中国関連の攻撃グループ「Storm-1175」が新ランサムウェア「StormEncryptor」を展開、N-centralの脆弱性を悪用か

要点

• 中国を拠点とする金銭目的の脅威グループ「Storm-1175」が、未確認だった新型ランサムウェア「StormEncryptor」を展開していることが明らかになった。
• 従来の「Medusa」ランサムウェアからの移行とみられ、C++で記述され暗号化ファイルに「.encrypted」拡張子を付与する特徴を持つ。
• 侵入の起点として、N-able社の管理製品「N-central」に存在する認証回避の脆弱性「CVE-2026-18577」が悪用された可能性が高い。
• 侵入後は正規のリモート管理ツールや認証情報窃取ツールを駆使し、初期アクセスから数日以内にデータ持ち出しと暗号化を完了させる高速な手口が確認されている。

---

米Microsoftの脅威インテリジェンスチームは、中国との関連が指摘される金銭目的のサイバー攻撃グループ「Storm-1175」が、これまで文書化されていなかった新たなランサムウェア「StormEncryptor」を展開していることを明らかにした。同チームが公式SNSのBlueskyへの投稿を通じて発表したもので、同グループが従来使用していたランサムウェア「Medusa」からの戦術転換を示しているという。初期侵入には、IT運用管理プラットフォームの脆弱性が悪用されたとみられている。

新型ランサムウェア「StormEncryptor」の特徴

Microsoftの解析によると、今回新たに確認された「StormEncryptor」はC++言語で開発されたランサムウェア（身代金要求型不正プログラム）だという。

感染システム上でファイルを暗号化すると、対象ファイルの末尾に「.encrypted」という拡張子を追加する動作を行う。さらに、スキャン対象となったすべてのディレクトリに対して「!!!README_FIRST!!!.txt」というファイル名の身代金要求文書（ランサムノート）を作成・配置することが確認されている。

この脅威グループはこれまで「Medusa」と呼ばれる別のランサムウェアを一貫して運用してきた経緯があり、今回のStormEncryptorの投入は攻撃ツールの刷新を意味しているとみられる。

初期アクセスに悪用された「N-central」の脆弱性

今回の攻撃キャンペーンにおける正確な侵入経路は特定されていないものの、MicrosoftはN-able社が提供する統合管理ソフト「N-able N-central」の脆弱性「CVE-2026-18577」が悪用された可能性が高いと分析している。

この脆弱性は、先行して報告されていた別の脆弱性「CVE-2026-18556」に対する修正パッチを迂回（バイパス）する欠陥と評価されている。いずれの欠陥も、影響を受けるバージョンにおいて攻撃者による認証の回避とアカウントの不正乗っ取りを可能にするものだという。

これらの脆弱性は、米サイバーセキュリティ・インフラセキュリティ庁（CISA）によっても、現実のサイバー攻撃で活発に悪用されている危険な欠陥として公式に警告が出されている。

侵入後の水平展開と正規ツールの悪用手口

Storm-1175はシステム内部へ侵入を果たした後、多様なツールを組み合わせて組織内での活動を広げていく。

侵入後の具体的な行動として、遠隔操作を維持するために「AnyDesk」や「SimpleHelp」といった正規のリモート監視・管理（RMM）ツールを悪用することが確認されている。また、ネットワーク内の探索や機器調査には「Advanced IP Scanner」を使用し、認証情報の取得には「Mimikatz」ツールを用いてLSASS（Windowsの認証情報を保持するメモリ領域）のダンプを実行するという。

攻撃グループは初期アクセスに成功してから、機密データの外部送出（データ持ち出し）およびランサムウェアによる暗号化の実行に至るまで、わずか数日という極めて短期間で攻撃プロセスを完遂させることが観測されている。

脆弱性公開の隙を突く「Storm-1175」の攻撃履歴

「Storm-1175」は、ゼロデイ脆弱性（修正プログラムが未提供の欠陥）やNデイ脆弱性（修正パッチが公開済みの既知の欠陥）を素早く兵器化し、パッチ公開から各組織が適用を終えるまでのタイムラグを狙ってインターネット公開システムへ高速侵入する手口を得意としている。

過去にも以下のような多岐にわたるエンタープライズ製品の脆弱性を悪用し、Medusaランサムウェアを展開してきた履歴が判明している。

• Mirth Connectの脆弱性（CVE-2023-37679、CVE-2023-43208）
• ConnectWise ScreenConnectの脆弱性（CVE-2024-1709、CVE-2024-1708）
• JetBrains TeamCityの脆弱性（CVE-2024-27198、CVE-2024-27199）
• Fortinet FortiClient EMSの脆弱性（CVE-2023-48788）

さらに2025年10月のMicrosoftの調査では、ファイル転送ソリューション「Fortra GoAnywhere」に存在した重大な脆弱性（CVE-2025-10035）を悪用してMedusaを展開していたことも特定されていた。

Microsoftは、同グループの攻撃スピードが極めて速いことから、影響を受けるソフトウェアの利用組織に対して速やかにセキュリティパッチを適用するよう注意を促している。