Playランサムウェアは、侵入活動中の不審感を軽減するために、Windows管理ツールを装う手口を使っています。具体的には、PSexesvc.exeという名前のカスタムサービスバイナリを利用しています。
アンチウイルス&マルウェア
同グループがMicrosoft SysinternalsのPsExecを模倣したPSexesvc.exeというカスタムサービスバイナリを使用している事実は、攻撃者が日常的なWindows管理業務を、横展開やペイロード実行を隠蔽する手段として悪用できることを示しています。
このバイナリは、C:\Users\Public\Music\に配置されたツール群やランサムノートと共に確認されており、このパスは調査時に見過ごされやすい場所です。
この手口はMITRE ATT&CKのT1036「Masquerading（偽装）」に分類されます。攻撃者が成果物を信頼されたリソースに似せる手法です。
Playは横展開のために正規のPsExecやWindows Management Instrumentationも使用しており、防御側は正規ツールの存在そのものと悪意ある文脈とを区別する必要があります。
この調査結果は、Picusが2026年の防御成果が最も低かったランサムウェアファミリー10種を分析したレビューによるものです。Playの防御スコアは13%と最も低く、2番目に低いBlackByteは25%でした。
この結果は、特定の製品がPlayの活動を13%しか阻止できないことを意味するわけではありません。実際の攻撃手法を本番環境の防御対策に対して集計・匿名化してテストした結果を反映したものです。
とはいえ、この結果は実務上の問題を浮き彫りにしています。組織がエンドポイント、ネットワーク、ID管理、ログ記録といったツールを保有していても、ランサムウェアの攻撃者が実際に使う一連の行動パターンを防げていない可能性があるということです。
Picusの研究者らによると、PsExecは企業の管理者がリモートのWindowsシステムでコマンドを実行する際に日常的に使用するため、特に有効な偽装手段になるといいます。
防御スコアが低かったランサムウェアファミリー全体を見ると、T1027「Obfuscated Files or Information（難読化されたファイルや情報）」が最も多く使われた回避手法でした。
組み込みのペイロード、設定情報、文字列を暗号化または符号化することで、静的スキャナーが検査できる信頼性のあるコンテンツを奪う狙いがあります。
PsExecを模倣するPlayランサムウェア
他にも繰り返し確認された手法として、セキュリティツールの無効化・改変、プロセスインジェクション、痕跡の削除、レジストリの改変、リフレクティブコードのロード、成果物の隠蔽、署名済みシステムバイナリを利用したプロキシ実行、実行条件の制限などが挙げられます。
Playに関して言えば、セキュリティチームはリモート実行、サービス作成、管理共有、RDP、WMI、PowerShellを中心とした振る舞い検知を優先すべきです。
クラウドセキュリティ認定資格
アラートの判断基準は、実行ファイルのパス、署名者、ハッシュ値、親プロセス、リモート元、アカウントの権限、宛先ホストなど複数の要素を勘案すべきであり、単純にすべてのPsExecイベントにフラグを立てるだけでは不十分です。
ユーザーが書き込み可能な公開ディレクトリから起動されたPSexesvc類似のサービスは、管理された管理共有から展開される承認済みのSysinternalsツールよりも、はるかに厳重な精査に値します。
アナリストは同じ時間帯における、サービスの突然の停止、イベントログの消去、シャドウコピーの削除、異常な暗号化活動についても調査すべきです。
緩和策の基本方針は従来通りですが、継続的な検証が欠かせません。具体的には、不要なリモートアクセス経路の除去、インターネットに公開されたサービスへのパッチ適用、特権アクセスおよびリモートアクセスへの多要素認証(MFA)の強制、重要資産のセグメント化、管理ツールを承認済みホスト・アカウントに限定すること、そして保護されたオフラインバックアップの保持です。
CISAのPlayランサムウェアに関する勧告でも同様に、異常な活動の監視、リモートサービスへのアクセス制限、特権アカウントの監査、そして確認されているATT&CK手法に対応した防御技術の整備を推奨しています。
より大きな教訓は、書類上の検知網羅性は実際の防御力と同義ではないということです。
侵害・攻撃シミュレーション(BAS)を使えば、実際のランサムウェアの挙動を模した動作を本番環境の防御対策に対して安全に実行し、何が遮断され、何がログに記録され、何が見逃されたのかを可視化できます。
Picusによると、同社のBASプラットフォームとThreat Libraryは手法ごとの検証機能を提供し、Mitigation Libraryは検知漏れをベンダー固有およびベンダー非依存のガイダンスにマッピングするといいます。
そのためには、承認済みの管理業務フローの基準を設定し、想定されるサービス名や実行パスを文書化した上で、重要なホスト上に一見正規に見えるツールが現れた際に、アナリストがエンドポイント、認証、ネットワーク、Windowsイベントの各テレメトリーを迅速に関連付けられる体制を整える必要があります。
防御側はPsExecを一律に禁止すべきではなく、その悪用を可視化し、追跡可能な状態にすべきです。
2026年版Agentic SOC購入ガイドを活用すべき理由とは? 主要8プラットフォームを徹底比較 – 2026年版購入ガイドをダウンロード
翻訳元: https://gbhackers.com/play-ransomware-minics-psexec/