新たなランサムウェア「Panzer」が11カ国16件の被害、データ窃取と暗号化を実行

Panzerランサムウェアは新たなRaaS(Ransomware-as-a-Service)として登場し、これまでに11カ国16件の被害を公表しています。データ窃取とファイル暗号化を組み合わせた手口が特徴です。

DownloadReference Apps

CyberXtronの調査によると、専用のリークサイトは2026年8月5日に初めて稼働が確認されました。初期の被害者リストには、テクノロジー、製造、政府機関、農業、エネルギー、教育、小売の各分野の組織が含まれています。

被害者はタイ、イタリア、インドネシア、セルビア、キュラソー、韓国、スペイン、チェコ、ドイツ、ナイジェリア、スイスの各国に分布しています。

報告された被害件数はタイが3件、イタリア、インドネシア、セルビアがそれぞれ2件となっています。業種別ではテクノロジー分野が4件で最多となっており、製造分野の3件がこれに続いています。

新たなランサムウェア「Panzer」が16件の被害を発生

この分布状況から、特定の地域や業種に絞った攻撃ではなく、広範かつ日和見的なターゲティングが行われていることがうかがえます。これまでに報告された標的には、政府・防衛、農業・食品生産、公共事業、教育、商業組織なども含まれています。

Panzerは半オープン型のアフィリエイトプログラムを運営しており、Toxを通じた申請プロセスで参加希望者を募集しています。アフィリエイトはダッシュボードへのアクセス権を得る前に、審査を通過する必要があるとされています。

このグループは80対20の収益分配モデルを採用しており、アフィリエイトが身代金支払額の80%を受け取り、Panzerがプラットフォーム手数料として20%を徴収します。

特筆すべき点として、このサービスはWindows、Linux、VMware ESXi、FreeBSD向けのランサムウェアビルドを提供しています。このクロスプラットフォーム対応能力により、特に混合サーバー環境や仮想化インフラを運用する企業にとって、リスクが一段と高まっています。

ESXiへの対応は特に深刻な被害をもたらす可能性があります。ハイパーバイザーへの攻撃が成功すると、複数の仮想マシンや重要な業務サービスが一挙に暗号化される恐れがあるためです。

Panzerのアフィリエイトダッシュボードは、犯罪活動を拡大しやすいよう設計されているようです。残高追跡、ビルド管理、サポートチケット、チームのサブアカウント、そして被害者データの公開前に承認を要するリーク公開ワークフローといった機能が謳われています。

Cyberxtronによると、運営者はさらに、新規参加したアフィリエイトの活動を最初の1カ月間監視し、研究者や法執行機関による活動の可能性を検知していると主張しているといいます。

最初の1週間に活動が確認されないアカウントは、自動的に無効化される可能性があります。これは、単発の攻撃を支援するのではなく、活発に活動する運営者を確保・維持することを意図したプラットフォームであることを示唆しています。Panzerに関連付けられる初期侵入手法については、独立した検証はまだ行われていません。

ただし、中程度から低程度の確度で関連付けられている活動としては、OS認証情報のダンプ、ブルートフォース攻撃、ネットワークサービスの探索、正規アカウントの悪用、リモートサービスを介した横展開、セキュリティツールの機能妨害の試みなどが挙げられます。

Securityawareness training

Panzerは二重恐喝モデルを採用しています。攻撃者はシステムを暗号化する前に、機密性の高い企業ファイルや顧客データを窃取しているとされ、その後リークサイトでの公開投稿やカウントダウンによる圧力を利用して支払いを迫ります。マルウェアのハッシュ値、IPアドレス、ドメイン、サンプルについては、公に検証されたものはまだありません。

組織はインターネットに公開されたシステムのパッチ適用、フィッシング耐性のあるMFAの導入、重要インフラのセグメント化、不審な外向き通信の監視、そしてイミュータブル(改ざん不可能)なオフラインバックアップの維持を優先すべきです。

SOCが新たなマルウェアやフィッシングの脅威に、出現から24時間以内に対応できるようにしましょう。 ANYRUNを試して早期検知でインシデントを防ぎましょう。