ランサムウェア グループ「Settra(セトラ)」とは　2026年6月に出現、MOXFIVEがVPN認証情報・Mimikatz・BYOVDを実案件で確認

米サイバーセキュリティ企業MOXFIVEは、2026年6月に表面化した新興ランサムウェア／データ恐喝グループ「Settra」について、実際のインシデント対応で確認した攻撃手法を公表しました。

Settraは、侵害済みのVPN認証情報を使って被害組織へ侵入し、NetExecやNetscanでネットワークを探索、ProcDumpやMimikatzで追加の認証情報を取得した後、PAExecなどを使って横展開します。少なくとも1件では、既知の脆弱なドライバを持ち込むBYOVD（Bring Your Own Vulnerable Driver）によってカーネルレベルの権限を取得し、EDRなどの防御機能を回避する動きも確認されています。

MOXFIVEがSettraの追跡を始めたのは2026年6月下旬です。短期間に20件近い組織をデータリークサイトへ掲載して表面化しました。被害主張のすべてが独立して確認されたわけではありませんが、MOXFIVEは自社のインシデント対応案件を通じ、Settraが実際に攻撃を行っている脅威アクターであることを確認しています。

大規模なRansomware-as-a-Service（RaaS）としての運営実態や、活動拠点、国籍、既存グループとの関係は現時点で判明していません。2026年に登場したばかりで情報が限られる一方、VPN認証情報の悪用から認証情報窃取、横展開、EDR回避、データ窃取、暗号化までを組み合わせる攻撃が既に実案件で確認されており、動向を追う必要がある新興グループです。

Settraランサムウェアのサマリー

• Settraは2026年6月に表面化した新興のランサムウェア／データ恐喝グループです。
• MOXFIVEは2026年6月下旬からSettraを追跡し、実際のインシデント対応案件でも活動を確認しています。
• Settraは短期間に20件近い組織をリークサイトへ掲載しましたが、掲載されたすべての被害が第三者確認されたわけではありません。
• MOXFIVEの実案件では、侵害済みVPN認証情報を使った初期侵入が確認されています。
• 侵入後はNetExec、Netscanを利用してネットワークや利用可能な認証情報を探索します。
• ProcDumpとMimikatzを使い、侵害端末から追加の認証情報を取得する活動が確認されています。
• 横展開にはPAExecとNetExecが使われています。
• 遠隔アクセスと永続化には正規のリモート管理ツールMesh Agentが利用されています。
• 防御回避では「edr_blind」によるEDR無効化と、Windowsイベントログの削除が確認されています。
• 少なくとも1件では、脆弱な「STProcessMonitor_v114.sys」ドライバを悪用するBYOVDによってカーネルレベルの権限を取得しました。
• MOXFIVEは、データ窃取後にシステムを暗号化し、公開を脅す二重恐喝型の活動を実案件で確認しています。
• SettraはToxを被害組織との交渉に利用しています。
• MOXFIVEは、被害組織をまとめて掲載する活動や交渉時の応答状況から、少人数または単独オペレーターの可能性を指摘していますが、運営規模は確認されていません。
• Dragosは2026年第1四半期には産業分野でSettraの被害主張を確認していませんでしたが、第2四半期には13件を観測しました。
• 2026年8月20日時点で、CISA、FBI、英国NCSC、イスラエル国家サイバー総局からSettra専用の公式アドバイザリは確認できませんでした。

Settraの整理表

項目	内容
名称	Settra
種別	ランサムウェア／データ恐喝グループ
初観測	2026年6月
MOXFIVEの追跡開始	2026年6月下旬
主な恐喝手法	データ窃取、暗号化、公開を組み合わせる二重恐喝
初期侵入	侵害済みVPN認証情報を使った侵入をMOXFIVEが確認
探索	NetExec、Netscan
認証情報取得	ProcDump、Mimikatz
横展開	PAExec、NetExec
遠隔操作・永続化	Mesh Agent
防御回避	edr_blind、Windowsイベントログ削除
BYOVD	STProcessMonitor_v114.sysの悪用を少なくとも1件で確認
交渉手段	Tox
リークサイト	Tor上で運営
動機	Settra自身は金銭目的と主張
RaaS運営	確認できていません
国家関与	確認できていません
国籍・活動拠点	確認できていません
既存グループとの関係	確認できていません
公的機関の専用注意喚起	2026年8月20日時点で確認できませんでした

Settraは2026年6月に突然表面化した新興グループ

MOXFIVEはSettraを「2026年6月に初めて確認されたランサムウェア／データ恐喝グループ」としています。

同社のThreat IntelligenceチームがSettraを追跡し始めたのは6月下旬でした。Settraは活動開始直後、短期間に20件近い被害組織をTor上のデータリークサイトへ掲載しました。

