新たなランサムウェアグループ Chaosが登場、BlackSuitとの関連性も|セキュリティニュース-セキュリティ対策 Lab

投稿日時: 2025年08月01日更新日時: 2025年08月01日

2025年7月、Cisco Talos Incident Response（Talos IR）チームは、新たなランサムウェア・アズ・ア・サービス（RaaS）グループ「Chaos」の攻撃活動を観測しました。Chaosはビッグゲーム・ハンティング（二重脅迫）戦術を採用し、急速にその影響力を拡大しています。

しかしTalosは中程度の確度で、Chaos(カオス)はBlackSuit（Royal）ランサムウェアグループの元メンバーが形成した新しいグループであると評価しています。

両者の間には以下のような共通点が見られます。

暗号化手法の類似性（/lkey, /encrypt_step, /work_modeなど）
ランサムノートの構成と文言
LOLBinsとRMMツールの利用

これらの共通点から、ChaosはBlackSuitの後継、または派生グループである可能性が高いと見られています。

Chaosの概要

Chaosは2025年2月頃にその活動が確認され、比較的新しいグループながら、既に複数の国・業種に対して攻撃を実施しています。特徴としては以下が挙げられます：

ランサムウェアはWindows、Linux、ESXi、NAS環境に対応
ロシア語圏のダークウェブフォーラムRAMPで活動し、アフィリエイトを募集中
一部の対象（BRICS/CIS諸国、政府、医療機関）は攻撃対象外と公表
通信手段として専用のonionドメインとメールアドレスを提供
被害企業に対してデータ漏洩とDDoSを併用して脅迫

このグループの手法には、既存のChaosビルダー系とは異なる独自性が見られ、過去に存在した同名のツールとは一線を画します。

Chaosの戦術

Chaosは、従来の高度なランサムウェアグループと同様、複数段階に分かれた一貫した攻撃プロセスを持ちます。各フェーズでの手口は以下の通りです。

初期侵入

最初の接点はメールを利用したスパム攻撃です。受信者がメールに反応して電話をかけるよう誘導され、通話の中で攻撃者はIT部門を装い、Microsoft Quick Assistを使ったリモート接続を促します。これにより、攻撃者は正規の手段でマシンへの初期アクセスを取得します。

内部探索と権限昇格

侵入後、ネットワークの構成情報やユーザー情報、共有フォルダなどを調査します。その過程で、ドメインアカウントの認証情報を収集し、Kerberoastingなどの手法を用いて管理者権限の取得を試みます。取得した情報を基に、権限を拡大しつつ社内に横展開していきます。

常駐化と通信維持

AnyDeskやScreenConnectなどのRMM（リモート管理）ツールをインストールし、外部との恒常的な接続を確保します。レジストリ操作でログイン画面から特定ユーザーを非表示にするなど、持続的な隠蔽も行われます。また、OpenSSHによるリバーストンネルの構築も確認されており、C2（コマンド＆コントロール）サーバーとの通信は極めて慎重に管理されています。