Medusaランサムウェア活動に関与していたとされる金銭目的の脅威アクターが、現在「StormEncryptor」と呼ばれる新種のランサムウェアを展開していることが分かりました。
Microsoft Threat Intelligenceはこのアクターを「Storm-1175」として追跡しており、今回の一連の攻撃はN-centralリモート監視管理(RMM)ツールに存在する認証バイパスの脆弱性(CVE-2026-18577)の悪用が先行していた可能性が高いとしています。
Storm-1175は中国を拠点とする脅威アクターとみられています。以前はMedusaランサムウェアと関連付けられており、GoAnywhere MFT、SmarterTools SmarterMail、Microsoft Exchange、Ivanti Connect Secure、JetBrains TeamCityなど各種製品のゼロデイおよびNデイの脆弱性を悪用してシステムを標的にしていました。
「Storm-1175によるStormEncryptorの展開は、Microsoft Threat Intelligenceが2026年4月以降で初めて観測した同アクターの活動であり、これまで使用が確認されていたMedusaランサムウェアからの移行を示すものです」とMicrosoftは述べています。
研究者らの調査によると、StormEncryptorはC++で書かれたマルウェアで、暗号化したファイルに「.encrypted」という拡張子を付加し、スキャンした各ディレクトリに「!!!README_FIRST!!!.txt」という名前の身代金要求メモを設置します。
この身代金要求メモでは、被害者に対して攻撃者に連絡し身代金の支払い交渉を行うまでの猶予として3日間が与えられています。応じない場合、窃取したデータがオンラインで流出させられるとしています。
標的ネットワークへのアクセスを獲得した後、攻撃者はリモート管理にAnyDeskまたはSimpleHelpを、ネットワーク探索にAdvanced IP Scannerを使用し、さらにMimikatzツールを用いてLocal Security Authority Subsystem Service(LSASS)プロセスから認証情報を窃取していました。
Microsoftによると、Storm-1175は初期侵害からデータ窃取、そしてロッカーの展開まで極めて迅速に進めるとしており、自己ホスト型のN-centralサーバーを管理するシステム管理者に対し、システムの保護に向けて直ちに対応するよう呼びかけています。
「この脅威アクターは初期アクセスからデータ窃取、ランサムウェア展開までをわずか数日というスピードで進めることで知られています」とMicrosoftは警告しています。
「各組織にはStorm-1175の活動を監視し、できるだけ早くセキュリティパッチを適用することが強く求められます」
N-ableは8月2日にリリースしたホットフィックス(2026.3 HF1/ビルド2026.3.1.7)でCVE-2026-18577の脆弱性に対処しており、顧客に対して直ちにパッチを適用するよう呼びかけています。
N-ableは以前にも、管理者に対しユーザーのデバイスのDocumentsフォルダ内にあるsvchost.exeファイル、「Cloudflared」という名前で登録されたサービス、そして注意喚起で示されたIPアドレスからの受信接続といった侵害の兆候を確認するよう推奨していました。
攻撃者に先んじて、あらゆるレイヤーをテストする
セキュリティチームが記録できている攻撃成功件数はわずか54%、アラートが発せられるのはそのうちたった14%にすぎません。残りは検知されないまま環境内を移動しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーション(breach and attack simulation)によってSIEMやEDRのルールをテストし、脅威が検知をすり抜けるのを防ぐ方法を紹介しています。
