使用ツール一覧

3AM は Rust で書かれた 64 ビットのランサムウェアであり、Symantec が命名した新種とされる [s2][s3]。名称は脅迫文中の「3AM」の記載と、暗号化ファイルに付く拡張子 .threeamtime に由来する [s3]。LockBit の展開に失敗した攻撃者が代替として投入した事例で発見され、3 台に展開されたが 2 台では阻止された [s3]。実行時にセキュリティやバックアップ関連サービスの停止を試み、ファイルを暗号化して元ファイルを削除し、ボリュームシャドウコピーの削除も試みる。各フォルダに RECOVER-FILES.txt を置き、盗んだデータの売却を示唆して脅迫する二重脅迫型である [s2][s3]。事前に gpresult の実行や Cobalt Strike、PsExec の使用が確認された [s3]。守る側は EDR の導入、既知のセキュリティ製品のサービス停止の検知、gpresult の実行検知、バックアップの確保と検証に注目すべきである [s2][s4]。

AiLockは2025年3月に確認されたランサムウェアであり、中核グループが開発し、アフィリエイトが身代金の分け前と引き換えに攻撃へ用いるRaaSの形態をとる[s5]。侵入後はローカルPCと共有ネットワークドライブのファイルを暗号化し、拡張子「.AiLock」への変更と「Readme.txt」という脅迫文の設置を行う[s5]。セキュリティ機能の無効化やサービス停止、復旧可能なファイルの削除を試みるほか、共有ドライブを探索して感染を広げるとされる[s5]。暗号化に加えて情報を窃取し、リークサイト公開で脅す二重脅迫も多い[s5]。主な侵入経路はフィッシングメール、RDP/VPNの不正利用、海賊版ソフトや偽の更新を装う不正ダウンロードである[s5]。守る側はVPN・リモートデスクトップへの多要素認証、外部RDPの無効化、許可リスト方式でのアプリ実行制限を行い、「.AiLock」拡張子、Readme.txt、不審なサービス停止を監視するとよい。バックアップはオフラインか改変不能な保存先に置く[s5]。

Akira は 2023 年 3 月から活動が確認されているランサムウェアである[s1][s2]。初期版は C++ で書かれ、暗号化したファイルに .akira 拡張子を付ける。2023 年 8 月以降は Rust 製の Megazord も併用され、こちらは .powerranges 拡張子を付けるとされる[s1]。Windows 版に続き 2023 年 4 月に VMware ESXi を狙う Linux 版が出現し、2025 年 6 月には Nutanix AHV を狙った事例も報告された[s1]。攻撃者は VPN の脆弱性や MFA 未設定の VPN から侵入し[s1][s2]、LSASS ダンプで認証情報を盗んで横展開したのち、データ窃取と暗号化の二重恐喝を行う[s2][s5]。実行時は PowerShell でボリュームシャドウコピーを削除する[s2][s5]。守る側は VPN 機器の既知脆弱性の修正、MFA の強制、オフラインバックアップの維持[s1]のほか、akira_readme.txt や Log-日付.txt の生成、シャドウコピー削除コマンドを検知の手がかりとする[s5]。

Akira_v2 は、ランサムウェア Akira の暗号化機能を担うペイロードの一つである。CISA は、初期版が C++ で書かれ「.akira」拡張子で暗号化したのに対し、攻撃者が Rust 製の Megazord と Akira（Akira_v2 を含む）を併用していると述べている[s1]。Cisco Talos は、Akira の RaaS 運営者が ESXi 向け暗号化ツールを C++ から Rust へ移し、Windows と Linux の双方を狙う新版も確認したとする[s3]。攻撃では、VPN の侵害された認証情報や既知の脆弱性で侵入し、データを窃取した後に暗号化する二重恐喝の最終段階で使われる[s1][s4]。守る側は、MFA 未設定の VPN と既知の悪用脆弱性への対処、オフラインのバックアップ保管と復元試験が要点である[s1]。ESXi など仮想化基盤も標的となる[s3]。

Arcus Media は2024年5月に登場したとされるランサムウェア・アズ・ア・サービス（RaaS）で、独自開発のマルウェアを用い、紹介と審査が必要な閉じたアフィリエイト制で運営される [s4]。収益は実行者が約70%、運営側が30%を受け取る [s4]。初期侵入はフィッシングや初期アクセスブローカー経由の認証情報によるとされ、Zensec はRDPやファイル転送の悪用も挙げる [s4][s5]。侵入後は難読化したスクリプトやローダーで展開し、Mimikatz で認証情報を窃取する [s4]。ファイルは AES で選択的に暗号化し、鍵交換に RSA を使う [s4]。セキュリティ製品の停止、シャドウコピー削除、レジストリ変更やタスクスケジューラによる永続化も行い、データ窃取と暴露による二重脅迫に加え DDoS も確認されている [s4][s5]。守る側は、セキュリティ製品の無効化、シャドウコピー削除、業務プロセスの強制終了、暗号化前の大量データ送出を監視すべきである [s4][s5]。

Argonauts Group Ransomware は、2021年10月に初めて確認されたとされるランサムウェアである。ロシアを拠点とする「Argonauts」というグループが展開したとされる[s3]。対象OSはWindowsで、暗号化したファイルに拡張子 .argonaut を付け、身代金要求文書は ARGONAUTS_HELP.html である[s3]。脆弱なサーバーやネットワークを狙ってデータを暗号化し、復号鍵と引き換えに暗号資産（主にビットコイン）での支払いを求める[s3]。データを盗んでリークサイトで暴露すると脅す二重恐喝の手口を取る[s3]。物流、医療、エネルギー、通信が主な標的とされる[s3]。守る側は、暗号化の前段にある初期侵入、認証情報の窃取、データ持ち出しの段階での検知と、ネットワーク分離やバックアップの確保が要点となる[s2]。

BabukはWindowsとLinux向けに作られたランサムウェアであり、2020年初頭に登場し、2021年3月にRaaS型へ移行したとされる [s2]。2021年4月に提供終了と公開の意向が示され、同年のソースコード流出で多数の派生種が生まれた [s2][s4][s5]。攻撃では多くの場合Cobalt Strikeで足場を築いた後に展開され [s2]、データベースやOfficeのプロセス、バックアップや対策製品のサービスを停止し、vssadminでシャドウコピーを削除してから暗号化する [s3]。暗号化後は拡張子「.babyk」を付与し、Torへの誘導を含む脅迫文を残す [s3]。盗んだデータを公開すると脅す二重恐喝も行う [s5]。2025年の「Babuk Locker 2.0」は、解析された検体がLockBit 3.0だった [s4]。Bjorkaとの関係は憶測とされ、Babuk2は別の模倣グループとされる [s4][s5]。守る側は、サービス停止やシャドウコピー削除の挙動、Cobalt Strikeの痕跡、RDPの利用を監視し、パッチ適用、多要素認証、検証済みバックアップを備える [s2][s3][s5]。

Babuk は Windows や ARM 向け Linux などを対象に作られたランサムウェアで、2021年3月に RaaS 型へ移行し、同年9月にソースコードが流出した[s2][s3]。本項目はその Linux 版・復号ツール系の亜種を指す。Tortilla 亜種では攻撃者が単一の鍵ペアで全被害者を攻撃し、秘密鍵を埋め込んだ復号ツールを提供していたとされる[s3]。攻撃では Cobalt Strike で足場を築いた後に展開され、AES-256 で暗号化し、バックアップ妨害やシャドウコピー削除も行う[s2][s3]。ESXi ホストへの高速な暗号化が主な脅威とされる[s4]。守る側は ESXi と管理サーバーの隔離、スナップショットの保全、管理者パスワードの全面変更、隔離環境での復旧が要点で、無償の Avast 復号ツールも使える[s3][s4]。

BianLian は Go 言語で書かれたランサムウェアであり、同名の恐喝グループが開発・運用する [s3]。CISA などはこのグループを、ランサムウェアの開発・展開とデータ恐喝を行う犯罪集団で、ロシアを拠点とする可能性が高いとしている [s1]。攻撃では、窃取した RDP 認証情報やフィッシング、ProxyShell などの脆弱性悪用で侵入する [s1][s5]。データを持ち出したうえで暗号化する二重恐喝を行っていたが、2023 年ごろから暗号化を伴わない窃取型の恐喝に移り、2024 年 1 月ごろには窃取のみとなった [s1][s5]。暗号化は標準の Go ライブラリで行われ、除外・対象とする拡張子やパスの一覧が埋め込まれている [s3]。守る側は RDP やリモートデスクトップの利用を厳しく制限し、コマンドラインやスクリプト実行の権限を絞り、PowerShell を制限して最新に保つべきである [s1]。バックドア DLL の名前やパスは侵害ごとに異なるため、名前に基づく検知は難しい [s5]。

BlackSuit は Royal ランサムウェアが再ブランド化したランサムウェアである。Royal は 2022 年 9 月頃から 2023 年 6 月頃まで使われ、BlackSuit は多くのコードの類似点を持ちながら機能が改良されたとされる [s1]。Windows と Linux の両方に対応し、フィッシングメールのほか Empire、Metasploit、Cobalt Strike などで配布される [s3]。侵入後は Cobalt Strike、PsExec、RDP で横展開し、rclone で約 60GB を流出させた事例がある [s4]。暗号化の前に防御ソフトを無効化してデータを持ち出し、身代金が払われなければリークサイトで公開する [s1]。暗号化する割合を指定できる部分暗号化を使い、検知回避と高速化を図る [s1]。Windows では vssadmin でシャドウコピーを削除し、README.BlackSuit.txt を残す [s3]。守る側は、vssadmin の /all /quiet 実行、PsExec と rclone の不審な利用、README.BlackSuit.txt や .blacksuit の出現、-nomutex 付きの実行を監視する [s3][s4][s5]。

CACTUS は、2023年3月から大企業を狙って活動し、同年5月に Kroll が新種として確認したランサムウェアである [s5]。身代金要求文書のファイル名「cAcTuS.readme.txt」が名の由来で、暗号化したファイルには「.cts1」「.cts2」のような拡張子が付く [s5]。暗号化と窃取を組み合わせる二重脅迫型で、RSA と AES で暗号化する [s4]。初期侵入では VPN の既知の脆弱性を突くとされ [s4]、2023年11月には Qlik の脆弱性も悪用された [s5]。侵入後はネットワークスキャンや LSASS からの認証情報窃取で横展開し、msiexec でウイルス対策製品を削除し、窃取データは Rclone でクラウドへ送る [s4]。検体は AES 鍵がないと展開できない暗号化形態で配布される [s4]。守る側は VPN への修正プログラム適用、多要素認証、ネットワーク分割、横展開の監視が要点で [s4]、ファイル拡張子の変化や置き手紙のファイルも手掛かりとなる [s5]。

Cephalus は Go 言語で開発された Windows 向けのランサムウェアである。2025年6月中旬ごろに現れた新しい集団が使うとされ、AES と RSA の併用で暗号化し、データを持ち出してから暗号化する二重恐喝を行う[s2][s3]。主な侵入経路は多要素認証（MFA）のない RDP アカウントの悪用である[s1][s3]。実行時は正規の SentinelOne 実行ファイル SentinelBrowserNativeHost.exe から DLL をサイドロードし、data.bin を読み込ませる手口が確認された[s1]。起動後は vssadmin でシャドウコピーを削除し、Windows Defender の除外設定や無効化を行い、Veeam や MSSQL などのサービスを停止する[s1][s3]。暗号化したファイルには .sss を付け、recover.txt を置く[s3][s4]。守る側は RDP の公開を避けて MFA を必須とし、Defender の無効化、VSS 削除、サービスの大量停止、Downloads 内の SentinelBrowserNativeHost.exe を監視すべきである[s1][s5]。

Cicada3301 は Rust で書かれたランサムウェアであり、Repellent Scorpius と呼ばれるグループが RaaS として配布しているとされる [s4]。Windows 向けと Linux/ESXi 向けがあり、後者は ELF バイナリで Rust 1.79.0 が使われていた [s5]。攻撃ではファイル暗号化に加え、窃取した情報の公開を迫る二重脅迫が行われる [s4]。Unit 42 の事例では、窃取した認証情報による RDP 侵入の後、バッチスクリプト 1.bat と PsExec を使ってランサムウェア本体を複数ホストで実行した [s4]。Truesec の事例では ScreenConnect への正規認証情報でのログインから始まった [s5]。コードには ALPHV との類似点（ChaCha20 の利用、VM 停止とスナップショット削除のコマンドなど）がある [s5]。守る側は、RDP や ScreenConnect など遠隔アクセスの認証強化と、PsExec による一斉実行、Rclone による持ち出しの監視が要点となる [s4][s5]。

Clop（Cl0p）は、ランサムウェア CryptoMix の亜種として進化した金銭目的のランサムウェアであり、ロシア語圏の攻撃グループが運営するRaaSでもある[s2][s4]。MITRE ATT&CK では S0611 とされる[s4]。2019年2月に TA505 のスピアフィッシングで確認され、2020年にはFIN11が Accellion FTA の脆弱性を突いて展開した[s2]。攻撃では最終段階のペイロードとして使われ、暗号化したファイルに .clop などの拡張子を付け、README 系のランサムノートを残す[s2][s4]。暗号化前に情報を窃取し、リークサイト「Cl0p^_-Leaks」での暴露で脅迫する多重脅迫も行う[s2][s5]。2023年のMOVEit Transferの脆弱性悪用では暗号化が確認されず、窃取情報の暴露のみで脅迫したとされる[s1]。コード署名による検出回避や、バックアップ・セキュリティ関連プロセスの停止、仮想環境での実行回避も報告されている[s5]。守る側は、暗号化の段階だけでなく、正規ツールや正規アカウントの悪用を含む攻撃フロー全体を相関分析で捉える必要があるとされる[s1]。ファイル転送製品の脆弱性への対処も欠かせない[s2][s3]。

Crypto24 は、同名のランサムウェアグループが運用するランサムウェアである。2023年末に登場し、アジア・欧州・米国の大企業を狙うとされる [s5]。侵入後は net.exe で管理者アカウントを作成・再有効化し、PsExec や AnyDesk、キーロガー、バックドア、Google Drive を併用して水平移動と情報窃取を行ったうえで、暗号化を実行する [s2][s3]。ランサムウェアは sc.exe で「MSRuntime」(表示名 Microsoft Runtime Manager) というサービスとして登録され、svchost.exe -k MSRuntime の形で動作する [s3][s5]。攻撃前には RealBlindingEDR の独自版でセキュリティ製品のコールバックを除去する [s3]。守る側は、不審な管理者アカウントの追加、%ProgramData%\Update\ 配下のスクリプトや不審なサービス登録、gpscript.exe 経由のアンインストーラ実行を監視し、最小権限の徹底とエージェントの自己保護機能を有効にすべきである [s2][s3]。

