ランサムウェア集団、EDR無効化手法の導入が拡大

Halcyonの研究者による攻撃分析によると、暗号化を開始する前にエンドポイント検出・対応(EDR)ツールを停止させる手法が、ランサムウェアのエコシステム全体で標準的な手口になりつつあるといいます。

この手法はEDR-killと呼ばれることもあり、かつては特殊な技術と見なされていました。しかし今では主要なランサムウェア集団の間で標準的な手法となっており、防御側が攻撃を検知・封じ込めるための時間はさらに短くなっていると、Halcyonは7月27日に公開したQ2 2026 Ransomware Evolution Reportの中で述べています。

さらに、これら主要なランサムウェア集団の一部は、EDRやアンチウイルスの停止処理を自らの攻撃チェーンに組み込むようになっています。

その典型例が、最近台頭し、最も活発なランサムウェア脅威の一つとなったThe Gentlemenです。Halcyonはこの集団について詳細な分析を行っています。

以前公開された脅威評価レポートの中で、同社のランサムウェア研究センターは、The Gentlemenの開発者がBabuk、Qilin、LockBit 5.0、Medusaといった他の集団のサンプルを系統的にリバースエンジニアリングし、最も強力な暗号化ルーチン、コード難読化技術、EDR回避手法を選び出して自らのコードベースに組み込んでいることを明らかにしました。

ランサムウェア攻撃件数は減少も、手口はより巧妙化

Halcyonのランサムウェアレポートによると、2026年第2四半期には89の活動集団による1988件の公表済みランサムウェア攻撃が確認され、被害は101か国の組織に及んでいます。

公表された攻撃件数は前四半期比で5.7%減少したものの、攻撃者が用いる基本的な戦術は大幅に高度化しており、同社は「より高速で、より自動化され、検知がより困難な攻撃への移行を示している」と述べています。

主要なランサムウェア集団は、Qilin(攻撃表明293件)、The Gentlemen(攻撃表明214件)、DragonForce(攻撃表明143件)、Akira(攻撃表明119件)、Lockbit 5.0(攻撃表明102件)でした。

DragonForceとLockBit 5.0は2026年第2四半期に活動が活発化した一方、The Gentlemenは6月にQilinを抜いてトップの座に就きました。

Halcyonはまた、KryBit、Payload、PEAR、World Leaksなど、新たに台頭した(あるいは一部は活動を再開した)いくつかのランサムウェア集団も確認しています。

2026年第2四半期にランサムウェア集団から最も標的にされた業種は製造業で、サイバー恐喝攻撃全体の19.8%を占めました。次いで建設業、そしてビジネスサービス、小売、ソフトウェアが続きました。

Citrix NetScaler ADCおよびGateway(CVE-2025-5777)、SonicWall SSL VPN(CVE-2024-40766)、FortinetのFortiOS(CVE-2024-55591)など、エンタープライズのエッジデバイスにおける脆弱性は、この期間中にランサムウェア集団によって最も多く悪用されたものの一つでした。

レポートによると、DragonForceやAkiraなどの集団は、一部の攻撃において侵入から1時間足らずでランサムウェアの展開に至っていたといいます。

ランサムウェア集団、AIの実運用化を推進

Halcyonのレポートによると、ランサムウェア攻撃においてAIは実験段階を超え、実運用に組み込まれつつあるといいます。

Halcyonのアナリストは「脅威アクターは攻撃チェーン全体を通じてAIの活用を拡大させています。AI生産性向上ツールを装ったマルウェアから、AIを活用した被害者との交渉、さらには研究者が『初のエージェント型ランサムウェア』と見なす、侵入の主要段階を自律的に実行できるマルウェアの登場まで及んでいます」と記しています。

例えば、Halcyonは、LLMによって開発されたEvilAIが偽のAI生産性向上アプリを装いながら、水面下でランサムウェア攻撃者に初期アクセスを提供する事例が増加していると報告しています。

Halcyonの欧州担当ソリューションエンジニアリング・ディレクターを務めるRoss Asquith氏は、EDR無効化技術の一般化と、ランサムウェア攻撃チェーンにおけるAI活用の普及が進んでいることは、「ランサムウェアのエコシステムが、組織が頼りにしているセキュリティツールを無力化する上で、より高速に、より自動化され、はるかに効果的になりつつあることを示している」と述べています。

同氏はさらに、この状況を受けて、サイバー防御担当者はサイバーレジリエンスの強化に注力すべきであり、「従来型の対策が対応に必要な時間を確保してくれると、もはや前提にすべきではない」と付け加えています。

最後に、このレポートは、ランサムウェアが国家目的を支援するために利用されている証拠が増えていることを指摘しており、イランに関連する脅威アクターが諜報活動を犯罪的なランサムウェア作戦に見せかけるケースが増加していると述べています。