今週、Taniumのサイバー脅威インテリジェンス（CTI）チームは、 のランサムウェア・アズ・ア・サービス（RaaS）グループであるDragonForce について検証します。このグループは、非常に適応力が高く、危険な存在となっています。 また、Qilinが、世界で最も活発なランサムウェアの脅威の一つへと変貌を遂げた経緯についても探っていきます。 最後に、WhatsAppユーザーを標的とした「Water Saci」という現在進行中のキャンペーンについて検証します。
ドラゴンフォースが影響力を拡大しています
トレンドマイクロの最新レポート「Ransomware Spotlight 」では、DragonForceについて詳しく解説しています。DragonForceは、2023 年に初めて確認されたRaaSグループであり、現在ではこのエコシステムにおいて最も攻撃的なプレイヤーの1つと見なされています。 このグループは急速に進化し、ビルダーを悪用したリーク型攻撃から、完全なアフィリエイト主導型モデルへと移行しました。
「Water Tambanakua」として追跡されているDragonForceは、「BYOVD（Bring Your Own Vulnerable Driver）」といった高度な回避手法を採用しており、Windows、Linux、ESXi、NASにわたるマルチプラットフォーム攻撃に対応しています。 この攻撃は、単一のランサムウェアファミリーに依存するのではなく、リークされたLockBitやContiのビルダーを再利用するなど、多岐にわたるペイロードを活用しています。 アフィリエイトには、身代金収入の最大 80％が支払われるほか、攻撃の管理やカスタマイズのためのツールも提供されます。
2025年、DragonForceはランサムウェア・カルテルへと再編され、提携組織に対し、共有リソースを活用しつつ独自のブランドを構築するよう奨励しました。 2025年6月によると、このグループは、英国で大きな話題となった の小売業界における情報漏洩事件に関与していたとされています。。 By August, it introduced a data analysis service that creates tailored extortion materials, such as call scripts and pseudo-legal reports, targeting organizations with annual revenues of at least $15 million.
主な動向と目標
トレンドマイクロは、ドラゴンフォースが他のどの国よりも米国に大きな影響を与えたと結論づけました。 最も影響を受けている業種には、 製造業、建設業、およびIT業界が含まれます。 被害者は小規模事業者から大企業まで多岐にわたり、このグループの機会主義的な手口がうかがえます。
ドラゴンフォースの年表
- 2023： 流出していたLockBit 3.0 ビルダーを用いた最初の攻撃
- 2024年半ば： のアフィリエイトプログラムが開始されました。独自のランサムウェアが公開され、その後、Linux版も公開されました。
- 6月 2025： が英国の小売業界へのサイバー攻撃に関与していることが判明しました
- 3月 2025号： 、カルテルモデルへの移行
- 8月 2025： 、アフィリエイト向けデータ分析サービスの提供を開始
感染経路と技術的な詳細
DragonForceの「 」は、既知の脆弱性 （例：Ivanti Connect Secure、Log4Shell）を悪用して初期アクセスを獲得しており、多くの場合、初期アクセスブローカーとして「Scattered Spider」を利用しています。 このランサムウェアは、固定ドライブ、リムーバブルドライブ、およびネットワークドライブを暗号化することができ、暗号化処理の際に除外する文字列や拡張子のリストが組み込まれています。
また、持続性を確保するために侵害された管理者アカウントを利用し、権限昇格のためにトークンのなりすましを行い、横方向の移動にはPsExec、WMI、SimpleHelp RMMなどのツールを使用しています。
[新たな脅威に先手を打つ――Tanium Guardianの新しいSMBおよびRMMダッシュボードが、リアルタイムのリスク可視化と是正措置をどのように実現するかをご覧ください]
DragonForceは、防御を回避するためなどにセキュリティツールやサービスを無効化することや、MimikatzやLaZagneといった認証情報ダンプツールを展開することで知られています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このグループが、流出したビルダーの利用から独自のランサムウェアの開発やカルテルのような組織体制の構築へと移行したことは、ランサムウェアのエコシステムにおける専門化の傾向を示しており、犯行の特定や活動阻止をより困難にしています。
