今週、TaniumのCTIチームは、認証情報のフィッシングとマルウェアの配布を組み合わせた新たな攻撃について取り上げます。 続いて、すでに活動を停止している「 」ランサムウェア・アズ・ア・サービス（RaaS）組織「Hunters International」に関する最新情報をご紹介します。 （新しいタブで開きます） 同組織は、データの恐喝に専念するため、ブランド名を変更しました。 最後に、チームは 2025年第1四半期のランサムウェアに関する最新のデータをまとめました。
認証情報を狙ったフィッシングとマルウェアを組み合わせた新たな攻撃
Cofenseは最近、 （新しいタブで開きます） において、認証情報のフィッシングとマルウェアの配布を組み合わせた攻撃を特定しました。
この攻撃で使用されているメールは、ファイルの削除を餌にしています。 このメッセージは、ファイル共有サイト「files[.]fm」と、正規のメールアドレスから送信されたものです。 被害者がメール内のリンクをクリックすると、正規の「files[.]fm」のURLにリダイレクトされます。 ここから、被害者はPDFをダウンロードすることができます。
[関連記事：フィッシングとは？ 知っておくべき種類、リスク、予防策] (新しいタブで開きます)
被害者がそのファイルを開くことを選択した場合、フィッシングやマルウェアによる攻撃を引き起こすことになります。 そのファイルは一見無害な内容のように見え、被害者に別のファイルのプレビューやダウンロードを促します。 ユーザーがアイテムをプレビューするかダウンロードするかに関わらず、攻撃は実行されます。
認証情報やマルウェアを用いたフィッシングは、どのように機能するのでしょうか？
- 被害者が「プレビュー」オプションをクリックすると、従来の偽装されたMicrosoft 365 のログインページにリダイレクトされます。 このページは、認証情報を盗み出そうとしています。
- 被害者が「ダウンロード」を選択すると、実行ファイルが端末に読み込まれます。 Cofenseの調査によると、ダウンロードされたファイル名は、被害者にOneDriveのインストーラーであると誤解させるように付けられていることが判明しました。 この攻撃により、ConnectWise RATがインストールされてしまいます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
このキャンペーンは、ファイルのプレビュー機能自体も悪意のあるものであるため、多くの従業員が訓練を通じて注意を払うよう指導されている点を利用しようとしています。
Cofenseの報告書では、さまざまな手口の組み合わせやオンラインファイル共有サービスの危険性が指摘されており、ファイル共有にあたっては組織の指針に従うことの重要性が改めて強調されています。
ハンターズ・インターナショナルは、データ恐喝へと事業を転換しました
「ハンターズ・インターナショナル」として知られていた、すでに活動を停止したランサムウェア・アズ・ア・サービス（RaaS）グループが、データの恐喝のみに焦点を絞るべく、活動体制を刷新しています。
Group-IBの研究者らは、 （新しいタブで開きます） において、同グループが昨年末に活動停止を発表して以来も活動を続けており、「World Leaks」と呼ばれる新たな恐喝専門の活動に注力していることを明らかにしました。
ハンターズ・インターナショナルとはどのような組織でしょうか？
「Hunters International」のRaaS（Ransomware-as-a-Service）活動は、当初 2023年10月 で発見され、これまでは二重恐喝攻撃を行ってきました。
このグループは「Hive」ランサムウェアグループと重なる部分があり、一部の研究者は「Hunters International」が「Hive」の名称変更版であると考えています。ただし、運営側は単に「Hive」からソースコードを購入しただけだと主張しています。
ハンターズ・インターナショナルはいくつかの国を標的としていますが、被害者が最も集中しているのは北米です。 同社が重点的にターゲットとしている業界には、不動産、医療、専門サービスなどが挙げられます。
アフィリエイトパネルの重要な役割
Group-IBは、このオペレーションのアフィリエイトパネルからもわかるように、管理者が非常にビジネス志向であるとしています。 Hunters Internationalの提携企業は、Webインターフェースを使用してランサムウェアをカスタマイズしたり、コマンドライン引数を用いてその一部を操作したりすることができます。
このアフィリエイトパネルには、ニュース、支払い、企業情報、開示情報といった、他のサービスにも見られるセクションも用意されています。 アフィリエイトが管理画面にログインすると、希望する標的を登録し、身代金の支払額を設定することができます。
パネルのニュースセクションにより、Group-IBはこの作戦について多くの知見を得ることができました。 このセクションには、提供されているサービスの詳細、運用に関する最新情報、バグ修正などについて記載されていました。
ターゲットを登録した後、攻撃者は、Group-IBが提供しているものと互換性のある実際のランサムウェアをダウンロードすることができます。 このランサムウェアの最新亜種は、身代金要求メッセージを表示したり、ファイルに拡張子を付加したりすることはありません。
また、アフィリエイトには、ハンターズ・インターナショナルが複数のオペレーティングシステムおよびアーキテクチャ向けに開発したツール「ストレージソフトウェア」へのアクセス権も付与されます。 これは、データの持ち出しを自動化し、攻撃者がデータをどこにもアップロードすることなく、情報を共有したり開示したりできるようにするために作成されたもので、データはハンター・インターナショナルのサーバー上に保持されます。
[関連記事：データ漏洩防止とは？ そして、なぜそれが必要なのか] (新しいタブで開きます)
ハンター・インターナショナルの事業終了とブランド変更
