露出した Elasticsearch：ランサム・ワイプ経済の内側

TLP:CLEAR。一般公開を承認済み。本所見は、単一のクラウド拠点から実施した、露出した Elasticsearch のインターネット全域センサスと、身代金要求文で宣伝されていたすべてのビットコインおよびイーサリアムのアドレスのオンチェーン分析に基づく。攻撃者のウォレット、連絡先アドレス、要求文の本文、リンクは指標であり、ここに公開する。リンクと連絡先ドメインは無害化（defang）済み。影響を受けた組織は別途の開示手続きの下で扱い、名指しはしない。

エグゼクティブサマリー

• 7,648認証なしで開放されているホスト
• 5,073身代金目的でワイプされた抜け殻
• $5,553全アクター・全期間の支払い総額
• 1.2%のちに認証を有効化した被害者

インターネット上の Elasticsearch に未認証のスキャナーを向けると、応答してくるものの大半は残骸である。中身を空にされ、かつてデータがあった場所に身代金要求文だけが残されたクラスタだ。我々は単一のクラウド拠点から 17,043 台の Elasticsearch ホストをセンサスし、うち 11,850 台が応答した。そのうち 7,648 台は認証がまったくない開放状態で、開放ホストのうち 5,073 台はすでに中身を空にされ、データの代わりに要求文が残されていた。要求文の入ったワイプ済みの抜け殻こそが、露出した Elasticsearch クラスタの最も一般的な単一の状態である。

2,500 台のホストからそれらの要求文を全文読み取ると、5 人のアクターが運用する 7 種類のテンプレートに分類される。次に、要求文が宣伝していたすべてのウォレットを追跡した。5 人のアクター全体、13 個のビットコインアドレスと 1 個のイーサリアムアドレスにわたり、1 年を超える期間で、これらのキャンペーンは合計 0.06 BTC となる 11 件の支払いを受け取った。各支払いが着金した時点の相場でおよそ $5,553 に相当する。帰属可能な被害者全体での支払い率は 0.28% である。

支配的なアクターの売り文句は、あなたのデータはサーバーから削除されたが自分たちのクラスタで安全に保管されており、支払えば戻ってくる、というものだ。証拠はこれを裏付けない。要求文があなたのデータベース固有だと請け合う復旧コードは、実際には単一の固定文字列であり、56 か国の 1,199 人の被害者にわたって同一だった。一方で被害者の側は、その大半が根本的な露出を是正しない。センサスの 7 週間後に再プロービングしたところ、2,500 台の標本のうち 52% がなお開放され、なおワイプされ、要求文もそのまま残っており、認証を有効にしていたのはわずか 1.2% だった。

センサス：何台が、どの状態にあるか

masscan によるスイープで、およそ 39,900 個の Elasticsearch および Kibana の候補エンドポイントが浮かび上がった。Elasticsearch 側を拠点からホストごとの明確な判定へと解決すると、正規の結果を持つ 17,043 台のホストが残る。そのうち 11,850 台が HTTP に応答し、5,193 台が応答しなかった。

17,043 台全体の判定は以下のとおり。

判定	件数	意味
開放、認証なし	7,648	GET / が資格情報なしで 200 を返す。直接読み取り可能
保護あり	4,026	401/403 で、よく知られた既定資格情報でも失敗する
応答なし	5,193	拠点から HTTP の応答なし
認証要求	71	401/403 で、まだ資格情報のテストはしていない
既定資格情報	39	既定資格情報で認証が通る
その他	66	到達可能だが Elasticsearch ではない、または異常なステータス

到達可能なホストのおよそ 3 分の 2 が、認証なしで応答する。ただし「開放」という言葉は、それを被害者数に読み替える前に注意を要する。

地理的に見ると、開放された未認証の母集団は大差で中国が最多である。CN 2,518、次いで US 874、DE 731、FR 518、IN 435、MX 277、RU 256、SG 181、JP 131、KR 125、NL 124、GB 120。

