中国とつながりのある金銭目的の脅威アクターが、広く使われているセキュリティソフトウェアに存在する深刻な脆弱性を悪用しているとみられ、サプライチェーン攻撃を通じて多数の被害者ネットワークにカスタムランサムウェアを展開する恐れがあることが分かりました。
Microsoft Threat Intelligenceは今週末、Storm-1175というグループが8月2日から「StormEncryptor」と呼ばれる新種のランサムウェアの展開を開始したと警告しました。このハッカー集団はこれまで、オーストラリア、英国、米国の医療機関、専門サービス業、金融機関を恐喝する目的でMedusaランサムウェアを使用していました。
さかのぼる4月の時点で、このハッカー集団は公開されたばかりの脆弱性とゼロデイエクスプロイトの両方を悪用し、「場合によっては脆弱性の公開情報が出る1週間も前に」攻撃を仕掛ける「高速ランサムウェアキャンペーン」を展開していると説明されていました。Microsoftによれば、このグループは初期侵入から完全な暗号化まで24時間もかからずに移行することが確認されています。
今回の最新キャンペーンでは、このグループはCVE-2026-18577を悪用しているとみられます。これは、数千のマネージドサービスプロバイダー(MSP)がクライアントのエンドポイントを管理するために使用しているリモート監視・管理(RMM)コンソール「N-central」に存在する脆弱性です。
Microsoftは侵入経路について正式には確認していないものの、StormEncryptorの展開がこの脆弱性の公開と同日に始まったと指摘しています。サイバーセキュリティ企業Huntressは、この脆弱性が攻撃者に「認証不要の『ゴッドモード』アクセス」を与えるものだと警告しています。
実際のところ、この脆弱性を悪用すれば、認証情報を一切持たない攻撃者でもN-centralサーバーの完全な管理者権限を掌握できてしまいます。MSPはN-centralを使ってクライアントのマシンをリモート管理しているため、たった1台の侵害されたサーバーが、そのサーバーが管理するすべてのエンドポイントへの侵入口となり得ます。1つのプロバイダーでの侵害が、そのクライアント基盤全体にわたる数十件ものランサムウェア被害へと連鎖しかねません。
2021年には、これと類似したサプライチェーン攻撃がソフトウェア提供企業KaseyaのRMMツールを標的に発生し、REvilランサムウェアグループがまずKaseyaの直接の顧客60社を侵害した後、下流の約1,500社の企業にまで被害が波及しました。
2024年にも、やはりRMMを狙った別のサプライチェーン攻撃がConnectWise社の「ScreenConnect」製品に影響を及ぼし、同様に多数の下流企業でランサムウェア攻撃を招きました。Microsoftによれば、当時ScreenConnectを狙っていた複数の脅威アクターの中にStorm-1175も含まれていたということです。
被害を受けた組織の大まかな件数は公表されていません。N-centralの開発元であるN-ableは、「限られた数」の影響を受けた顧客に連絡を取ったとしています。Huntressも自社の顧客の一部が被害を受けたことを確認しており、2件のインシデントにおいて攻撃者が下流のホストを急速に移動していく様子を示すタイムラインを公表しましたが、こちらもランサムウェア攻撃に見舞われた下流企業の件数については明らかにしていません。
N-ableによると、今回のキャンペーンの背景にある脆弱性は7月31日のゼロデイ攻撃で最初に検知されたものの、その最初の攻撃を仕掛けた脅威アクターがStorm-1175であったかどうかは不明だとしています。この初期の脆弱性は修正が難航しました。N-ableによれば、攻撃者は最初のパッチを回避する方法を見つけたため、8月2日に緊急ホットフィックスを配布し、その後8月6日には2度目の緊急ホットフィックスを公開し、最初の修正だけでは不十分だったと顧客に警告しました。
パッチが利用可能になった後も、Huntressによれば、パートナー基盤全体でアクセス可能なN-centralクラウドサーバーの半数以上が依然としてパッチ未適用の状態にあり、自己ホスト型インスタンスについても28.6%が脆弱な状態のまま残されていたということです。
Huntressは、「露出を有意に低減できない」ような「リスクの高い」環境でN-centralを稼働させている組織については、ツール自体の停止を検討する必要があるかもしれないと述べています。ただし同社は、「N-centralをオフラインにするということは、まさにそれが必要とされるかもしれない局面で、一元的な可視性、パッチ適用、リモートアクセスの機能を失うことを意味する」とも注意を促しています。
翻訳元: https://therecord.media/china-hackers-ransomware-microsoft
