CD69C44C73F438F65E9BF560ADF35EBBDF92CF9A9B84079F8F04060FF98D098E です。\n\n初期侵入は、ファイアウォールや VPN など境界機器の脆弱性の悪用、ブルートフォース、漏えい・窃取された認証情報、初期アクセスブローカーとの連携と、多岐にわたります[s5]。Group-IB は、FortiGate の管理インターフェースを狙う CVE-2024-55591 の偵察を報告し、流出したチャットログからは各種 VPN で窃取認証情報を試す様子が確認されたとされています[s3]。Sophos が調べた2月の事案では、MFA 未導入の Fortinet SSL VPN に正規の認証情報でログインし、RDP で複数の内部システムへ横展開しました[s3]。ツールは C:\\PerfLogs に配置され、探索には Advanced IP Scanner や SoftPerfect Network Scanner、データ持ち出しには Rclone（5件で確認）、Restic、MinIO Client、MEGAsync、FileZilla が使われました[s3][s5]。永続化には Cloudflared のサービス化、Datto RMM、RDP の有効化と 3389 ポートの開放が観測されています[s3]。防御回避では BYOVD 方式の EDR キラーを使い、ESET が GentleKiller と呼ぶ独自ツール群をアフィリエイトに提供しているとされます[s3]。ランサムウェア本体は Go 製で Garble により難読化され、ファイルごとに Curve25519 の一時鍵と XChaCha20 を使います[s4]。さらに複数の横展開手段で自己増殖し、Defender の無効化、シャドウコピーとイベントログの削除も行います[s4]。Unit 42 は C 言語版も存在すると述べ、ESXi を含む仮想基盤への展開に触れています[s5]。脅迫は暗号化に加え、窃取情報の公開を示唆する二重脅迫です[s3][s4]。\n\n被害は特定業種に偏らず、アクセスが得られた組織を狙う日和見的な傾向だと Sophos は評価しています[s3]。Microsoft は教育、運輸、医療、金融で、北米、南米、欧州、アフリカ、アジアに及ぶ被害を確認しています[s4]。ransomware.live の集計では、7月7日までに77か国で580件が主張され、うち製造業が103件でした[s5]。Sophos の集計では、2026年7月末までにリークサイトへ683件が掲載されました[s3]。\n\n投稿数は2025年末までは月20件未満でしたが、2026年初頭に月75件超へ増え、7月だけで169件に達しました[s3]。Unit 42 によると、2026年上半期の主張件数は2025年後半の6倍強で、2026年6月の117件が当時の最多です[s5]。同社は、2026年の被害件数で第2位の RaaS だと位置づけています[s5]。2026年5月には BreachForums と提携し、ペネトレーションテスターや初期アクセスブローカーを募ると発表しました[s4][s5]。同月には内部データベースが内部関係者とされる人物によって流出しています[s5]。Unit 42 は、カスタム Go 製バックドア、GentleKiller、未特定のゼロデイ悪用の疑いも挙げています[s5]。", "techniques": [], "tools": [ { "name": "The Gentlemen ransomware", "kind": "ransomware" }, { "name": "GentleKiller", "kind": "malware" }, { "name": "Havoc", "kind": "malware" }, { "name": "Xkpsm-Killer", "kind": "malware" }, { "name": "SystemBC", "kind": "malware" }, { "name": "Go-based custom backdoor", "kind": "malware" }, { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "Restic", "kind": "legit_tool" }, { "name": "MinIO Client", "kind": "legit_tool" }, { "name": "MEGAsync", "kind": "legit_tool" }, { "name": "FileZilla", "kind": "legit_tool" }, { "name": "Advanced IP Scanner", "kind": "legit_tool" }, { "name": "SoftPerfect Network Scanner", "kind": "legit_tool" }, { "name": "Cloudflared", "kind": "legit_tool" }, { "name": "Datto RMM", "kind": "legit_tool" } ], "cves": [ "CVE-2024-55591", "CVE-2025-32433", "CVE-2025-33073", "CVE-2025-55182", "CVE-2025-7771" ], "related": [ { "actorSlug": "qilin", "relation": "affiliate", "confidence": "third_party", "sourceId": "s2" } ], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "F8E24C7F5B12CD69C44C73F438F65E9BF560ADF35EBBDF92CF9A9B84079F8F04060FF98D098E" }, { "channel": "other", "value": "hxxps://www.trendmicro[.]com/en_us/research/25/i/unmasking-the-gentlemen-ransomware.html" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 16, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "vexy", "createdAt": "2026-10-13T04:01:47+00:00", "updatedAt": "2026-10-13T05:18:53+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/vexy", "title": "RansomLook: vexy", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T04:01:47+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:18:53+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:18:53+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T04:01:47+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 2 件で書き直し（自動）" } ], "name": "vexy", "aliases": [], "externalIds": { "ransomlook": "vexy" }, "type": "unknown", "firstSeen": "2026-09-03", "status": { "value": "unknown", "since": "2026-09-03", "sourceId": "s1" }, "description": "vexy という名称の攻撃グループについて、与えられた出典にはこのグループ自体を扱った記述がない。出典 [s2][s3] はいずれもランサムウェア一般の解説であり、vexy に固有の来歴、手口、標的、動向は記されていない。\n\nRansomLook の記録では、vexy の初出は 2026-09-03 で、連絡手段は tox である。連絡先ハンドルは tox: C32355C829A3CC4B320D4E78634FB4113B4B2918B383BB7AEAA48BDAAA4A0146E99B45A2A4C9 と記録されている。\n\n一般的な背景として、警察庁はランサムウェアを、データを暗号化して使用できない状態にしたうえで復号の対価（金銭又は暗号資産）を要求する不正プログラムと説明している [s2]。暗号化を行わずにデータを窃取して対価を要求する「ノーウェアランサム」の被害も確認されている [s2]。ランサムウェアの開発・運営グループが攻撃実行者に環境を提供し、身代金の一部を受け取る RaaS も多数確認されている [s2]。\n\nトレンドマイクロは、暴露による二重脅迫を意図した攻撃では、攻撃者が事前に標的組織の情報を窃取し、その項目や一部を自身の Web サイト上に暴露して交渉に持ち込むと説明している [s3]。交渉の成り行き次第で暴露内容が増え、漏えい被害が深刻化する場合があるとも述べている [s3]。\n\n日本国内の被害については、国内組織がランサムウェア被害を公表した件数は 2021 年以降急増し、2024 年には 80 件以上に達したとされる [s3]。トレンドマイクロはまた、2022 年以降に登場した新興ファミリーが 2024 年下半期から急速に拡大したと指摘している [s3]。", "techniques": [], "tools": [], "cves": [], "related": [], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "C32355C829A3CC4B320D4E78634FB4113B4B2918B383BB7AEAA48BDAAA4A0146E99B45A2A4C9" } ], "derived": { "japanActivity": [ { "year": 2026, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "walocker", "createdAt": "2026-10-13T03:58:58+00:00", "updatedAt": "2026-10-13T05:19:09+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/walocker", "title": "RansomLook: walocker", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:58:58+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:19:09+00:00" }, { "id": "s3", "url": "https://www.dragos.com/blog/dragos-industrial-ransomware-analysis-q3-2025", "title": "Dragos Industrial Ransomware Analysis: Q3 2025", "publisher": "dragos.com", "kind": "news", "retrievedAt": "2026-10-13T05:19:09+00:00" }, { "id": "s4", "url": "https://redpiranha.net/news/threat-intelligence-report-august-5-august-11-2025", "title": "Threat Intelligence Report August 5th to August 11th, 2025", "publisher": "redpiranha.net", "kind": "news", "retrievedAt": "2026-10-13T05:19:09+00:00" }, { "id": "s5", "url": "https://www.legal-isac.org/ransomware/", "title": "RansomWatch - Real-Time Ransomware Tracking Dashboard | Legal-ISAC", "publisher": "legal-isac.org", "kind": "news", "retrievedAt": "2026-10-13T05:19:09+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:58:58+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 4 件で書き直し（自動）" } ], "name": "walocker", "aliases": [], "externalIds": { "ransomlook": "walocker" }, "type": "ransomware", "firstSeen": "2025-06-10", "status": { "value": "active", "since": "2025-06-10", "sourceId": "s1" }, "description": "WALocker（Walocker）は、ランサムウェア監視サイト RansomLook に2025年6月10日が初出として記録されたグループである[s1]。Dragos は2025年第3四半期（7〜9月）の産業分野向けランサムウェア分析で、同期に新たに確認された、または改名した運営の一つとして、Sinobi、Gentlemen、Beast、PEAR、BlackNevas などと並べて WALocker を挙げた[s3]。Dragos は、こうした新興運営が次々に現れる背景を次のように説明している。流出したビルダー、使い回されたインフラ、摘発されたプログラムからのアフィリエイトの移動によって、最小限の負担で短命な運営者が成立する。さらに AI 支援ツールの普及で、技術力の低い攻撃者でもペイロードを組み立てやすくなった[s3]。\n\n手口について、Dragos は第3四半期の新興グループ全般を次のように分析している。侵害された認証情報、初期アクセスブローカー（IAB）から購入したアクセス、汎用のフィッシングキット、公開された RDP や VPN サービスといった既知の侵入経路を使う。これに、データ窃取を先行させる速い恐喝手法を組み合わせる[s3]。同じ分析では、これらの新興グループのいずれも ICS 固有の能力は示していないとされる[s3]。なお、Trend Micro は暴露による二重脅迫の一般的な流れを次のように説明している。攻撃者は事前に標的組織の情報を窃取し、その項目や一部を自身の Web サイト上に暴露して交渉に持ち込む。交渉の成り行きによっては暴露内容が増え、漏えい被害が深刻化する場合がある[s2]。\n\n標的と被害については、Red Piranha の2025年8月5日〜11日の週次集計が参考になる。この週に観測されたランサムウェア被害の報告のうち、Walocker は8.27％を占めた。Qilin と Pear（各13.53％）、Black Nevas（11.28％）に次ぐ順位である[s4]。Dragos は、第3四半期の新興グループが産業組織に明確な焦点を当てていたと指摘する。標的は、生産、物流、エンジニアリングの業務を支える IT システムだった[s3]。同四半期に Dragos が確認した産業分野のランサムウェア被害では、製造業が72％を占め、地域別では北米、欧州、アジアの順に多かった[s3]。\n\n動向としては、Dragos が第3四半期に、新たに確認された、または改名したランサムウェア運営が産業組織に影響を与える事例が急増したと観測している[s3]。この中に WALocker も含まれる[s3]。Red Piranha は、Walocker の週次の占有率について、持続的な存在感と被害組織の業務を妨害し続ける能力を示すものだと評している[s4]。Dragos は、新興や小規模のグループでも、迅速な侵入と単純だが効果的な手口によって生産を支える業務システムに影響を与え得るため、リスクは支配的な大手グループだけに由来するわけではないとしている[s3]。", "techniques": [], "tools": [], "cves": [], "related": [], "derived": { "japanActivity": [ { "year": 2025, "claims": 1, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "warlock", "createdAt": "2026-10-13T03:55:12+00:00", "updatedAt": "2026-10-13T05:19:41+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/warlock", "title": "RansomLook: warlock", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:55:12+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:19:41+00:00" }, { "id": "s3", "url": "https://www.ipa.go.jp/security/anshin/measures/ransom_tokusetsu.html", "title": "ランサムウェア対策特設ページ | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構", "publisher": "IPA", "kind": "gov", "retrievedAt": "2026-10-13T05:19:41+00:00" }, { "id": "s4", "url": "https://www.trendmicro.com/en_us/research/25/h/warlock-ransomware.html", "title": "Warlock: From SharePoint Vulnerability Exploit to Enterprise Ransomware", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:19:41+00:00" }, { "id": "s5", "url": "https://www.trendmicro.com/en_us/research/26/c/dissecting-a-warlock-attack.html", "title": "Web