Storm-1175 が新しい StormEncryptor ランサムウェアと新たな攻撃手法で再登場、Microsoft が警告

Storm-1175 が再び活動を開始しました。Microsoft によると、このランサムウェア集団は StormEncryptor と呼ばれる新たな亜種へと戦術を切り替えたとのことです。X に投稿された詳細な説明の中で、Microsoft Threat Intelligence は、この金銭目的のグループが 8 月 2 日にマルウェアの展開を開始したと明らかにしました。これは、Microsoft が同グループの活動を確認した 4 月以来の動きです。

Storm-1175 は Medusa からステップアップしました

StormEncryptor は、このグループにとって注目すべき変化を表しています。Storm-1175 はこれまで、素早く展開する Medusa ランサムウェア キャンペーンに関与していました。この新しいランサムウェアは C++ で書かれており、標的ファイルに .encrypted 拡張子を付与します。また、スキャンしたディレクトリ内に !!!README_FIRST!!!.txt という身代金要求メモをドロップします。

Microsoft は、今回のキャンペーンで Storm-1175 がどのようにアクセス権を取得したのかを正確に確認していません。しかし、この攻撃者がCVE-2026-18577 を悪用している可能性があるとみています。この脆弱性は N-able に関係し、認証バイパスを引き起こすものです。8 月 2 日に公開され、翌日には CISA の Known Exploited Vulnerabilities カタログに追加されたと報じられています。

Microsoft はこれまで、Storm-1175 を、新たに公開された脆弱性を素早く武器化する攻撃者として説明してきました。

ランサムウェア攻撃は素早く進行します

ネットワーク内に侵入した後、Storm-1175 はおなじみの管理ツールを使って活動を進めるとされています。Microsoft は、このグループがリモート アクセスに AnyDesk と SimpleHelp を使用しているのを確認しています。また、ネットワーク探索には Advanced IP Scanner を使用しています。

資格情報の窃取も活動の一環です。Microsoft によると、Storm-1175 は LSASS ダンピング手法とともに Mimikatz を使用したとのことです。このグループは、初期侵入からデータ窃取、そしてランサムウェアの展開までを迅速に進めることで知られています。Microsoft が過去に確認した攻撃の中には、1 日以内にランサムウェアの展開にまで至ったものもありました。

Microsoft Defender Antivirus は StormEncryptor を Ransom:Win64/StormEncryptor として検出します。Defender for Endpoint は、ハンズオンキーボード攻撃や、潜在的な人間主導の悪意ある活動に関連するアラートも提供します。

組織は、露出しているシステムへのパッチ適用を優先し、異常なリモート管理アクティビティがないか注視する必要があります。