既定資格情報で認証が通る 39 台のホストは、より小規模だがより深刻な問題である。よく知られた 6 組の既定資格情報を読み取り専用でテストし（elastic:elastic、changeme、password、bitnami；admin:admin；kibana:kibana）、それぞれが付与する権限をホストごとに確認した。これらは二つのクラスに分かれる。メタデータは見えるが _search で 403 を受ける kibana_system アカウントと、読み取り・書き込み・削除を備えた完全な elastic スーパーユーザーである。より弱い住宅回線の拠点は、これらのうち既定資格情報でスーパーユーザー権限が得られる 26 件を丸ごと取りこぼしており、これは末尾で論じる拠点バイアスの問題の予告となっている。最悪の単一ケースは、Fleet を接続した既定資格情報の Elastic Defend EDR および SIEM スタックであり、セキュリティ製品へのスーパーユーザーアクセスは、アラートの改竄と、管理側からエージェントへ、それが管理するすべてのホストでのコード実行へと至る経路をもたらす。

身代金要求文

被害者は、よくある「インターネット上の未パッチのマシン」という筋書きから想像するような相手ではない。メジャーバージョン別に見ると、ワイプされたホストは v8（2,535）、v7（1,960）、v9（299）、v6（117）、v5（61）、v2（42）を稼働させている。現行リリースが大半を占める。v7、v8、v9 を合わせると 4,794 台で、10 台中 9 台を超える。これらは保守された最新のクラスタであり、たまたま玄関にパスワードがかかっていないだけだ。露出は開放されたポートにあり、パッチを当てても塞がらなかっただろう。

ホスティングは大手の中国クラウド（Alibaba 730、Tencent 500、Volcano Engine 330、Huawei 84、合計およそ 1,644）に集中し、次いで欧州の格安プロバイダー（OVH 324、Contabo 250、Hetzner 236）、そしてメキシコの Baja Datacenter における単一プロバイダーの集中（231）が続く。被害者の地理は露出の地理をなぞる。CN 1,972、US 527、FR 423、DE 360、MX 235、RU 212、そして長い裾野が続く。

要求文の内容

2,500 台のホストを全文読み取った結果、1,309 通の完全な要求文が回収された。ウォレット、連絡先、金額、コードを取り除いて正規化すると、これらは 7 種類の異なるテンプレートにまとまる。そのうちの一つがほぼすべてを占める。以下のリンクと連絡先ドメインは無害化済みである。

アクター A、支配的なテンプレート、1,309 通中 1,199 通（92%）、56 か国にわたる：

Your database has been deleted from your server, but all the information remains stored on our cluster. The instructions for recovery are as follows: You must send 0.0041 BTC to the following wallet: bc1q38rjul6gdamfflf6p4ukz0ymtvfgfv2j9saf6r. Then, you must send an email to wendy.etabw@gmx[.]com with the following code: 0SH7HH1Q72JL (it is important that you write it correctly, as it corresponds to your database). You must also attach the txid (the Bitcoin transaction ID) to the message. After following these steps, we will send you a zip file with all your information. You have 48 hours to complete the steps. For More Info - hxxps://tli[.]sh/73x1k

この一つのテンプレートの中で、金額は変動し（0.0016、0.0035、0.0041、0.0061 BTC）、ウォレット、連絡先アドレス（wendy.etabw@gmx[.]com、scandal@onionmail[.]org、bitwezen@cock[.]li）、コード（0SH7HH1Q72JL または BITWEZEN2026）も同様に変わる。期限は常に 48 時間である。

あるテンプレートは、全文を引用するに足るほど異質だ。7 種類の中で唯一、データを削除するのではなく公開すると脅し、ビットコインに加えてイーサリアムの選択肢を提示し、実質的により大きな金額、アクター A の要求のおよそ 12 倍を求める。

アクター E、リーク脅迫、二系統チェーン、3 通：

Your database was compromised. Pay 0.1 ETH to 0x3C11Cf2974c3Fb4d7ebBfea711a4A0b26989979D or 0.05 BTC to bc1qu8t03mv2qwjv56gry2ft0qes0xwqhddjhsvkfl. THIS IS A UNIQUE ADDRESS GIVEN TO YOU AND YOUR PAYMENT WILL BE AUTOMATICALLY DETECTED. UPON WHICH WE WILL RESTORE YOUR DATA. IN 48 HOURS IF NO PAYMENT IS MADE WE WILL LEAK YOUR DATA PUBLICLY.