DevMan は 2025 年に確認された新興のランサムウェアであり、DragonForce ランサムウェアの派生とされる [s5]。コードの大部分を DragonForce と共有し、暗号化後の拡張子を .dragonforce_encrypted から .devman に変えただけの可能性が高いとされる [s2]。侵入後は SMB 共有の探索、PsExec や RDP による横展開、Mimikatz での認証情報窃取を行い、暗号化前にデータを窃取して二重脅迫に用いる [s3][s5]。暗号化は全体・先頭のみ・カスタムの三方式を選べ、シャドウコピーを削除し、Restart Manager でファイルロックを回避する [s2][s3]。外部 C2 に接続しないオフライン型とされ [s4]、監視では外部通信よりも、普段と異なる地域からの RDP や SSH、管理共有を使った横展開、rstrtmgr.exe の悪用などの兆候に注目すべきとされる [s4]。

Dire Wolf は Windows を対象とする二重恐喝型のランサムウェアで、同名の人手による攻撃グループが使う。Go 言語製で通常 UPX で圧縮され、2025年4月の攻撃が最古の記録とされる [s3]。攻撃者は数日から数週間かけて侵入先に滞在し、平均約 265GB のデータを窃取してから暗号化する [s3][s4]。実行時は Global\direwolfAppMutex と C:\runfinish.exe を確認し、あれば自己削除する [s3]。暗号化前に Event Log サービスの停止、ログ消去、vssadmin や wbadmin によるシャドウコピーとバックアップの削除、bcdedit による回復無効化、最大 75 のサービス停止を行う [s3][s5]。ファイルは Curve25519 と ChaCha20 で暗号化し拡張子 .direwolf を付け、各所に HowToRecoveryFiles.txt を置く [s2][s3]。守る側はこれらのコマンド実行とログサービスの異常停止を監視し、オフラインのバックアップを確保すべきである [s3]。

DragonForceは2023年に登場したRaaS型のランサムウェアである。Windows、Linux、ESXi、NAS向けの暗号化ツールを備え、LockBit 3.0やContiの流出ビルダーを再利用している[s1][s4]。攻撃者は初期侵入後にCobalt Strike、Mimikatz、SystemBCなどを展開し、データ窃取と暗号化の二重恐喝を行う[s3]。暗号化ファイルには.dragonforce_encryptedや.lockedの拡張子が付き、シャドウコピー削除やバックアップ無効化のコマンドも実行する[s1][s4]。Linux版はvim-cmdで仮想マシンを列挙し停止する[s1]。脆弱なドライバーを悪用するBYOVDで防御を無効化するとされる[s1][s3]。守る側は、Ivanti Connect Secureなど公開機器の既知脆弱性の修正、未署名ドライバーの導入やサービスの突然の停止、予期しないファイル削除の監視、C:\Users\Public\log.logの作成確認が要点となる[s1][s3][s2]。

Everest ransomware は Windows を対象とするランサムウェアであり、2020年12月から活動するロシア語圏の閉じた集団が運用するとされる[s2]。BlackByte の C# 版と技術的に近く、暗号鍵を C2 から取得せず感染端末上で生成する[s1][s2]。攻撃では RDP や VPN の露出、購入・内部協力者由来の正規アカウントで侵入し、AnyDesk、Splashtop、Atera の常駐や Cobalt Strike を使った後、WinRAR で固めたデータを窃取してから暗号化する。暗号化後は拡張子 .everest を付け、EVEREST LOCKER .txt という脅迫文を残す[s1][s2]。実行前にシャドウコピーと復元ポイントを削除し、Controlled Folder Access を無効化する[s2]。守る側は、MFA のない RDP と脆弱な VPN の遮断、vssadmin によるシャドウコピー削除や Set-MpPreference の実行、C:\Users\Public\Downloads の subnets.txt や trustdumps.txt の出現を監視すべきである[s1][s2]。

Exitium はファイルを暗号化して身代金を要求するランサムウェアである。PCrisk が VirusTotal 上の検体から確認したもので、暗号化したファイルに「.exitium」拡張子を付け、「YOU ARE UNDER ATTACK!.html」という脅迫文を残す[s5]。脅迫文は、168 時間以内に Tox で連絡しなければ暗号化されたファイルは永久に復元できないとし、暗号化ファイルの削除や改変を禁じている。同名のグループは流出サイトも運用している[s5]。2026 年 3 月 29 日には台湾の太陽電池メーカー Ming Hwei Energy への攻撃を公表し、交渉に応じなければ機密データを公開すると脅した[s4]。Microsoft Defender Antivirus は Ransom:Win32/EXITIUM[.]YBF!MTB として検出する[s2]。PCrisk によれば無料の復号ツールは確認されていない[s5]。守る側は、オフラインで保管し改変できないバックアップを用意して現状を検証すること、MFA を全ての接続点に適用すること、セキュリティソフトの定義を更新して検出を有効にすること[s2][s4]、不審なメールの添付ファイルやリンクを開かないこと、ソフトウェアを最新に保つことが要点とされる[s5]。

FunkSec ransomware は、2024年末に登場した FunkSec が RaaS として運用するランサムウェアである。暗号化とデータ窃取を組み合わせた二重脅迫を行い、Rust で書かれた暗号化プログラムを用いる[s3]。ChaCha20 でファイルを暗号化して拡張子 .funksec を付け、README-[ランダム文字列].md という脅迫文を残す[s2][s3]。要求額は 0.1 BTC で、連絡手段は Tor サイトと Session である[s2]。実行時は net session で管理者権限を確認し、無ければ PowerShell で昇格を試みる。続いて Windows Defender のリアルタイム保護や Security・Application ログを無効化し、vssadmin でシャドウコピーを削除する[s3]。守る側は、これらのコマンド実行や、全ドライブを走査して拡張子 .funksec が付く挙動を監視すべきである。復号ツールが無償で提供されているとされる[s2]。バックアップは複数の保管先に分けて持つことが推奨される[s2]。

GhostLocker は、ハクティビストグループ GhostSec が 2023 年 10 月に発表したランサムウェア・アズ・ア・サービス（RaaS）の暗号化ツールである[s4]。ウェブ型のビルダーと管理ポータルが提供され、停止するプロセスや暗号化対象パス、自己削除、永続化などを調整できる[s3]。初期版は Python 製で、Fernet により暗号化する[s3][s4]。2024 年 1 月の 2.x 版以降は Golang で書かれているとされる[s3]。感染後は暗号化したファイルに .ghost の拡張子を付け、身代金要求文書を置く[s1][s3]。初期の検体は暗号化鍵と被害者情報を平文の HTTP で攻撃者のパネルへ送り、暗号化機能が未実装だった[s4]。守る側は、Documents フォルダの lmao.html や .ghost 拡張子、ユーザー Temp 配下の onefile_ で始まるフォルダ、外部への HTTP 通信を確認するとよい[s1][s4]。バックアップからの復元手順も用意しておく[s1]。

Gunraは2025年4月に初めて観測された二重恐喝型のランサムウェアで、流出したConti のソースコードに由来するとされる[s1]。2026年初めからは、管理パネルや設定可能なビルダー、クロスプラットフォームのロッカーを提供するRaaSとして、アフィリエイトに使われている[s1]。攻撃者はデータを暗号化し、窃取したデータをリークサイトに公開すると脅して身代金を要求し、交渉にはTorベースの専用ポータルを使う[s1]。Linux版は最大100スレッドの並列暗号化と部分暗号化に対応し、暗号化の対象パスや拡張子を実行時に指定する[s4]。被害は医療、金融、製造、運輸、政府機関など複数の業種に及ぶ[s1]。守る側は、VPNゲートウェイやRDPなど外部公開システムの既知の悪用される脆弱性への優先的なパッチ適用、オフラインで改変不能なバックアップの確保、ネットワーク分離による横展開の抑止が求められる[s1]。

INC ransomware は2023年7月に現れたランサムウェアによる恐喝活動である[s4]。データを窃取して公開すると脅す多重恐喝を行い、医療・教育・政府機関を含む複数業種を区別なく狙う[s4]。初期侵入はスピアフィッシングや Citrix NetScaler の CVE-2023-3519 など脆弱なサービスの悪用で、侵入後は NETSCAN.EXE、MEGAsyncSetup64.EXE、ESENTUTL.EXE、AnyDesk.exe といった市販ツールや OS 標準ツールを偵察や横展開に使うとされる[s4]。暗号化の実行体は --dir、--ens（ネットワーク共有の暗号化）、--lhd（隠しドライブの暗号化）などの引数を取り、引数なしではローカルの全ボリュームを暗号化する。各フォルダに INC-README.TXT と INC-README.HTML を残し、プリンターへの出力も試みる[s4]。ソースコードは2024年3月には闇市場で売りに出ており、後継の Lynx が大部分を共有する[s5]。守る側は、前述のツール類の不審な使用、ネットワーク通信の異常、バックアップの整備、MFA の導入、パッチ適用を確認する[s4]。

2025年6月に登場したランサムウェアで、名称には日本語の「川」を指す Kawa が含まれる。リークサイトは Akira 風、脅迫文の形式は Qilin に似るとされる [s4]。攻撃者は二重脅迫を行うとされ、Tor 上のリークサイトで被害者情報を公開する [s5]。RaaS かどうかは公開情報では確認されていない [s5]。日本と米国が主な標的で、Talos は日本企業 2 社への攻撃の可能性を挙げた [s3][s4]。実行時は、リソース内の設定からバックアップ・SQL・SAP 関連のサービスや Outlook などのプロセスを停止し、共有ドライブも含めて暗号化する。暗号化はファイル全体ではなく一部のみ行う設定がある [s4][s5]。守る側は、引数なしで -all 付きの再起動を行う挙動、Mutex「SAY_HI_2025」の作成、レジストリへの独自拡張子とアイコンの登録を検知の手がかりにできる [s3][s4][s5]。

KRYBIT は、2026年3月下旬に確認されたランサムウェア・アズ・ア・サービス（RaaS）として運営される暗号化型ランサムウェアである。運営側は Windows、Linux、VMware ESXi、NAS 向けのビルダーを提供し、収益は運営20％・アフィリエイト80％で分配される[s3]。攻撃では先にデータを窃取してから暗号化する二重脅迫を行い、Tor 上のリークサイトで支払いを迫る[s3]。暗号化したファイルには「.KRYBIT」拡張子を付け、「RECOVER-README.txt」を残す。脅迫文は Tor のチャットサイトへの接続を指示し、第三者ツールでの復旧を警告する[s4]。検体は Babuk の派生として検出され、Babuk の流出ソースコードに基づく株とされる[s3]。守る側は、拡張子「.KRYBIT」と脅迫文の有無、Babuk 系の検出名（Filecoder[.]Babyk.A など）を手掛かりにする[s3][s4]。公開された復号ツールは無いとされるため、バックアップの確保が要点である[s4]。

LockBit はサービスとしてのランサムウェア（RaaS）として運用される暗号化型ランサムウェアである。前身の ABCD ランサムウェアが 2019 年 9 月に確認され、2020 年 1 月に LockBit の名で現れた[s1]。アフィリエイトが侵入後に展開し、データの暗号化と窃取による二重脅迫で身代金を要求する[s3][s4]。LockBit 3.0 は管理共有やグループポリシーで拡散し、セキュリティ製品のプロセスやサービスを停止し、セーフモードで実行でき、実行後は自己削除を試みる[s4]。名古屋港の障害では物理サーバと全仮想サーバが暗号化された[s3]。初期侵入は RDP、フィッシング、公開アプリの脆弱性悪用、正規アカウントの不正利用などで、アフィリエイトごとに手口が異なる[s4]。守る側は、攻撃フロー全体を捉える XDR など相関分析できる検知を備え[s3]、多要素認証、権限の見直し、複数世代のオフラインバックアップを整えるべきである[s5]。

LockBit 3.0 は、LockBit 2.0 を引き継ぐ RaaS 型のランサムウェアである。2022年6月に公開され、「LockBit Black」とも呼ばれる [s3][s5]。BlackMatter のコードと類似する部分があるとされる [s3]。アフィリエイトが RDP の悪用、フィッシング、有効なアカウントの悪用、公開アプリの脆弱性悪用などで侵入した後に展開する [s1]。初期配布は Cobalt Strike などを介して行われる [s5]。実行時にはプロセスやサービスの停止、シャドウコピーやログの削除を行い、データを暗号化して身代金要求文を残す [s1]。実行にパスワード引数を要求し、コードを復号することで解析と署名検知を妨げる [s1][s5]。防御側は、侵入経路となる既知の脆弱性の修正、フィッシング耐性のある多要素認証の適用、フィッシング対策の教育を優先すべきである [s1]。暗号化前に rclone や MEGA で情報を持ち出す点にも注意が要る [s1]。

LockBit 3.0 は RaaS として提供されるランサムウェア LockBit の派生版で、2022年6月ごろに確認され、LockBit Black とも呼ばれる [s2][s3]。BlackMatter とコードが類似するとされ、2022年9月にビルダーが流出した [s1][s2]。アフィリエイトは Cobalt Strike などのフレームワーク、フィッシング、RDP、公開アプリの悪用などで侵入し、ペイロードを配布する [s3][s4]。実行時は管理共有や GPO で横展開し、セキュリティ製品のサービスを停止し、ファイルを暗号化して拡張子・アイコン・壁紙を変え、脅迫文を残す [s4][s5]。起動に -pass 引数を要し、解析を妨げる [s2][s4]。守る側は、Cobalt Strike 等による配布の兆候、不審なサービス導入、セキュリティサービスの停止、管理共有や GPO を介した拡散の挙動を監視すべきである [s3][s4]。

Lynx は 2024 年 7 月に Palo Alto Networks の研究者が発見した、INC ランサムウェアの後継とされるランサムウェアである [s3]。RaaS モデルで運用され、ソースコードの大部分を INC と共有する [s3]。INC のビルダーは 2024 年 4 月に地下フォーラムで販売されており、Lynx はそれを購入して改変したと考えられている [s4]。Windows 版は C++ で書かれ、AES-128 CTR と Curve25519 Donna で暗号化し、拡張子 .lynx を付ける [s3]。攻撃はフィッシングメールで始まり、データを窃取してから暗号化する二重脅迫を行う [s3][s5]。事案ではネットワーク走査、管理者資格情報の使い回し、AWS S3 への大量送信、AnyDesk の使用が観測された [s5]。実行時にシャドウコピーを削除する [s3]。守る側は、SMB 共有の列挙、管理者アカウントの異常な利用、外部クラウドへの大量アップロード、SMB の大量読み書きを監視すべきである [s5]。

