マイクロソフトの脅威インテリジェンスチームは、金銭目的の脅威アクター「Storm-1175」が2026年8月2日以降、これまで確認されていなかった新種のランサムウェアファミリー「StormEncryptor」を展開している様子を観測しました。
今回の攻撃活動は、同グループにとって4月以来初めて公に確認されたキャンペーンとなり、これまで恐喝オペレーションで使用してきたMedusaランサムウェアからの転換を示しています。
今回のキャンペーンは、N-able製品に影響する認証バイパスの脆弱性であるCVE-2026-18577が急速に武器化されたことと関連している可能性があります。
マイクロソフトは初期侵入経路を確認していないものの、そのタイミングから、組織がパッチ適用を完了する前にStorm-1175が新たに公表されたこの脆弱性を悪用し、公開されている環境を侵害している可能性が強く示唆されています。
StormEncryptorはC++で書かれたランサムウェアのペイロードで、ファイルを暗号化した上でファイル名に.encrypted拡張子を付加します。暗号化後、マルウェアはスキャンしたすべてのディレクトリに!!!README_FIRST!!!.txtという名前の身代金要求メモを作成し、匿名性の高い通信手段を通じて攻撃者に連絡するよう被害者に指示します。
このメモでは、独自にデータ復旧を試みないよう警告するとともに、被害者が3日以内に連絡しない場合は窃取したデータを公開すると脅迫しています。
Microsoft Defender Antivirusは、確認されたStormEncryptorの検体（SHA-256: c19ded65e822bb43ad0381c58abf33b7c8890f7bcc7125058a0c849c7e1a6054）をRansom:Win64/StormEncryptorとして検知します。
Defender for Endpointは、「複数デバイスにまたがるハンズオンキーボード攻撃」や「人間が操作している可能性のある悪意ある活動」といったアラートを通じて、関連するハンズオンキーボード型の挙動も検知できます。
CVE-2026-18577は8月2日に公表され、8月3日にはCISAの既知の悪用脆弱性(KEV)カタログに追加されており、実際に悪用されている証拠が裏付けられています。
この脆弱性が悪用されているとみられる状況は、Storm-1175の従来の手口――公開から広範なパッチ適用が完了するまでの間の、いわゆる「Nデイ」を狙って新たに公表された脆弱性を迅速に悪用する手法――と一致しています。
インターネットに公開されたリモート管理インフラの修正対応を先送りする組織は、意図せず攻撃者に特権アクセスや足場を維持する機会、さらには連携する顧客システムや企業システムへの侵入経路を与えてしまう恐れがあります。
初期侵入後、Storm-1175はAnyDeskやSimpleHelpといった正規のリモート監視・管理ツールを悪用する様子が確認されています。
こうしたツールを使うことで、攻撃者は悪意あるリモートアクセスを通常の管理業務に紛れ込ませることができ、目立つ独自のバックドアを展開する必要性も減らせます。
同グループはまた、Advanced IP Scannerを使って内部システムを列挙し、価値の高い標的を特定しています。認証情報へのアクセスに関しては、Mimikatzを用いてLocal Security Authority Subsystem Service(LSASS)プロセスをダンプする活動が確認されており、これにより攻撃者は認証情報を取得し、被害者のネットワーク内で侵害範囲を拡大できる可能性があります。
初期侵入、探索、認証情報の窃取、横展開、データ窃取、そして暗号化というこの一連の流れは、人間が操作するランサムウェアオペレーションに典型的なものです。
マイクロソフトの分析によれば、Storm-1175は侵害からデータ窃取、ランサムウェア展開までをわずか数日で完了させることが可能であり、防御側が侵入を封じ込める時間はほとんど残されていません。
N-able製品を利用している組織は、CVE-2026-18577に対応するベンダーのセキュリティ更新プログラムの適用を最優先で行い、インターネットに公開された管理インターフェースが本当に必要かどうかを確認した上で、アクセスを制限し、強固な認証を設定する必要があります。
セキュリティチームは、AnyDesk、SimpleHelp、Advanced IP Scanner、およびMimikatzに関連する痕跡が予期せず展開・使用されていないか調査すべきです。
防御側はさらに、.encryptedで終わるファイル、!!!README_FIRST!!!.txtの作成、不審なLSASSへのアクセス、異常な認証情報の使用、そしてエンドポイント間での急速な横展開についても監視する必要があります。
ANY.RUNのブラウザ内データ検査機能で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを削減しましょう
翻訳元: https://cyberpress.org/storm-1175-deploys-new-stormencryptor-ransomware/