Microsoft Threat Intelligenceは、金銭目的の脅威アクターStorm-1175によるものとされる新たなランサムウェアキャンペーンを確認しました。同グループは2026年8月2日から、これまで未報告だったランサムウェア「StormEncryptor」の展開を開始しています。
今回の攻撃活動は、Storm-1175にとって2026年4月以来初めて観測された作戦であり、使用するランサムウェアツールに顕著な変化が見られる点でも注目されます。
同グループはこれまでMedusaランサムウェアの展開との関連が指摘されていましたが、現在は被害者のファイルを暗号化して業務を妨害するために設計された、独自のC++ベースのペイロードを使用しています。
Storm-1175、StormEncryptorランサムウェアによる攻撃を開始
StormEncryptorは、感染対象のファイルに.encrypted拡張子を付加し、スキャンしたすべてのディレクトリに身代金要求メモ!!!README_FIRST!!!.txtを作成します。
このメモでは、被害者に対して匿名化された通信サービス経由で攻撃者に連絡するよう指示しており、身代金の支払い要求に応じない場合、窃取したデータを公開する可能性があると警告しています。
Microsoftは、今回のキャンペーンで悪用された初期侵入の具体的な脆弱性については確認していません。しかし、確認されているタイミングや脅威活動の状況から、Storm-1175はN-able製品に影響する認証バイパスの脆弱性であるCVE-2026-18577を悪用している可能性が高いとみられます。
この脆弱性は2026年8月2日に公表されており、これはMicrosoftがStormEncryptorの活動を観測したのと同日にあたります。さらに、8月3日にはCISAの既知の悪用された脆弱性(KEV)カタログにも追加されました。
Vulnerabilityassessment service
このように悪用キャンペーンとみられる活動が急速に出現している状況は、組織がパッチ適用や緩和策を講じる前に新たに公表された脆弱性を武器化するという、Storm-1175が従来から採用してきた行動パターンと一致しています。
Storm-1175は、脆弱性の公表から広範な修正適用までの間に生じる「ギャップ」を突く、スピード重視のランサムウェア攻撃で知られています。
こうしたキャンペーンにより、攻撃者は特にインターネットに公開されたリモート管理サービスが関与する場合、外部に露出していたり、十分に保護されていなかったりするインフラへの初期アクセスを得ることが可能になります。
初期侵入に成功した後、Storm-1175は正規ツールやデュアルユース(善用・悪用双方が可能な)ツールを用いてアクセス範囲を拡大し、システムを特定した上でランサムウェアの展開準備を進めていることが確認されています。
Microsoftは、侵害環境全体にわたってリモートアクセスを確立または維持する目的とみられる、AnyDeskまたはSimpleHelpといったリモート監視・管理ツールの使用を報告しています。また同アクターは、標的ネットワーク内のホストを列挙し、システムを発見するためにAdvanced IP Scannerも使用しています。
認証情報の窃取に関しては、Storm-1175はMimikatzを用いたLocal Security Authority Subsystem Service(LSASS)のメモリダンプとの関連が指摘されています。Mimikatzは、Windowsシステムから認証情報や認証関連データを抽出可能な、悪用事例の多い侵害後利用ツールです。
こうしたツールセットは、単なる自動化された侵入ではなく、攻撃者が実際に手動で操作する「ハンズオンキーボード」型のランサムウェア攻撃の手口を反映しています。リモート管理ツール、ネットワーク探索、認証情報窃取を組み合わせることで、攻撃者は横展開を行い、価値の高いシステムにアクセスした上で、環境全体にわたってランサムウェアをより広範囲に展開できるようになります。
緩和策
Microsoft Defender Antivirusは、SHA-256ハッシュ値c19ded65e822bb43ad0381c58abf33b7c8890f7bcc7125058a0c849c7e1a6054を持つStormEncryptorの検体をRansom:Win64/StormEncryptorとして検知します。
Microsoft Defender for Endpointも、今回の攻撃活動に関連するアラートを生成可能で、「複数デバイスにまたがるハンズオンキーボード型攻撃」や「人間が関与した悪意ある活動の可能性」といった検知が含まれます。
影響を受ける可能性のあるN-able製品を使用している組織は、ベンダーが提供するセキュリティアップデートの適用を優先し、CVE-2026-18577に関するCISAのガイダンスに従うことが推奨されます。
Securitytraining courses
セキュリティチームは、AnyDesk、SimpleHelp、Advanced IP Scanner、Mimikatzの予期しない使用や、LSASSへのアクセス活動、そして!!!README_FIRST!!!.txtという名前のファイルの作成についても調査すべきです。
Storm-1175は初期侵入からデータ窃取・暗号化までの進行が非常に速いことを踏まえると、迅速なパッチ適用、エンドポイントの監視、そして侵害が疑われるシステムの隔離が、このランサムウェアによる被害を軽減する上で極めて重要になります。
Stop new phishing & malware before they compromise your business. Integrate live intel from 15K SOCs around the world
翻訳元: https://gbhackers.com/storm-1175-launches-stormencryptor-ransomware-attacks/