DragonForceが成功と存在感を維持できているのは、その手厚いアフィリエイト報酬や、通常はより高度なAPTキャンペーンで見られるようなBYOVDといった手法を採用しているためであると考えられます。
「Qilin」が、世界的なランサムウェアの脅威として台頭しています
Cisco Talosは、 において、Qilinランサムウェアグループが世界でも最も活発なランサムウェア脅威の一つへと変貌を遂げた経緯について詳細を公開しており、 2025年下半期には月平均 40 件以上の被害が確認されたことを明らかにしています。 このグループはRaaSモデルで活動しており、ファイルの暗号化と公開データ漏洩を組み合わせた二重恐喝の手口を用いています。
Qilin（旧称：Agenda）は、 2022年7月から活動を開始しており、幅広い国々を対象としながらも、特に米国、カナダ、英国に重点を置いており、フランスやドイツでも影響力を発揮しています。 Qilinはまた、複数のセクターをターゲットとしており、中でも特に製造業が挙げられ、次いで専門・科学サービス、そして卸売業が続きます。
10月、Qilin、DragonForce、およびLockBitは、戦略的提携を発表しました。 ReliaQuest（）によると、この提携により、各団体は技術、リソース、インフラを共有できるようになり、それぞれの能力が強化されることになります。
Qilinの戦術、技術、手順（TTPs）について解説します
- 最初のアクセス： Cisco Talosは、攻撃者が漏洩した認証情報を悪用してVPNへのアクセス権を取得し、おそらくADグループポリシーの変更を利用してRDPを有効にした可能性が高いと、中程度の確信度で評価しました。
[認証情報の漏洩を攻撃の入り口にさせないために――Active Directoryのセキュリティを強化し、攻撃者が横方向への移動を始める前に阻止する方法をご確認ください]
ある事例では、シスコ・タロスが、ダークウェブ上で認証情報が流出したわずか2週間後に、VPNに対する複数のNTLM認証の試行を検知しました。 VPN では、多要素認証（MFA） が設定されていませんでした。 - 偵察と情報収集： このグループは、ドメインコントローラーを列挙するために、
nltest.exeおよびnet.exeを実行しているのが確認されています。
また、Cisco Talos は、この攻撃者が、whoamiコマンドを利用してさまざまなユーザーの権限レベルを評価しているほか、tasklistおよびnetscanを使用して、プロセスやネットワークの情報を収集していることも確認しました。 - 認証情報の不正アクセスおよび流出： Cisco Talosが分析したインシデントでは、認証情報の窃取に利用され得るツールが格納された、パスワードで保護されたフォルダが確認されました。 Cisco Talosはこのフォルダ内のすべてのファイルを調査することはできませんでしたが、「mimikatz、NirSoft社が公開しているいくつかのパスワード回復ユーティリティ、およびカスタムスクリプトファイルが使用されていることを示唆している」と考えています。
レジストリを、WDigest UseLogonCredential、を有効にするように変更した結果、平文の認証情報がメモリに保存されるようになりました。 その後、データは単一のテキストファイルに統合され、攻撃者が管理するSMTPサーバーへ持ち出されました。 - データ流出の痕跡： 攻撃者はWinRARを使用して盗んだデータをパッケージ化し、手動での検査の際には、
mspaint.exe、notepad.exe、およびiexplore.exeといったオープンソースツールを活用して、ファイルを検査し、重要な情報を検索していました。
最近では、このグループは「Cyberduck」というオープンソースツールを使用して、クラウドサーバー（多くの場合、Backblaze）へのファイル転送を行っています。マルチパートアップロード設定を活用することで、大規模な情報流出を容易にし、その活動を正当なトラフィックに紛れ込ませています。 - 権限の昇格と横方向の移動： 盗まれた認証情報により、複数のIPアドレスやネットワーク共有へのアクセスが可能となりました。 攻撃者は、ファイアウォールとRDPの設定を変更し、ローカル管理者グループにアカウントを追加し、フルコントロール権限を付与するネットワーク共有を作成しました。 確認されたRMMツールには、AnyDesk、ScreenConnect、QuickAssistなどがあります。
[ハッカーは、ヘルプデスクを騙すことができればマルウェアなど必要ありません。ソーシャルエンジニアリングがデータの門戸を開く前に、それを阻止する方法をご確認ください]
- 防御回避： 攻撃者は、難読化されたPowerShellを使用して、AMSIおよびTLS証明書の検証を無効化し、制限付き管理者権限を有効にしました。 また、この俳優は、dark-kill や HRSword といったツールを使用して、EDR を無効化しようと試みました。