ランサムウェアグループのリークサイトに掲載されたからといって、そのすべてについて侵害や情報流出が確認されたことにはなりません。MOXFIVEも、急増した被害主張のすべてを裏付けたわけではないとしています。

一方、MOXFIVE自身がSettraに関係するインシデント対応を行っており、実際の被害環境で攻撃チェーンを確認しています。

この点がSettraを単なる「新しいリークサイト上の名称」と区別する材料になります。

別のインシデント対応企業Areteも、2026年6月に新たに出現した脅威アクターとしてSettraを挙げています。

OT・産業サイバーセキュリティ企業Dragosの2026年第2四半期分析でも、Settraは新規参入グループとして記録されました。Dragosは第1四半期には産業組織に対するSettraの被害主張を確認していませんでしたが、第2四半期には13件を確認しています。

複数の調査会社の観測からも、Settraが2026年第2四半期に急速に表面化した新興グループであることが分かります。

MOXFIVEは「実案件」でSettraの攻撃チェーンを確認

新興ランサムウェアでは、初期段階ではリークサイトの被害主張だけが先行し、具体的な侵入方法が分からないケースがあります。

Settraについては、MOXFIVEがインシデント対応の現場で攻撃チェーンを確認しています。

MOXFIVEが示した流れは次のとおりです。

攻撃段階	MOXFIVEが確認した活動
初期侵入	侵害済みのVPN認証情報を利用
ネットワーク探索	NetExec、Netscan
認証情報取得	ProcDump、Mimikatz
横展開	PAExec、NetExec
防御回避	edr_blind、Windowsイベントログ削除
権限昇格・EDR回避	STProcessMonitor_v114.sysを利用したBYOVD
遠隔操作・永続化	Mesh Agent
恐喝	データ窃取、暗号化、リークサイトでの公開予告

特徴的なのは、侵入後の多くの段階で独自マルウェアだけに依存していないことです。

NetExec、ProcDump、PAExec、Mesh Agentなど、管理、トラブルシューティング、セキュリティ検証でも利用されるツールを組み合わせています。

正規用途でも存在するツールは、ファイル名だけを基準に一律でマルウェアとして遮断することが難しくなります。

Settra対策では、「そのツールが存在したか」だけでなく、「誰が、どの端末から、どの認証情報を使い、どのサーバーへ接続したのか」という行動まで確認する必要があります。

初期侵入は侵害済みVPN認証情報

MOXFIVEのSettra対応案件では、侵害されたVPN認証情報が初期侵入に使われていました。

攻撃者は有効な認証情報でVPNへログインし、そこを社内ネットワークへの足掛かりにしています。

MOXFIVEの公開情報からは、そのVPN認証情報がフィッシング、マルウェア、インフォスティーラー、過去の情報漏えい、認証情報販売市場など、どの経路で取得されたのかまでは確認できません。

そのため「SettraがVPNの脆弱性を悪用した」と読み替えることはできません。

確認されているのは、攻撃時点で有効だったVPN認証情報が侵入に使われたことです。

VPN経由で侵入した後にActive Directoryや社内サーバーへ攻撃が広がるパターンは国内企業でも繰り返し確認されています。

セキュリティ対策Labでは、「精電舎電子工業、ランサムウェア被害の最終調査報告を公表」で、VPN経由の侵入後にActive Directoryへログインし、認証情報を窃取した上で全社的な暗号化へ進んだ国内事例を整理しています。

SettraのTTPも、VPNを「入口」としてだけ見るのではなく、その認証情報から社内でどこまで到達できるかを確認する必要性を示しています。

NetExecとNetscanでネットワークを探索

侵入後、SettraはNetExecとNetscanを使って被害ネットワークを調査します。

NetExecはネットワークや認証情報の検証に利用できるセキュリティ・レッドチーム向けツールです。

MOXFIVEによると、Settraはこれを使い、侵害した認証情報がどのシステムで有効なのかを確認していました。

Netscanもネットワーク上のホストやサービスを把握するために使われています。

侵害済みVPNアカウントが一般利用者権限であっても、その認証情報を起点にネットワークを探索し、追加の認証情報を取得できれば、攻撃範囲を広げることができます。

そのため、VPNへのMFAだけではなく、ログイン後のネットワーク分離と最小権限も必要です。

ProcDumpとMimikatzで追加の認証情報を取得

MOXFIVEは、SettraがProcDumpとMimikatzを使って追加の認証情報を取得したことを確認しています。

MimikatzはWindowsの認証情報を取得することで知られるツールです。

ProcDumpはMicrosoft Sysinternalsの正規ツールですが、攻撃者がLSASSなどのプロセスメモリをダンプし、そこから認証情報を取得する目的で悪用することがあります。

