✅ レポートタイトル：脅威アクター
プロファイリング：「Moneyistime」（a.k.a. 69.pdf）

✅ レポートの要約：

📌 Moneyistimeとはどのような脅威アクターか

• 2024年6月28日、ダークウェブのハッキングフォーラムRAMPに「Moneyistime」というニックネームで登録し、フォーラム活動を開始しました。
• RAMPのほか、Leakbase、Duty-Free、DarkForums、Exploitなど他のDDW(Deep & Dark Web)フォーラムでも活動歴が確認されています。
• RAMPおよびLeakbaseはデータ流出の脅迫や実際の流出に、Duty-Freeはチームメンバーの募集およびInitial Accessの購入手段として利用していました。RAMPとLeakbaseの閉鎖後は、DarkForumsおよびExploitがデータ販売・流出の主要チャネルとして利用されていることが確認されました。
  • Moneyistimeは2022年からExploitフォーラムにおいて「69.pdf」というユーザー名で活動しており、当初はAccess取引を中心に活動していましたが、2026年4月からデータの販売および流出活動に転換したことが確認されました。

📌 Moneyistimeの活動パターン

• 主に中華圏および韓国を標的に攻撃を行っており、中国語、ロシア語、英語を用いてフォーラムに攻撃の証跡となる投稿をアップロードしています。
• 国内の企業・機関では、自動車部品製造企業Y社(2025-09-11)、大学病院A社(2026-01-27)、防衛企業B社(2026-02-12)、自動車部品製造企業C社(2026-02-22)、製薬企業D社(2026-03-02)、精密製造企業E社(2026-05-28)、電気自動車部品製造企業F社(2026-07-04)が標的となりました。
• 投稿およびコメントの作成時間帯を分析した結果、UTC+9基準で14時から翌2時の間に主に活動しており、特に20時台の活動頻度が最も高いことが判明しました。
  • 主な攻撃対象および活動時間帯から、アジア地域を拠点に活動している可能性が高いと考えられます。

📌 Moneyistimeの攻撃パターン

• ファイル暗号化行為とともに、一定期間内の金銭要求およびデータ流出の脅迫が伴っており、行動ベースの観点からランサムウェア攻撃と類似した特性を示しています。
  • 同一の被害企業がBEASTランサムウェアのDLS(Data Leak Site)に掲載されていたことを踏まえると、Moneyistimeユーザーは BEASTランサムウェア運営組織またはその亜種グループと関連している可能性が高いと推定されます。

✅ 脅威検知の推奨事項と対策方法

• 主に攻撃対象のサーバーまたはPCへリモートデスクトップ(RDP)接続を行った後、ドライブ情報をキャプチャして攻撃成功の証拠として利用しており、RDPのセキュリティが脆弱なサーバーを標的にしていると推定されます。
  • 外部に露出しているRDPサービスを最小化し、VPNおよびMFAに基づくアクセス制御を適用することで、不正なリモートアクセスを遮断する必要があります。
• Moneyistimeユーザーは継続的に韓国企業を標的とした攻撃を行い、DDW上でデータを流出させていることから、当該ユーザーに対する継続的なモニタリングが必要です。