Shells, Tunnels, and Ransomware: Dissecting a Warlock Attack", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:19:41+00:00" }, { "id": "s6", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:19:41+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:55:12+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "warlock", "aliases": [], "externalIds": { "ransomlook": "warlock" }, "type": "ransomware", "origin": { "country": "ロシア語圏", "confidence": "third_party", "sourceId": "s2" }, "firstSeen": "2025-06-10", "status": { "value": "active", "since": "2025-06-10", "sourceId": "s1" }, "description": "Warlockの正体と来歴\n2025年6月初旬、Warlockはロシア語圏のRAMPフォーラムに登場し、アフィリエイト向けに「If you want a Lamborghini, please contact me.」という宣伝文句を掲げた[s4]。RansomLookの記録でも初出は2025年6月10日で、連絡手段はToxとされている[s1]。Toxのハンドルは hxxp 形式ではなくIDとして F79A71AD8BB2E3E7EDFC38970FDC05E922E429B5DFC325C7D0E91F216DE8F3537C1A1C97F1973DCE1C43491FC92EA7010322040B254FDD2731001C2DDC2B9E819F0C946BDC3CD251FA3B694A84490152E99B9EC4BCFE16080AFCFD6FDCD87512027E と記録されている[s1]。アフィリエイトを募った点から、RaaS型の運営がうかがえる[s4]。RaaSとは、開発・運営側が攻撃実行者にランサムウェアやリークサイトなどの環境を提供し、見返りに身代金の一部を受け取る仕組みである[s2]。Trend Microは、Black Bastaとの関係が確認されたわけではないものの、手口・交渉スタイル・標的の類似から、分派または改名の可能性を指摘している。Black Bastaは2025年初めに被害公表を止めたグループである[s4]。\n\n手口\n初期侵入では、インターネットに公開されたオンプレミスのMicrosoft SharePointサーバの脆弱性を悪用した。細工したHTTP POSTでWebシェルを設置し、偵察と認証情報の窃取につなげている[s4]。同じ脆弱性はLinen TyphoonやViolet Typhoonも悪用していた[s4]。2026年のTrend Microの報告でも、SharePointの脆弱性は今も侵入経路の一つとされ、攻撃は休暇期間に合わせて行われたように見えるという[s5]。\n\n侵入後は、新規GPOの作成による権限昇格、guestアカウントの有効化と管理者グループへの追加、nltestによるドメイン信頼関係の列挙を行った[s4]。cmd.exeとバッチファイルでランサムウェア本体を配布し、Trend Microの製品プロセスを強制終了している[s4]。vmtools.exeは暗号化されたドライバをgoogleApiUtil64.sysとして書き出してサービス登録し、セキュリティ製品のプロセスを2秒ごとに10分間終了させ続ける[s4]。別の事案では、TrendSecurity.exeに改名したローダが脆弱なドライバNSecKrnl.sysを悪用するBYOVDで、CrowdStrike、Microsoft、Symantec、Trendなどの30超のプロセスを終了させ、GPO配布で環境全体のセキュリティ製品を無効化した[s5]。NSec-KillerはGitHubで公開されているが、攻撃者は実装を改変していた[s5]。\n\n認証情報の窃取にはMimikatz、レジストリハイブのダンプ、DCSync攻撃が使われた[s5]。DCSyncでは debug.exe がMS-DRSR経由でドメインコントローラを装い、認証情報を取得した。ドメイン管理者権限も奪取している[s5]。横展開にはPsExec、TightVNC、PowerShell Remoting、RDP Patcherが使われた[s5]。C&CはVelociraptor（0.73.4）を主に用い、MSIはSupabaseのストレージで配布された[s5]。これは hxxps://vdfccjpnedujhrzscjtq[.]supabase[.]co/storage/v1/object/public/image/v4[.]msi である[s5]。VelociraptorはVS Codeをダウンロードし、catboxからメモリ上に.NETペイロード（wssocks.exe）を読み込んで実行した[s5]。VS CodeのトンネルやCloudflare Tunnelも併用され、cloudflaredはGitHubから取得して macfee_agent.exe に改名された[s4][s5]。さらにYuzeによるリバースSOCKS5トンネルを使い、C&Cの198[.]13[.]158[.]193へ80・443・53番ポートで順に接続を試みた[s5]。このIPはVPS事業者blnwx[.]comに登録されており、他の主要ランサムウェアグループも二次段階で同じ基盤を使っているとの報告がある[s5]。Cobalt Strikeビーコンは、MsMpSrv.exe（cookie_exporter.exe）によるDLLサイドローディングで読み込まれ、C&Cは code[.]translatevv[.]com だった[s5]。