ISSコラム

2026年8月の主な攻撃キャンペーン

2026.09.07

Storm-1175によるStormEncryptor展開

Microsoftの調査として報じられたStorm-1175は、N-able N-centralの認証バイパス脆弱性CVE-2026-18577を初期侵入に使った可能性があり、その後AnyDeskまたはSimpleHelp、Advanced IP Scanner、Mimikatzを利用して短期間で窃取と暗号化へ進みます。確認された攻撃では新しいStormEncryptorランサムウェアが使われています。N-central管理サーバーの更新だけでなく、RMM配下の全端末、技術者アカウント、ファイル配布、サービス作成、Cloudflared等の痕跡を調査する必要があります。

SharePoint脆弱性チェーンとランサムウェア利用

8月にはSharePointの認証バイパスCVE-2026-55040とRCE CVE-2026-63520の連鎖に対する探索が観測され、既存のCVE-2026-45659はランサムウェア利用としてCISA KEV情報が更新されたと報じられました。PoC公開後の武器化が速く、オンプレミスSharePointでは更新済みかだけでなく、machine key、Webshell、アプリケーションプール配下のプロセス、管理者列挙、BCS設定を確認する必要があります。侵害サーバーは鍵交換または再構築を検討します。

DeadLockの分散型恐喝インフラ

Microsoftの観測として報じられたDeadLockは、Polygonブロックチェーンを構成情報やリークサイト運用に利用し、インフラ遮断への耐性を高めています。防御側はドメインやIPの遮断だけに依存せず、実行挙動、資格情報アクセス、暗号化前の大量読み取り、バックアップの無効化、異常なブロックチェーン関連通信を検知できるように注力する必要があります。

本コラムについて

インターネットセキュアサービス㈱（以下、ISS）が提供する攻撃キャンペーン情報は、全ての攻撃キャンペーン情報を対象にせず、ISSが独自の判断で掲載しております。
また、記載内容は全てを保証するものではありません。
ISSは、皆様のセキュリティ対策のお役に立つ情報を積極的に発信してまいります。