残るテンプレートは、アクター A の要求文の壊れたメールマージ亜種を含め、防御側が照合できるよう以下に逐語的に再掲する。

その他の要求文テンプレート、逐語（無害化済み）

アクター B「sharebot」、101 通、15 か国：

Your database has been backed up to our secure servers. To recover your data, send exactly 0.0061 BTC to: bc1quwlw8djc7hfamf3qpspma34uh9dr6w4kudfu8p Then email db-recovery@sharebot[.]net with your server IP and transaction ID. We will reply with a download link within 24 hours. If no payment is received in 48 hours, your data will be permanently deleted.

アクター B「sharebot」、コード付き亜種、2 通：

Your data has been backed up. To recover it, send 0.0061 BTC to: bc1qquzg5dg5yfqxlc0fy6pemcwa2xg5mw3l7l2gc4. Then email es-recovery@sharebot[.]net with code: 841BEACF110F and attach the transaction ID (txid). You will receive a download link within 24 hours. Do not modify this index.

アクター D、1 通：

Your DB has been back up. The only way of recovery is you must send 0.002 BTC to 127ZBzXyLJFc7ShMmzkYFDhSiXXSnR8Jfr. Once paid please email databaserestore32@onionmail[.]org with code: omoRmq and we will recover your database. please read hxxps://cutmyurl[.]com/3caF8EkT for more information

アクター A、壊れたメールマージ亜種、3 通：

Your database has been deleted from your server, but all the information remains stored on our cluster. […] You must send 0.0041 BTC to the following wallet: bc1qu8t03mv2qwjv56gry2ft0qes0xwqhddjhsvkfl. Then, you must send an email to This is a unique address given to you and your payment will be automatically detected, upon which we will restore your data. with the following code: 0SH7HH1Q72JL […]

連絡先の欄が、メールアドレスの代わりに一つの文で埋められている。その文はアクター E のテンプレートからの逐語であり、ウォレットはアクター E が使うものである。

復旧コードは被害者ごとではない

アクター A の要求文は一つの約束に依拠している。あなたのデータは安全であり、コードは我々があなたのものを特定して返せる証拠だ、というものだ。56 か国の 1,199 人の標本被害者にわたり、そのコードはちょうど二つの値、0SH7HH1Q72JL と BITWEZEN2026 しか取らない。これはビルド時にテンプレートへ焼き込まれた定数であり、被害者に紐づく識別子ではない。

その帰結は微妙なものではない。ある被害者を別の被害者と区別できない操作者は、求めに応じて特定の被害者のデータを返すことはできない。ワイプがエクスポートではなくインデックスの一括削除であるという事実と併せれば、「すべての情報は我々のクラスタに保管されたままである」という一文は、ここで観測できるいかなるものにも裏付けられていない。アクター B のコード付き亜種は、被害者ごとに異なるように見えるコードを確かに持つが、その亜種は 1,309 通中 2 台のホストにしか届いておらず、アクター B は一度も支払いを受けていない。

共有のキットが二つの「アクター」を結びつける

上記の壊れた亜種は、ちょっとしたフォレンジック上の贈り物である。アクター A の失敗した要求文とアクター E のリーク脅迫の要求文は、ウォレット（bc1qu8t03mv2qwjv56gry2ft0qes0xwqhddjhsvkfl）を共有し、さらにアクター A の要求文の誤った欄に収まった一文を一字一句共有している。もっとも無理のない読み方は、ウォレット・連絡先・金額・期限の設定可能な欄を持つ共有の要求文生成キットがあり、ある実行がアクター E の宣伝文句をアクター A の連絡先欄に書き込んだ、というものだ。推定の用語で言えばこれは可能性が高い。両方のスクリプトを走らせる一人の操作者でも、キットを共有する二人の操作者でも、どちらも当てはまり、要求文の本文だけでは両者を切り分けられない。証拠が排除するのは、この二つを完全に独立したものとして扱うことである。

