「GenieLocker」と名付けられた新たなランサムウェアファミリーが確認されました。このマルウェアはWindows、Linux、VMware ESXi環境をまたいだ攻撃を可能にしており、脅威グループ「Toy Ghouls」のツールセットにおける大きな進化を示しています。
このマルウェアは2026年3月に初めて確認され、主に製造業を標的として活動していることが観測されています。同グループは独自開発のランサムウェア機能へと明確にシフトしていることがうかがえます。
GenieLockerは、LockBitやBabukといったコモディティ型ランサムウェアに依存していたToy Ghoulsのこれまでの手法からの転換を意味します。同グループは今回、Windows向けのPE形式とLinux・ESXiシステム向けのELFバイナリの両方でコンパイルされた専用の暗号化フレームワークを開発しました。
観測された侵入事例では、信頼できる外部パートナーに関連する侵害されたOpenVPN接続を通じて初期アクセスが行われていました。
調査担当者は、正規ながら盗まれた認証情報が標的ネットワークへの侵入に利用されたと評価しており、サードパーティのアクセス関係が引き続きリスクをもたらしていることが浮き彫りになっています。
侵入後、攻撃者はOpenSSH、SoftPerfect Network Scanner、Mimikatzなど、さまざまな侵入後ツールを展開し、偵察と認証情報の窃取を行いました。
また、侵害されたシステム上のKeePassXCパスワード保管庫から認証情報を抽出しようとした形跡も確認されています。横展開については、Windowsシステムに対してはリモートデスクトッププロトコル(RDP)、Linuxサーバーに対してはSSHが使用されました。
ペイロードの展開にはPsExecやPAExecといった正規の管理ツールが利用され、コマンド&コントロール通信はリバースSSHトンネル経由で維持されていました。
このランサムウェアの被害フェーズは、そのクロスプラットフォーム性能を如実に示しています。Windowsシステムでは、GenieLockerはデータベースサービス、バックアップエージェント、仮想マシンコンポーネントなど、暗号化処理の妨げとなり得るプロセスやサービスを終了させます。
ESXiサーバーでは、マルウェアは仮想ディスクを暗号化する前に稼働中の仮想マシンを停止させ、仮想化インフラ全体を事実上機能不全に陥れます。
技術面では、GenieLockerはlibsodiumライブラリを用いた高度な暗号化メカニズムを採用しています。ファイルデータはAEAD暗号であるXChaCha20-Poly1305で暗号化され、ファイルごとの暗号化キーはCurve25519ベースの公開鍵暗号方式で保護されます。
このランサムウェアは部分的なファイル暗号化に対応しており、オペレーターが暗号化するデータの割合を指定できます。これは大規模なデータセットに対する攻撃を高速化するための最適化技術です。
特筆すべき点として、Windows版には解析対抗機能が組み込まれており、ハードコードされたハッシュ値と一致する「秘密の引数」を指定しない限り実行が進まない仕組みになっています。
Securelistの指摘によれば、このマルウェアはWindows API関数を用いたデバッグ対策チェックを実装しており、CRC32ハッシュによってコードの完全性を継続的に検証しています。これらの仕組みは、サンドボックス検知の回避とリバースエンジニアリング対策を目的としたものです。
近年の多くのランサムウェアファミリーとは異なり、GenieLockerは身代金要求メモを残さず、攻撃者の連絡先情報をバイナリ内に含めていません。その代わり、身代金交渉の詳細は侵入中に手動で伝えられます。
この手法は、大量のファイル作成イベントによって引き起こされる振る舞い検知を回避する狙いがあると考えられます。LinuxおよびESXi版は比較的シンプルな作りですが、デーモン化やESXiシステムメッセージの改変といった、仮想化環境向けに調整された機能を備えています。
回避技術の数は少ないものの、暗号化ロジック自体は共通しており、プラットフォーム間での一貫性が保たれています。テレメトリによれば、GenieLockerの感染は現在ロシアに集中しており、製造業、建設業、金融業が最も大きな影響を受けています。
これまでのToy Ghoulsの活動と同様、データ窃取や二重恐喝の手口を用いた形跡は確認されておらず、暗号化のみによる金銭獲得を狙った戦略であることがうかがえます。
現在、セキュリティ製品はこのマルウェアをTrojan-Ransom.Win64.Agent.genieやTrojan-Ransom.Linux.Agent.genieといったシグネチャで検知しています。
GenieLockerの出現は、公開されているマルウェアフレームワークへの依存を減らしつつ、攻撃の効果を最大化しようとする、脅威アクターによる独自開発のクロスプラットフォーム型ランサムウェア開発という、より広範な傾向を裏付けるものです。
注記: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため意図的にディフォルト化されています（例: [.]）。再度有効化する際は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
SOC調査の死角を減らし、脅威をより早期に封じ込めて対応コストと業務への影響を抑えましょう。ANY.RUNをご活用ください。
翻訳元: https://cyberpress.org/new-cross-platform-ransomware/