Qilin（Agenda）ランサムウェア徹底整理【脅威インテリジェンス／日本組織向け】

はじめに

この記事はSOC／CSIRT／情シス／インシデントレスポンス担当者向けの有料コンテンツです。Qilinランサムウェア（旧名Agenda）の一次情報を優先しております。

1. 概要

名称と活動開始

• Qilinは2022年7月に「Agenda」として出現。

• 2022年9月に「Qilin」に改名したRaaSオペレーション。

• Go言語とRustで開発され、WindowsとLinux環境を標的。

地理的分布とターゲット

• 製造業、法律・専門サービス、金融サービス、建設、技術、ヘルスケアなど幅広い産業が被害に遭っている。

• 主な被害地域は米国、英国、カナダ、オーストラリア。

• 2025年の調査では北米企業が最多。欧州・アジアも攻撃対象。

二重恐喝モデル

• 暗号化による業務停止と情報窃取・公開を組み合わせた二重恐喝。

• 暗号化解除鍵とデータ削除を交換条件に身代金を要求。

• Tor上でデータリークサイト（DLS）を運用し、被害企業を公開して圧力を掛ける。

要求額と報酬体系

• 通常50万～80万米ドルの身代金を要求。

• RaaSモデルのため、オペレーターは身代金の15～20％を取り、残りはアフィリエイトが受け取る。

• Blackpoint Cyberによると、アフィリエイトは300万ドル未満では80％、それ以上では85％の取り分を得る。

リークサイト運用

• データリークサイトは2024年から継続運用。

• 2025年には登録被害者数が急増。

• Qilinは、バレットプルーフホスティング（BPH）業者を利用。

• Tor上の「WikiLeaksV2」など複数のドメインやIPアドレス（例：176[.]113[.]115[.]97、176[.]113[.]115[.]209）を使い分けている。

※　今現在Amazon Payのキャンペーンがあるようです！

https://www.amazon.co.jp/b?node=206243586051