Mario ESXi は、ランサムウェアグループ RansomHouse が使う独自のランサムウェア亜種である[s2][s4]。VMware ESXi を標的に設計され、2021年に登場した Babuk ランサムウェアの流出ソースコードを基に開発されたとみられる[s2]。SentinelLABS は生成ファイル名が emario[.]out で、既定の脅迫文名が How To Restore Your Files.txt であると記している[s3]。攻撃では ESXi 上のファイルを暗号化し、脅迫文を残して身代金を要求する。RansomHouse は暗号化に加え、窃取データの公開で脅す二重脅迫を行う[s2][s4]。配備には MrAgent が使われ、複数のハイパーバイザーへ暗号化プログラムを一括展開し、ファイアウォールの無効化なども行う[s4][s5]。守る側は ESXi への既知脆弱性パッチ適用、管理権限の最小化、ESXi 用ネットワークの分離、仮想マシンと設定のバックアップを要点とする[s4]。

Medusa は 2021 年 6 月に初めて確認されたランサムウェア・アズ・ア・サービス（RaaS）で、gaze.exe は Medusa 特有のファイル名とされる暗号化実行ファイルである [s1][s4]。当初は閉じた運用だったが、遅くとも 2023 年初頭から開発者がアフィリエイトへ提供する形態に移った [s1]。暗号化したファイルには拡張子 .MEDUSA が付き、身代金要求書 !!!READ_ME_MEDUSA!!!.txt が置かれる [s5]。攻撃では、暗号化と並行して窃取データの公開を迫る二重恐喝を行う [s1]。2026 年 2 月の医療機関への攻撃では、RDP（mstsc.exe）による横展開や vssadmin.exe list shadows によるバックアップ探索の後、gaze.exe による暗号化が試みられた [s4]。守る側は、全端末へのセンサー導入で監視の空白をなくすこと、gaze.exe などの特徴的なファイル名や挙動を継続的に探索すること、ネットワーク分割とパッチ適用を徹底することが要点である [s1][s4]。MedusaLocker とは無関係とされる [s1]。

MegazordはAkiraランサムウェアの攻撃者が使うRust製の暗号化ツールであり、暗号化したファイルに拡張子「.powerranges」を付ける[s1]。2023年8月に登場し、Power Rangersに関する名称が随所に見られる[s5]。Akiraとはコードや静的特徴が似ており、Akiraの発展形または関連系統とされる[s5]。2023年8月以降、一部のAkira攻撃で展開され、攻撃者はMegazordとAkira（Akira_v2を含む）を併用している[s1]。実行時にはSQL、Exchange、バックアップ関連などのサービスやプロセスを停止し[s3]、「Get-VM | Stop-VM -Force」でHyper-V上の仮想マシンも強制停止する[s5]。既定では各ファイルの15%を暗号化し、身代金要求文書powerranges.txtを暗号化先フォルダに置く[s3][s5]。守る側は、cmd.exeやPowerShellによるサービス・VM停止の連続実行、「.powerranges」拡張子の出現を監視し、オフラインのバックアップと復元テストを整えるべきである[s1][s5]。

MetaEncryptor は 2022 年初頭に遡るとされるランサムウェアであり、Trend Micro は Ransom.Win64[.]METAENCRYPTOR.A として検出している [s4][s1]。他のマルウェアに投下されるか、悪意あるサイトの閲覧時に意図せずダウンロードされて侵入する [s1]。実行時は Firebird、MSSQL、Exchange、PostgreSQL、Tomcat、SharePoint などのサービスを停止し、メモリ量や OS 版数などの情報を収集する。暗号化したファイルには .metaencrypted を付け、各ディレクトリに !metaencrypter.txt を置く [s1]。SMB 共有を暗号化対象から外す --disable-shares、実行後の自己削除 --shred-at-end などの引数を持つ [s1]。後継の LostTrust は多重脅迫の手口を引き継ぎ、サービス停止、VSS 削除、イベントログ消去の挙動が共通する [s3][s4]。守る側は、データベースやメールのサービスが一斉に停止する動き、拡張子変更、ノートの出現を検知し、バックアップからの復元に備えるべきである [s1]。

NightSpire は2025年初頭に確認された二重脅迫型のランサムウェアであり、暗号化部分は Go 言語で書かれた実行ファイルである [s3][s5]。Halcyon は公開 RaaS でもアフィリエイトもない閉鎖的な運営と評したが、後に HivePro が RaaS グループとしたため、運営形態が変わった可能性が指摘されている [s4][s5]。暗号化前に WinSCP や MEGAcmd でデータを外部へ送り、AES と RSA の併用で暗号化して拡張子「.nspire」を付け、各フォルダに脅迫文を置く。OneDrive 上のファイルも暗号化したと主張する [s2][s3][s5]。初期侵入は FortiOS の脆弱性 CVE-2024-55591、RDP への総当たり、フィッシングによる認証情報の窃取とされる [s5]。守る側は、これらの侵入口の対策に加え、Mimikatz、PsExec、WMI、PowerShell の利用や、AnyDesk、Chrome Remote Desktop、MEGAsync の不審な導入を監視すべきである [s3][s4][s5]。

Nova は 2025 年 3 月下旬に RALord の名で現れたランサムウェア・アズ・ア・サービス（RaaS）であり、同年 4 月に Nova へ改名した。流出した Babuk のソースコードを基にしたとされる [s1][s2]。Windows・Linux・VMware ESXi 向けのビルダーを備え、Rust 製の実行ファイルが XChaCha20-Poly1305 と RSA-2048 のハイブリッド方式で暗号化する [s1][s2][s3]。侵入は漏えいした認証情報、フィッシング、多要素認証のない公開リモートアクセスが起点とされ、暗号化前にデータを窃取して公開を迫る二重恐喝に使われる [s1]。実行時は tasklist で解析ツールを探して見つかれば終了し、Defender の無効化、イベントログ消去、vssadmin と WMI によるシャドウコピー削除を行う [s2]。守る側は Defender 設定の変更、除外パスの追加、wevtutil などによるログ消去、シャドウコピー削除を監視すべきである [s2]。

Payload は Windows 版と Linux 版を持つクロスプラットフォームのランサムウェアであり、2026年2月に初めて確認されたとされる [s3][s4]。ChaCha20 とファイルごとの Curve25519 ECDH でファイルを暗号化し、拡張子 .payload を付けて RECOVER_payload.txt を残す [s3]。コマンドライン引数が豊富で、運用者が機能を選んで実行する形とされる [s4]。VMware ESXi 環境も標的とされ、データを窃取してから暗号化する二重脅迫を採る [s5]。暗号化前に VSS シャドウコピー削除、イベントログ消去、ETW のパッチ適用、バックアップ・DB・セキュリティ関連サービスの停止を行う [s3][s5]。守る側は MakeAmericaGreatAgain という mutex、.payload ファイル、身代金メモの出現を監視し、vssadmin.exe の実行制限、ETW 改ざんの検知、オフラインバックアップの維持を行う [s3][s5]。

PayoutsKing は 2025 年半ばに現れたランサムウェアおよび恐喝の運用であり、運営側は RaaS ではなくアフィリエイトも持たないと明言している[s2][s4]。Sophos の CTU は GOLD ENCOUNTER グループの活動とみている[s2]。侵入後は内部偵察を行い、暗号化ペイロードでファイルを .payoutsking 拡張子にして PAYOUTS-README.txt を残す。事前にデータを窃取して二重恐喝を行い、bcdedit でセーフモードに入れて製品の機能低下を狙い、Veeam や BackupExec などのバックアップサービスも停止させる[s4]。暗号化は 4,096 ビット RSA と 256 ビット AES を使い、永続化にはスケジュールタスクを作成する[s3]。VMware や ESXi 向けの暗号化機能も持つ[s2]。守る側は、QEMU の仮想マシンを使った隠れた逆 SSH 接続、MFA のない VPN、Teams と Quick Assist を悪用した偽 IT サポート、バックアップ停止の挙動に注意すべきである[s2][s3][s4]。

Phobosは2019年に初めて確認されたランサムウェアで、Dharma/Crysisの発展形とされる[s4]。RaaS形態とみられ、Talosは単一の秘密鍵で復号できる点から中央管理の可能性を指摘する[s1][s4]。侵入では脆弱なRDPポートの探索とブルートフォース、またはSmokeLoader付きのフィッシングメールが使われる[s1]。実行後はシャドウコピーとバックアップカタログを削除し、Windowsファイアウォールを無効化し、自動実行登録で常駐する[s5]。8baseはバージョン2.9.1を使用していた[s3]。リークサイトを持たないため、検出状況や被害報告から実態を把握する必要がある[s3]。守る側はRDPポートの保護とEDRの導入が挙げられている[s1]。

Play（別名 Playcrypt）は、2022年6月ごろから確認されているランサムウェアである[s1][s5]。暗号化したファイルに .play 拡張子を付けることが名称の由来とされる[s5]。データを窃取してから暗号化する二重脅迫を行い、北米・南米・欧州の企業や重要インフラが被害を受けた[s1]。初期侵入には、正規アカウントの悪用、FortiOS や Microsoft Exchange（ProxyNotShell）の脆弱性、RDP や VPN の利用が確認されている[s1][s5]。侵入後は Cobalt Strike、SystemBC、PsExec、Mimikatz などで横展開と認証情報の窃取を行い、ペイロードは AD 環境で GPO により配布されることが多い[s1][s5]。ファイルの一部のみを暗号化する断続的暗号化で、従来型の検知を回避するとされる[s5]。ランサムノートには身代金額や支払方法が書かれず、被害者は電子メールで連絡するよう指示される[s1]。守る側は、既知の悪用された脆弱性への対処、多要素認証の有効化、ソフトウェアの更新、オフラインバックアップの維持に加え、不審な通信やC2との通信の監視を行うべきである[s1][s5]。

Qilin（別名Agenda）は、2022年半ばに出現したRaaS（ランサムウェア・アズ・ア・サービス）として運用されるランサムウェアである。TrendAIはWater Galuraとして追跡している[s1]。初期はGo製で、後にRustベースの亜種が加わり、Windows、Linux、ESXiに対応する[s1]。暗号化にはAES-256とRSA-2048を用い、ファイル暗号化に加えてデータ窃取とリーク公開で脅す二重恐喝を行う[s1]。実行はコマンドライン引数で挙動を調整し、Rust亜種はPsExecを内蔵して他ホストへ拡散する[s1]。シャドウコピー削除やESXi上の仮想マシンディスク削除で復旧を妨げる[s1]。侵入にはFortinet製品の脆弱性、漏洩した認証情報、SimpleHelp RMMの脆弱性などが挙げられている[s2][s3]。守る側は、これらの脆弱性への対処、認証情報の漏洩監視、PsExecやRMMツールの不審な利用の検知、変更不能なバックアップの確保に注意すべきである[s2]。

Qilin.B は、Qilin（別名 Agenda）ランサムウェアの新版で、Halcyon が追跡用にこの名で呼ぶペイロードである[s4]。Qilin は 2022年7月に登場した RaaS で、Windows と Linux を狙い、データ窃取による二重脅迫を行う[s4]。Qilin.B は Rust で書かれ、AESNI 対応環境では AES-256-CTR、それ以外では Chacha20 を使い、鍵の保護に RSA-4096 と OAEP を用いるため、秘密鍵なしの復号はできない[s4]。実行時にセキュリティ・バックアップ関連のサービスを停止し、`vssadmin delete shadows /all /quiet` でシャドウコピーを削除し、イベントログを消去し、実行後に自身を削除する[s4]。Run キーによる自動起動登録も行う[s4]。守る側は、これらのサービス停止、シャドウコピー削除、ログ消去、`README-RECOVER-[company_id].txt` の生成を監視対象にすべきである[s4]。

RansomEXXは、2020年に複数の著名な攻撃に関与したランサムウェアであり、Windows版とLinux版がある[s2][s4]。かつてはSecureWorksがGOLD DUPONTと呼ぶ2018年以降活動の脅威グループが運用していたとされる[s2]。侵入経路は、フィッシングやスピアフィッシング、公開されたRDPなどの脆弱なサービスの悪用である[s4]。Trend Microが調べた事案では、IcedIDで初期侵入し、Notepad++を改ざんしたVatetローダーで各種ペイロードを実行、PyxieやCobalt Strikeを併用して、初期侵入から5時間でランサムウェアを展開した[s2]。ファイルはAES(ECBモード)で暗号化され、鍵はRSA-4096で保護される[s4]。Linux版はVMware環境、特にVMwareファイルの保管マシンを狙った[s2]。守る側は、マクロ付き文書や不審メールへの警戒、不審な通信や既知のC2との通信の監視、パッチ適用、多要素認証、バックアップの整備に重点を置くべきである[s4]。

RansomHub は 2024 年 2 月に活動が確認された RaaS 型のランサムウェアであり、以前は Cyclops や Knight として知られていたとされる [s1]。運営側が暗号化ツールと管理パネルを提供し、アフィリエイトが攻撃を実行する。身代金の 90% はアフィリエイト、10% は運営の取り分とされる [s4]。攻撃ではフィッシング、既知の脆弱性の悪用、パスワードスプレーで侵入し、システムを暗号化してデータも窃取する二重脅迫を行う [s1]。身代金要求文書には支払額ではなくクライアント ID と .onion の URL が記され、3〜90 日の期限を過ぎるとリークサイトに公開される [s1]。PsExec や Mimikatz、Rclone などの正規ツールの悪用や EDRKillShifter による EDR 無効化も確認されている [s4]。防御側は、これらツールの実行ログ、パッチ適用、MFA の導入、バックアップ体制の整備に注意すべきである [s1][s4]。

2023年5月ごろから確認されているランサムウェアであり、利用者にランサムウェアとインフラを貸し出して身代金を分け合うRaaSの形でも運用されているとされる[s1]。教育、医療、製造、情報技術、政府の各分野に使われてきた[s1]。展開手段は、Cobalt Strike等のフレームワークやフィッシングが主とされる[s5]。侵入段階では、MFAのないVPNへの正規認証情報での接続のほか、Gootloaderが使われた例がある[s1]。侵入後はRDPやPowerShell、ipconfig、whoami、nltest、net等のOS標準機能で調査や横展開を行う[s1]。暗号化にはChaCha20が使われ、身代金要求文書はPDFで書き込まれ、盗んだデータの公開で脅す[s5]。守る側はVPN等へのMFA有効化、既知の悪用された脆弱性の修正、ネットワーク分割を行うべきである[s1]。通常と異なる初回ログオンの痕跡やOS標準コマンドの列挙操作にも注意を要する[s1]。

Royalは2022年9月に確認されたランサムウェアであり、Contiの元メンバーによる非公開の少人数グループが運用し、アフィリエイトは募らない[s3][s5]。2024年8月にBlackSuitへ改名したとされ、コードの類似点が多い[s1]。攻撃ではコールバックフィッシングやRDP、公開アプリの脆弱性などで侵入し、ChiselやPsExecを使って移動した後、ウイルス対策を無効化してデータを窃取し、暗号化する[s1][s4]。暗号化は割合を指定できる部分暗号化で、vssadminでシャドウコピーを削除する[s1][s4]。身代金額はメモに書かれず、Tor経由の交渉を促す[s1]。守る側はフィッシング対策、多要素認証、RDPや公開アプリの管理、AnyDeskなどRMMツールとChiselの通信、vssadminの実行を監視すべきである[s1][s4][s5]。

