リモート管理の脆弱性に関連する新たなランサムウェア株

Microsoft Threat Intelligenceは、中国に拠点を置いていると考えられるStorm-1175として追跡されている脅威アクターに関連する新たなランサムウェアキャンペーンを特定しました。Microsoftの調査結果によると、このグループはN-able社のN-centralリモート監視・管理（RMM）ツールに存在する認証バイパスの脆弱性CVE-2026-18577を悪用して、被害組織のネットワークへの初期アクセスを獲得した可能性があります。侵入後、攻撃者はこれまで文書化されていなかった新しいランサムウェア株（現在StormEncryptorと呼ばれています）を展開しました。

詳細はまだ明らかになりつつありますが、これまでに報告された核心的な事実は単純です。広く使用されているIT管理プラットフォームの欠陥により認証バイパスが可能になり、そのバイパスがランサムウェア展開の侵入口として利用されたと見られています。ネットワーク全体のエンドポイントを管理するためにRMMソフトウェアに依存している組織にとって、この組み合わせはまさにセキュリティチームが防止しようと努めているシナリオです。

RMMツールが格好の標的となる理由

N-centralのようなリモート監視・管理プラットフォームは、IT管理者が多数のデバイスを一元管理できるようにするために存在しており、マネージドサービスプロバイダーが使用する場合、多くのクライアント組織にまたがることもあります。この一元管理こそが、正当な管理者にとってこれらのツールを非常に便利なものにしており、同時に攻撃者にとっても魅力的な標的となっています。RMMツールにおける単一の認証バイパスは、1つのネットワークだけでなく、そのツールが触れるすべてのデバイスとクライアント環境への扉を開く可能性があります。

これはランサムウェアの活動において新しいパターンではありません。攻撃者は、インフラストラクチャや管理ソフトウェアを侵害することで、1回の悪用成功の影響を倍増させることができるため、繰り返しそれらに引き寄せられてきました。認証を完全にスキップできる脆弱性がある場合、攻撃者はそもそも有効な資格情報を必要としなかったため、資格情報の監視や多要素認証といった通常の防御策が機能しない可能性があります。

StormEncryptorについて判明していること（していないこと）

Microsoftの報告に基づくと、StormEncryptorは既存のファミリーのリブランドではなく、新たに構築されたランサムウェア株であると見られます。その名前とN-centralの悪用との明らかな関連性を除けば、現段階で公開されている詳細は限られています。明らかなのは、Storm-1175が初期アクセスからランサムウェアの展開へと移行したことであり、これはこのような脆弱性が知られた後に組織が最も回避したい結末です。

この事例は、ランサムウェアの調査で繰り返し指摘されてきた点も改めて強調しています。それは、特定のインシデントが封じ込められたとしても、これらのグループに対する根本的な金銭的動機が消えることはほとんどないということです。最近のランサムウェア支払いに関するデータが示すように、身代金を支払っても組織が再び標的にされるのを確実に防ぐことはできません。このデータは、防御側の目標は事後対応計画を持つことだけでなく、予防と迅速な検出であるべきことを思い出させてくれます。

これが意味すること

もしあなたの組織、または利用しているマネージドサービスプロバイダーがN-ableのN-centralプラットフォームを使用しているなら、この動向に直ちに注意を払う価値があります。認証バイパスの脆弱性は、攻撃者が本来なら克服しなければならない通常の障壁を取り除いてしまうため、高い重大度と見なされます。ランサムウェアグループがすでにこの欠陥を武器化したと見られるという事実は、情報開示から実際の悪用までの猶予が短かったことを意味します。

RMMソフトウェアを直接管理しない一般ユーザーや小規模企業にとって、実用的な教訓はより広範です。ランサムウェアグループは、ITチームが最も信頼しているツールを絶えず探っており、そのインフラ層の脆弱性は過大な結果をもたらす可能性があります。今こそ、ITプロバイダーや社内チームに、各エンドポイントにウイルス対策があるかだけでなく、デバイスを管理しているソフトウェアにパッチが適用され、監視されているかどうかを尋ねる良い機会です。

実践すべき対策

N-able N-centralを使用している組織は、環境内でCVE-2026-18577のパッチが適用されているかを確認し、ベンダーのアドバイザリを注意深く確認する必要があります。ITチームは、通常のログインアラートが発生しなくても、バイパス脆弱性が痕跡を残す可能性があるため、RMMのアクセスログに通常とは異なる認証アクティビティの兆候がないか監査すべきです。オフラインで検証済みのバックアップを維持することは、攻撃者がどのように侵入したかに関わらず、ランサムウェアに対する最も信頼性の高い防御策の1つであり続けます。最後に、サードパーティのマネージドサービスプロバイダーに依存している企業は、クライアントネットワーク全体で稼働している管理ツールにセキュリティパッチをどれだけ迅速に適用しているかについて直接質問すべきです。なぜなら、パッチ未適用のRMMインスタンスが1つあるだけで、一度に1つの組織をはるかに超える範囲を危険にさらす可能性があるからです。