\n\n暗号化と流出では、ファイルに.x2anylock拡張子を付け、データの持ち出しにはRCloneを使う[s4]。2025年のTrend Microの報告では、rclone.exeがTrendSecurity.exeに改名されていた[s5]。\n\n標的と主な被害\n2025年6月初旬の登場から数日で少なくとも16件の攻撃を主張し、その約半数はポルトガル、クロアチア、トルコなどの政府機関だった。ほかに金融サービスや製造業の組織も含まれる[s4]。2025年半ばまでのリークサイトのデータでは、被害は北米、欧州、アジア、アフリカに及び、技術系から重要インフラまで業種は幅広い[s4]。日本の組織名や被害時期は、今回の出典には含まれていない。\n\n動向\n登場からほどなくして、SharePointの脆弱性ToolShellを悪用するキャンペーンで注目を集めた[s4]。2026年の報告では、この脆弱性の悪用が続いている[s5]。C&C基盤はVelociraptorからVS CodeやCloudflare Tunnelへ広がり、Yuzeも新たに加わるなど、正規ツールの悪用が目立つ[s5]。", "techniques": [], "tools": [ { "name": "Warlock", "kind": "ransomware" }, { "name": "Cobalt Strike", "kind": "malware" }, { "name": "Mimikatz", "kind": "malware" }, { "name": "KILLLAV (vmtools.exe)", "kind": "malware" }, { "name": "NSecKrnl.sys / NSec-Killer", "kind": "malware" }, { "name": "EndProcess.exe", "kind": "malware" }, { "name": "wssocks.exe", "kind": "malware" }, { "name": "Yuze", "kind": "malware" }, { "name": "RClone", "kind": "legit_tool" }, { "name": "Velociraptor", "kind": "legit_tool" }, { "name": "cloudflared", "kind": "legit_tool" }, { "name": "VS Code CLI", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "TightVNC", "kind": "legit_tool" }, { "name": "nltest", "kind": "legit_tool" } ], "cves": [], "related": [], "contactChannels": [ "tox" ], "contactHandles": [ { "channel": "tox", "value": "F79A71AD8BB2E3E7EDFC38970FDC05E922E429B5DFC325C7D0E91F216DE8F3537C1A1C97F197\r\n3DCE1C43491FC92EA7010322040B254FDD2731001C2DDC2B9E819F0C946BDC3CD251FA3B694A\r\n84490152E99B9EC4BCFE16080AFCFD6FDCD87512027E" } ], "derived": { "japanActivity": [ { "year": 2025, "claims": 4, "incidents": 0 } ], "advisorySlugs": [] } }, { "slug": "waterplum", "createdAt": "2026-10-12T22:00:00+09:00", "updatedAt": "2026-10-12T22:00:00+09:00", "sources": [ { "id": "s1", "url": "https://www.npa.go.jp/bureau/cyber/koho/caution/caution20260918.html", "title": "北朝鮮サイバー攻撃グループ「WaterPlum」(ウォータープラム)及び北朝鮮IT労働者に関する我が国、米国、豪州及びドイツによるパブリック・アトリビューションについて", "publisher": "警察庁・国家サイバー統括室", "kind": "gov", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "政府標準利用規約" }, { "id": "s2", "url": "https://github.com/MISP/misp-galaxy/blob/main/clusters/threat-actor.json", "title": "MISP Galaxy threat-actor cluster (version 352)", "publisher": "MISP Project", "kind": "dataset", "retrievedAt": "2026-10-12T22:00:00+09:00", "license": "CC0" } ], "reviewedBy": "human", "reviewedAt": "2026-10-12T22:00:00+09:00", "name": "WaterPlum", "aliases": [ { "name": "WaterPlum（ウォータープラム）", "namedBy": "警察庁", "relation": "same_as", "sourceId": "s1" }, { "name": "Famous Chollima", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "UNC5267", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "WageMole", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Nickel