SafePay は 2024 年後半に確認されたランサムウェアおよびその運用グループである。RaaS を採らず、運営・インフラ・交渉を自前で行うとされる [s3][s5]。初期侵入は VPN ゲートウェイ、ファイアウォール、リモートデスクトップゲートウェイなどの脆弱性や、漏えいした認証情報の利用が中心とされる [s4]。侵入後は ShareFinder.ps1 で共有を探索し、PsExec、WinRM、RDP、RMM ソフトで横展開する [s4]。WinRAR で収集したデータを FileZilla などで外部へ送り、Defender や各種サービスの停止、シャドウコピー削除を経て暗号化する [s3][s4]。実行にはパスワード引数が必要で、ロシア語など一部言語の環境では終了する [s3]。LockBit 3.0 との類似が指摘されるが、独立運営とされる [s5]。守る側は、エッジ機器の脆弱性対応と認証情報の保護、PsExec や RMM の許可制限、セキュリティサービス停止やシャドウコピー削除の監視を重視すべきである [s4]。初期侵入から暗号化までが 24 時間以内の事例も報告されている [s5]。

2024年末に登場した金銭目的のランサムウェアで、データ窃取と暗号化を組み合わせた二重恐喝を行う[s3]。限られた信頼できる提携者と動作するRaaS型とされ、Windows、Linux、ESXi環境に影響する亜種が確認されている[s3]。暗号化ファイルには .sarcoma の拡張子が付き、脅迫文は SYSTEM.README.TXT などの名で置かれる。暗号化にはAES-256とRSA-4096が使われるとされ、公開された復号ツールは無いとされる[s4]。侵入後は Mimikatz や PsExec、AnyDesk、Rclone などで資格情報の窃取、横展開、データ持ち出しを行い、最後に暗号化と恐喝へ進む[s4]。守る側は、業務時間外のRMMツールの稼働、PowerShellによる Windows Defender 無効化、シャドウコピーの削除を監視すべきである[s4]。

ShinySp1d3rは、Scattered LAPSUS$ Hunters（SLSH）が開発を進めているとされるランサムウェア・アズ・ア・サービス（RaaS）である。2025年11月19日にBleepingComputerが報じ、現時点ではWindowsでのみ動作する。代表者はLinuxとESXi向けも完成間近だと語っている[s4]。Unit 42は暗号化部分の壁紙と身代金要求ノートを確認している[s4]。SLSHは2025年11月21日、ニューヨーク市と州全体への展開を脅すTelegram投稿を行った[s4]。SLSHにはデータ窃取後の恐喝サービス（EaaS）の提供や内部関係者の募集もあり、複数の手段で収益化を図る[s4]。守る側は、Unit 42が公開したIoCの照合、業界ISACへの参加、内部関係者への備えに着目すべきである[s4]。なお、s5は2021年5月初検出、拡張子「.Sp1d3r」、非RaaSと記すが、s4と食い違うため採用しない。

Sinobi ransomware は 2025 年半ばに登場した Sinobi グループのランサムウェア本体であり、RaaS 形態で運用される。Lynx の再ブランドとみられ、Lynx は INC 由来とされる [s2][s3]。攻撃では侵入、権限昇格、EDR 無効化、Rclone による窃取の後に実行され、実行ファイルは bin.exe などの一般的な名前で見つかった [s2]。Curve-25519 と AES-128-CTR でローカルと共有ドライブのファイルを暗号化し、拡張子 .SINOBI を付け、ごみ箱の消去とボリュームシャドウコピーの削除も行う [s3]。--kill 指定時は sql、veeam、backup などのプロセスを停止する [s3]。守る側は、VPN の認証情報と過剰な権限のアカウントの管理、不審な管理者アカウントの作成、EDR の削除操作、シャドウコピーの削除を監視すべきである。Lynx や INC 向けの検知が有効とされる [s2]。

Tengu ransomware は、2025年10月9日に最初の被害者をリークサイトに掲載したRaaS型のランサムウェアである。データを窃取してから暗号化する二重恐喝を採り、アフィリエイトとの収益配分は80対20とされる[s4]。2026年3月にはShisa Ransomwareへ改称した[s4]。ビルドはWindows、Linux、ESXi向けで、ファイルヘッダを狙う断続的暗号化により高速化を図る[s4]。攻撃ではRDP/VPNへの窃取認証情報による侵入、公開アプリの悪用、フィッシングで足がかりを得る[s5]。侵入後はPowerShellなどのLOLBinを使い、LSASSメモリから認証情報を取得し、sc configでWindowsの保護関連サービスを無効化し、wevtutilでイベントログを消去する[s5]。データはRcloneやWinSCPでMEGAへ送り、vssadminでシャドウコピーを削除した後、.tengu拡張子を付けて暗号化する[s5]。守る側は、これらLOLBinの不審な実行、サービス無効化、ログ消去、シャドウコピー削除、MEGAへの大量通信を監視する点が要となる[s5]。

The Gentlemen は、2025年中頃に登場したランサムウェア・アズ・ア・サービス（RaaS）で、Go 言語で書かれ Garble で難読化された Windows 向け暗号化プログラムである。Microsoft は運営者を Storm-2697、Sophos CTU は GOLD SHERWOOD と呼ぶ [s3][s5]。ファイルごとに Curve25519 の鍵と XChaCha20 を使い、複数の横展開手法で自己増殖する [s5]。アフィリエイトは侵入後、Rclone などでデータを窃取してから暗号化する二重恐喝を行い、EDR キラーやバックアップ破壊で防御を回避する [s3][s4]。初期アクセスには FortiGate の脆弱性や、多要素認証のない VPN の漏洩認証情報が使われたとされる [s3]。守る側は、リモートアクセスの強化、MFA の導入、管理者操作の監視、C:\PerfLogs など配置先ディレクトリや窃取ツールの異常な使用の検知を優先すべきである [s3]。

WannaCry は Windows を標的とする暗号化型ランサムウェアで、ビットコインでの身代金支払いを要求する [s4]。2017年5月に150か国以上へ拡散し、米国政府は北朝鮮政府によるものと公式に帰属した [s1]。ドロッパーが SMBv1 の脆弱性 MS17-010（EternalBlue）を悪用して内部ネットワークへ自己増殖し、DoublePulsar の有無も確認する [s1][s2]。暗号化には RSA と AES を併用し、シャドウコピー削除や DB・Exchange 関連プロセスの停止も行う [s2]。守る側は MS17-010 のパッチ適用が最優先であり、mssecsvc2.0 サービスや tasksche.exe の作成、445/TCP のスキャンを監視し、IOC や YARA ルールで検知する [s1]。バックアップの取得も欠かせない [s4]。

Warlock は、Warlock Group と名乗る攻撃グループが展開するランサムウェアである。2025年6月初旬にロシア語圏フォーラム RAMP で、アフィリエイト向けのランサムウェアサービスとして宣伝された[s3]。Sophos の CTU はこのグループを GOLD SALEM として追跡しており、2025年3月ごろから脅迫を始めたとみている[s4][s5]。暗号化したファイルには拡張子 .x2anylock が付き、データは RClone で外部へ送出される[s2]。侵入にはオンプレミス版 SharePoint の脆弱性（ToolShell）が使われ、Web シェル設置、GPO の作成、Guest アカウントの管理者化を経て、バッチファイルでランサムウェア本体が配布される[s2][s3]。その前にセキュリティ製品のプロセスを終了させるツール（vmtools.exe）も使われる[s3]。守る側は、SharePoint への早期パッチ適用と、w3wp.exe 配下での cmd.exe や msiexec の起動、不審な GPO 作成、管理者グループへのアカウント追加の監視が要となる[s2][s4][s5]。

White Rabbit は2021年12月に米国の地方銀行への攻撃で確認された新種のランサムウェアである[s1]。Egregor に倣った隠ぺい手法を持ち、FIN8 との関連の可能性が指摘される[s1]。ペイロードは約100KBの小さなファイルで、内部設定の復号に必要なコマンドラインのパスワードを与えないと動作を観察しにくい（解析検体は -p KissMe）[s1]。侵入時には偵察やペイロード投下に Cobalt Strike のコマンドが使われたとされる[s1]。実行時は主にセキュリティソフト関連のプロセスやサービスを終了させ、固定・リムーバブル・ネットワークドライブのファイルを暗号化する。暗号化したファイルごとに「.scrypt.txt」の脅迫状を作り、窃取データの公開や販売で脅す二重恐喝を行う[s1]。守る側は、セキュリティ製品の停止、Cobalt Strike の痕跡、.scrypt.txt の生成を監視し、多層の検知・対応とIRプレイブックを備えるべきである[s1]。

AuditCred は Lazarus（特にサブグループ Bluenoroff）が使うとされるモジュール型バックドアのローダー DLL である。Trend Micro は BKDR_BINLODR.ZNFJ-A として検出する [s1]。サービスとして起動し、暗号化されたバックドア本体 Msadoz<n>.dll をメモリ上で復号・実行する。暗号化された設定ファイル Auditcred.dll[.]mui から C&C 情報を取り出して接続する。マシンごとに AuditCred や ROptimizer といった名前が使われるが、実質的に同一のファイルである [s1]。2018年9月に中南米の金融機関で確認され、2017年の FileTokenBroker.dll を使った攻撃と手口が似ている [s1]。バックドアはファイル・ドライブ情報の収集、追加マルウェアのダウンロード、リバースシェル、他プロセスへのコード注入、プロキシ利用などの機能を持つ [s1][s5]。ローダーと設定ファイルは System32、本体は別の ado ディレクトリに置かれるため、検出と除去が難しくなる [s1]。守る側は、不審なサービス登録、ado フォルダ内の見慣れない DLL、アプリケーション制御による不正プログラムの実行阻止、ネットワークの定期的な監視に注目すべきである [s1]。

AutoItで書かれた不正プログラムの総称であり、AutoItは1999年から使われているWindows向けの軽量なスクリプト言語である[s1]。本来は操作の自動化に使う正規ツールで、フリーウェアとして配布される[s2][s4]。攻撃では、VBSやLNKが curl で Autoit3.exe と暗号化済みの .au3 をダウンロードして実行させ、DarkGate などのペイロードを復号してメモリ上の別プロセスへ注入する[s2][s4]。DarkGate では実行後6時間以内に Cobalt Strike や Meterpreter が配備された例がある[s4]。AutoIt が選ばれる理由には、習得しやすく、UPXパックで難読化しやすい点がある[s1]。守る側は、Autoit3.exe と .au3 の組み合わせや、curl の複製による取得、スタートアップへの LNK 作成を監視するとよい[s2][s4]。Pastebin などのコード共有サイトの遮断も推奨されている[s1]。

DOWNIISSAは、LODEINFOバックドアを展開するために使われるダウンローダー型のシェルコードである[s3]。Kaspersky は2022年6月にSFXファイルを使った攻撃を確認した際、この新しいシェルコードを併せて観測したと報告している[s3]。攻撃では、LODEINFOを感染端末のメモリ上に読み込ませる前段の役割を担うとされる[s3]。ITOCHU Cyber & Intelligence は、2023年に観測されたLODEINFOのダウンローダーシェルコードについて、既知のダウンローダーDOWNIISSAとの類似点を解説している[s2]。LODEINFOの感染はスピアフィッシングメールに添付された悪性のWord文書から始まり、最終的にLODEINFOがメモリに注入される[s2]。守る側は、マクロ付きOffice文書やSFXファイルの実行、DLLサイドローディングといった初期感染の手口に注意し、メモリ上で動作するシェルコードの挙動を確認する必要がある[s2][s3]。

Flagproは、BlackTechによる攻撃で使われるマルウェアである。NTT Securityが報告し、日本企業への攻撃では少なくとも2020年10月から使われているとされる[s4]。攻撃の初期段階でネットワークの偵察と標的環境の確認を行い、第2段階のマルウェアをダウンロードして実行する役割を持つ[s4][s5]。感染は取引先を装ったスピアフィッシングメールから始まる。パスワード付きのZIPまたはRAR内の悪意あるマクロ入りxlsmファイルが、スタートアップフォルダに実行ファイルを作成する。この実行ファイルがFlagproで、多くは「dwm.exe」の名で置かれる[s5]。Flagproは初回実行時にOSコマンドで得た情報をHTTPでC2へ送り、C2から追加コマンドや第2段階のペイロードを受け取る。通信はBase64で符号化され、接続間隔も設定できる[s4]。v2.0では外部接続時に表示される「Windows セキュリティ」のダイアログを自動で閉じる[s4]。守る側は、マクロ付きファイルを含むパスワード付きアーカイブの受信と、スタートアップフォルダに作られるdwm.exeを確認すべきである[s5]。

Get2 は TA505 が使うダウンローダー型マルウェア（ローダー）である。Proofpoint は 2019 年 9 月に初めて観測し、TA505 が 9 月 9 日から初期ダウンローダーとして使い始めたとしている[s3]。マクロ付き Excel などの添付やリンク経由で配布され、FlawedAmmyy、FlawedGrace、Snatch、SDBbot を二次ペイロードとして取得した[s3]。実行すると、ユーザー名、PC 名、Windows のバージョン、実行中プロセス一覧を C2 へ POST し、返されたペイロードの URL からダウンロードして実行する[s4]。DLL は独自のパッカーで難読化されている[s4]。同じ crypter が 2019 年 9 月から使われ、Clop/CryptoMix や MINEBRIDGE との重複も指摘された[s1]。2020 年 12 月には設定パラメータ "LD" と "ED" が加わり、EXCEL.EXE に加え WINWORD.EXE への注入もできるようになった[s5]。守る側は、Office マクロの実行制限と、Office プロセスからの DLL 読み込みや注入の監視が要点となる[s3][s5]。

Gootloader は JavaScript ベースのローダ型マルウェアであり、バンキング型トロイの木馬 Gootkit の配信手法として知られ、Sophos が配信機構を切り離して命名した [s2][s3]。攻撃では、侵害した正規サイトに SEO ポイズニングで契約書などを探す利用者を誘導し、偽フォーラムから JS 入りの ZIP を落とさせる。JS を実行すると wscript.exe 経由でスケジュールタスクが作られて永続化し、後段の PowerShell が端末情報を収集して C2 通信を始める [s1][s5]。Cobalt Strike、REvil、Kronos、SystemBC などの配信に使われてきた [s2][s5]。守る側は、ZIP 内の JS の実行や wscript.exe・cscript・PowerShell の連鎖、不審なスケジュールタスクの作成を見るべきである。ファイル作成は第1段階のみで以降はメモリ内で動くため、従来型の保護では対応しにくい [s2]。JS は難読化され、サンドボックス回避の遅延も使うため、シグネチャ検知は難しい [s4][s5]。

