カプコンに不正アクセス攻撃を仕掛けたRagnarLockerのダークウェブポータルを日本・アメリカ・EUの法執行機関が押収

世界有数の海運会社にランサムウェア攻撃を仕掛けたり、カプコンに不正アクセス攻撃を仕掛けたりしたことで有名なランサムウェアグループが「RagnarLocker」です。そんなRagnarLockerが使用してきたダークウェブ上にあるウェブサイトを、日本・アメリカ・欧州連合(EU)の法執行機関が押収したことが、海外メディアTechCrunchの調査により明らかになりました。

RagnarLocker ransomware dark web site seized in international sting | TechCrunch
https://techcrunch.com/2023/10/19/ragnarlocker-ransomware-dark-web-portal-seized-in-international-sting/

Ragnar Locker ransomware’s dark web extortion sites seized by police
https://www.bleepingcomputer.com/news/security/ragnar-locker-ransomwares-dark-web-extortion-sites-seized-by-police/

RagnarLocker ransoms its last victim as cybercops seize site • The Register
https://www.theregister.com/2023/10/19/europol_knocks_ragnarlocker_offline/

ダークウェブ上にあるRagnarLockerのウェブサイトを訪問すると、「このサービスはRagnarLockerに対する国際的な法執行措置の一環として押収されました」というメッセージが表示されます。この通知によると、ドイツのザクセン州警察やドイツ・ライプツィヒの検察庁であるStaatsanwaltschaft Leipzig、日本の警察庁、アメリカの連邦捜査局(FBI)、イタリア州警察のサイバー犯罪対策課であるPolizia Postale e delle Comunicazioni、ドイツの連邦刑事庁、欧州刑事警察機構、欧州司法機構など複数の法執行機関が押収に関与していることがわかります。

作戦の全容は明らかにされておらず、RagnarLockerが使用していたその他のインフラストラクチャーも押収されているのか、逮捕者が出ているのか、盗まれた資金が回収されたのかなどは不明です。

TechCrunchが欧州刑事警察機構に問い合わせたところ、報道官のクレア・ジョルジュ氏から「このランサムウェアグループに対する継続的な活動に関与している」とのコメントが得られたそうですが、作戦の詳細については説明を受けられなかったそうです。なお、欧州刑事警察機構は「すべての行動が完了する金曜日」に押収に関する発表を行う予定と説明しています。また、TechCrunchはイタリア州警察からも、「作戦の詳細は金曜日に発表する」という同様の回答が得られたと報じました。

TechCrunchはスペイン・ラトビア・ドイツ・オランダの法執行機関やFBIにも問い合わせしていますが、これらの機関からはコメントを得られなかったそうです。

RagnarLockerはランサムウェアの開発および運用を行う犯罪グループで、一部のセキュリティ専門家はロシアとの関連性を指摘しています。RagnarLockerは2020年頃から攻撃を行っていることが観測されており、主に重要なインフラストラクチャー組織を攻撃してきました。

2022年、FBIは製造・エネルギー・政府機関を含む10の主要インフラストラクチャー分野で、少なくとも52以上の企業がRagnarLockerによるランサムウェア攻撃の被害にあったことを特定したと警告していました。この時、FBIはRagnarLockerが身代金徴収に使用したビットコインアドレスや、連絡用のメールアドレスなどを公開していました。

RagnarLocker Ransomware Indicators of Compromise - FBI FLASH
(PDFファイル)https://www.ic3.gov/Media/News/2022/220307.pdf

ランサムウェア追跡業者のRansomwatchによると、RagnarLockerはしばらくの間、法執行機関の監視下に置かれていたものの、2023年9月に入ってから新しいターゲットに攻撃を仕掛けていた模様。なお、RagnarLockerは2023年9月にイスラエルのマヤネイ・ハイシュア病院から1TB以上のデータを盗み出したと主張していました。