新ランサムウェア「VanHelsing」がWindows、ARM、ESXiシステムを標的に

佐々山 Tacos

2025.03.25

3月25日：サイバーセキュリティ関連ニュース

新ランサムウェア「VanHelsing」がWindows、ARM、ESXiシステムを標的に

BleepingComputer – March 24, 2025

Windows、Linux、BSD、ARM、ESXiの各システムを攻撃することのできる新たなマルチプラットフォーム対応RaaSオペレーション「VanHelsing」について、CYFIRMAとCheck Point Researchが報告。同ランサムウェアは3月7日からアンダーグラウンドのサイバー犯罪プラットフォームで宣伝され始めたという。

VanHelsingはランサムウェア・アズ・ア・サービス（RaaS）の形式で運営されており、経験豊富なアフィリエイトには無償で参加を許可している。一方で経験の少ない脅威アクターは5,000ドルのデポジットを支払わなければ同ランサムウェアを使用できない。攻撃が成功して被害者から身代金（Check Pointの調査によると金額は50万ドル）が支払われた場合、その80%がアフィリエイト、20%が運営陣の取り分になるとされる。Check Pointによれば同RaaSはロシアのサイバー犯罪プロジェクトで、CIS（独立国家共同体）の国々にあるシステムを攻撃することは禁じられているという。現時点でダークウェブ上の恐喝ポータルサイトには3組の被害組織が掲載されており、うち2組が米国、1組がフランスを拠点とする組織。

VanHelsingのランサムウェア自体はC++で書かれており、最初に実際の攻撃でデプロイされたのは3月16日であるとみられている。ファイルの暗号化にはChaCha20アルゴリズムを利用し、各ファイルに対して32バイト（256ビット）の共通鍵と12バイトのノンスを生成。これらの値を埋め込まれているCurve25519の公開鍵で暗号化して、それを暗号化された当該ファイル内に保管する。そのほか、同ランサムウェアの特徴として以下のような点が報告されている。

1GBより大きいファイルは部分的に暗号化を行い、それ以下の場合はフルで暗号化する。
リッチなCLIカスタマイズに対応しており、ターゲット組織に応じて攻撃手法を調整することができる。（例：特定のドライブやフォルダを狙う、暗号化の対象範囲を制限する、シャドウコピーの削除工程をスキップする、など）
暗号化にはノーマルモードとステルスモードが存在。ノーマルモードではファイルとフォルダが列挙され、ファイルのコンテンツが暗号化されたのちに「.vanhelsing」という拡張子でファイルがリネームされる。
ステルスモードでは暗号化とファイルリネームが切り離され、ファイルのI/Oパターンが通常のシステムの挙動を真似たものになるため、セキュリティソリューションなどによるアラートを発動させにくくなるとされる。

VanHelsingは高度かつ急速に進化中のランサムウェアに思えるものの、Check Pointはコードの未熟さを露呈させるような欠陥が数件見受けられると指摘。ファイルの拡張子にミスマッチがあることや、二重の暗号化を引き起こす可能性のある除外リストロジックのエラーなどがその例として挙げられている。ただ、こうしたエラーが存在するとはいえ、VanHelsingは今後脅威アクターたちから人気を集め始める可能性もあることから、懸念すべき新たな脅威として注視しておいても損はなさそうだ。

Albabatランサムウェアが標的を拡大、GitHubを悪用

SecurityWeek – March 24, 2025

新たに特定されたAlbabatランサムウェアの新バージョンはWindowsに加えてLinuxとmacOSシステムも狙えるようになって可能性があるほか、コンポーネントをGitHubから呼び出すようになっているという。トレンドマイクロが調査結果を報告した。

Albabatは2023年から「White Bat」として活動してきたランサムウェアで、当初は偽のアクティベーションツールやチートソフトを介してWindowsシステムへの侵入を試みていた。攻撃対象プラットフォームの拡大を示唆する最初の兆候が観測されたのは2024年1月。Fortinetが、Albabatが感染したシステム上に投下したデスクトップ用壁紙がLinuxに言及するものだった旨を報告し、同ランサムウェアがさらにほかのOSも攻撃できるようクロスコンパイルされている可能性について注意喚起していた。

そんな中、今回新たにリリースされたトレンドマイクロのレポートでは、世に出回っているのが見つかった最新のAlbabatランサムウェアサンプルが、LinuxおよびmacOSシステムから情報を窃取できるものだったことが報告されている。またサンプルのコンフィグレーションファイルには、両OS向けのコマンドが含まれていたとされる。

さらにトレンドマイクロによれば、この新たなバージョンのAlbabatは自らのコンフィグレーションファイルおよびその他のコンポーネントを、非公開のGitHubリポジトリ（billdev.github.io）からGitHub REST APIを使って呼び出すという。このリポジトリは「Bill Borguiann」という名前で登録されたアカウントによって2024年2月に作成されたもので、最新のコミットは2025年2月に行われるなど、開発が続いていることが示唆されている。

トレンドマイクロはこのコンフィグレーションファイルをデコードした結果、Albabatバージョン2が以下のような挙動を取ることがわかったと報告している。