TENGU ランサムウェアグループは2025年10から活動している、割と新しいランサムウェアグループです。日本企業を狙った攻撃はまだ観測されていませんが、2026/02/18頃に真言宗智山派の寺院である「成就院」を標的としてリークサイト上で攻撃を主張するなど、日本でも知られてきています。
以下では、このTENGUランサムウェアグルプについて簡単にまとめます。
TENGUランサムウェアグループとは Tenguランサムウェアグループは2025年10月から活動している二重脅迫型のランサムウェアグループです。攻撃対象としては政府・教育・医療・テクノロジー・ホスピタリティなど、さまざまな業界が標的となっています。国別でもインド・メキシコ・米国などの国の組織を標的にしています。Living Off The Land Binaries（LOLBins）を使用していることでも知られています。
また、被害の国別ですが、全世界を標的にしています。日本ではまだ1件しか被害組織が観測されていませんが、今後増えてくると思われます。
Tenguランサムウェアグループの技術的詳細 Tenguランサムウェアグループの技術的詳細を以下にまとめます。主にShenouda.nlの情報 からまとめています。
初期アクセス テクニック(ID) テクニック名 Tenguで行っていること T1078/T1133 有効なアカウント/外部リモートサービス 漏えいした認証情報を利用してRDP/VPNにログインします T1190/T1566 公開アプリケーションの悪用/フィッシング パッチを当てていないアプリケーションの悪用/標的型フィッシングによる初期侵入
実行(Execution) テクニック(ID) テクニック名 Tenguで行っていること T1059.001/T1059.003 PowerShellを用いたコマンドおよびスクリプトの実行/Windowsコマンドシェルを悪用したコマンドの実行 PowerShell/CMD.exeを用いて悪意のあるコマンドおよびペイロードを実行 T1218.011 システムバイナリプロキシ実行：rundll32 rundll32.exeが悪意のあるペイロードをメモリ上で実行する際に使用されます
認証情報へのアクセス テクニック(ID) テクニック名 Tenguで行っていること T1003.001 OS 認証情報のダンプ：LSASS メモリ LSASSメモリをダンプしてパスワードとハッシュを収集します。
防衛回避(Evasion) テクニック(ID) テクニック名 Tenguで行っていること T1562.001/T1562.004 防御策の妨害：ツールの無効化または変更/防御策の妨害：システムファイアウォールの無効化または変更 セキュリティ及び更新サービス(wscsvc, wuauserv)を無効化します。 T1070.001 ホスト上の痕跡の削除: Windows イベント ログの消去 Windowsイベントログをクリアします。
ネットワーク探索(Discover) テクニック(ID) テクニック名 Tenguで行っていること T1018/T1046 リモートシステムの探索/ネットワークサービスの探索 標準的なネットワーク/サービスの検出を行います。
水平移動(Lateral Movement) テクニック(ID) テクニック名 Tenguで行っていること T1021 リモートサービス SMB/WMI/PsExecを介して、侵害された管理者認証情報を用いた水平移動を行います。
収集(Collection) テクニック(ID) テクニック名 Tenguで行っていること T1074.001 ローカルデータの一時的保存 データは抽出前にローカルで収集・圧縮されます。
データ流出(Exfiltration) テクニック(ID) テクニック名 Tenguで行っていること T1567.002 Webサービスによる情報流出：クラウドストレージによる情報流出 rcloneやWinSCPなどの正規のツールを用いてデータをMEGAなどのクラウドサービスに流出させます。 T1041 C2チャネル経由のデータ漏洩 C2チャネルを経由した大量のデータ流出
影響(Impact) テクニック(ID) テクニック名 Tenguで行っていること T1490 システム復旧の妨害 vssadmin delete shadows /all /quietなどでボリュームシャドーコピーを削除します。 T1486 暗号化 ファイルを暗号化し、.tenguという拡張子をつけます。
IoC等 IoC等は下記のリンクにありますので検出の参考にしてください。
参考リンク