IcedIDはメールやブラウザなどの認証情報を窃取するトロイの木馬型の不正プログラムであり、バンキングトロイの木馬ともされる[s2][s4]。2017年9月にIBM X-Forceの研究者が初めて確認し、開発者は不明とされる[s5]。他のマルウェアを二次感染させる機能も持つ[s2]。感染は、日本語の攻撃メールに添付されたパスワード付きZIP内のWord文書から始まり、マクロ実行でIcedIDがダウンロードされる[s2]。窃取したメール認証情報で過去のやり取りに返信する形の攻撃メールを送る[s2]。Google広告を悪用したマルバタイジングでも配布され[s3]、後にランサムウェアの展開や内部での横展開にも使われるようになった[s5]。守る側は、Word文書やZIP添付、「コンテンツの有効化」操作に注意し、感染が疑われればフルスキャンとパスワード再設定を行う[s2]。msiexec.exeへのプロセスホローイング、%AppData%配下の不審なスケジュールタスク、net viewやnltestの実行も監視の対象となる[s5]。

kamikaze.sh は、TeamPCP が 2026 年 3 月の Trivy 供給網攻撃で用いたシェルスクリプトであり、TeamPCP cloud stealer の動作を担ったとされる。三つの版に変化したとされる [s3]。ICP 上の予備 C2 から段階的に改良されたペイロードとして配信された [s4]。後の版では trycloudflare[.]com 上の kamikaze.sh が kubectl を取得し、kube.py を実行して自身を削除する。kube.py は Kubernetes 上でタイムゾーンやロケールからイラン環境か判定し、イランなら全ノードを消去・強制再起動する DaemonSet を、それ以外ならバックドアを導入する DaemonSet を展開する [s5]。守る側は、kube-system の host-provisioner 系 DaemonSet や特権コンテナの作成、/tmp/pglog の生成、ICP canister や trycloudflare[.]com への通信を監視するべきである [s5]。GitHub Actions は版タグでなく SHA で固定することが推奨されている [s4]。cipherforce は TeamPCP と連携するランサムウェアグループとされる [s3]。

NETXLOADER は、Trend Micro が 2024年11月の攻撃で確認して命名した、.NET でコンパイルされた新種のローダである [s2]。コード保護ツール .NET Reactor 6 で難読化され、JIT フッキングも用いるため解析が難しいとされる [s1][s2]。Agenda（Qilin）ランサムウェアの攻撃で、追加ペイロードである SmokeLoader や Agenda ランサムウェアを密かに展開する役割を担う [s2]。ある攻撃では、侵入後に NETXLOADER が外部サイトから SmokeLoader を取得し、続いて別の NETXLOADER が Agenda を実行するとされる [s5]。配布時のファイル名は展開後に rh111.exe のような形式へ変更される [s2]。守る側は、.NET Reactor で保護された不明な .NET 実行ファイルへの警戒、既知の C2 ドメインの遮断、リモートアクセス経路への多要素認証、ネットワーク分割、オフラインバックアップの維持が要点とされる [s5]。

NOOPLDR は、MirrorFace（Earth Kasha）が使うバックドア NOOPDOOR のローダーである [s2]。NOOPDOOR はシェルコード形式で、正規アプリケーションへ自身をインジェクションして動作する [s2]。起動方式は XML 型と DLL 型の二種類がある。XML 型は MSBuild で XML 内の難読化 C# コードをビルドして実行し、DLL 型は DLL サイドローディングで正規アプリケーションにロードされる [s2]。レジストリやデータファイルを MachineId と ComputerName をもとに AES（CBC モード）で復号して注入し、実行後は再度暗号化してレジストリに保存する [s2]。DLL 型は制御フロー平坦化で難読化されており、JPCERT/CC が解析補助ツールを公開している [s2]。守る側は、MSBuild による XML の実行、レジストリ上の暗号化データ、スケジュールタスクの登録（イベント ID 4698）、SMB 経由のファイルコピー（イベント ID 5145）を監視するとよい [s2]。

SentinelAgentCore.dll は、SentinelOne の署名付き正規実行ファイル（SentinelMemoryScanner.exe、SentinelUI.exe）に同名の DLL として読み込ませる不正 DLL である [s2][s3]。Shadowpad では、正規の署名付き実行ファイルの脆弱性を突くサイドローディング用 DLL として使われ、ペイロードを復号してメモリに読み込む役割を持つ [s2]。Secureworks が確認した ScreenConnect の脆弱性悪用事案では、SentinelUI.exe が本 DLL を読み込み、DLL が Logs.txt を開いて復号し、Cobalt Strike Beacon を動かした。Secureworks は本 DLL を Cobalt Strike Beacon のローダーと位置づけている [s3]。守る側は、署名付き実行ファイルが同じ場所の見慣れない DLL を読み込む挙動に注意すべきである。DLL 検索順序の悪用は検出が難しいとされ [s5]、完全修飾パスでの読み込みや SetDllDirectory("") による現在のディレクトリの除外が対策として示されている [s4]。

shield.msiはkawaグループが使うとされるMSI形式のファイル名であるが、このファイル自体の挙動や配布経路を述べた文書は与えられた資料中に無い。MSIはWindowsのインストーラーパッケージ形式であり、LocalSystem権限での実行が可能なため、攻撃者のマルウェア展開手段として魅力的だとされる[s3]。悪用例では、被害者はフィッシングメール経由でMSIを受け取り、実行時にUAC警告を受け入れると、内部のバイナリが非同期で走り続ける[s3]。守る側は、更新プログラムを装うMSIや、昇格権限で動くカスタムアクションに注意すべきである[s3]。なお、Sysdig Host Shieldも同名に近いMSIで配布される正規製品であり、名前だけで判断せず入手元を確認する必要がある[s5]。

SmokeLoader は、侵害した端末に追加のマルウェアを送り込むモジュール型のダウンローダー型トロイの木馬である。2011年に確認され、別名 Smoke Bot、Dofoil を持つ [s5]。MaaS として流通し、ツールキットは400〜1,650米ドルとされる [s3]。バックドア、ランサムウェア、情報窃取型などを投下できる [s3]。主な感染経路はフィッシングメールの添付ファイル、ドライブバイダウンロード、悪用キット、クラックソフトへの同梱である [s5]。感染後は C2 サーバーから追加モジュールを取得し、PROPagate 手法で Internet Explorer などの正規プロセスにコードを注入して偽装する [s3]。Trend Micro は Agenda ランサムウェアの攻撃で、新ローダー NETXLOADER とともに使われた事例を報告している [s1]。守る側は、ネットワーク上で初めて見る通信先への接続、新しいユーザーエージェントを伴う HTTP 通信、実行ファイルの不審なダウンロード、外向き通信の異常を監視する [s3]。EDR の導入、パッチ適用、多要素認証、フィッシング対策教育も挙げられている [s5]。

TrickBot は 2016 年に確認された、サイバー犯罪グループが開発・運用するトロイの木馬である。当初は金融情報を盗む銀行型トロイの木馬として作られ、のちにモジュール型で多段階のマルウェアへ発展した[s1][s5]。主にスピアフィッシングの添付ファイルやリンク経由で配布され、Excel マクロや悪意ある JavaScript から C2 サーバーを介してダウンロードされる[s1][s4]。感染後は認証情報の窃取、SMB を悪用した横展開、Windows Defender の無効化に加え、Ryuk や Conti などのランサムウェアの投下にも使われる[s1][s5]。TrickBot はスケジュールタスクやサービスの作成で永続化する[s1][s4]。守る側は、不審な IP アドレスのブロック、ウイルス対策ソフトの利用、フィッシング対策の教育、最小権限の徹底、ネットワーク分離、感染端末の隔離、通信の異常の監視を行うべきである[s1][s5]。

Truebot は Silence[.]Downloader の名でも知られるダウンローダー型のボットネットである。2017年に初めて確認され、金融機関を狙う Silence Group との関連が指摘される [s3][s5]。当初は悪意あるメールの添付で配布されたが、近年は Netwrix Auditor の脆弱性 CVE-2022-31199 の悪用や Raspberry Robin 経由の配布も確認されている [s1][s3]。感染後は C2 と通信して情報を収集し、FlawedGrace を投下するほか、数時間後に Cobalt Strike ビーコンをメモリに注入した例がある [s1][s3]。LSASS のダンプ、データ持ち出し、システム・プロセスの列挙が続き、Clop ランサムウェアの実行にも至った [s3][s5]。起動直後に EDR やアンチウイルスの有無を調べる挙動がある [s5]。守る側は CISA 公開の YARA ルールやドメイン IOC によるメモリ・ディスクの探索、Netwrix Auditor 10.5 へのパッチ適用が要点となる [s1][s4]。

TSCookie は攻撃グループ BlackTech が使うとされるマルウェアである。2015年から確認され、トレンドマイクロは PLEAD と呼ぶ [s1]。TSCookie 自体はダウンローダーで、C&C サーバーからモジュールを取得して機能を拡張し、取得したモジュールはメモリ上でのみ動作する [s1]。調査された検体は、情報送信などの機能を持つ DLL（TSCookieRAT）を取得した。TSCookieRAT は任意のシェルコマンド実行、ドライブ・システム情報の送信、ファイル操作、主要ブラウザや Outlook のパスワード収集を行う [s1]。侵入後の環境では、EXE または DLL 形式のローダーが同じフォルダ等にある RC4 暗号化済みの本体を復号して実行する [s2]。通信は HTTP、HTTPS、独自プロトコルに対応する [s2]。守る側は、文書記載のファイル名パターンや通信先ホストを確認し、感染有無を調べる必要がある [s1][s2]。JPCERT/CC は設定情報を抽出するデコードツールを GitHub で公開している [s1]。

Vatet Loaderは、攻撃グループGOLD DUPONTの手口の一部として使われるローダー型マルウェアである[s1]。攻撃では、正規ソフトのNotepad++をトロイの木馬化したものとして実行された[s1]。config.datをXOR方式で復号し、メモリを確保して自身のメモリ内に展開し、ペイロードを実行する。XOR処理が合っていれば任意のペイロードを読み込む[s1]。config.datの差し替えにより、PyXie、LaZagne、Mimikatzによる情報収集や、最終段階のRansomExx本体の実行にも使われた[s1]。トレンドマイクロの事例では、IcedIDによる初期侵入から約5時間でランサムウェアが展開された[s1][s2]。SMBによる水平移動の際にVatetの配信が検知された[s2]。守る側は、正規ソフトに見えるファイルが設定ファイルを読み込んで動く挙動や、SMB経由の不審な配布を監視する必要がある。許可リストで正規アプリのみに実行を絞ることも対策として挙げられている[s2]。

攻撃者が独自に作成した情報窃取型のマルウェアである。Symantec の調査では、アジアの政府機関などを狙う諜報活動で使われた未知のインフォスティーラー（Infostealer[.]Logdatter）が確認され、ShadowPad に取って代わったものとされる[s4]。機能はキーロギング、スクリーンショット取得、SQL データベースへの接続と照会、ファイルを読み込んでその中のコードをプロセスへ注入する動作、ファイルのダウンロード、クリップボードの窃取である[s4]。侵入後、ProcDump や Mimikatz などの認証情報窃取ツールや各種リモートアクセス型のツールと併用されていた[s4]。守る側は、組織の構成に含まれないソフトウェアの稼働を、セキュリティ製品が悪意あると判定しない場合でも不審とみなし、DLL 順序ハイジャックの兆候とあわせて実行中のプロセスを精査する必要がある[s4]。なお、文書中に devman がこのツールを使った記述は見当たらない。

Lumma Stealer はロシア語圏の開発者に由来するとされ、2022年半ばから活動する情報窃取型マルウェアである。Telegram 経由でアクセスを販売するMaaSとして提供される [s3]。開発・運用者は Microsoft により Storm-2477 として追跡され、購入した契約者は管理パネルでバイナリ生成やC2・窃取情報の管理を行う [s5]。侵入時は偽CAPTCHAでPowerShellコマンドを貼り付けさせる手口や、GitHubのリリース機能の悪用で頒布され [s2][s3]、ブラウザの認証情報、Cookie、暗号資産ウォレットなどをC2へ送出する [s3]。最近はブラウザ指紋取得もC2通信に加えている [s1]。守る側は、「ファイル名を指定して実行」へのコマンド貼り付けやPowerShellの隠しウィンドウ実行、ダウンロード元URLと電子証明書の検証を重点的に確認すべきである [s2][s3]。

MirrorStealer は攻撃グループ MirrorFace（Earth Kasha）が使う独自の認証情報窃取マルウェアである。ESET が 2022 年の Operation LiberalFace の調査で初めて公表した[s5]。ブラウザ（Chrome、Firefox、Edge、Internet Explorer）、メールクライアント（Outlook、Thunderbird、Becky、Live Mail）、グループポリシー基本設定、SQL Server Management Studio に保存された資格情報を窃取する[s2]。国内で普及するメールソフト Becky! も対象で、日本向け作戦のために作られた可能性があるとされる[s4]。攻撃ではバックドア LODEINFO がメモリ上に読み込み、新たに起動した cmd.exe に注入して実行する[s4]。窃取結果は TEMP フォルダのテキストファイルに保存され、外部送信は LODEINFO が担う。MirrorStealer 自身には送信機能がない[s4]。守る側は TEMP に残る資格情報のテキストファイルや、cmd.exe への不審な注入を確認する必要がある[s4]。ブラウザやメールソフトに資格情報を保存しない運用も被害を減らす。

RedLineは.NET製の情報窃取型マルウェアである。2020年初頭にロシア語圏の地下フォーラムで宣伝され、買い切りまたは月額のMaaS形態で販売された[s5]。ブラウザの認証情報やCookie、暗号資産ウォレット、FTP・VPNクライアント、Discordなどから情報を盗み、端末の稼働プロセスやセキュリティ製品の一覧も収集する[s3][s5]。配布はスピアフィッシングや、クラック版ソフトに偽装した手口で行われ、Amadeyなど他のマルウェアから投下される例もある[s1][s3][s4]。トレンドマイクロは、EVコード署名を付けた検体を配布した後、同じ経路からランサムウェアも配布した事例を報告している[s1]。収集データはSOAPメッセージでC2へ送られ、C2設定はBase64とXORで暗号化されている[s3][s4]。守る側は、二重拡張子のファイルや.lnkの実行、GitHubやDropboxなど正規共有サービス経由のダウンロードに注意すべきである[s1][s4]。Windows Defenderの無効化を試みる部品も確認されている[s4]。2024年10月にはOperation Magnusで主要サーバーが停止された[s5]。

