Funky Mantisランサムウェア、フル機能のRaaSプラットフォームを運用

Funky Mantis恐喝グループは、ごく普通のファイル暗号化ツールキットを、本格的な商用サービスへと作り変えました。メンバーはアフィリエイトを管理し、侵害済みネットワークへのアクセスを販売し、被害者との交渉まで統括しています。

研究者たちは、この組織がすでに開発段階を超えていることを示す痕跡を発見しました。少なくとも1件の実際の攻撃に使用されていたのです。

ビジネスさながらに構築された運営体制

Funky MantisはDevManとしても知られ、ランサムウェア・アズ・ア・サービス(RaaS)モデルで運営されています。管理者たちは、複数の目的を同時に果たす閉鎖的なインフラを構築しました。

参加者はこの基盤内で、侵害済みネットワークへのアクセスを取得したり、悪意あるプログラムのビルドを作成したり、被害者との交渉や支払い状況の追跡を行ったりすることができました。研究者はこのWebパネルの2つのバージョンを調査しています。

分析の結果、明確な発展の軌跡が浮かび上がりました。2025年後半以降、このサービスは徐々に成熟し、攻撃を指揮する一元管理型のプラットフォームへと変貌を遂げています。

パネルの初期バージョンには、マルウェア作成機能、財務セクション、被害者とのチャット、サポートデスクが備わっていました。実用的ではあるものの、まだ簡素なものでした。

2026年1月には、はるかに洗練された会計システムが導入されました。オペレーターはチームを編成し、メンバーを割り当て、支払い期限や被害者ごとの想定収益とともに、各攻撃の進捗状況を監視できるようになりました。

この体制により、単一の管理センターを通じて複数の作戦を同時に調整することが可能になりました。

参加者間の非公開メッセージから、グループの内部組織構造が明らかになりました。管理者は各国のネットワークへのアクセスを分配し、担当者を任命し、数日以内に作業を完了させるよう要求していました。

やり取りの中では、医療、重要インフラ、商業セクター、政府機関にまたがる組織名が挙げられていました。ただし、こうした主張の一部は単なる言い分にとどまっており、参加者が全てのケースで攻撃の成功を裏付けたわけではありません。

研究者たちはさらに、Funky MantisエンクリプターのWindows版ビルドを解析しました。その動作は、目新しさはないものの、極めて周到な手順を踏んでいます。

このプログラムはまず管理者権限を確認し、Windowsの保護機能の無効化を試みます。続いて特定のサービスを停止させ、システムのシャドウコピーを削除し、ネットワークリソースを探索したうえで、ローカルドライブや接続されたストレージ上のファイルを暗号化します。

処理が完了すると、マルウェアは身代金を要求するノートを残します。自身の実行ファイルを削除する場合もあります。

このロッカーはChaCha20-Poly1305アルゴリズムを採用しており、暗号化されたファイルには拡張子.devman21が付与されます。

その狙いは明らかに企業を標的としたものです。対象にはドキュメント、データベース、バックアップ、仮想マシン、ソースコード、そして医療システムに関連するファイルが含まれます。

Funky Mantisのオペレーターは、重要インフラへの攻撃を別途宣伝していました。産業制御システムを狙った特別な機能を謳っていたのです。

しかし、ある主張については裏付けが取れていません。このサービスはデータ窃取を宣伝していましたが、研究者はデータ持ち出し用のツールも、ファイルが実際に外部へ転送された証拠も発見していません。

Catalyst Prodaftの専門家は検知には振る舞いベースのアプローチを推奨しています。個々のファイルやハッシュ値を追いかけるのではなく、防御側は攻撃者の一連の行動パターンに注目すべきだとしています。

特に注意すべき兆候がいくつかあります。1つはリモートアクセス経由での不審なログインです。もう1つは、それに続く特権アカウントの使用です。

これらに加えて、SMBの活動、グループポリシーの変更、セキュリティツールの無効化、復旧メカニズムの除去にも目を配る必要があります。このアプローチであれば、攻撃の準備段階をはるかに確実に、そして何より、エンクリプターが実行される前に検知できます。