アクターたち

アクター	連絡先	主題	要求額	被害者数	アドレス数
A（支配的）	wendy.etabw@gmx[.]com、scandal@onionmail[.]org、bitwezen@cock[.]li	サーバーから削除、我々のクラスタに保管；固定コード；tli[.]sh リンク	0.0016～0.0061 BTC	約 3,730	4
B「sharebot」	db-recovery@、es-recovery@sharebot[.]net	我々の安全なサーバーにバックアップ済み；24 時間でリンク／48 時間で削除	0.0061 BTC	約 262	5
C「rambler」	rambler+<id>@onionmail[.]org（被害者ごとに固有）	被害者ごとのウォレットとメール	約 0.0041 BTC	3	3
D	databaserestore32@onionmail[.]org	レガシーな P2PKH ウォレット；cutmyurl リンク	0.002 BTC	1	1
E	なし（支払いのみ）	リーク脅迫；BTC または ETH	0.05 BTC / 0.1 ETH	3	1 BTC + 1 ETH

アクター A は一つの共有ウォレットを数千人の被害者にばらまく。アクター C はその逆で、3 人それぞれに新しいウォレットと rambler+<id> メールを新規に作る。この手口の違いが、実際に誰が支払いを受けたかを決めることになる。

資金を追う

宣伝されていたすべてのアドレスを、公開のブロックエクスプローラーに対して読み取り専用で照会した。USD の数値は、今日のスポット価格ではなく、各支払いのブロック時点での価値である。

指標	値
宣伝された BTC アドレス	13
何かしら受け取ったことのあるアドレス	5
受領総額	0.05995249 BTC
支払い時点での総価値	$5,553.21
支払い件数、全アクター・全期間	11
帰属可能な被害者ホスト	3,996
全体の転換率	0.28%
収益ゼロのアドレス	13 個中 8 個
最初／最後の支払い	2025-05-27 / 2026-06-04

アクターごとに分解すると、その順位こそが所見である。

アクター	アドレス数	被害者数	支払い件数	受領 BTC	当時の USD
A	4	3,730	5	0.02442141	$1,686.65
C (rambler)	3	3	6	0.03553108	$3,866.56
B (sharebot)	5	262	0	0.00000000	$0.00
D	1	1	0	0.00000000	$0.00
E	1 BTC + 1 ETH	3	0（BTC 側）	0.00000000	$0.00

アクター C は 3 台のホストを恐喝し、アクター A が 3,730 台から得たより多くの金を手にした。その 3 人の被害者は 6 件の支払いを行い、うち数件は要求額のおよそ 2 倍だった。これは期限が過ぎると値上げすると脅す要求文から予想されるとおりのものだ。アクター B は、この集合の中で最もはっきりした否定的結果である。15 か国にわたる 262 人の被害者、プロらしく見える要求文、ドメインベースの連絡先アドレス、それでいて一度も、1 サトシも受け取っていない。

ここでのあらゆるキャンペーンの収益全体は、11 件のトランザクションである。一画面に収まる。

#	時刻（UTC）	アクター	アドレス	BTC	当時の USD	要求額と一致
1	2025-05-27 16:49	C	bc1qk2cc4…	0.00413108	$455.32	約 0.0041
2	2025-10-29 12:52	C	bc1qqmyg9d…	0.00750000	$848.68	不一致（約 2 倍）
3	2025-10-30 18:41	C	bc1qqmyg9d…	0.00760000	$816.67	不一致（約 2 倍）
4	2025-11-01 20:27	C	bc1qqmyg9d…	0.00390000	$429.99	約 0.0041
5	2025-11-10 13:42	C	bc1q5xj2m…	0.00820000	$868.57	不一致（約 2 倍）
6	2025-11-10 14:45	C	bc1q5xj2m…	0.00420000	$447.33	約 0.0041
7	2026-02-02 05:52	A	bc1q38rjul…	0.00410000	$310.83	一致
8	2026-02-07 00:08	A	bc1q38rjul…	0.00372427	$262.65	不一致
9	2026-02-14 09:07	A	bc1q38rjul…	0.00608500	$424.20	不一致（約 0.0061）
10	2026-04-07 07:25	A	bc1q38rjul…	0.00410000	$281.14	一致
11	2026-06-04 19:18	A	bc1qvrryy2…	0.00639778	$407.83	不一致（約 0.0061）