TeamPCP cloud stealer は、攻撃グループ TeamPCP が用いる主要ペイロードであり、認証情報窃取型のマルウェアである[s3]。2026年3月19日の Trivy 侵害で導入され、Checkmarx KICS の侵害でも3段階のペイロードとして注入された[s3]。CI/CD で実行されると、Runner[.]Worker のメモリ（/proc/<pid>/mem）から平文のシークレットを読み取り、SSH 鍵、AWS/GCP/Azure の認証情報、Kubernetes のシークレット、暗号資産ウォレットを収集する[s4][s5]。収集データは暗号化されて tpcp.tar.gz にまとめられ、Trivy 側の正規名に似せたドメインへ送信される。送信に失敗すると、被害者の GITHUB_TOKEN で tpcp-docs リポジトリを作って格納する[s5]。守る側は、GitHub Actions をタグでなく SHA で固定し、組織内の tpcp-docs リポジトリや不審なドメインへの通信を確認するべきである[s5]。

Ursnifは、Gozi・ISFBの名でも知られるバンキング型のマルウェアである。2015年にソースコードが流出しGitHubで公開されたため、複数の攻撃者が機能を追加して開発を続けている[s1]。端末情報やプロセス一覧、認証情報、金融情報を盗み、キー入力も記録する。収集データはアーカイブしてC&Cサーバーへ送られ、追加の部品も取得する[s1]。主な配布経路はマルスパムで、マクロ有効化を促すOffice文書を開かせ、rundll32.exeでDLLを実行させる[s1][s5]。検索広告を悪用するマルバタイジングでも配布され、VHDコンテナ内のInstaller.batから導入される例がある[s3]。Hancitor感染の後続として入ることもある[s5]。永続化のためレジストリを更新する[s5]。守る側は、マクロ付き文書の制限、/api1/や.dat、.aviで終わる特徴的なHTTPリクエスト、無効な発行者情報を持つ証明書のHTTPS通信、opendns[.]comを使うIPアドレス確認のDNS通信を監視するとよい[s5]。

Vidarは2018年にロシア語圏の地下フォーラムで現れた情報窃取型マルウェアであり、Arkeiのソースコードを元にしたとされ、開発者「Loadbaks」が永久ライセンス300ドルで提供する[s2]。サービス型で販売される[s5]。2025年10月6日公開のVidar 2.0はC言語で書き直され、マルチスレッド化とChromeのAppBound暗号化の回避が加わった[s2]。ブラウザの認証情報、Cookie、暗号資産ウォレットなどを盗み、ZIPにまとめてC2へ送り、自身を削除する[s4][s5]。C2の所在はMastodon、Telegram、Steamのプロフィールに埋め込まれる[s4]。盗んだログは闇市場で売られ、ランサムウェア攻撃者の初期侵入に使われる[s4]。同じ配布経路からランサムウェアが送られた事例もある[s3]。守る側は、広告経由やスパムメールからの配布[s5]、約700MBに水増しされた実行ファイル[s4]、空のUser-Agentを持つHTTP POST[s4]に注意し、セキュリティソフトとメール対策を使う[s5]。

WinMainSvc.dll(キーロガー)は、ランサムウェアグループ Crypto24 が侵入後の工程で使うキーロガーである。Trend Micro によれば、同グループは Windows 標準の sc.exe で「sc create WinMainSvc type= share start= auto」というサービスを作成し、キーロガーを自動起動で常駐させる[s2]。同グループはキーロガーを資格情報の収集に使い、継続的な監視にも用いるとされる[s2]。キーロガー一般は、入力内容を傍受・記録し、ローカルに保存するか外部サーバへ送信する[s3]。守る側は、見慣れないサービスの新規作成（sc.exe による作成）と、%ProgramData%\Update\ 配下のスクリプトを定期実行するスケジュールタスクを監視したい[s2]。多要素認証を有効にすれば、パスワードが盗まれても不正アクセスを防ぎやすい[s3]。

AppleJeus は、北朝鮮の国家支援とされる Lazarus Group が暗号資産の窃取に用いるマルウェアの総称である。米 FBI・CISA・財務省は、暗号資産取引アプリに偽装した改変版として配布されていると評価し、2018 年以降の使用を挙げている[s1]。Malpedia は Celas Trade Pro に偽装して拡散したバックドアと説明する[s4]。Windows と macOS の両方で確認され、正規企業のサイト風の Web サイトに加え、フィッシングやソーシャルネットワーク、ソーシャルエンジニアリングで利用者にダウンロードさせる[s1]。2022 年の BloxHolder では、偽サイトの MSI や Office 文書から正規アプリと同時にスケジュールタスクと不正ファイルが仕込まれ、連鎖的な DLL サイドローディングと独自暗号による文字列・API 呼び出しの難読化で検知を逃れるとされる[s5]。守る側は、第三者の取引アプリの導入経路、スケジュールタスクの新規作成、システムフォルダへの不審なファイル配置を監視すべきである。CISA は版ごとの解析報告書と IOC を公開している[s1]。

BackConnectは、感染端末を攻撃者が永続的に遠隔制御するためのボット型マルウェアである。トレンドマイクロ製品ではQBACKCONNECTとして検出され、BlackBastaとCactusの2グループが足場の強化に用いた事例が分析されている[s1]。リサーチャーの報告では、2023年に停止措置を受けたローダ型マルウェアQakBotとの関連を示す痕跡があるとされる[s1]。攻撃ではITサポートを装いQuick Assistで遠隔接続させた後、OneDriveStandaloneUpdater.exeによるDLLサイドローディングでローダのwinhttp.dllを読み込ませ、settingsbackup.datからバックドアを復号する流れが確認された[s1]。感染後は不正コマンドの実行や認証情報などの収集が可能になる[s1]。守る側は、メール爆撃に続くTeams経由のサポート詐称、Quick Assistの許可、OneDriveフォルダ内への不審なDLL配置とその起動を監視すべきである[s1]。

BADFLICK は APT40（Leviathan）が使うバックドアである。ファイルシステムの変更、リバースシェルの生成、C2 設定の変更ができるとされる[s4]。Malpedia では win[.]badflick として分類されている[s5]。初期侵入の足場となる第一段階のバックドアの一つに挙げられ、パスワードダンパー HomeFry と併用された例もある[s4]。コマンドライン引数が3個の場合、Leviathan の MockDLL と同様のプロセスホローイングで regsvr32 の偽プロセスにコードを入れ替え、5個の引数で自身を再起動する。このとき自身のファイルを削除し、C2 サーバとの通信を始めるとされる[s3]。守る側は、メインモジュールのメモリ領域が実ファイルに対応しないプロセスや、「go」引数とパスを伴って動くプロセスを検知の手掛かりにできる[s3]。

Bankshot は Lazarus Group（Hidden Cobra）が使うとされるバックドア型マルウェアである。別名に COPPERHEDGE、Trojan Manuscript、FoggyBrass があり、種別はバックドアとトンネリングに分類される[s4]。金融機関や暗号資産取引所を狙うフィッシングでは、悪性 Word 文書が Adobe Flash の脆弱性 CVE-2018-4878 を突き、第2段階のペイロードとして本体を取得・実行する[s5]。本体は HTTP 上の独自プロトコルで C2 と通信し、ホストの User-Agent を流用して通信を目立たなくする[s5]。任意コマンドの実行、ファイル収集と送出、プロセス終了、タイムスタンプ変更、痕跡の削除も行う[s2]。C2 通信では公開証明書を使った偽の TLS ハンドシェイクで偽装する[s2]。防御側は、Office 文書内の Flash オブジェクトと外部ドメインからのダウンロード、HTTP 通信の User-Agent の不自然さ、偽 TLS セッションを監視するとよい。文書では YARA シグネチャによる検知例も示されている[s5]。

BLACKCOFFEEは、通信をGithubやMicrosoftのTechnetポータルといった正規サイトへの通常の通信に見せかけて隠すバックドア型マルウェアである[s4]。ZoxPRCが発展したものとされ、APT17の特徴的なマルウェアで、APT41も自らの作戦で同じものを使っているとされる[s5]。JPCERT/CCは、日本の組織を狙う攻撃グループがAgtid、Hikit、McRAT、Preshin、Derusbiなどとともに本マルウェアを使うことを確認している[s1]。この攻撃グループは、ファイルとして保存せずメモリ上だけに存在するマルウェアを使うことがあり、ディスク調査だけでは見つからない場合がある[s1]。守る側は、メモリダンプをオフラインで調べる必要がある。JPCERT/CCが公開したVolatility用プラグインapt17scan.pyは、メモリダンプからBlackCoffeeなどを検出できる[s1]。Malpediaには検知用のYARAルールも公開されている[s4]。

CanisterWorm は npm パッケージを介して自己増殖するワームである。追跡名 TeamPCP の攻撃者が使うとされ、2026年3月20日に多数の npm パッケージへ混入された[s2]。Trivy 侵害で盗んだ npm トークンを燃料とし、60 超のパッケージが 24 時間以内に感染した[s4]。感染は postinstall スクリプトで始まり、Python 製バックドアを systemd ユーザーサービス「pgmon」として root 権限なしで常駐させる[s3][s5]。C2 には Internet Computer のキャニスターを使い、約 50 分ごとに問い合わせて 2 次ペイロードを取得する[s4][s5]。盗んだ npm トークンで管理下のパッケージを列挙し、版を上げて再公開して拡散する[s3]。守る側は postinstall の新規出現や Base64 ペイロードを監視し、npm・CI/CD の秘密情報を更新し、pgmon サービスと /tmp 上の不正ファイルを削除する。インストール時スクリプトの実行制御も有効とされる[s3]。

China Chopper は、Web サーバ上で遠隔からコマンドを実行させるための Web シェル型バックドアである。サーバ側は ASP、ASPX、PHP、JSP、CFM などで書ける一行程度のスクリプトで、攻撃者は専用のクライアントから接続する [s4]。2013 年の FireEye 報告の時点で既に観測されている [s5]。攻撃では、Exchange Server の脆弱性を突いて ASPX ファイルを設置したり、OAB 仮想ディレクトリの ExternalUrl に埋め込んだりして、サーバ上で任意のコードを実行する足場とされる [s1][s3][s5]。設置後は quser などによる情報収集や Mimikatz による認証情報の取得、他ホストへの Web シェルのコピーが確認されている [s3][s4]。守る側は、公開アプリケーションにパッチを適用し、イントラ用の SharePoint を外部から隔離することが求められる [s2][s3]。通信は毎コマンド HTTP POST で、z0、z1 などのパラメータにコマンドが base64 または 16 進で入るため、この通信パターンの検知と ChopShop での解読が手がかりになる [s4]。

Cryptoistic は macOS 向けのマルウェアであり、MITRE ATT&CK では S0498 として登録され、Lazarus Group が使用するとされる [s4]。トロイの木馬化された暗号資産取引アプリとして 2020年5月初めに VirusTotal に現れ、Swift で書かれ、Objective-C へのブリッジコードを多く含む。2020年4月2日に macOS 10.15.2 の環境でコンパイルされた [s2]。感染後は C2 と暗号化通信を行い、通信には TCP を使う。ローカルのファイルの取得、ファイルの送受信、削除、ユーザー情報の収集ができ、削除対象のファイルを探すためにディレクトリも走査する [s4]。守る側は、出所の不明な暗号資産取引アプリの導入を制限し、macOS 端末から C2 へ向かう通信とファイルの削除や送受信の挙動を監視する必要がある。この対策の部分は文書の記述からの推論である。

Dacls は、北朝鮮の国家支援グループ Lazarus が使うとされる遠隔操作型トロイの木馬（RAT）である。Qihoo 360 Netlab が 2019 年 12 月に発見し、Windows と Linux の両方を狙う [s4]。のちに macOS 版も確認され、正規の OTP 認証ツール MinaOTP を作り替えた「TinkaOTP」に仕込まれていた [s1]。Lazarus との関連は、過去の攻撃にも使われた配布サーバーとの通信に基づく [s4]。モジュール式で、Windows ではプラグインを遠隔から読み込む。通信は TLS と RC4 の二重暗号で保護し、設定ファイルは AES で暗号化する [s4]。プラグインにより、コマンド実行、ファイル管理、プロセス管理、TCP 8291 番ポートへのスキャンなどを行い、リバース P2P プラグインで C2 への直接接続を避ける [s4]。macOS 版は LaunchDaemon と LaunchAgent で永続化する [s1]。守る側は、Confluence の CVE-2019-3396 に対するパッチ適用が推奨されている [s4]。macOS 版の C2 ドメインは正規の通信も扱うため、ブロックすると他サイトに影響が出うる [s1]。

Derusbi は中国系のサイバー諜報グループが使うとされるバックドア型のトロイの木馬（RAT）である。Unit 42 は少数の攻撃者グループに固有と考えられるマルウェアファミリーとし [s4]、Fidelis は中国系の攻撃者との関連が広く報じられていると述べる [s5]。CrowdStrike は DEEP PANDA が好んで使う RAT とし、盗まれた証明書で署名された検体を確認した [s2]。Unit 42 が調べた Windows 版 DLL は暗号化ペイロードを読み込むローダーで、復号に 32 バイトの鍵が必要であり、レジストリキーやパイプ名などの痕跡を残す [s4]。Fidelis は、ファイル操作・コマンド実行・遠隔操作の機能を持ち、メモリ常駐やタイムスタンプ改ざん、プロセス隠蔽を行う 64 ビット Linux 版を報告した。Windows 専用の製品を回避しうる [s5]。守る側は、Windows 製品だけに頼らず Linux 側も監視し、侵入の痕跡やC2通信を確認する必要がある [s5]。Microsoft Defender は TrojanSpy:Win32/Derusbi.A として検出する [s3]。

DEWMODE は、TA505（CL0P ランサムウェアグループ）が使用したとされる Web シェルである [s1]。トレンドマイクロは PHP 製のバックドア Backdoor.PHP[.]DEWMODE.A として検出名を付けている [s2]。攻撃では 2020〜2021 年にゼロデイ脆弱性を使って、インターネットに公開された Accellion FTA サーバーへ設置された [s1]。設置後は OS コマンドの実行とデータ窃取に使われ、遠隔の攻撃者の指示でサーバーからのファイル取得や痕跡の削除を行う [s1][s2]。痕跡削除では /tmp/.scr と /tmp/.out という一時ファイルを作り、処理後に消す [s2]。動作には Web サーバー上に置かれる必要がある [s2]。守る側は、公開ファイル転送サーバー（Accellion FTA）の脆弱性（CVE-2021-27101〜27104）への対応 [s2] と、ソフトウェアの定期的なパッチ適用・脆弱性評価 [s1] が要点となる。

Dtrackは、Lazarus Groupによるものとされるリモートアクセス型トロイの木馬（RAT）であり、諜報と偵察に用いられる[s5]。Macnicaの分析ではLazarusが使うRATの1つとされ、msupdate.exeの内部に暗号化されて埋め込まれ、実行時にメモリ上へ展開される。文字列の大部分はRC4で暗号化されている[s3]。国内企業の海外拠点の事案では、BITSでダウンロードされていた[s3]。感染機器の情報やディスクボリュームのデータをC2へ送るほか、ファイルの送受信、任意コマンドの実行、自己削除の機能を持つ[s3]。キーストロークの記録や、スケジュールタスク・レジストリによる永続化も行う[s5]。守る側は、BITSによる不審なダウンロード、不審な実行ファイル、新規のスケジュールタスク、未知の宛先へのHTTP POST通信を確認する[s3][s5]。EDRによる検知が有効とされる[s5]。

