新たなランサムウェア「GenieLocker」、Windows・Linux・VMware ESXiシステムを暗号化

GenieLockerは、Toy Ghoulsグループ(BearlyfyまたはLabubuとしても知られる)に関連するカスタムランサムウェアファミリーです。Windows、Linux、VMware ESXiで稼働するシステムを暗号化する能力を持ち、現在はロシアの製造業をはじめとする関連業界を主な標的としています。

このランサムウェア株は、同グループがこれまで依存していたRedAlert、LockBit、Babukといったサードパーティ製ロッカーに代わるもので、オンプレミスのエンドポイントと仮想化インフラの両方にまたがる統一された暗号化フレームワークを提供します。

新たなランサムウェア「GenieLocker」

Toy Ghoulsは2025年以降、ロシアの組織を積極的に標的にしており、特に工業、建設、通信、金融、小売の各セクターが狙われています。

Clubs& Organizations

Kasperskyが報告した2026年3月のキャンペーンでは、同グループが単一の被害者環境内で、Windowsワークステーション、Linuxサーバー、ESXiホストにわたりGenieLockerを広範に展開したことが確認されています。

注目すべき点として、テレメトリからはロシア連邦への地理的な集中が顕著に見られる一方で、同グループが二重恐喝モデルを採用している証拠や、リークサイトを運営している証拠は現時点で確認されていません。

今回言及されているインシデントでは、Toy Ghoulsは信頼された外部パートナーからのOpenVPN接続経由で初期アクセスを獲得しました。これはVPNアプライアンス自体の脆弱性を突いたものではなく、窃取された有効な認証情報を悪用したものです。

ネットワーク侵入後、攻撃者はOpenSSH、SoftPerfect Network Scanner、SOCKS5プロキシ、Mimikatzなど各種ツールをインストールしました。さらに、既存のKeePassXCボールトからパスワードを窃取しようと試みています。

同グループはWindowsマシンへの横展開にRDPを、Linuxへの横展開にSSHをそれぞれ利用しました。ランサムウェアの広範な展開にはPsExecとPAExecを用い、コマンド&コントロール通信用にリバースSSHトンネルを確立していました。

GenieLockerのWindows版(MD5の例:5d62c1349b8981c396c9a23f4f8f053c)は、libsodiumライブラリを利用したC/C++製トロイの木馬で、多段階の解析回避処理を実装していることが、SecureListの報告により明らかになっています。

実行にはハードコードされた値に対してSHA-256で検証される「secret」16進数引数が必要で、これによりサンドボックス上での実行や他の攻撃者による無断使用を効果的に防いでいます。

このマルウェアには、IsDebuggerPresentおよびCheckRemoteDebuggerPresentによるチェックを用いたアンチデバッグ機能が組み込まれているほか、自身の.textセクションのCRC32を常時監視するウォッチドッグスレッドも備えています。コードの改ざんが検出されると、プログラムは動作を停止します。

Antivirus& Malware

暗号化に先立ち、GenieLockerはWindows、Program Files、System Volume Informationといったコアオペレーティングシステムのディレクトリを大幅に除外対象とし、OS本体とその実行チェーンへの支障を回避しています。

ローカルおよびネットワーク上の全ドライブを列挙し、データベース、バックアップ、仮想化、オフィス、ブラウザ関連のプロセスを終了させるとともに、関連サービス(VSS、SQL、バックアップ、VMware、OpenVPNエージェントの各サービスを含む)を停止させ、暗号化対象となるファイルへのアクセス可能性を最大化します。

クロスプラットフォーム暗号化とESXiへの重点

GenieLockerは、Windows、Linux、ESXiの各システムにわたるファイルおよびメタデータの暗号化にXChaCha20-Poly1305 AEADを利用しています。ファイルごとの鍵は、攻撃者のハードコードされた公開鍵を用いたCurve25519-XSalsa20-Poly1305で保護されます。

ファイルは設定可能な割合に基づき大きなチャンク単位(Windowsではデフォルトで0x1000000バイト、Linux/ESXiでは0x400000バイト)で暗号化され、実効的な被害を確実にするため最初のチャンクは常に暗号化対象となります。

暗号化された各ファイルには、ハードコードされた拡張子(例:.03ffc1c4a3da0f02)が付与され、並行処理制御用のロックファイルと、全オリジナルチャンクのCRC32およびBLAKE2b-256ダイジェストによる整合性チェック用のジャーナルファイルが作成されます。

ESXi/Linux向けのELF版(MD5:9201e35e2993612612919a3c71302cab)は、secret引数やアンチデバッグ処理を持たない点でWindows版よりも簡素な作りですが、二重フォークによるデーモン化や、/etc/vmware/welcomeにあるESXiのウェルカムメッセージの改変といった仮想化環境特有の機能を備えています。

コマンドラインオプションにより、運用者は暗号化する割合、ワーカースレッド数、ディレクトリの再帰探索、開始の遅延、デーモンモード、ログファイルの出力先などを設定でき、デフォルトの対象パスが/vmfs/volumesとなっていることからも、ESXiが主要な標的であることは明らかです。

多くの近年のランサムウェア亜種とは異なり、GenieLockerはランサムノートを自動生成したり、連絡先情報をペイロードに埋め込んだりすることはありません。

Dictionaries& Encyclopedias

その代わり、Toy Ghoulsは侵入中または侵入後に身代金要求を手動で伝えていると見られます。これは、ノートに基づく振る舞い検知を回避するとともに、自らの「人間主導型」の恐喝手法を強化する狙いがあると考えられます。

Kasperskyは、このランサムウェアファミリーをTrojan-Ransom.Win64.Agent.genie、HEUR:TrojanRansom.Win64.Generic、Trojan-Ransom.Linux.Agent.genieなど複数の検知名で識別しており、Threat Intelligence Reportingサービスを通じてさらなる侵害指標も提供しています。

侵害指標(IOC)

ファイルハッシュ

ネットワーク指標

注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的に無害化表記(例:[.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、あるいは自社のSIEMなど、管理された脅威インテリジェンス基盤上でのみ行ってください。

警告:20以上の政府系サイトが、企業や市民にマルウェアを配布していました。 攻撃に関する詳細な調査結果を確認し 、自組織の露出状況をチェックしてください。

Antivirus& Malware