2024年11月において、同グループはパネルのニュースセクションに、プロジェクトがリスクが高く採算が取れなくなったため、これを終了する計画を発表するお知らせを掲載しました。 Group-IBの調査によると、この声明にもかかわらず、同グループは依然として活動を続けており、 2025 の初めに「World Leaks」という新しいプロジェクトを立ち上げたことが判明しました。
World Leaksは二重恐喝攻撃は行わず、恐喝のみを目的とした攻撃に専念しています。 Group-IBによると、この作戦では、アフィリエイトに対して、「Storage Software」ツールと類似しており、完全に検知されないデータ流出ツールを提供していると主張しているとのことです。
「World Leaks」の発表直後、運営側はインフラに問題があることを確認したため、同サービスの提供を一時停止しました。 アフィリエイトパネルに基づき、Group-IBは、World Leaksが再び活動を再開すると見ていますが、現時点ではこのデータ漏洩サイトにはまだ情報が公開されていません。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
ハンターズ・インターナショナルは、暗号化から方向転換し、データの身代金要求のみに注力するようになった最初のグループではありません。 しかし、そのリストは短いのです。 これだけでは、暗号化からの全面的な転換を検討するには不十分であるように思われます。とりわけ、暗号化は被害者にさらなるプレッシャーを与え、結果として身代金の支払いに至る可能性が高まる恐れがあるからです。
ランサムウェアから純粋な恐喝へと方針を転換するグループがどれほど増えるのか、また、暗号化手法への投資や開発を続けるグループがどれほどあるのか、注目されます。
また、Group-IBは、 にて、Hunters Internationalランサムウェアがさまざまなオペレーティングシステムをどのように標的としているかに関する技術的な詳細を、 （新しいタブで開きます） で公開しています。
ランサムウェアは依然として最大の脅威となっています
Rapid7’s 年最新レポート『 』（新しいタブで開きます） では、 2025年第1四半期のランサムウェアに関するデータを分析しており、企業がランサムウェアに対して引き続き積極的に対策を講じる必要性を強調しています。
このレポートでは、身代金の再投資、製品の再パッケージ化、組織の再編など、いくつかの注目すべき傾向について取り上げています。
「Key Rapid7 」ランサムウェアに関する調査報告書の主な結果
Rapid7によると、 2025年第1四半期には 80 の活動中のランサムウェアグループが存在し、そのうち16 は年初時点で新たに確認されたものでした。
断トツでトップだったのは Cl0pでした。 当四半期において、最も標的とされた業種には、製造業、ビジネスサービス、医療・ヘルスケアが含まれており、最も標的とされた国は、米国、カナダ、英国でした。
身代金の再投資
Rapid7 は、2月に流出した「Black Basta」 （新しいタブで開きます） のチャット記録から に関する知見をまとめ、ランサムウェアグループが身代金支払いの資金を再投資してゼロデイ脆弱性を購入していると結論づけました。
研究者たちがチャットのログを調べたところ、このグループが 2023 年に、Ivanti Connect Secureのゼロデイ脆弱性を200,000ドルで売りつけられていたことが判明しました。 このグループが実際に購入を行ったという確認は得られておらず、その直後に公表されたIvanti Connect SecureのCVEとも一致しませんが、この事実は、攻撃者が身代金で得た資金を用いて、 のゼロデイエクスプロイト（ （新しいタブで開きます） ）を購入している可能性があることを示唆しています。
さらに、 Rapid7 がBlack Bastaがジュニパーのファイアウォール向けのエクスプロイトを購入したという証拠を発見したことで、このことが裏付けられました。
ランサムウェアの再パッケージ化
ランサムウェアグループは、古い亜種を再利用しています。 2025 においてこれまでのところ注目すべき例として、で報じられたバブク（Babuk） （新しいタブで開きます） の復活説が挙げられますが、これは単にRansomHub、FunkSec、LockBitから流用されたコードに過ぎないことが判明しました。
ランサムウェアグループの再編
毎四半期見られるように、ランサムウェアグループは組織再編を続けており、一部のグループは活動を縮小し、新しいグループが登場し、アフィリエイトがグループ間を移動しています。
これに伴い、多くのランサムウェアグループも名称変更を行っています。
「 2025」で注目すべきランサムウェアグループ
Rapid7 社は、2025年第1四半期のデータに基づき、以下のグループに注目することを推奨しています：
- RansomHub
- Cl0p
- アヌビス
- リンクス
- 麒麟
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Rapid7 は、現在のランサムウェアの脅威状況を的確に要約しており、「いつも通りの状況であり、ビジネスは活況を呈しています」と述べています。 ランサムウェアは、新たなプレイヤーが次々と参入し続ける中、その勢いを維持し続けています。 あらゆる兆候が、この脅威が今後も続くことを示しています。
興味深いことに、 Rapid7 は、多くの組織が、絶えず調整を行ったり新たな脅威を取り入れたりするのではなく、「問題がなければ、無理に直さない」という姿勢を採用していることに言及しています。また、同レポートでは、組織が安全を確保するために講じることができる重要な対策 (新しいタブで開きます) についても取り上げています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ 、Taniumのディスカッションフォーラム （新しいタブで開きます）、、 にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめをご覧ください。 （新しいタブで開きます）。
