✅ レポートタイトル：エコシステムと活動の実態：「LockBit 5.0」ランサムウェアグループ

✅ レポートの要約：

📌 LockBitランサムウェアグループとは

• LockBitは2019年9月、ABCDランサムウェアという名称で独自の活動を開始し、2019年12月末から.lockbit拡張子を使用して現在のLockBitブランドを構築した。
• 2020年9月には独自のDLSを構築してデータ流出を組み合わせた二重恐喝戦略を導入し、その後計4回の大規模アップデートを経て2025年9月にLockBit 5.0を公開した。これにより、LockBitは現在に至るまで最も長期間活動を継続している代表的なRaaS（Ransomware-as-a-Service）グループの一つとして位置づけられている。

📌 被害状況

• 合計3,608件の被害が確認されており、2023年が1,140件で最も多く、2025年にはLockBit 5.0の準備のため実質的な攻撃活動が減少し、137件と集計された。
  • 国が「South Korea」と分類されたLockBit被害企業の公開記録は、計9件と確認された。年別では、2021年と2022年が各2件、2023年が4件と増加し、2023年には最も多くの記録が集中した。その後、2024年には公開事例が確認されておらず、2025年には1件が確認された。2026年は7月の時点で追加の公開事例は確認されなかった。韓国国内の被害記録も、LockBitの全世界的な活動がピークに達した2023年に最も多く確認された点で、グローバル活動傾向と類似した推移を示している。

📌 グループプロファイリング

• LockBit 5.0のリリース以降、RAMP、RehubなどのDDW（Deep and Dark Web）フォーラムで活動することで、RaaS（Ransomware-as-a-Service）の宣伝およびアフィリエイト（協力者）募集を行っている。
  • LockBitアフィリエイトパネルのハッキング事件以降、2025年9月にRAMPフォーラムへ復帰し、評判回復のため他のRaaSグループを牽制するとともに、競合グループのアフィリエイトを対象にパネルへの無料アクセス権を配布するなどの活動を展開した。
  • Rehubにおいては RaaS宣伝活動が限定的であり、LockBit 5.0からは独自インフラを基盤とした運営へ移行し、外部フォーラムへの依存度を低下させたものと判断される。

📌 アフィリエイトパネル侵入調査結果

• LockBit 5.0のパネルで提供される機能を把握した。
  • LockBitの内部規定上、攻撃禁止対象となる特定の業種は存在せず、CIS諸国が攻撃禁止対象であることが確認された。

📌 バイナリ分析

• LockBit 5.0はWindows、Linux、およびVMware ESXi環境を対象に計4種類のランサムウェアビルドを提供し、マルチプラットフォーム攻撃と大規模な暗号化に重点を置いている。
  • LockBit Black: 既存のLockBit BlackランサムウェアからAPI Resolvingに使用されるXORキー値を変更した。
  • LockBit ChuongDong: 暗号化率の設定および大容量ファイルの分割暗号化機能が追加された。
  • LockBit Linux/ESXi: 分析回避、部分暗号化、自己削除およびFree Space上書き機能をサポートする。

✅ 脅威検知の推奨事項と対策方法：

• LockBit 5.0はアフィリエイトの募集からビルド作成・交渉まで独自のインフラに統合し、Windows・Linux・ESXi環境への攻撃能力を提供するRaaS運用体系として再編されたため、外部フォーラムだけでなくDLSおよびアフィリエイトインフラも併せてモニタリングし、内部拡散の遮断および重要な仮想化資産の保護強化が必要である。