11 件のうち、要求された数字とちょうど一致するのは 2 件だけだ。惜しい外れ（0.00372427、0.006085、0.00639778）は、誰かが正確な金額を書き写したというより、手数料込みの「最大額送金」か、送金時点での USD から BTC への換算がそう見えるものだ。アクター C の期間（2025 年 5 月から 11 月）とアクター A の期間（2026 年 2 月から 6 月）は重ならない。

資金の出ていき方

どの支払いも速やかにスイープ（掃き出し）された。支払いからスイープまでの時間の中央値はおよそ 2 時間半で、最速は 11 分だった。各スイープは単一入力のトランザクションであり、一つの支払いが入り、一つの支出が出ていくだけで、統合（consolidation）はない。このため、13 個すべてのアドレスにわたる共通入力所有者分析（common-input-ownership analysis）はクラスタをゼロしか返さない。これが意図的な運用上のセキュリティを反映しているのか、それとも単に統合すべき二つの支払いをどのウォレットも一度も保持しなかったという事実にすぎないのかは、11 個のデータ点からは判別できない。

支払いを受けた二人のアクターは、その後正反対の振る舞いを見せ、その違いは追跡を望む者にとって重要である。アクター A の収益は、単一ホップのうちに、生涯トランザクションが数万から数十万に及ぶウォレット、つまり本人確認（KYC）記録を保有していそうな類のサービスという、大量取引のカストディアル・インフラへと流れ込む。アクター C は、一度も再利用されたことのない新規の使い捨てアドレスにしか送らない。したがってアクター A は、KYC を備えた要衝へと至る、召喚状で辿れる程度の短い足跡を残しているが、アクター C は残していない。二者の間で換金アドレスは一つも共有されておらず、下流アドレスにも両者が到達するものはないため、チェーンは両者を統合しない。アクター A のキットとアクター E との結びつきは、資金の流れではなく、要求文の本文と共有された宣伝ウォレットに拠っている。（具体的な下流サービスのアドレスは、ブロックリストの指標というより捜査上のピボットであり、大量取引のものは共有サービスに属するため、操作者の活動でカストディアンを不当に貶めることを避けるべく、ここでは再掲しない。）

イーサリアム側

アクター E のイーサリアムアドレスは、0.1 ETH で宣伝されていたが、その履歴は要求額とまったく一致しない。その実質的な生涯のすべては、センサスの 5 週間後にあたる 2026-07-27 の 108 分間の単一のバーストである。およそ 3.97 ETH が着金し、その後きれいな 0.5 および 1.0 ETH の塊となって 7 つの取引相手へ、二巡にわたって出ていく。その中に 0.1 ETH の被害者支払いは一つもなく、動いた約 4 ETH に近い額を要求する Elasticsearch の要求文も存在しない。我々はこれを、身代金収益の証拠というより、通過用または資金洗浄の中継ホップ、すなわち攻撃者に関連するインフラである可能性が高いと評価する。ここへの 14 件のダスト送金は第三者によるアドレスポイズニングのスパムであり、操作者について何も物語らない。

7 週間後

センサスについて最も有用なのは、二度行うことである。2026-08-07、我々は身代金を要求された 5,073 台のホストのうち 2,500 台という決定論的なランダム標本を、センサスのベースラインに対して再プロービングした。

結果	ホスト数	割合	意味
要求文が残存	1,309	52.4%	なお開放、なおワイプ済み、要求文もそのまま存在
到達不能	829	33.2%	HTTP なし。廃止、ファイアウォール遮断、または再アドレス割り当て
要求文が消失	332	13.3%	ホストは応答するが、要求文はもうそこにない
認証が有効化	30	1.2%	認証が現在は強制されている

