Ryuk Ransomware (北朝鮮Lazarus・2018)（リューク）
2018年に確認された、北朝鮮のLazarus Groupに関連があるとされる高度標的型ランサムウェア。大規模組織を狙う「Big Game Hunting」手法の先駆けであり、甚大な経済損失をもたらした。
概要
Ryuk Ransomwareは、2018年後半から猛威を振るい始めた、極めて標的型の性質が強いランサムウェアです。最大の特徴は、不特定多数へのばらまき型ではなく、防御力の高い大規模組織（Big Game Hunting）を狙い撃ちにする戦略にあります。
その攻撃プロセスは非常に巧妙で、まずEmotetやTrickBotといった「ドロッパー」や「ボットネット」が初期侵入の役割を果たします。これらがネットワーク内に足場を築いた後、攻撃者は内部探索（ラテラルムーブメント）を行い、バックアップサーバーや重要データの所在を特定します。最終段階でRyukが実行され、ボリュームシャドウコピー（VSS）などの復元手段を徹底的に破壊した上で、組織の基幹データを暗号化します。
名称の由来とされる「Death Note」というキーワードは、攻撃者の冷酷さと、標的となった組織に対して逃げ場のない絶望感を与える心理的な威圧感を象徴しています。推定される累計身代金支払額は1億5千万ドルを超えるとされ、その経済的インパクトは国家規模の脅威として認識されています。
攻撃特性・属性表
| 項目 | 詳細内容 |
|---|---|
| 主な標的 | 政府機関、医療機関（US Healthcare）、大規模企業、重要インフラ |
| 侵入経路 | Emotert, TrickBot等のボットネットを経由した多段階攻撃 |
| 攻撃手法 | Big Game Hunting (高価値ターゲットへの集中攻撃) |
| 推定帰属 | Lazarus Group (北朝鮮系脅威アクター / Hidden Cobra) |
| 特徴的な挙動 | 暗号化プロセス、シャドウコピーの削除、バックアップ破壊、ネットワーク探索 |
| 経済的影響 | 数千万ドル規模の直接損失および事業停止による二次被害 |
ランサムウェア進化系統比較表
Ryukから始まった攻撃モデルは、時代と共に「国家支援型」から「犯罪組織によるサービス化（RaaS）」へと変遷しています。
| 世代/名称 | 主な特徴・役割 | 攻撃モデルの性質 |
|---|---|---|
| Ryuk (2018) | 高度標的型、Lazarus関連、破壊的 | 特定組織を狙う「Big Game Hunting」の確立 |
| Conti (後継) | Ryukのコードや手法を継承、組織化が進展 | 役割分担された高度な犯罪組織による運用 |
| LockBit (現代) | 高速暗号化、極めて高い自動化、RaaSモデル | サービスとしてのランサムウェア（RaaS）の完成形 |
関連用語との違い
- Emotet / TrickBot との違い: これらは「ドロッパー（運び屋）」であり、Ryukそのものではありません。Emet/TrickBotがメール等で初期侵入を行い、ネットワーク内を探索する役割を担い、最終的なペイロードとしてRyukが実行されるという階層構造を持っています。
- Lazarus Group との違い: Lazarusは「脅威アクター（攻撃者集団）」であり、Ryukはその「武器（マルウェア）」です。国家支援型のアクターが、政治的・経済的目的のためにRyukを運用していました。
- RaaS (Ransomware-as-a-Service) との違い: Ryukは特定のグループによる高度な標的型攻撃の側面が強いですが、現代のRaaSは、開発者がマルウェアを提供し、実行犯（アフィリエイト）が攻撃を行う分業制を指します。
FAQ
Q1: なぜ医療機関が主な標的となったのですか？ A1: 医療機関はデータの機密性が極めて高く、かつ診療停止が人命に直結するため、身代金支払いの圧力が非常に強まるからです。Ryuk攻撃者はこの「緊急性」と「社会的責任」を悪用し、経済的利益を最大化させる戦略をとりました。
Q2: Ryukの攻撃手法における「Big Game Hunting」とは何ですか？ A2: 不特定多数にランダムに感染させるのではなく、あらかじめ価値の高い資産を持つ組織（大企業や政府機関）を特定・調査し、徹底的な内部探索を行った上で、一気に暗号化して巨額の身代金を要求する手法です。低コスト・高リターンな攻撃モデルとして定義されます。
Q3: 2025年以降のサイバー脅威におけるRyukの影響は？ A3: Ryukそのものの直接的な活動は減少傾向にありますが、その「組織的・標的型」という戦術は、現在のLockBitなどのRaaSモデルに完全に継承されています。攻撃の構造化、サプライチェーンへの波及、そしてバックアップ破壊による復旧困難化といった手法は、現代のサイバーセキュリティにおける最大の脅威として継続しています。