Tapestry", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Storm-1877", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Void Dokkaebi", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "PurpleBravo", "namedBy": "MISP Galaxy", "relation": "candidate", "sourceId": "s2" }, { "name": "Contagious Interview", "namedBy": "警察庁（関連名称）", "relation": "candidate", "sourceId": "s1" } ], "externalIds": { "mispUuid": "09aa3edb-e956-43f0-9fcb-a3154b47d202" }, "type": "state_sponsored", "origin": { "country": "北朝鮮", "sponsor": "北朝鮮のサイバー攻撃グループとされる", "confidence": "third_party", "sourceId": "s1" }, "status": { "value": "active", "since": "2026-09-18", "sourceId": "s1" }, "description": "北朝鮮のサイバー攻撃グループ。2026年9月18日、日本（警察庁・国家サイバー統括室）、米国、豪州、ドイツがパブリック・アトリビューションを行い、IT 技術者を標的としたサイバー攻撃の手口と、北朝鮮 IT 労働者による外貨獲得活動・採用応募活動の実態を公表した。注意喚起では関連名称として Contagious Interview を挙げ、標的は IT 技術者と民間事業者とされる。情報は民間事業者からの提供と、警察庁関東管区警察局サイバー特別捜査部・都道府県警察の捜査・分析による。MISP Galaxy では WageMole クラスタの別名として WaterPlum が登録され、Famous Chollima、UNC5267 などが同じクラスタの別名に含まれるが、これらの同一性は当サイトでは未確認のため候補として扱う。MITRE ATT&CK に対応するグループ ID は確認できていない。", "techniques": [], "tools": [], "cves": [], "related": [], "derived": { "japanActivity": [], "advisorySlugs": [ "npa-20260918-waterplum" ] } }, { "slug": "worldleaks", "createdAt": "2026-10-13T03:59:08+00:00", "updatedAt": "2026-10-13T05:20:13+00:00", "sources": [ { "id": "s1", "url": "https://www.ransomlook.io/group/worldleaks", "title": "RansomLook: worldleaks", "publisher": "RansomLook", "kind": "tracker", "retrievedAt": "2026-10-13T03:59:08+00:00", "license": "CC BY 4.0", "termsUrl": "https://creativecommons.org/licenses/by/4.0/" }, { "id": "s2", "url": "https://www.npa.go.jp/bureau/cyber/countermeasures/ransom.html", "title": "ランサムウェア被害防止対策｜警察庁Webサイト", "publisher": "警察庁", "kind": "gov", "retrievedAt": "2026-10-13T05:20:13+00:00" }, { "id": "s3", "url": "https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/ransomware.html", "title": "ランサムウェアとは？攻撃手法や感染状況を図解と動画で解説｜トレンドマイクロ", "publisher": "Trend Micro", "kind": "vendor", "retrievedAt": "2026-10-13T05:20:13+00:00" }, { "id": "s4", "url": "https://www.darktrace.com/blog/when-reality-diverges-from-the-playbook-darktrace-identifies-encryption-in-a-world-leaks-ransomware-attack", "title": "Darktrace Identifies Encryption in a World Leaks Ransomware Attack", "publisher": "Darktrace", "kind": "vendor", "retrievedAt": "2026-10-13T05:20:13+00:00" }, { "id": "s5", "url": "https://www.halcyon.ai/threat-group/worldleaks", "title": "World Leaks", "publisher": "halcyon.ai", "kind": "news", "retrievedAt": "2026-10-13T05:20:13+00:00" }, { "id": "s6", "url": "https://zensec.ae/worldleaks-ransomware/", "title": "Worldleaks Ransomware - Zensec AE", "publisher": "zensec.ae", "kind": "news", "retrievedAt": "2026-10-13T05:20:13+00:00" } ], "reviewedBy": "bot", "reviewedAt": "2026-10-13T03:59:08+00:00", "changelog": [ { "date": "2026-10-13", "kind": "update", "text": "解説を出典 5 件で書き直し（自動）" } ], "name": "worldleaks", "aliases": [ { "name": "World Leaks", "namedBy": "ベンダー・報道", "relation": "candidate", "sourceId": "s2" } ], "externalIds": { "ransomlook": "worldleaks" }, "type": "ransomware", "firstSeen": "2025-05-12", "status": { "value": "active", "since": "2025-05-12", "sourceId": "s1" }, "description": "WorldLeaks（World Leaks）は、データ窃取と暴露を主な圧力手段とする恐喝型のグループである。\n\n(1) 正体と来歴\nDarktraceは、World Leaksが2024年初めにHunters Internationalの直接のリブランドとして現れたと説明する一方、同じ記事の別の箇所では、Hunters Internationalが2025年半ばに法執行機関の注目と収益性の低下を受けて恐喝のみのモデルへ移行し、World Leaksに改名したとも述べている。時期の記述が記事内で食い違っており、両論を併記する[s4]。Hunters Internationalは暗号化と復号鍵の身代金要求で知られていた[s4]。トレンドマイクロは、Hunters Internationalが2023年に法執行機関によって解体されたHIVEとの関連を指摘されていると記している[s3]。Darktraceは、World Leaksの既知の関連としてHive、Secp0、UNC6148を挙げている[s4]。RansomLookの記録では、初出は2025年5月12日である[s1]。一方、Zensecは、Hunters Internationalなど他の恐喝系グループとの関連を示す報告があるものの、帰属は限定的で、WorldLeaksは独立したグループのように見えると述べ、活動は2023年から2025年にかけて報告され、2026年も続いている兆候があるとしている[s6]。\n\n運営形態について、DarktraceはアフィリエイトベースのExtortion-as-a-Service（EaaS）と位置づけ、アフィリエイトに独自のStorage Software型の窃取ツールを提供していると説明する[s4]。インフラは4つのプラットフォームからなる。ダークウェブ上のメインのリークサイト、ライブチャット付きの被害者交渉ポータル、アフィリエイト管理パネル、公開前の窃取データに報道機関が24時間早くアクセスできるインサイダー・ジャーナリスト用プラットフォームである[s4][s5]。メインのリークサイトには被害組織がカウントダウンタイマー付きで表示される[s5]。\n\n(2) 手口\n典型的な攻撃は、MFAのない正規アカウントの悪用を中心に、偵察、横展開、データ窃取と進み、暗号化を伴わない[s4]。初期侵入では、MFAのないVPN認証情報の悪用が最も多く観測された経路とされる[s5]。インターネットに公開されたVPN、RDP、公開アプリケーションの狙い撃ちやフィッシングも使われる[s4][s5]。UNC6148のキャンペーンでは、SonicWall SMA 100の悪用でOVERSTEPルートキットが設置され、CVE-2024-38475、CVE-2021-20038、CVE-2021-20035が関連づけられている[s5]。OVERSTEPはログの削除・改変や /etc/ld.so.preload の変更による永続化を行う[s5]。\n\n横展開にはSMB、RDP、SSHに加え、PsExecとRcloneが使われる[s4]。認証情報の窃取にはMimikatzとLSASSへのアクセスが挙げられている[s5]。窃取は、TOR経由の独自ストレージソフトで行われるほか、MEGAなどのクラウドストレージや、確立済みのC2経路を通じた直接転送でも行われる[s4][s5]。C2通信にはSOCKSv5プロキシとTORが使われる[s4][s5]。\n\n交渉は、TOR上の非公開ポータルで進められる。ポータルには企業の財務情報、閲覧可能なファイルエクスプローラ、新規生成アドレス付きのBitcoin支払いタブが表示される[s5]。暗号化の放棄を標榜しているが、Darktraceは2026年1月にヘルスケア組織でWorld Leaksに関連する暗号化を伴う事案を検知した[s4][s5]。この事案では、2025年10月ごろにFortigate機器経由で侵入された可能性が高く、約3か月の潜伏期間があった[s4]。Cloudflare Tunnelによる通信（region1.v2.argotunnel[.]comなど）、Chrome Remote Desktop、SSH接続先51.15.109[.]222、C2に関連するとされるIP 193.161.193[.]99、MEGAおよびBackblazeへの80GB超の転送、Rclone（rclone/v1.69.0）が観測された。暗号化されたファイルには9文字のランダムな拡張子が付き、同じ文字列を冠したREADME.txtの脅迫文が置かれ、world.exeとtask.batも確認された[s4]。\n\n(3) 標的と被害\nDarktraceは、製造業、ヘルスケア、テクノロジー企業、知的財産の価値が高い業種が標的になっていると述べる[s4]。被害は複数の国に及び、多くは米国で、カナダや欧州の複数の国にも広がる[s4]。Zensecは、製造、教育、エネルギー、専門サービスなどの組織に対する犯行主張があったと記している[s6]。Darktraceは、World Leaksが世界中の数十組織から盗んだデータをリークサイトで公開したとしている[s4]。出典には日本の被害組織名や時期の記載はない。\n\n(4) 動向\nHunters Internationalからの改名にあたり、暗号化を伴う二重脅迫から恐喝のみのモデルに移行した[s4]。2025年1月以降の活動はこの暗号化廃止への転換だとする報告もある[s4]。