FALLCHILL は、北朝鮮政府が用いるとされるリモート管理型のマルウェア（RAT）である。米政府は同国の悪意あるサイバー活動を HIDDEN COBRA と呼ぶ [s1]。FALLCHILL は、他の HIDDEN COBRA マルウェアが落とすファイル、または攻撃者に侵害されたサイトからの意図しないダウンロードで感染する [s1]。永続化のため外部ツールやドロッパーで導入され、Windows サービスとして導入された例もある [s1][s4]。C2 サーバーから二重のプロキシ経由で、ディスク情報の取得、プロセス作成、ファイルの検索・読み書き・実行、タイムスタンプ改変、マルウェア自身の削除などを遂行する [s1]。通信は偽の TLS と RC4 暗号を用いる [s1][s4]。守る側は、IOC の IP アドレスが自組織の割当範囲内にないか確認し、境界ログの通信を調べる。ネットワークシグネチャや YARA ルールも併用し、他の HIDDEN COBRA マルウェアの存在も疑う [s1]。

Go言語で作られた攻撃者独自のバックドアを指す汎用的な表記である。具体例としてCISAは、中国の国家支援とされる攻撃者が使うBRICKSTORMを、ELF形式のGoまたはRust製カスタムバックドアと報告している。最初に解析された8検体はGo製である[s1]。Goは単一のコードを主要OS向けにコンパイルでき、攻撃者に好まれる特徴があるとされる[s5]。BRICKSTORMはVMware vSphereとWindows環境を対象とし、長期の潜伏に使われる。C2通信ではHTTPS、WebSockets、入れ子のTLS、DoHを用いて通常の通信に紛れ、対話型シェルやファイル操作も可能である[s1]。守る側はCISAが公開するIOC、YARAおよびSigmaルールで検体を確認し、検知時はCISAなどへ報告する[s1]。Go製バイナリは平均4.65MBと大きい[s5]。

HOPLIGHT は北朝鮮政府が用いるとされるトロイの木馬型マルウェアである。米国政府は同国政府による悪意あるサイバー活動を HIDDEN COBRA と呼ぶ [s1]。CISA の解析報告は 20 個の悪性実行ファイルを扱い、うち 16 個は攻撃者との通信を隠すプロキシで、公開 SSL 証明書を用いた偽の TLS ハンドシェイクを生成して接続を偽装する [s1]。FortiGuard Labs は、同報告にバックドア、ドロッパー、情報窃取、認証情報収集、RAT などが含まれると整理している [s4]。解析された 32 ビット Windows 実行ファイルは、OS バージョンやボリューム情報、システム時刻を収集する [s1]。守る側は、CISA が公開した IOC と YARA ルールで PolarSSL 証明書を含む実行ファイルを調べ、関連する通信や挙動を検知した際は CISA または FBI に報告し、最優先で緩和策を講じる必要がある [s1][s5]。

hosts.exe は、Qilin ランサムウェアの侵入事案で ThreatLocker が確認した C2 ビーコン用の実行ファイルである。ランサムウェア配備の前に、既知の不正ドメイン cloudflariz[.]com と約10分間隔（ばらつき1〜3分）で通信しており、これが不審な活動の最初の明確な兆候になった [s5]。静的解析では、ドメインと comm.php のハートビートページを含むビーコン設定が確認された [s5]。動作は三つで、再起動後も残るようスタートアップフォルダにショートカットを作成すること、C2 サーバーとイベントを送受信すること、50秒の実行遅延用スタブ関数である [s5]。起動時には Windows API を動的に解決し、コンソールウィンドウを非表示にして検知を避ける [s5]。守る側は、定期的な外部通信とスタートアップフォルダへの不審なショートカットを監視するとよい [s5]。

HotCroissant は、米国政府が HIDDEN COBRA と呼ぶ北朝鮮政府の悪意あるサイバー活動で使われたトロイの木馬であり、CISA が 2020 年 2 月に MAR として公開した[s1][s4]。Cobalt Strike 型のビーコン機能と RAT 的機能を併せ持つインプラントである[s3]。感染後はハードコードされた C2（94.177.123[.]138:8088）へ被害端末情報を送り、その後 C2 の命令を待ち受ける[s1][s3]。システム調査、ファイルのアップロード／ダウンロード、プロセス・コマンド実行、画面キャプチャが可能で、通信は圧縮のうえ独自の XOR 方式で符号化される[s1]。サービス停止やファイル削除、スケジュールタスク「Java Maintenance64」による永続化の試みも報告されている[s5]。守る側は、上記 C2 への通信の遮断、CISA 公開の YARA ルールと IOC による検知、不要なソフトのインストール権限の制限を押さえるべきである[s1]。

KEYMARBLE は北朝鮮の関与が指摘されるマルウェアであり、Microsoft Defender Antivirus は Trojan:Win32/KeyMarble として検出・削除する [s4]。この脅威は攻撃者の選んだ複数の動作を感染端末上で実行できるとされる [s4]。Malpedia には Windows 向けファミリー win[.]keymarble として登録されているが、解説文は無く、YARA ルールのみが公開されている [s5]。CISA の北朝鮮関連の公表資料一覧に KEYMARBLE の個別の解説は含まれていない [s1]。守る側は、Defender などでの検出名 Trojan:Win32/KeyMarble を確認し、検出後は定義ファイルを更新してフルスキャンを行い、削除後に残るファイルやシステム変更を調べるべきである [s4]。Malpedia の YARA ルールは自動生成で、単一サンプルに基づくため汎用性に限りがあるとされる [s5]。

Kivars は、Bifrost RAT から派生したモジュール構造のリモートアクセス型バックドアであり、BlackTech が 2010 年のキャンペーンで使用したとされる [s5]。Trend Micro は、BIFROST のソースコードを入手したとみられる Shrouded Crossbow が作った BIFROSE・KIVARS・XBOW の一つと位置付け、BIFROSE より機能は少ないが保守しやすいとする [s2]。感染端末ではファイルのダウンロードと実行、ドライブ一覧の取得、スクリーンショット取得、キーロガーの開始と停止、ウィンドウの表示と非表示、マウスクリックやキー入力の遠隔操作、マルウェア自身のアンインストールができる [s2][s5]。64 ビット版も確認され [s2]、Trojan.Win64.KIVARS[.]AB は他のマルウェアにより投下されるか、悪性サイトから意図せずダウンロードされて侵入し、外部 URL へ接続する [s3]。配布にはスピアフィッシングメールが使われ、添付ファイルは RTLO 手法で偽装されおとり文書を伴う [s2]。守る側は、RTLO で偽装された添付の検査、不審な外部通信の監視、キー入力やスクリーン取得を行う不審なプロセスの確認に注意すべきである。BlackTech は Linux 向けも含め複数のマルウェアを使うため、Windows で見つかった場合は Linux 環境も確認することが推奨される [s1]。

LEMURLOOT は、Clop（CL0P、TA505）が MOVEit Transfer の SQL インジェクション脆弱性 CVE-2023-34362 の悪用後に設置した、C# 製とされる Web シェルである[s1][s2]。Progress Software のファイル転送製品 MOVEit Transfer に対し、2023年5月27日から悪用された[s1][s4]。Web アプリ内に human.aspx を装う human2.aspx の名で置かれ、バックドアとして働く[s5]。X-siLock-Comment ヘッダーに正しい認証値がなければ HTTP 404 を返す[s2]。認証後は X-siLock-Step1〜3 ヘッダーで操作され、SQL データベースや Azure 設定の取得、ファイル窃取を行う[s2][s5]。「Health Check Service」名の管理者アカウントを作成・削除し、再侵入にも使われた[s2][s5]。守る側はパッチ適用、ファイアウォールでの接続元制限、不正ファイルとアカウントの削除、サービス認証情報の再設定を行うべきである[s2]。Web サーバーを再構築してもデータベースに残るアカウントを確認する必要がある[s5]。

LODEINFOは、2019年から主に日本を狙う攻撃で使われてきたバックドア型マルウェアである[s2]。MirrorFace（Earth Kashaとも呼ばれる）が2019年ごろから継続して使用しており、2019年の攻撃キャンペーンのころから主要なバックドアとされる[s1][s3]。感染すると被害端末を遠隔から操作できる[s3]。2023年以降の攻撃では、Cobalt StrikeやNOOPDOORと使い分けられ、侵入後にSMBでコンポーネントをコピーし、schtasks.exeやsc.exeを悪用して複数の端末へ展開した[s2]。NOOPDOORは遅くとも2021年にはLODEINFOの二次検体として使われていた[s3]。守る側は、管理共有経由のファイルコピーやタスク登録を監視するとよい。タスク登録はセキュリティログのイベントID 4698、SMB経由のコピーは「詳細なファイル共有の監査」を有効にしたときのイベントID 5145で記録できる[s1]。

Orzは、Proofpointが追跡するスパイ活動アクター（Leviathan）の使用ツールとして挙げられるカスタムのJavaScript型マルウェアである。「NanHaiShu」とも呼ばれるマルウェアとともに記載されている[s4]。同アクターはメールの添付ファイルやURLで標的に接近し、マクロ付きのExcelやWord文書、CVE-2017-0199・CVE-2017-8759、Publisherファイルを悪用した[s4]。導入にはJavaScript、HTA、PowerShell、WMI、regsvr32などが使われ、導入コードは頻繁に改変される一方、バックドア本体のコードは比較的変化が少ないとされる[s4]。永続化用の処理はバックドアと別ファイルに分けられ、スタートアップへのショートカット作成で自動起動を図る[s4]。守る側は、添付文書のマクロ実行、スクリプト言語やregsvr32経由の実行、スタートアップフォルダへの不審なショートカット作成を監視するとよい[s4]。

OVERSTEP は、SonicWall の SMA 100 シリーズ機器を狙って確認された、ユーザーモード型のルートキット兼バックドアである。GTIG は未知のマルウェアとして観測した[s2]。攻撃者 UNC6148 は管理者資格情報を得た後、base64 でデコードした ELF を設置し、ログを消去して再起動することで有効化した[s2]。/etc/ld.so[.]preload に共有ライブラリを登録して起動のたびに読み込ませ、起動スクリプトと INITRD も改変して永続化する[s4]。リバースシェルの確立、パスワードや persist[.]db・証明書の窃取、ログの選択的削除を行う[s2][s4]。窃取対象には OTP シードも含まれる[s3]。守る側は、/etc/ld.so[.]preload の有無、/usr/lib/libsamba-errors.so.6、改変された INITRD と rc[.]fwboot を調べ、dobackshell や dopasswords を含む HTTP リクエストを監視する[s4]。ルートキットの干渉を避けるためディスクイメージを取得して調べる[s2]。ファームウェア 10.2.2[.]2-92sv への更新と、全資格情報の再設定が推奨される[s3]。

PLEADは、攻撃グループBlackTechが使うバックドア型のマルウェアである。Trend Microは、PLEADを自称名のバックドアとして、文書を狙う窃取ツールDRIGOと並ぶ道具立てに挙げている[s4]。スピアフィッシングメールの添付ファイルやクラウドストレージへのリンクで送り込まれ、インストーラーは右から左への上書き（RTLO）で文書に偽装される[s4]。機能は、ブラウザやOutlookなどに保存された認証情報の収集、ドライブ・プロセス・ファイルの列挙、リモートシェル、ファイルのアップロード、削除などである[s4]。Windows版に対しLinux版のELF_PLEADがあり、コードの多くを共有する。通信はWindows版がHTTP、ELF_PLEADが独自プロトコルで、RC4暗号化とLZO圧縮を用い、設定もRC4で暗号化される[s1]。ELF_PLEADにはプロキシ機能もある[s1]。守る側は、Windows環境で見つかった場合にLinux環境も確認することが推奨される[s1]。侵害済みルーターがC&Cや配布サーバーに使われた例もあるため、ルーターも確認対象となる[s4]。

PortStarterは、Trend Microがバックドア型マルウェア（Backdoor.Win64.PORTSTARTER.A[.]go）として検出するプログラムである。他のマルウェアに投下されるか、悪意あるサイト閲覧時に意図せずダウンロードされる形で端末に入る[s2]。Sophosの調査では、Vice SocietyやRhysidaのランサムウェアを展開した同一の攻撃クラスタが、SystemBCや時にCobalt Strikeとともに使っていた[s4]。確認された6件のうち、PortStarterが見られたのはVice Societyの4件であった[s4]。実行時にはPowerShellでWMIからドメイン名を取得し、OpenDNSに対するnslookupを実行する[s2]。外部のIPアドレスの443番ポートへ接続する[s2]。守る側は、これらのPowerShell・nslookupの挙動と443番ポートへの不審な通信を監視するとよい。侵入経路はMFA未設定のVPNアカウントの悪用が共通しており、VPNへのMFA適用が対策となる[s4]。

RATANKBA は Lazarus グループが使うバックドア型マルウェアである。2016年末から活動していた可能性があるとされる[s2]。当初は PE 形式の実行ファイルで、2017年6月には PowerShell スクリプト版が確認された[s2]。水飲み場型攻撃では最初期に送り込まれ、実行中タスク、ドメイン、共有、ユーザー情報などを調べ、特定の IP 範囲も探る[s1]。取得した情報は、NetBIOS 走査ツールの結果と合わせて最終ペイロードの配布先選定に使われた[s1]。ルアー文書（Office 文書、CHM、スクリプトダウンローダー）で配布され、HTTP の GET/POST で C&C に被害者情報を送り、cmd によるシェル実行や DLL の反射的インジェクションなどの指示を受ける[s2]。通信は常時接続ではなく、バックドアが約120秒間隔で C&C に指示を取りに行く方式である[s2]。守る側は、URL に action=BaseInfo を含む定期的な HTTP 通信や、wmic によるプロセス一覧の取得を見るべきである[s2]。

SDBot は Windows 向けのバックドア型トロイの木馬のファミリーであり、感染 PC を攻撃者が遠隔操作できるようにする[s3]。感染後は IRC サーバーに接続してチャンネルに参加し、攻撃者の命令を受け取る[s3]。命令により他の PC への拡散、DoS 攻撃、システム情報の取得を行う[s3]。任意ファイルのダウンロードと実行、機密情報の窃取も行うとされる[s4]。Rbot や Spybot などの別名で呼ばれることがある[s5]。守る側は、IRC 通信の発生や、AppData・Temp 配下で動く不審なプロセスを監視するのがよい[s5]。感染が疑われる場合は、最新のウイルス対策製品でシステム全体をスキャンする。手作業での除去は推奨されない[s4]。

