Adversary
Wizard Spider
発生地
西ヨーロッパ, ロシア連邦
Community Identifiers
TrickBot, TrickLoader, TheTrick, TotBrick, Ryuk, UNC1878, Anchor, DNS, Conti, BazarLoader, Kegtap
Wizard Spider は、タイプの違う複数のオペレーションを実行できる高度な犯罪ツールの開発と配布を手がける犯罪者集団です。
このグループは、2016年9月に、「TrickBot」として一般的に知られているコモディティバンキングマルウェアを世間に知らしめました。彼らの活動が大きく変化したのは2018年8月に「Ryuk」を使った標的型ランサムウェアの運用を開始してからで、その後2020年5月からは「Conti」ランサムウェアを運用しています。
Wizard Spiderが提供するマルウェアは犯罪者のフォーラムで公然と宣伝されていないことから、Wizard Spiderは信頼のおける犯罪者グループにのみアクセス権を販売しているか、そのグループと協働している可能性が高いと考えられます。Wizard Spiderの活動の起源は、マルウェア「Dyre」を運用していたが2015年11月に活動を停止したアクターと非常によく似ています。CrowdStrike Intelligenceチームは、旧Dyreグループの一部のメンバーがWizard Spiderで重要な役割を果たしていると確信しています。
上記以外にも、Wizard Spiderでは下記のツールを運用しています:
- Anchor
- Sidoh
- Gophe
- RelayMTA
- MagneticScraper
- BazarLoader
諜報技術
- TrickBotはモジュール式のマルウェアで、データ収集、被害者のローカルネットワーク構成の偵察、エクスプロイトなしでのラテラルムーブメント等の追加機能を展開できます。
- Anchorは、DNSベースのコマンド&コントロール(C2)プロトコルを使用していて、遠隔地のC2サーバーに接続してタスクを実行できます。
- MagneticScraperは、PoSシステムからTrack 1とTrack 2両方のフォーマットのクレジットカードデータを盗むために使用されます。
- RyukはHermesランサムウェアの亜種で、企業環境で実行されるように調整されています。.ここではファイルの暗号化に、RSA-2048とAES-256を使用しています。
Targeted Nations
オーストラリア
ベルギー
カナダ
ドミニカ共和国
欧州
フランス
ドイツ
イタリア
日本
メキシコ
オランダ
ニュージーランド
ノルウェー
シンガポール
スペイン
スイス
台湾
英国
米国
対象産業
- 航空宇宙
- 農業
- 自動車産業
- 化学
- コンサルティング&プロフェッショナルサービス
- 暗号通貨
- 鉱業
- ファイナンシャルマネジメント&ヘッジファンド
- 観光
- 産業工学
- 保険
- 法律
- 物流
- 中央政府
- NGOおよび非営利団体
- 石油&ガス
- セキュリティ, 製薬
- 不動産
- 地方自治体
- 交通機関
- 公益事業
Artwork

Crowdstrike Wizard Spider
I have read and accept the terms and conditions
次の敵対組織を見る