ハッカーグループの記録
EXOTIC LILY
状況不明
帰属の確度
高
Google TAGは、BazarLoaderの配布への切り替えや独自のCobalt Strikeの設定などの指標が、FIN12/WIZARD SPIDERとの関係の存在を裏付けるとした一方、その関係の性質は依然として不明だとしており、EXOTIC LILY自体はGoogle TAGの観測に基づく命名と分析であるため
帰属の根拠
Google脅威分析グループ(TAG)が2022年3月17日付のブログで命名・分析し、ContiやDiavolランサムウェア、FIN12/Wizard Spiderとの関連を指摘
状況 不明
2022年3月17日のGoogle TAGの報告以降、同グループ名を用いた新たな公式な追跡情報を今回確認した範囲では見つけられなかったため不明とする (出典 Google Threat Analysis Group 2022-03-17)
EXOTIC LILYは、金銭目的に分類されるハッカーグループです。主な動機は金銭です。
要点
- 種類と動機 金銭目的に分類されます。動機は「金銭」です。
- 帰属 Google脅威分析グループ(TAG)が2022年3月17日付のブログで命名・分析し、ContiやDiavolランサムウェア、FIN12/Wizard Spiderとの関連を指摘。確度は高です。
- 日本との関わり 今回確認した範囲のGoogle TAGの報告では、標的として650件の組織が世界各地で言及されているが、日本国内の組織が被害を受けたとする確認できる記載は見つからなかった。
基本の記録
- 種類
- 金銭目的
- 動機
- 金銭。侵入したネットワークへのアクセスをConti・Diavolランサムウェアを運用する犯罪者グループに販売する初期アクセスブローカー
- 記録の始まり
- 2021年9月 Google TAGが2022年3月17日付のブログで、2021年9月に初めて活動を観測したと記載
- 状況
- 不明
- 帰属の確度
- 高
- 帰属先として記載された国
- 帰属の根拠に国名の記載なし
記録した手口
出典にもとづく手口です。番号は MITRE ATT&CK の手口番号です。
- 番号なしMicrosoft MSHTMLのゼロデイ脆弱性(CVE-2021-40444)を悪用したフィッシングメールの送付
- 番号なし実在企業のドメインのTLDだけを変えた偽ドメインと偽の人物を使い、ビジネス提案を装うフィッシングメールを送信。当初は実在企業の従業員を装う架空の人物を作り、公開サービスでAI生成した顔写真をプロフィール画像に使った
- 番号なし2021年11月からは、SNSや企業データベースから個人情報を写して実在の従業員本人になりすました
- 番号なし正規のファイル共有サービスを悪用したペイロード配信
- 番号なし侵入後にカスタムローダーBUMBLEBEEを展開し、Cobalt Strike等の次段階ツールを配信
日本との関わり
今回確認した範囲のGoogle TAGの報告では、標的として650件の組織が世界各地で言及されているが、日本国内の組織が被害を受けたとする確認できる記載は見つからなかった。今回確認した出典では日本での被害は確認できなかった。
収録した事例とのつながり
収録した事例とのつながりは、まだありません。
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係する事例
収録データにはまだ出ていない
出典
- Exposing initial access broker with ties to Conti Google Threat Analysis Group・2022-03-17
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）