Panzerと呼ばれる新たに確認されたランサムウェアの活動グループが、11カ国にまたがる16件の被害組織をリークサイトに掲載したと報じられています。これは、アフィリエイト主導の二重恐喝キャンペーンを支援するRaaS(Ransomware-as-a-Service)プラットフォームがまた一つ台頭したことを示しています。
CyberXtronの報告によると、Panzerの専用リークポータルが最初に稼働しているのが確認されたのは2026年8月5日でした。同グループはこれまでに、テクノロジー、製造、政府機関、農業、エネルギー、教育、小売、その他の商業部門にまたがる組織の名前を公表しています。
被害を主張されている組織の所在国には、タイ、イタリア、インドネシア、セルビア、キュラソー、韓国、スペイン、チェコ、ドイツ、ナイジェリア、スイスが含まれています。
タイは報告された被害件数が3件で最多となっており、イタリア、インドネシア、セルビアはそれぞれ2件ずつとなっています。業種別ではテクノロジー分野が4件と最も多く確認されており、次いで製造業が3件となっています。
Panzerの初期の活動は、特定の国や業種、組織の種類に的を絞ったキャンペーンではなく、機会主義的な標的選定を行っていることを示しています。
政府・防衛、農業・食品生産、公益事業、教育機関、商業企業など幅広い分野で被害が主張されていることから、アフィリエイトが自由に幅広い標的を追求できる状況にあることがうかがえます。
この活動は、確立された二重恐喝の手口に沿ったものとみられます。攻撃者はまず機密性の高い企業情報や顧客データを窃取したとされ、その後システムを暗号化し、標的組織が身代金の支払いを拒否した場合はリークサイトを通じてデータを公開すると脅迫します。
この手法は被害組織への圧力を一層高めます。バックアップから暗号化されたファイルを復旧できたとしても、データ流出や規制当局による調査、訴訟、風評被害といったリスクは解消されない可能性があるためです。
Panzerは、Toxを利用した申請プロセスを通じてパートナーを募る、半オープン型のアフィリエイトプログラムを運営していると報じられています。参加希望者はプラットフォームのダッシュボードへのアクセスが許可される前に、審査段階を通過する必要があります。
同グループは80対20の収益分配体制を宣伝しており、アフィリエイトは回収した身代金の80%を受け取り、Panzerの運営者側はプラットフォーム手数料として20%を受け取る仕組みになっています。
このモデルは、開発者がランサムウェアのインフラを提供し、アフィリエイトが侵入活動を実行する、VanHelsingを含む他のRaaSエコシステムと類似しています。Panzerのダッシュボードは、犯罪活動を拡張可能な形で運営できるよう設計されています。
宣伝されている機能には、身代金残高の追跡、ランサムウェアビルドの管理、サポートチケット機能、チームのサブアカウント、窃取した被害者データを公開するためのワークフローなどが含まれています。リーク投稿は公開前に承認が必要とされています。
CyberXtronはさらに、Panzerの運営者が新規に参加したアフィリエイトについて、研究者や法執行機関による活動の可能性がないか、最初の1カ月間監視していると主張していると報じています。
最初の1週間に活動が見られないアカウントは自動的に無効化される可能性があり、このサービスが常時稼働するオペレーターの集団を維持することを意図していることがうかがえます。
PanzerはWindows、Linux、VMware ESXi、FreeBSD環境を標的とするランサムウェアビルドを宣伝しています。このクロスプラットフォーム対応能力は、混在サーバー環境やデータセンター、仮想化インフラを運用する企業にとって、リスクを一層高める要因となっています。
ESXiを標的としたランサムウェア攻撃は、特に深刻な業務停止を引き起こす可能性があります。侵害されたハイパーバイザーが、重要なアプリケーションやデータベース、業務運用を支える多数の仮想マシンをホストしている場合があるためです。
犯罪グループは、こうした理由からVMwareインフラを標的にする傾向を強めており、VMware ESXiの脆弱性を悪用するキャンペーンもその一例です。現時点でPanzerに帰属すると独立して検証された初期侵入経路は公表されていません。
ただし、同グループに中~低い確度で関連付けられている活動としては、認証情報のダンプ、ブルートフォース攻撃、ネットワークサービスの探索、正規アカウントの悪用、リモートサービスを利用した横展開、セキュリティツールの無効化の試みなどが挙げられます。
組織としては、インターネットに公開されたシステムのパッチ適用、フィッシング耐性のある多要素認証の導入、重要インフラのセグメント化、異常なアウトバウンドデータ転送の監視、検証済みのイミュータブルなオフラインバックアップの維持を優先すべきです。
Panzerに関連するマルウェアの検体、ハッシュ値、IPアドレス、悪性ドメインについては、現時点で確認・公開されたものはありません。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを。ANY.RUNで調査を強化しましょう
翻訳元: https://cyberpress.org/panzer-ransomware-targets-16-organizations/
