新たに確認されたランサムウェア・アズ・ア・サービス(RaaS)組織「Panzer」が姿を現しました。Windows、Linux、VMware ESXi、FreeBSDに対応するペイロードを謳っており、企業環境と仮想化環境の両方を狙うクロスプラットフォーム型の脅威として位置づけられています。
このグループは被害者情報の公開ペースが速く、アフィリエイト重視のインフラを備え、二重恐喝モデルを採用しています。検証済みのマルウェア検体や従来型のIOC(侵害指標)は現時点で確認されていないものの、セキュリティチームが今後動向を注視すべきランサムウェア組織だといえます。
CompareSecurity Systems
Panzerのリークサイトが最初に観測されたのは2026年8月5日でした。運用開始から1カ月以内に、研究者らはイタリア、ドイツ、タイ、インドネシア、セルビア、スペイン、韓国、ナイジェリア、スイス、キュラソー、チェコ共和国など少なくとも11カ国にわたり、16件から21件の被害者候補を追跡しています。
被害者数は監視プラットフォームによって差があります。これはリークサイトの投稿が変更されたり、重複したり、インデックス化のタイミングが異なったりするためです。
今回のキャンペーンは、イタリアにおけるランサムウェア被害が懸念すべき水準に達している中で発生しました。Ransomfeedのダッシュボードによれば、集計時点で2026年のイタリアにおけるランサムウェア被害の申告件数は206件に上っており、同トラッカーには8月21日付でNTE Italiaに関するPanzerの被害者候補エントリーも掲載されています。
これらの数字は検証済みの侵害総数ではなく、あくまでリークサイト上で観測された恐喝申告として捉えるべきですが、イタリアの組織に対する圧力が継続していることを示しています。
Panzerが注目を集めているのは、公にリバースエンジニアリングされた暗号化ツール自体よりも、それを取り巻く運用インフラの存在によるところが大きいといえます。
CyberXtronは、Panzerを構造化されたRaaSサービスを展開するグループだと説明しています。準オープン型のアフィリエイトプログラムを持ち、Toxを通じて潜在的な運営者を募集し、収益配分はアフィリエイト側に有利な80対20としています。
報告されているダッシュボード機能には、ビルド管理、個別の交渉チャット、アフィリエイトの収益・残高追跡、ビットコイン請求書の生成、リーク投稿のワークフロー、サポートチケット、サブアカウント管理などが含まれます。
こうした機能はアフィリエイトの運用負担を軽減するものであり、少数の閉鎖的で運営者主導の侵入行為にとどまらず、再現性のある犯罪サービスを構築しようとする狙いがうかがえます。
Panzerはまた、セキュリティ研究者や法執行機関による潜入を特定する目的で、早期段階からアフィリエイトを監視しているとも報じられています。
この情報が正確であれば、新興のRaaSエコシステムにおけるプロフェッショナル化の進展を示す一例だといえます。運営者は中央集権的なプラットフォームから、アフィリエイト、決済、交渉、そして評判リスクまでを一括管理しようとしています。
Panzerが早期に公表した被害者候補には、イタリアの組織が2社含まれています。キッチン製造会社のDoimo Cucineと、通信エンジニアリング企業のNTE Italiaです。
Andrea Fortunaの研究者らによれば、この組織は専用のリークポータルやパートナー規約に加え、Windows、Linux、ESXi、FreeBSD向けビルドへの対応も宣伝しているということです。
Panzerランサムウェアの攻撃
脅威インテリジェンスのトラッカーは、Doimo Cucineを製造業の標的、NTE Italiaをイタリアの建設・エンジニアリング関連企業として分類しており、投稿の日付は8月中旬から下旬にかけてとなっています。
いずれのリークサイトのエントリーも、それ単独では侵入・データ窃取・暗号化事案が実際に発生したことの証明にはなりません。
ランサムウェアグループは被害者投稿を恐喝の圧力手段として日常的に利用しており、場合によってはアフィリエイトの勧誘や信頼性の演出にも用います。
被害を受けたとされる組織、あるいは独立した調査機関がインシデントを確認するまでは、これらの投稿は攻撃者側の主張として扱うべきです。