Settraでは、最初にVPNアカウントを一つ取得して終わるのではなく、侵入後に追加の資格情報を集めてアクセス範囲を拡大します。

MOXFIVEは対策として、LSASSへの通常と異なるアクセスや、認証情報に関係するプロセスメモリのダンプを監視することを挙げています。

PAExecとNetExecを使い横展開

認証情報を増やした後、SettraはPAExecやNetExecを使って別のシステムへ移動します。

PAExecはPsExecに似たリモートプロセス実行ツールです。

攻撃者が管理者権限を持つ認証情報を取得している場合、こうしたツールを使って複数のWindows端末やサーバーで処理を実行できます。

ここでも、「未知のマルウェアを検知できるか」だけが問題ではありません。

通常は使われていない端末からPAExecが実行された、一般利用者の端末から複数サーバーへ管理接続が発生した、短時間で同じ認証情報が多数のシステムへ使われた、といった挙動を監視する必要があります。

正規リモート管理ツール「Mesh Agent」でアクセスを維持

Settraは遠隔操作とアクセス維持のために「Mesh Agent」を利用したことも確認されています。

Mesh Agentは正規のリモート管理用途に利用できるソフトウェアです。

攻撃者はこうした正規ツールを導入することで、独自バックドアを使わずに継続的な遠隔アクセスを確保できます。

企業側で承認していないRMMツールを把握していなければ、「正規署名された管理ソフトだから問題ない」と見逃す可能性があります。

MOXFIVEは、組織が利用を許可するRMMツールをあらかじめ限定し、許可されていないNetExec、PAExec、Mesh Agentなどが実行された場合にEDRやWebフィルタリングで検知・遮断する運用を推奨しています。

BYOVDでカーネル権限を取得、EDR回避も確認

Settraの攻撃で注意したいのが、セキュリティ製品そのものを停止させる動きです。

MOXFIVEは「edr_blind」と呼ばれるツールを使ってエンドポイント検知製品を無効化する活動を確認しました。

さらに、少なくとも1件では「STProcessMonitor_v114.sys」という既知の脆弱なドライバを持ち込み、BYOVDによってカーネルレベルの実行権限を取得しています。

BYOVDは、正規に署名されているものの脆弱性を持つドライバを攻撃者が環境へ持ち込み、その脆弱性を利用して高い権限で処理を実行する手法です。

ランサムウェアグループがEDRを停止する手段として、近年繰り返し観測されています。

セキュリティ対策Labでは、「ランサムウェアとサイバー攻撃に潜むEDR回避ツール EDRKillShifter」や、「The Gentlemenがアフィリエイトへ提供するEDRキラーツール」でも、脆弱ドライバを利用したEDR回避を取り上げています。

Settraは新興グループですが、防御回避では既にこうした成熟した攻撃手法を取り入れています。

Windowsイベントログを削除、端末外へのログ保存が必要

MOXFIVEは、SettraがWindowsイベントログを手動で削除したことも確認しています。

侵入調査では、認証、管理者操作、サービス作成、リモート接続などのログが攻撃経路を復元する重要な証拠になります。

そのログを侵害端末内にしか保存していなければ、攻撃者に管理者権限を取得された後に削除される可能性があります。

MOXFIVEは、ログを攻撃者が容易に到達できない中央ログ基盤へ転送するよう推奨しています。

SIEMやログ管理サービスへリアルタイムで送信していれば、ローカルのWindowsイベントログを削除されても調査用の証跡を残せます。

データ窃取後に暗号化、Settraは二重恐喝型

MOXFIVEが実案件で確認したSettraの活動は、データを外部へ持ち出した後にシステムを暗号化し、さらにデータ公開を材料として支払いを迫る二重恐喝型です。

SettraはTor上にデータリークサイトを持ち、支払いがなければ取得したデータを公開すると脅します。被害組織との交渉には暗号化メッセージングサービスToxを利用しています。

この攻撃モデルでは、暗号化が始まった時点を最初の検知ポイントにすると遅い場合があります。

データ窃取は暗号化より前に行われるため、大容量の外向き通信、普段利用しないクラウドストレージやファイル共有先への転送、サーバーからの異常なデータ読み出しを監視することで、暗号化前に攻撃を検知できる可能性があります。

