Storm-1175が新たなStormEncryptorランサムウェアと新たな攻撃戦術を携えて再登場、Microsoftが警告

Storm-1175が活動を再開し、Microsoftによると、このランサムウェア集団は新たな亜種「StormEncryptor」に切り替えたとのことです。Xの詳細な投稿で、Microsoft Threat Intelligenceは、金銭目的のこのグループが8月2日にマルウェアの展開を開始し、これがMicrosoftが確認した4月以来の初めての活動であることを共有しました。

Storm-1175はMedusaを超えて進化した

StormEncryptorは、このグループにとって顕著な変化を示しています。Storm-1175はこれまで、素早く展開するMedusaランサムウェアキャンペーンと関連付けられていました。新たなランサムウェアはC++で記述され、対象ファイルに.encrypted拡張子を追加します。また、スキャンされたディレクトリ内に!!!README_FIRST!!!.txtという身代金要求メッセージをドロップします。

Microsoftは、このキャンペーンでStorm-1175が具体的にどのようにアクセス権を取得したかは確認していません。しかし同社は、この攻撃者がCVE-2026-18577を悪用している可能性があると考えています。この脆弱性はN-ableに影響し、認証バイパスを伴います。8月2日に公開され、翌日にはCISAの既知の悪用されている脆弱性カタログに追加されたと報告されています。

Microsoftは以前、Storm-1175を、新たに公開された脆弱性を迅速に武器化する攻撃者として説明していました。

ランサムウェア攻撃は急速に進行している

ネットワーク内部に侵入すると、Storm-1175は活動のためにお馴染みの管理ツールに依存していると報告されています。Microsoftは、このグループがリモートアクセスにAnyDeskとSimpleHelpを使用しているのを確認しました。また、ネットワーク探索にはAdvanced IP Scannerを使用しています。

認証情報の窃取も活動の一部です。Microsoftによると、Storm-1175はMimikatzとLSASSダンプ技術を併用しています。このグループは、初期アクセスからデータ窃取、ランサムウェア展開まで迅速に動くことで知られています。Microsoftは以前、一部の攻撃でランサムウェアの展開に1日以内に至ったケースを観測しています。

Microsoft Defender Antivirusは、StormEncryptorをRansom:Win64/StormEncryptorとして検出します。Defender for Endpointは、手動操作による攻撃や、人間が操作する悪意ある可能性のある活動に関連するアラートも提供します。

組織は、公開されたシステムへのパッチ適用を優先し、異常なリモート管理アクティビティを監視する必要があります。