alcana cyber intelligence / signal online wire desk · issue 024
ALCANA CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脅威動向 / THREAT INTELLIGENCE / RANSOMWARE

新種ランサムウェア「StormEncryptor」— 中国拠点の金銭目的グループがN-central脆弱性経由で投入か

Microsoft Threat Intelligenceは、中国に拠点があるとみられる金銭目的の攻撃グループStorm-1175が、これまで公開されていなかったランサムウェア「StormEncryptor」を使い始めたと明らかにした。初期アクセスには、MSP（管理サービス事業者）向けのリモート管理ツール「N-able N-central」の認証バイパス脆弱性（CVE-2026-18577）が悪用された可能性が高い。

脅威動向 ALCANA CYBER WIRE 編集部 6–8 min read
  • ランサムウェア
  • RMM
  • MSP
  • N-able
  • KEV
  • CISA

2026年8月2日、金銭目的の攻撃グループ Storm-1175 が、これまで確認されていなかった新種のランサムウェア 「StormEncryptor」 を使い始めた。Microsoft Threat Intelligenceが公開したこの分析は、2026年8月10日に国内外のメディアで報じられた。

Storm-1175は中国に拠点があるとみられる金銭目的の攻撃者で、これまでランサムウェア「Medusa」を使った攻撃で知られていた。Microsoftは、StormEncryptorの投入について「4月以来観測された初めての活動であり、Medusaからの移行を示す」と説明している。

StormEncryptorとは何か

Microsoftの分析によると、StormEncryptorの特徴は次の3点だ。

  • C++で書かれている
  • 暗号化したファイルに拡張子 .encrypted を付ける
  • スキャンした各ディレクトリに身代金メモ !!!README_FIRST!!!.txt を残す
StormEncryptorの身代金メモ（出典: Microsoft Threat Intelligence）
StormEncryptorが残す身代金メモ。拡張子「.encrypted」の暗号化ファイルとともに各ディレクトリに置かれる。原典（Microsoft Threat Intelligence / Bluesky）

入口になったとみられる脆弱性

Microsoftは今回の攻撃で悪用された脆弱性を確定していないが、N-able N-centralの認証バイパス脆弱性（CVE-2026-18577）の悪用である可能性が高いとしている。

CVE-2026-18577は、リモート監視・管理ツール「N-central」の認証バイパス脆弱性だ（NVDのCVSSスコアは8.1）。N-ableの案内によれば、修正版「2026.3.1」（Hotfix 1）に更新していないすべてのインスタンスが影響を受ける。本来は認証が必要な操作を、認証なしの攻撃者が実行できるようになり、管理者アカウントの乗っ取りにつながる。この脆弱性は、先に公表された CVE-2026-18556の修正が不完全だったために生まれた「パッチバイパス」 だ。

米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、CVE-2026-18577を8月3日、CVE-2026-18556を8月4日に、実地悪用が確認された脆弱性のカタログ（KEV）へ追加した。

N-ableは8月2日に修正版 「2026.3 Hotfix 1」（ビルド2026.3.1.7） をリリース済みだ。N-ableがホスティングする環境（NCOD）は自動で更新されるが、自社運用（セルフホスト）の場合は手動での更新が必要になる。

なぜN-centralの侵害は危険なのか

N-centralは、MSP（管理サービス事業者） が顧客企業のサーバーやPCを遠隔で監視・管理するために使うツールだ。1台のN-centralサーバーが多数の顧客の端末を管理していることが珍しくない。ここが乗っ取られると、管理下にある顧客すべてがランサムウェアの被害対象になり得る。攻撃者にとっては、1つの入口から多くの組織へ広がれる「サプライチェーン型」の侵入口になる。

侵入後の動き

Microsoftによると、Storm-1175は侵入後に次のような活動を行う。

  • リモート操作ツールの悪用 — AnyDeskやSimpleHelp（遠隔操作ソフト）を正規の管理業務に紛れて使用
  • ネットワーク探索 — Advanced IP Scannerで社内ネットワークの機器を洗い出す
  • 認証情報の窃取 — Mimikatz（攻撃ツール）でLSASS（Windowsがメモリ上に保持する認証情報）をダンプする

このグループは初期アクセスからデータ窃取・ランサムウェア展開までを数日以内に完了することが知られている。場合によっては24時間以内という速さだ。N-day（公開済み脆弱性）を積極的に武器化する「高速ランサムウェア作戦」の典型例で、Microsoftはこれまでに16件以上の脆弱性の悪用を観測している（Microsoft Exchange、Ivanti Connect Secure、ConnectWise ScreenConnectなど）。

侵害の確認方法（N-ableの案内）

N-ableは、侵害の有無を確認するための手がかりとして次の3点を挙げている。

  1. 管理端末の**「ドキュメント」フォルダに「svchost.exe」という不審なファイル**がないか（正規のsvchost.exeは通常ここにはない）
  2. 「Cloudflared」という名前のサービスが登録されていないか
  3. ファイアウォールのログに、以下の4つのIPアドレスからのインバウンド通信がないか
173.249.252.200
87.249.138.34
37.19.210.32
68.235.46.214

これらに該当する場合は、N-ableのサポートと自社のセキュリティチームに直ちに連絡し、インシデント対応を開始するようN-ableは求めている。

今、何をすべきか

  1. N-centralを運用している組織（特にMSP）は、即時更新を — 修正版「2026.3 Hotfix 1」（ビルド2026.3.1.7）以上へ更新する。2025.4／2026.1／2026.2／2026.3からの直接更新に対応している。ホステッド版はN-ableからの更新スケジュール通知を確認する
  2. 上記3点の侵害チェックを実施する — svchost.exe、Cloudflaredサービス、4つのIPからの通信。エージェントも更新済みか確認する
  3. MSPに管理を委託している企業は、委託先へ確認を — 使用中のRMM製品のバージョンと、侵害チェックの実施状況を確認する
  4. ランサムウェア対策の基本を再確認する — オフラインの不変バックアップ（書き換え不能なバックアップ）、多要素認証の適用、特権アカウントの監査
  5. 被害が疑われる場合 — 対象の端末・サーバーをネットワークから切り離し、証拠（ログ、身代金メモ、暗号化ファイル）を保全した上で、JPCERT/CCや警察庁などの機関へ報告する

今回の脆弱性は修正版がすでに公開済みだ。更新が済んでいれば、この経路からの攻撃は防げる。問題は「まだ更新していない」ことにある。N-centralを管理下に置く組織は、対応の優先順位を最上位に置いてほしい。

出典: Microsoft Threat Intelligence — StormEncryptorに関する分析（Bluesky、2026年8月） / Microsoft Security Blog — Storm-1175 focuses gaze on vulnerable web-facing assets in high-tempo Medusa ransomware operations（2026年4月6日） / N-able Status — N-central 2026.3 Hotfix 1 – Mitigation for CVE-2026-18577（2026年8月2日） / CISA — Known Exploited Vulnerabilities Catalog / NVD — CVE-2026-18577

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。