一方、2026年1月の事案のように暗号化の併用も確認されており、モデルは一貫していない[s4][s5]。Zensecは、2026年も活動が続いている兆候があるとしている[s6]。", "techniques": [ { "id": "T1078", "name": "Valid Accounts", "tactic": "Initial Access" }, { "id": "T1133", "name": "External Remote Services", "tactic": "Initial Access" }, { "id": "T1190", "name": "Exploit Public-Facing Application", "tactic": "Initial Access" }, { "id": "T1566", "name": "Phishing", "tactic": "Initial Access" }, { "id": "T1082", "name": "System Information Discovery", "tactic": "Discovery" }, { "id": "T1083", "name": "File and Directory Discovery", "tactic": "Discovery" }, { "id": "T1135", "name": "Network Share Discovery", "tactic": "Discovery" }, { "id": "T1027", "name": "Obfuscated Files or Information", "tactic": "Defense Evasion" }, { "id": "T1070", "name": "Indicator Removal on Host", "tactic": "Defense Evasion" }, { "id": "T1562", "name": "Impair Defenses", "tactic": "Defense Evasion" }, { "id": "T1003", "name": "OS Credential Dumping", "tactic": "Credential Access" }, { "id": "T1555", "name": "Credentials from Password Stores", "tactic": "Credential Access" }, { "id": "T1090", "name": "Proxy", "tactic": "Command and Control" }, { "id": "T1071", "name": "Application Layer Protocol", "tactic": "Command and Control" }, { "id": "T1573", "name": "Encrypted Channel", "tactic": "Command and Control" }, { "id": "T1021", "name": "Remote Services", "tactic": "Lateral Movement" }, { "id": "T1570", "name": "Lateral Tool Transfer", "tactic": "Lateral Movement" }, { "id": "T1048", "name": "Exfiltration Over Alternative Protocol", "tactic": "Exfiltration" }, { "id": "T1567", "name": "Exfiltration Over Web Service", "tactic": "Exfiltration" }, { "id": "T1041", "name": "Exfiltration Over C2 Channel", "tactic": "Exfiltration" }, { "id": "T1560", "name": "Archive Collected Data", "tactic": "Collection" }, { "id": "T1053", "name": "Scheduled Task/Job", "tactic": "Persistence" }, { "id": "T1098", "name": "Account Manipulation", "tactic": "Persistence" }, { "id": "T1657", "name": "Financial Theft", "tactic": "Impact" }, { "id": "T1491", "name": "Defacement", "tactic": "Impact" } ], "tools": [ { "name": "OVERSTEP rootkit", "kind": "malware" }, { "name": "Mimikatz", "kind": "legit_tool" }, { "name": "PsExec", "kind": "legit_tool" }, { "name": "Rclone", "kind": "legit_tool" }, { "name": "MEGA", "kind": "legit_tool" }, { "name": "Cloudflare Tunnel", "kind": "legit_tool" }, { "name": "Chrome Remote Desktop", "kind": "legit_tool" }, { "name": "Storage Software（独自の窃取ツール）", "kind": "malware" }, { "name": "world.exe", "kind": "ransomware" } ], "cves": [ "CVE-2024-38475", "CVE-2021-20038", "CVE-2021-20035" ], "related": [], "derived": { "japanActivity": [ { "year": 2025, "claims": 3, "incidents": 0 } ], "advisorySlugs": [] } } ] }