この事案を招いた扉を閉めた被害者は、わずか 1.2% にとどまる。半数超は 7 週間で何一つ変えなかった。「到達不能」なホストのすべてを、廃止による是正だと寛大に読んだとしても、上限はおよそ 3 分の 1 にとどまり、しかも「到達不能」には、単に移設されただけのホストや、一時的なネットワークの途切れで隠れたホストも含まれる。

侵害指標

ウォレットとコードは攻撃者が作成したものであり、防御側が照合・追跡できるよう実際の値のまま掲載している。連絡先ドメインとリンクは無害化済みである。

ビットコイン（アクター A）：

bc1q38rjul6gdamfflf6p4ukz0ymtvfgfv2j9saf6r   (3,705 victims)
bc1qvrryy2vsq4jekejs8z2elkt3sxmhlyad06ymvr   (25 victims)
bc1qzkk2cld734njkds9263udc2wqgncp9e3th66ps
bc1qu8t03mv2qwjv56gry2ft0qes0xwqhddjhsvkfl   (shared with Actor E)

ビットコイン（アクター B「sharebot」）：

bc1quwlw8djc7hfamf3qpspma34uh9dr6w4kudfu8p   bc1qvrte050fngjlrmcuptz33259kw3wktkd3uv5hv
bc1qquzg5dg5yfqxlc0fy6pemcwa2xg5mw3l7l2gc4   bc1qt5cq2mnghwyyfl0pkd3086z9cad0m3hspwgl9t
bc1qqy3uegcgqjjncagjnkqgpplyl3k4a00khek5rs

ビットコイン（アクター C「rambler」）：

bc1qk2cc4ssl9j3d0xu5ljv0prsfzjdulvgvm4u6e7   bc1q5xj2mvtaupy56fff4dsaxwjxm8ftjzxfhw3ylh
bc1qqmyg9d9uj2fm93fjjjfuw2xrq2fwpr53uhf52d

ビットコイン（アクター D）： 127ZBzXyLJFc7ShMmzkYFDhSiXXSnR8Jfr イーサリアム（アクター E）： 0x3C11Cf2974c3Fb4d7ebBfea711a4A0b26989979D

連絡先アドレス（無害化済み）：

wendy.etabw@gmx[.]com      scandal@onionmail[.]org      bitwezen@cock[.]li
db-recovery@sharebot[.]net   es-recovery@sharebot[.]net
rambler+<id>@onionmail[.]org   databaserestore32@onionmail[.]org

復旧コード： 0SH7HH1Q72JL（アクター A、固定、被害者ごとではない）、BITWEZEN2026、841BEACF110F、BCA95C11355F（アクター B）、omoRmq（アクター D）。

リンク（無害化済み）： hxxps://tli[.]sh/73x1k（paste[.]sh の投稿にリダイレクトし、その復号鍵は URL フラグメントに置かれているため、コンテンツはブラウザ内で復号され、ホストは一切それを見ない。これによりコンテンツに基づくテイクダウン要請は無意味になる）、hxxps://cutmyurl[.]com/3caF8EkT（商用のリンク短縮サービス。そのアビューズ窓口がアクター D のリンクの経路となる）。

挙動： read_me という名の単一のインデックスにまで切り詰められた Elasticsearch クラスタ（常駐ドキュメント数の中央値は 1、すなわち要求文そのもの）。上記のいずれかのテンプレートを返す GET /read_me/_search。