- 影響を与え、復旧を妨げる： Cisco Talosによると、Cobalt StrikeローダーやSystemBCといったリモートアクセスツールが、ランサムウェアの実行前に展開されていたとのことです。
- Qilinランサムウェア： Cisco Talosは、デュアル暗号化戦略と高度な仮想化標的型攻撃が特徴的な「Qilin.B」亜種も検知しました。 この亜種は、2種類の暗号化プログラムの展開に対応しています：
1.encryptor_1.exe（PsExecを介して複数のホストに拡散します） 2.encryptor_2.exe（単一のシステムから実行され、多数のネットワーク共有を暗号化します）
また、この亜種はPowerShellコマンドを使用してADのホスト名を列挙し、RSATモジュールをインストールするほか、ルートパスワードの変更やクラスタ保護機能の無効化を通じてESXi環境を執拗に標的とし、 fsutil を通じてシンボリックリンクの設定を変更し、ファイルへのアクセス範囲を拡大します。
その後、このアクターは から横方向の移動を開始し、 を通じてボリュームシャドウコピーサービスを変更し、すべてのシャドウコピーを削除した上で、暗号化された各フォルダに身代金要求メッセージを配置します。 各身代金要求書には、交渉用のTor URLと、ファイル拡張子に埋め込まれた固有の被害者IDが記載されており、これにより、支払いおよび指示に関する専用ポータルにアクセスできるようになっています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Qilinがデュアル暗号化ツール、クラウドベースの情報流出手法、およびAnyDeskやScreenConnectのようなリモートアクセスツールを活用していることは、成熟したモジュール式の攻撃アーキテクチャを反映しています。 さらに、Windows、ESXi、クラウドといったさまざまな環境を柔軟に切り替えて対応できる能力は、エンタープライズインフラストラクチャに対する深い理解を物語っています。
とはいえ、Qilinがこれほど活発で成功を収めているRaaSグループとして台頭してきたことは、驚くことではありません。 毎月 40 人以上の被害者を特定できるその能力は印象的であり、この活動が世界規模で、十分な規模を備えたものとなっていることを示しています。
「ウォーター・サシ」はWhatsAppを通じて拡散しています
トレンドマイクロは先日、「Water Saci」と呼ばれる現在進行中のマルウェア攻撃キャンペーンに関する調査報告書『 』を発表しました。この攻撃は、自己増殖型の感染チェーンを通じて、WhatsApp Webのセッションを標的としています。 このマルウェアは、スクリプトベースのローダー（VBS + PowerShell）を利用してファイルレス実行を行い、ブラウザのセッションを乗っ取り、WhatsAppでのメッセージ送信を自動化することで、ファイル名がランダム化された base64-encoded 個の悪意のあるZIPファイルを、すべての連絡先やグループに拡散させます。 このマルウェアは、高度な潜伏機能と電子メールを介したリアルタイムのコマンド制御を特徴としており、コヨーテ・バンキング型トロイの木馬と同様の戦術を採用しています。
攻撃チェーンの詳細
トレンドマイクロの調査により、Water SaciがWhatsApp Webを介して開始される、非常に体系的な感染チェーンを利用していることが明らかになりました。 この攻撃は、不審なファイルのダウンロードから始まり、セッションの完全な乗っ取りや自動的な拡散へと発展していきます。
主な段階は以下の通りです：
- 第1段階： 攻撃は、被害者が「
Orcamento-2025*.zip」という名前のZIPアーカイブをダウンロードして解凍した時点で始まります。 内部には、難読化されたVBSダウンローダー（Orcamento.vbs）が含まれており、New-Object Net.WebClientを使用して、tadeu.ps1をメモリ上で直接実行するPowerShellコマンドを発行します。これにより、ファイルレスでの実行が可能となり、 C2 に接続できない場合は、ハードコードされたデフォルト値にフォールバックします。 - 欺瞞的な仕掛け： このPowerShellスクリプトは、「WhatsApp Automation v6.0」と称するバナーを表示した後、コマンド＆コントロール（C2）インフラストラクチャと通信を確立し、標的リスト、メッセージテンプレート、およびタイミング設定を取得します。 一時的な作業領域を作成し、GitHubからWA-JSオートメーションライブラリをダウンロードし、後で使用するために悪意のあるペイロードを保存します。
- ブラウザハイジャック： このマルウェアは、インストールされているChromeのバージョンを確認し、適切なChromeDriverをダウンロードした上で、ブラウザ操作を自動化するSelenium PowerShellモジュールをインストールします。 このツールは、Chromeのプロセスを終了させ、古いセッションを消去し、被害者のChromeプロファイル（クッキーやトークン）をコピーすることで、QRコードをスキャンすることなくWhatsAppの認証を迂回します。 Chromeは、検出を回避するように設計された自動化フラグを搭載して再リリースされ、WhatsAppを完全に制御するためにWA-JSが注入されています。