とはいえ、標的となっているセクターの分布は無視できません。Panzerによる初期の標的には、テクノロジー、製造業、エネルギー、教育、小売、政府機関の各分野の組織が含まれています。
CyberXtronの初期データでは、最も被害を受けたセクターはテクノロジーで、これに製造業が続くとされており、他のトラッカーでも製造業が主要なカテゴリーの一つとして挙げられています。
Panzerが謳うESXi対応は、技術的な観点から見て最も重大な特徴です。
攻撃者がVMwareハイパーバイザーに到達した場合、多数のゲスト仮想マシンを一度に停止させる可能性があります。これにより、単一のホストやクラスターに集約されたビジネスアプリケーション、データベース、ID管理サービス、本番ワークロードに影響が及びます。
エンドポイント中心のランサムウェアとは異なり、ESXiの暗号化は局所的な侵害を瞬く間に企業全体の障害へと変えかねません。
そのため、VMwareを運用している組織は、ハイパーバイザーのセグメンテーション、管理インターフェースの堅牢化、多要素認証、変更不可能なバックアップ、SSHアクセスの制限、vCenterおよびESXiの管理イベントの継続的な監視を優先すべきです。
LinuxおよびFreeBSDへの対応も同様に、Panzerが到達しうる範囲を混在サーバー環境、ストレージシステム、ネットワーク機器、そしてWindowsエンドポイントほどのEDRカバレッジを持たない可能性がある特殊なインフラにまで広げるものです。
Panzerに関連する検証済みのハッシュ値、悪意あるIPアドレス、ドメイン、マルウェア検体は現時点で公に確認されていません。したがって、防御側はブロックリスト頼みではなく、振る舞いベースの検知を優先すべきです。
Security Arsenalが公開した検知コンテンツでは、暗号化前段階における高リスクな活動として、シャドウコピーの削除やブート復旧の改ざんが挙げられています。具体的には、vssadmin delete shadows、wmic shadowcopy delete、bcdedit /set recoveryenabled no といったコマンドの実行や、ブートステータスポリシーの変更が該当します。
CompareSecurity Systems
サーバー上でこれらのコマンドが実行された場合は、直ちに調査を行い、ホストの隔離を検討する必要があります。
そのほかに優先すべき調査対象としては、ScreenConnect類似ツールをはじめとする不正なRMMの展開、大量のアーカイブ作成に関連するrclone・7-Zip・WinRARの実行が挙げられます。
加えて、PsExecによるサービス作成、異常なVPN認証に続く内部でのRDPやSMBを介した横展開、EDRやアンチウイルスサービスを無効化しようとする試みなどにも注意が必要です。
これらの兆候はPanzer特有のものではありませんが、アフィリエイト主導型ランサムウェア攻撃の準備段階と一致する特徴です。
Panzerの技術的な能力はペイロードレベルではまだ検証されていませんが、複数プラットフォームへの対応を謳う点とアフィリエイトインフラの存在は、すでに防御側の注意を要する材料です。
企業にとって喫緊の優先事項は、露出しているリモートアクセス経路を塞ぎ、特権的な活動を監視し、復旧手順を検証したうえで、仮想インフラを単なる裏方の設備ではなく、ランサムウェアにとって価値の高い標的として扱うことです。
IOC(侵害指標)
| 種別 | 指標 |
|---|---|
| リークサイト(.onion) | pnzruro7syvwvefx5mpo2fhzi4jftgquynsqf3vy5x3no57yp2iz4nyd.onion |
| Tox ID(アフィリエイト勧誘用) | 8C3D96497A9438794F705C055FC2FD3059F6CF11FF51060EE55ED7F0679CFC7218825BD56CB1 |
注: 誤ってアクセスやリンクが解決されるのを防ぐため、IPアドレスおよびドメインは意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤内でのみ行ってください。
★ 7段階のメトリック連動型AI SOC導入フェーズを学ぶ – 無料のAI SOC導入プレイブック2026をダウンロード。
翻訳元: https://gbhackers.com/panzer-ransomware-attack/
