2026年5月以降活動しているRaaS（ランサムウェア・アズ・ア・サービス）組織「TITAN」が、窃取した企業データを分析し、二重恐喝攻撃における被害者への圧力を強化することを目的としたオンプレミス型AIプラットフォームを宣伝しています。
同グループは、自社のAIエンジンが機密ファイルを自動的に分類し、価値の高いビジネス情報を特定し、規制上のリスクを算出し、規制当局やメディア向けの通知パッケージを生成できると主張しています。
こうした機能は第三者による検証がなされていませんが、この宣伝内容は、ランサムウェア集団がデータドリブンな恐喝手法の自動化を進めているという傾向を反映しているといえます。
TITANは2026年4月4日に設立されたと報じられています。同グループのリークサイトには、10か国にわたる24件の被害者が掲載されており、そのうちイタリアが10件と最多を占めています。
チェコ共和国は4件、米国は3件が掲載されています。その他の被害国には、インド、スリランカ、韓国、メキシコ、チュニジア、フランス、シンガポールが含まれます。
製造業と専門サービス業がそれぞれ全被害者の約29%を占めています。この標的の傾向から、同グループは特定の業界に的を絞っているのではなく、機会主義的にアクセス獲得を優先していることがうかがえます。
TITANは審査制のアフィリエイトプログラムを運営しています。参加希望者は犯罪歴のチェック、技術力の評価、過去の侵入経験の審査を受けるとされています。アフィリエイトには返金不可の登録料の支払いも義務付けられています。
同グループはアフィリエイトに身代金支払い額の90%を分配し、残りの10%をプラットフォーム利用料として徴収します。支払いにはビットコイン、モネロ、遮蔽型のZcashを受け付けており、ミキシングサービスを通じて取引を経由させているとされています。
公表されている規則では、医療機関や原子力・重要インフラ、緊急サービス、幼稚園から高校までの教育機関、認証済みの非営利団体、葬儀サービスへの攻撃を禁止しています。
一方で、大半の企業、金融機関、製造業者、一部の政府機関や自治体組織への攻撃は容認しています。
TITANはまた、法執行機関の関係者、ジャーナリスト、セキュリティ研究者、政府職員、競合するランサムウェア運営者がパートナーになることを禁じています。
アフィリエイトは独自に窃取データをリークしたり販売したりすることを禁止されており、これはTITANが交渉と情報公開を一元的に管理したいという意図を示しています。
同グループはWindowsを標的としたランサムウェアペイロードを使用しているとみられていますが、使用しているプログラミング言語や暗号化方式、LinuxやESXi版が存在する可能性については依然として不明です。初期侵入に使われる具体的な脆弱性も確認されていません。
現時点で得られている情報によれば、アフィリエイトは外部に露出したVPNゲートウェイ、ファイアウォール、リモート管理ツールを標的にしている可能性があります。疑われている手口としては、PowerShell、WMIC、PsExecの使用、シャドウコピーの削除、データ窃取、暗号化などが挙げられます。
こうした手口は、確認済みのTITANの攻撃手法としてではなく、未検証の作業上の見立てとして扱うべきだとcyberxtronは指摘しています。
TITANの最大の差別化要因は、宣伝しているAI分析エンジンです。同グループは、このプラットフォームが専用のAMD EPYCサーバー上でGPUによる高速推論を用いて稼働しており、1時間あたり最大700GBの企業文書を処理できると主張しています。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に-> ANY.RUNでSOCを強化
翻訳元: https://cyberpress.org/ai-powered-titan-automates-extortion/
