親ウクライナ派の新興ハッカー集団、独自ランサムウェアでロシア企業を標的に

親ウクライナ派のハッカーと関連があるとみられるランサムウェア集団が、独自マルウェアを用いてロシアの組織を狙い、数百万ドル規模の身代金を要求していることが新たな調査で明らかになりました。

この集団は「VantaCore」を名乗り、少なくとも7件の被害が確認されていると、ロシアのサイバーセキュリティ企業F6が今週公開したレポートで述べています。研究者らがその活動を初めて検知したのは8月ですが、同集団のデータ漏洩サイト自体は6月上旬に作成されていたとみられます。

研究者らは、VantaCoreは昨年ロシアを標的にした活動が特に活発だった親ウクライナ派ハッキング集団「Thor」のリブランドだとみています。F6は2025年におけるThorの攻撃を少なくとも12件確認しています。同社によると、Thorはこれまで金銭目的の恐喝と、破壊的あるいは政治的動機に基づく活動を組み合わせて展開してきました。

一方でVantaCoreは、F6によれば主に金銭目的に特化しているとみられ、身代金要求額は数百万ドルに達しています。

同集団はランサムウェア・アズ・ア・サービス(RaaS)方式で運営しています。これはランサムウェアの開発者がマルウェアとインフラをアフィリエイト(実行犯)に提供し、攻撃を代行させるビジネスモデルです。VantaCoreはTorベースのチャットサービスを通じて被害者とやり取りし、窃取した情報を公開するためのリークサイトも運営しています。

ハッカーらは、セキュリティ対策が不十分なVPNなどのリモートアクセスツールの悪用、インターネットに公開されたアプリケーションの脆弱性、取引先企業から窃取したログイン認証情報など、いくつかの一般的な手法を使って企業ネットワークに侵入しています。

F6は「彼らの戦術・手法・手順(TTP)は洗練されておらず目新しさもないものの、概ね効果的だ」と述べています。

VantaCoreが多くのランサムウェア集団と一線を画す点は、独自開発したハッキングツール群に依存していることです。

F6によると、8月に検知された攻撃では、同集団独自のランサムウェア(こちらも「VantaCore」と呼ばれる)が使用されており、サーバーと従業員のパソコンの両方でデータを暗号化できるとしています。

攻撃者は「VantaCoreLoader」と呼ばれる別の独自ツールを使い、侵害したネットワーク全体にランサムウェアやその他の悪意あるソフトウェアを拡散させています。さらに、感染システムに関する情報収集、ファイル転送、リモートでのコマンド実行が可能なバックドア「VantaCoreRAT」も展開しています。

また、「SnowKiller」と名付けられた別のツールは、アンチウイルス製品を含むセキュリティソフトを無効化するために設計されています。

他の親ウクライナ派ハッキング集団と同様、VantaCoreも窃取したデータを恐喝目的だけでなく利用している可能性があるとF6は指摘します。ロシアの組織から盗まれた情報はオンラインで公開または売買され、ロシア企業や個人を狙ったさらなるサイバー攻撃やその他の作戦に利用される恐れがあります。

VantaCoreの出現は、F6が2025年から2026年にかけて観測してきた親ウクライナ派ハッキング集団のより広範な再編の動きの中で起きています。

研究者らは、これらの集団の一部がLockBit 3 BlackやBabukといった広く出回っているランサムウェアの使用をやめ、独自マルウェアの開発へと移行する動きを確認しています。F6によれば、この転換の背景には、これらのランサムウェアツールに時間の経過とともに発見されてきた弱点に加え、親ウクライナ派ハッカーの間でロシア発のソフトウェアへの依存を避けたいという意識があるといいます。