- 拡散と情報漏洩： セッションの乗っ取りが有効な状態で、マルウェアはWhatsAppの連絡先をすべて収集し、それらを C2へ漏洩させます。 その後、 base64 エンコーディング、ランダム化されたファイル名、および個人に合わせたメッセージを用いて悪意のあるZIPファイルを配布します。その間、攻撃者は感染したマシン全体にわたるキャンペーンを一時停止、再開、監視するなど、リアルタイムで制御を維持します。
SORVEPOTEL バックドア
ダウンロードされたZIPアーカイブには、 Orcamento.vbs が含まれており、これはSORVEPOTELバックドアとしても知られています。 このコンポーネントは、ポルトガル語のシステムでのみ実行されるよう制限する言語チェック、デバッガーの検出、および単一インスタンスでの実行を強制するWMIベースのミューテックスなど、高度な解析回避技術を採用しています。 分析ツールが検出されると、このマルウェアは自己破壊ルーチンを実行します。
永続性は、レジストリの変更や、 \C:\ProgramData\WindowsManager\にある「 。」という名前のドロップされたコピーを使用したスケジュールされたタスクなど、複数のメカニズムを通じて実現されています。WinManagers.vbs
トレンドマイクロは、SORVEPOTELの最も洗練された機能は、そのデュアルチャネル C2 アーキテクチャであると考えています：
- 電子メールによる情報取得： このマルウェアは、IMAP接続を介して、ハードコードされたterra.com.brの電子メールアカウントにアクセスし、 C2 件のサーバーURLと設定データを取得します。 これらのメールには、複数の種類のURL（データエンドポイント、バックアップサーバー、PowerShellペイロードの配信先）が含まれています。 その後、攻撃者はこれらのアカウントに多要素認証（MFA）を導入しました。これにより運用上の遅延は生じましたが、インフラのセキュリティは向上しました。
- リアルタイム制御のためのHTTPポーリング： URLが取得されると、マルウェアはリアルタイムのコマンド実行のために、積極的なHTTPポーリングに切り替わります。 この仕組みにより、攻撃者は感染したマシン間でボットネットのような操作を一時停止・再開したり、連携させたりすることが可能となり、攻撃キャンペーンの最中においても動的な制御と適応性を確保できます。
対応しているコマンドには、システム情報の収集、PowerShellの実行、スクリーンショットの撮影、プロセスの列挙、ファイル操作、システムの電源制御（再起動／シャットダウン）などが含まれます。
ウォーター・サシの進化とコヨーテとの関連性について
トレンドマイクロの分析によると、「Water Saci」はバンキング型トロイの木馬「Coyote」と技術面および運用面で大きな類似点が見られ、両キャンペーンは同じブラジルのサイバー犯罪エコシステムに端を発している可能性が示唆されています。
主な重複箇所は以下の通りです：
- WhatsApp Webのセッションハイジャックを利用した自己増殖
- ChromeDriverとSeleniumを用いたブラウザの自動化と、WA-JSのインジェクションを組み合わせた手法
- ポルトガル語によるチェックやデバッガーの検出といった、高度な解析回避技術
- レジストリの編集、スケジュールされたタスク、およびドロップされたスクリプトによる持続的な足場
こうした重複は、より広範な傾向を浮き彫りにしています。すなわち、脅威アクターが、目立ちやすいコンパイル済みのペイロードから、正規のブラウザプロファイルやメッセージングプラットフォームを悪用する、目立たないスクリプト駆動型の攻撃へと移行しつつあるということです。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
感染経路としてWhatsApp Webが利用されるようになったことは、 のソーシャルエンジニアリングの手口が著しく進化していることを浮き彫りにしています。。 現在、攻撃者は、信頼されているコミュニケーションプラットフォームを悪用して、従来の電子メールベースの防御策を迂回し、ユーザーが慣れ親しんでいる点につけ込もうとしています。
また、このキャンペーンではファイルレス実行やリアルタイム制御機能が利用されているため、検知や封じ込めがより困難になっています。 この脅威は、特にその進化の経緯や最新の能力を考慮すると、注視しておく価値があります。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、 の最新のサイバー脅威インテリジェンスまとめ記事をご覧ください：。
