Storm-1175が新たなStormEncryptorランサムウェア & 新たな攻撃手法で再登場していると、Microsoftが警告しています。

Storm-1175 が再び現れました。Microsoft によると、このランサムウェア集団は StormEncryptor と呼ばれる新たな亜種に切り替えたとのことです。X に投稿された詳細な記事の中で、Microsoft Threat Intelligence は、金銭目的のこのグループが 8 月 2 日にマルウェアの展開を開始し、Microsoft が 4 月以来初めて観測した活動であることを明らかにしました。

Storm-1175 は Medusa から先に進んでいます

StormEncryptor は、このグループにとって注目すべき変化です。Storm-1175 は以前、素早く展開される Medusa ランサムウェア キャンペーンに関与していました。新しいランサムウェアは C++ で作成されており、標的のファイルに .encrypted 拡張子を追加します。また、スキャンしたディレクトリ内に !!!README_FIRST!!!.txt という身代金要求メモをドロップします。

Microsoft は、今回のキャンペーンで Storm-1175 がどのようにアクセスを取得したかを正確には確認していません。ただし、同社はこの攻撃者が CVE-2026-18577 を悪用している可能性があると考えています。この脆弱性は N-able に影響し、認証バイパスが関係しています。8 月 2 日に公開され、翌日には CISA の Known Exploited Vulnerabilities カタログに掲載されたと報告されています。

Microsoft は以前、Storm-1175 を、新たに公開された脆弱性を素早く武器化する攻撃者であると説明しています。

ランサムウェア攻撃が急速に進行しています

ネットワーク内部に侵入すると、Storm-1175 は活動に使い慣れた管理ツールに依存していると報告されています。Microsoft は、このグループがリモート アクセスに AnyDesk と SimpleHelp を使用しているのを確認しました。また、ネットワーク探索には Advanced IP Scanner を使用しています。

資格情報の窃取もこの活動の一環です。Microsoft によると、Storm-1175 は Mimikatz を LSASS ダンプの手法と併用しています。このグループは、初期アクセスからデータ窃取、ランサムウェアの展開までを迅速に行うことで知られています。Microsoft は以前、一部の攻撃では 1 日以内にランサムウェアの展開に至ったと観測しています。

Microsoft Defender ウイルス対策は、StormEncryptor を Ransom:Win64/StormEncryptor として検出します。Defender for Endpoint は、手動操作による攻撃や潜在的な人の手による悪意のある活動に関連するアラートも提供します。

組織は、露出したシステムへのパッチ適用を優先し、異常なリモート管理アクティビティに注意する必要があります。