SystemBC は 2019 年に初めて確認されたプロキシ兼リモート管理ツール（RAT）型のマルウェアである。名称はコントロールパネルの URI 内の文字列に由来するとされ、Coroxy の別名を持つ [s3][s4]。感染端末を SOCKS5 プロキシ化し、C2 通信の隠蔽や追加ペイロードの配信に使われる。最新サンプルは Tor で C2 の宛先を隠す [s2][s4]。ランサムウェアのアフィリエイトが Ryuk や Egregor の攻撃で Cobalt Strike と併用し、管理者の認証情報を得て内部に侵入した後にサーバーへ展開した例がある。EXE、DLL、シェルコード、各種スクリプトを実行できる [s2][s3]。常駐にはスケジュールタスクを使う [s2]。守る側は、ProgramData 配下のランダム名ファイルとタスク、ポート 4044 への TCP 通信、Tor 通信、不審なプロキシ設定を確認すべきである [s2][s5]。マルウェア対策を一貫して導入し、正規の認証情報による無効化を防ぐ必要がある [s3]。

TAINTEDSCRIBEは、北朝鮮政府が使用するとされるトロイの木馬型のビーコン型インプラントである[s1]。米国政府はHIDDEN COBRAと呼ぶ活動の一環とみており、Lazarusによる利用とも報じられている[s1][s5]。本体はMicrosoftの Narrator に偽装し、起動するとユーザーのスタートアップフォルダに自身を「Narrator.exe」として複製して常駐する[s1]。C2サーバーからコマンド実行用モジュールを取得し、ファイルの送受信・削除・実行、WindowsのCLI利用、プロセスの作成と終了、感染端末の情報収集を行う[s1]。通信は偽のTLSハンドシェイクとLFSR方式の暗号化で隠される[s1]。FBIはプロキシサーバーと併用して被害網内に居座り、ネットワークへの侵入を広げるとみている[s1]。守る側は、スタートアップフォルダへのNarrator.exe作成を監視し、報告書のYARAルールやIOCで検知する対応が考えられる[s1][s5]。

ThreatNeedleは、Lazarusが使うマルウェアのファミリーであり、Kasperskyが命名したものである。Manuscrypt（別名NukeSped）の発展版にあたるクラスターとされる[s3]。2020年半ばには防衛産業への攻撃に使われ、COVID-19を題材にしたスピアフィッシングメールの添付Word文書のマクロから多段階で展開された[s3]。ペイロードはrundll32.exeで実行され、スタートアップ用のショートカットも作成された[s3]。感染後に認証情報を収集して横展開し、内部ルーターをプロキシ化してイントラネットのデータを外部へ送り出した[s3]。2024年11月には、韓国のソフトウェア企業でバックドアの亜種が正規のSyncHost.exeのメモリ上で動作し、Cross EXの子プロセスとして生成されていた[s5]。守る側は、Officeマクロを有効にさせる誘導メール、正規プロセスのメモリ内で動く不審なコード、国内製ソフトの脆弱性悪用を見る必要がある[s3][s5]。

TYPEFRAME は、米国政府が HIDDEN COBRA と呼ぶ北朝鮮政府の悪意あるサイバー活動に関連するトロイの木馬型マルウェアである。DHS と FBI の共同分析報告で、32 ビット・64 ビットの Windows 実行ファイルと VBA マクロ入りの Word 文書、計 11 検体が確認された [s1]。検体は、マルウェアのダウンロードとインストール、プロキシや RAT の設置、C2 サーバーへの接続による追加指示の受信、被害端末のファイアウォール変更による着信接続の許可を行う [s1]。大半は RC4 で暗号化された RAT で、ファイルのダウンロードや削除を行うほか、Windows ファイアウォールを開けるプロキシ型モジュールもある [s5]。ある検体は RAT をサービスとして登録し、system32 配下に laxhost.dll を展開する [s1]。守る側は、パッチと AV の更新、ファイル・プリンター共有の無効化、ユーザー権限の制限、強固なパスワード、各端末でのファイアウォール適用、メール添付の検査、Web 閲覧の監視が推奨されている [s5]。

UPPERCUTはANELとも呼ばれ、APT10が使うRAT（遠隔操作型マルウェア）であり、日本でのみ観測されたとされる[s5]。MirrorFaceの解説でも使用ツールに挙げられている。ANELはバージョン5.3.0以降の全検体が、不透明述語と制御フロー平坦化で難読化されているとされる[s5]。この難読化は解析を妨げるため、VMware TAUはIDA Proプラグイン HexRaysDeob を改修して元のコードを復元した[s5]。ANY[.]RUNの解析では、uppercut.exeが実行ファイルを展開・上書きし、cmd.exeを起動してattrib.exeでファイル属性を変更した[s3]。同検体のファイル情報には製品名UPPERCUT、会社名CODEFIREとある[s3]。守る側は、不審な実行ファイルの展開、cmd.exeの起動、attrib.exeによる属性変更の連鎖を監視したい[s3]。難読化があるため、静的解析だけに頼らず挙動も併せて確認すべきである[s5]。

Volgmer は、北朝鮮政府が使うとされるバックドア型トロイの木馬である。米 CISA は同国の悪意あるサイバー活動を HIDDEN COBRA と呼ぶ [s1]。AhnLab は Lazarus が 2014 年から使うバックドアとし、2022 年以降は Scout ダウンローダが代わりに使われたと述べる [s5]。感染端末の情報収集、ファイルの送受信、コマンド実行、プロセス終了、ディレクトリ一覧の取得ができ、2013 年以降、政府・金融・自動車・メディア業界への使用が観測された [s1]。主な配布経路はスピアフィッシングと疑われる [s1]。ランダムに選んだサービスの ServiceDLL を書き換えて常駐し、設定はレジストリ HKLM\SYSTEM\CurrentControlSet\Control\WMI\Security に暗号化して保存する [s1][s5]。通信は TCP 8080 や 8088 を使い、SSL を使う型もある [s1]。守る側は、CISA 公開の IP アドレス等の IOC と自組織の通信ログの照合、User-Agent「Mozillar/」の検知ルール、アプリケーションのホワイトリスト化、マクロ無効化が要点となる [s1]。

Waterbear は、サイバースパイグループ Earth Hundun（BlackTech とも呼ばれる）が使うモジュール型のマルウェアであり、2009 年以降に 10 以上のバージョンがあるとされる [s1]。DLL ローダーが RC4 で暗号化されたペイロードを復号して実行し、多くの場合ペイロードは追加モジュールを受け取る第 1 段バックドアである [s2]。起動には正規の実行ファイルによる DLL サイドローディングやフォールバック先の DLL の悪用が使われ、復号後のシェルコードは LanmanServer サービスに注入される [s1][s2]。過去の攻撃では主に横展開に使われ、C&C に内部 IP アドレスを指定した例もある [s2]。2022 年からは最新版の Deuterbear が使われている [s1]。守る側は、正規サービスが読み込む不審な DLL、レジストリ値の削除、内部 IP への通信を確認する必要がある [s2]。

BLINDINGCAN は北朝鮮政府が使用するとされるリモートアクセス型トロイの木馬（RAT）であり、米国政府は関連活動を HIDDEN COBRA と呼ぶ [s1]。JPCERT/CC は Lazarus が侵入後に使うマルウェアの一つとして分析している [s2]。攻撃では防衛関連企業の求人を装った文書が使われ、CVE-2017-0199 を悪用して外部サーバーから追加の部品を取得する [s1][s4]。ローダーが DLL を読み込むと動作し、C&C サーバーと HTTP POST で通信して、ファイル操作、プロセス操作、ファイルの送受信、サービス一覧の取得、任意のシェルコマンドの実行を行う [s2]。設定は RC4 や AES などで暗号化されている [s2][s4]。守る側は、設定が保存されるレジストリ値 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion の「SM_Dev16」で始まる値や、特徴的な POST パラメータを持つ通信を確認し、C&C 一覧のホストとの通信有無を調べるべきである [s2]。

FlawedAmmyy は、リモートデスクトップソフト Ammyy Admin のバージョン3の流出ソースコードを基にしたリモートアクセス型トロイの木馬（RAT）である。2016年初頭から使われ、遠隔操作、ファイル管理、プロキシ対応、音声チャットの機能を備える[s5]。TA505 が使うペイロードの一つで、ServHelper と併用される[s1][s3]。配布は、マクロ付き文書の添付やショートカット（.url）ファイル経由の JavaScript から Quant Loader を介する方法、.ISO 添付などで行われた[s5][s1]。C&C 通信は 443 番ポートの HTTP 上で行われ、感染端末は OS、権限、ユーザー名、コンピューター名、ウイルス対策製品名などを送信する[s5]。守る側は、メール添付ファイルのマクロの利用禁止と有効化しない周知、侵入を前提にした EDR による端末の不審挙動の監視が要点とされる[s3]。

FlawedGrace は、Proofpoint が命名した多機能のリモートアクセス型トロイの木馬（RAT）である。C++ で書かれ、2017 年後半に主に開発されたとみられ、Proofpoint が 2017 年 11 月に初めて確認した[s3][s4]。GraceWire、BARBWIRE の別名があり、TA505 との関連が報告されているが同グループに限られないとされる[s5]。Mandiant は FIN11 が少なくとも 2018 年から BARBWIRE を使い、同グループ専用と考えているとされる[s5]。攻撃では Truebot が読み込み、レジストリと印刷スプーラの操作で権限昇格と永続化を行う。暗号化したペイロードをレジストリに保存し、msiexec.exe と svchost.exe に注入する[s1][s5]。一時的な管理者ユーザーを作って RDP 接続を試みた例や、Cobalt Strike でのラテラルムーブメント後に各ホストへ読み込まれた例がある[s5]。守る側は、レジストリや印刷スプーラの不審な変更、一時ユーザーの作成、既知の C2 通信先を監視すべきである[s1][s5]。

gh0st RATは、キー入力の記録、スクリーンショットの取得、リモートシェル、ファイルのダウンロードなどを備えたリモートアクセス型トロイの木馬である[s2][s4]。ソースコードがオンラインで公開されており、一部を流用した亜種が多く、研究者の間でも何をGh0stと呼ぶかは一致していない[s2]。攻撃では最終ペイロードとして使われ、正規ソフトを装ったインストーラ経由で配信された事例がある[s4]。レジストリのRunキーやWindowsサービスによる永続化、イベントログやファイルの削除、DLLサイドローディング、RC4やXORによるC2通信の暗号化も確認されている[s5]。2025年の事例ではスケジュールタスクで永続化し、powershell.exeでWindows Defenderの除外を追加して、ポート8080の暗号化TCPでC2と通信した[s4]。守る側は、MSIのカスタムアクションの精査、Defender除外設定の変更、スケジュールタスクの作成、暗号化されたTCP通信の監視に注目すべきである[s4][s5]。

JQRAXY_HVNC は、FunkSec が自身のサイトで提供する C++ 製の HVNC（Hidden Virtual Network Computing）プログラムであり、サーバーとクライアントから成る[s2][s4]。FunkSec は暗号化ツールのほか、DDoS ツールの FDDOS やパスワード生成・収集ツールの funkgenerate なども配布しており、これらの多くは無料で、ハクティビズムに結び付くとされる[s2][s4]。本来の用途は、リモートデスクトップの管理、自動化、データのやり取りである[s2]。攻撃では、被害者の端末を利用者に気付かれずに遠隔操作するために使われる[s4]。FunkSec がハクティビスト活動に関与している可能性を示す根拠の一つとして、このツールの使用が挙げられている[s3]。守る側は、リモート操作ツールの不審な通信や常駐に加え、ランサムウェアの実行前後の挙動を含む実行の流れ全体を、静的な指標ではなく挙動で検知することが対策として示されている[s3]。

MagicRAT は、Cisco Talos が 2022 年 9 月に報告したリモートアクセス型トロイの木馬（RAT）であり、Lazarus が開発・運用するとされる [s3]。Talos は中〜高い確度で Lazarus の仕業と評価している [s3]。公開された VMware Horizon の脆弱性を突いて侵入した環境に展開されていた [s3]。Qt Framework で作られており、人手による解析や機械学習・ヒューリスティックによる自動検知を難しくする狙いがあるとされる [s3]。感染後はスケジュールタスクとスタートアップのリンクで常駐し、whoami、systeminfo、ipconfig /all で環境を調べる。攻撃者にはリモートシェルとファイル操作の機能が与えられる [s3]。カスタムのポートスキャナなど追加のペイロードも起動し、C2 は TigerRAT の新しい亜種の配布にも使われていた [s3]。守る側は、公開された VMware Horizon の脆弱性対策に加え、ProgramData\WindowsSoftwareToolkit の設定ファイルや OS 標準を装った名前のスケジュールタスクを確認する必要がある [s3]。

NanHaiShuは、F-Secureが2016年7月のホワイトペーパーで解析した不正プログラムであり、技術的にはリモートアクセス型トロイの木馬（RAT）である[s3]。フィリピン司法省、APEC首脳会議の主催者、国際法律事務所など、南シナ海の領有権紛争に関わる政府・民間組織が標的とされた[s3][s4]。配布にはスピアフィッシングメールが使われ、添付ファイルのVBAマクロが埋め込みのJScriptを実行する[s3]。この攻撃はOfficeの既定のセキュリティ設定がマクロ実行を許可するよう変更されている場合にのみ成立する[s3]。感染後は端末の情報を遠隔のC&Cサーバへ送信する[s3]。作成者は中国由来とされる[s3]。守る側は、Officeのマクロ実行を既定の無効設定のまま維持すること、業界用語で作り込まれた標的型メールの添付ファイルに警戒すること、C&Cサーバへの不審な通信を監視することが要点となる[s3]。

PyXie RAT は Python で書かれたリモートアクセス型トロイの木馬（RAT）であり、BlackBerry Cylance が報告した[s4]。2018年に初めて確認されたが過小評価されていたとされる[s5]。Unit 42 は、同じ金銭目的の攻撃グループが Vatet ローダー、PyXie、Defray777 ランサムウェアを使うと分析し、偵察と機密ファイルの持ち出し用に改変した PyXie Lite を挙げている[s3]。多段階の攻撃連鎖の最終段で動き、キーロギング、認証情報の収集、ネットワークスキャン、Cookie や証明書の窃取、画面や映像の取得、VNC、Socks5 プロキシ、Sharphound によるドメイン列挙などを備える[s4][s5]。通信は HTTP/HTTPS で、予備として GitHub Gists のコメントも使う[s5]。初期段階では LogMeIn や Google の正規バイナリで DLL をサイドロードし、Cobalt Strike と併用され、Tetris ゲームを改変したローダーも使われた[s4][s5]。守る側は、正規署名の実行ファイルによるサイドロード、一時サービス作成による SYSTEM 権限への昇格、GitHub Gists への通信を監視する点が手がかりになる[s4][s5]。