対処方法

• Elasticsearch と Kibana の前に認証を置き、HTTP ポートを公開インターネットから外しておくこと。現行の Elasticsearch は既定でセキュリティが有効な状態で出荷される。ここに挙げたほぼすべてのホストは、それを切っていたか、公開インターフェースにバインドしていた。この一つの対策が、上で述べた攻撃対象領域の全体を塞ぐ。
• 被害に遭った場合、支払ってはならない。支配的な操作者は、あなたのデータを他の誰かのものと区別できず、ここでの証拠に照らせば、その控えを一切保管していなかった。支払いは次の掃討に資金を与えるだけで、何一つ取り戻せない。自前のバックアップから復元し、露出を塞ぐこと。
• ワイプされたクラスタは、ワイプされる前に読み取られていたと想定すること。それは、最終的に削除したアクターだけでなく、誰に対しても開放されていたのだから、保持していたものは何であれ漏洩したものとして扱い、その中のあらゆる秘密情報をローテーションすること。
• 攻撃者がするように、自分の資産を確認すること。あなたの Elasticsearch エンドポイントに対する、外部からの資格情報なしの GET / は、それらがパスワードなしで応答するかどうかを一度のリクエストで教えてくれる。内部からの確認ではインターネットが見るものを見られないので、ネットワークの外から実行すること。
• 既定値をリセットすること。よく知られた 6 組の資格情報が、ここでは 39 台のホストで認証が通り、そのうちの一つはセキュリティ製品だった。elastic と kibana のパスワード、およびあらゆるベンダー既定値を変更し、各アカウントが実際にどの権限を持つかを確認すること。

MITRE ATT&CK マッピング

戦術	技術
Initial Access	T1190 Exploit Public-Facing Application（開放された未認証の Elasticsearch）；T1078.001 Valid Accounts: Default Accounts（既定資格情報で認証が通る 39 件）
Impact	T1485 Data Destruction（インデックスの一括削除）；T1491.001 Internal Defacement（残された read_me 要求文）；T1657 Financial Theft（恐喝）

要求文はまた持ち出し（T1567）を主張し、アクター E の場合はリークに基づく恐喝（T1657）を脅しに用いる。控えを保持しているといういずれの主張も証拠は裏付けない。破壊は現実のものだが、持ち出しは主張にとどまる。

手法とアナリストノート

• 拠点バイアスは大きく、我々はそれを計測した。 住宅回線やローカルの拠点は、クリーンなクラウド拠点からは実際には生きていたホストの 63% を「応答なし」と判定した（11,388 台中 7,201 台。うち 7,113 台は完全に開放されていた）。どこからスキャンするかを制御しない露出資産センサスは、いずれも大幅に過少計上する。本センサスは単一拠点・単一のクラウドロケーションで行い、レコードごとに拠点とタイムスタンプのタグを付けており、すべての件数は単一拠点の数値である。
• おとりが素の「開放」件数を水増しする。 同一の作り物のスキーマを持つ自動命名ノードの集合と、インデックス一覧を偽装するホストは、開放ホストを被害者として扱う前に除外しなければならない。それは上記の数値ではすでに済ませてある。
• 要求文の標本は 5,073 台中 2,500 台（49%）であり、 再実行が比較可能となるよう決定論的にシードした。テンプレートの比率は標本誤差を含み、最もまれなテンプレート（1～3 通）は、あるものが存在することを示すのであって、それがどれほど一般的かを示すのではない。
• オンチェーンの合計は下限値である。 これは、我々が実際に読んだ要求文で宣伝されていたアドレスしか対象にしていない。読まれなかった要求文、標本に取られなかったホスト、一度も観測されなかったアドレスは件数に入っていない。大量取引の下流アドレスは共有サービスに属する。身代金ウォレットから送られた具体的な金額だけがアクターに帰属可能であり、それらサービスの生涯合計は帰属できない。
• 終始読み取り専用。 要求文は、すでにワイプされた未認証のクラスタから、ホストごとに 1 回の未認証の GET /read_me/_search で読み取った。資格情報のテストは 6 種類の既定値、それぞれ 1 回の GET / で、レート制限し、読み取り専用とした。チェーンの照会は公開エクスプローラーにのみ行った。被害者のコンテンツは一切取得しておらず、アクター A がリンクしたクライアント側暗号化の投稿は復号していない。
• 推定の用語は ICD 203 に従い、 確度はこのデータセット内の証拠のみを反映する。影響を受けた具体的な組織は、身代金要求を受けていない残余に含まれる価値の高いクラスタも含め、別途の責任ある開示手続きの下で扱い、名指ししない。

基礎となるセンサスデータとウォレット分析は、他の研究者や防御側の求めに応じて提供可能である。[email protected] まで、あなたが誰で何のために必要かを短く添えてメールを。