MOXFIVEも、暗号化イベントだけを監視するのではなく、暗号化前のデータ流出を検知することをSettra対策として挙げています。

活動は散発的、大規模RaaSかどうかは不明

Settraは短期間に多数の被害組織を掲載しましたが、MOXFIVEは活動パターンが大手RaaSとは異なる可能性も指摘しています。

Settraは被害組織を一件ずつ継続的に掲載するのではなく、まとめて複数組織を掲載する傾向があり、Toxでの交渉でも返答まで数日を要することがあるとしています。

MOXFIVEは、こうした状況について、Settraが少人数のグループ、あるいは単独オペレーターで活動している可能性を示しています。

ただし、これは活動パターンからの推測です。

SettraがRaaSとしてアフィリエイトを募集していることや、運営人数、内部組織、マルウェア開発者との関係を裏付ける情報は確認されていません。

そのため、現時点で「SettraはRaaS」「単独犯グループ」と断定することはできません。

すでに日本企業へのサイバー攻撃を主張:発表特定国や業種を狙うグループとは確認されていない

同グループは2026年8月19日頃に、ある日本企業へのサイバー攻撃を主張し請求書情報などをアップしています。

Settra自身は、活動目的を政治や思想ではなく金銭としており、特定の国や業種を選んで攻撃するのではなく、未修正システムや弱いアクセス管理など、攻撃可能な組織を狙うと主張しています。

ただし、これは攻撃者自身の説明です。

活動拠点、国籍、使用言語、国家との関係について、MOXFIVEは帰属を示していません。

Settraをロシア系、イラン系、中国系など特定の国と結び付ける根拠も、現時点で確認できません。

新興グループでは情報が少ないため、リークサイトの文章や活動時間などから国籍を推測して断定することは避ける必要があります。

情報システム部門が優先して確認すべき対策

Settraは新しい名称ですが、MOXFIVEが確認した攻撃手法の多くは、既存のランサムウェア対策で防御・検知できます。

最初に確認したいのはVPNです。

Settraでは侵害済みVPN認証情報による侵入が確認されているため、外部リモートアクセスへフィッシング耐性のあるMFAを適用し、退職者、委託先、休眠アカウント、共用アカウントが残っていないか確認します。

VPNログイン後に社内全体へ到達できる構成であれば、ネットワーク分離も必要です。一般利用者のVPNアカウントからActive Directory、バックアップ管理サーバー、仮想基盤などへ直接到達できないようにします。

認証情報窃取では、LSASSへの不審アクセス、ProcDumpによるプロセスメモリ取得、Mimikatzの実行や類似挙動を監視します。

横展開では、NetExec、PAExec、Mesh Agentなど、自社で通常利用していない管理・レッドチームツールを把握し、未承認ツールの実行を検知します。

BYOVDについては、Microsoftの脆弱ドライバブロック機能やEDRのドライバ制御を確認し、既知の脆弱ドライバがロードされた場合に検知できる状態にします。

ログは端末やサーバー内部だけに保存せず、SIEMなど別環境へ転送します。

バックアップはドメイン管理者アカウントから直接変更・削除できない構成にし、オフラインまたはイミュータブルなコピーを保持します。CISAや英国NCSCも、ランサムウェア対策としてネットワークから分離されたバックアップと復旧試験を継続的に推奨しています。

最後に、暗号化検知だけをランサムウェアの起点にしないことが必要です。

Settraはデータを先に窃取するため、暗号化が始まる前の大容量転送や、通常使わない外部ストレージへの通信を検知できれば、攻撃の最終段階へ到達する前に対応できる可能性があります。

新興グループだからこそ「名称」ではなくTTPを見る

Settraについては、2026年8月時点でも運営形態や帰属など未確認事項が多く残っています。

今後、Settraという名称が長期間使われるのか、別ブランドへ移行するのか、RaaSとして規模を拡大するのかも分かりません。

一方、MOXFIVEが実案件で確認した攻撃手法は既に具体的です。

侵害済みVPN認証情報で侵入し、認証情報を追加取得して横展開する。正規・攻撃兼用ツールを混ぜて活動を隠し、EDRを無効化し、ログを削除する。データを窃取した後に暗号化する。

情報システム・セキュリティ部門にとっては、「Settra」という文字列を検知することより、こうした攻撃チェーンを途中で止められるかの方が重要です。

新興ランサムウェアグループは短期間で名称やツールを変える可能性があります。グループ名だけをIOCとして追うのではなく、認証情報の異常利用、管理ツールの不審実行、資格情報ダンプ、脆弱ドライバのロード、大量データ転送といったTTP単位で監視する必要があります。

関連記事

ランサムウェアとサイバー攻撃に潜む EDR 回避ツール EDRKillShifter

脆弱な正規ドライバを持ち込んでEDRを無効化するBYOVDと、ランサムウェア攻撃で使われるEDR回避ツールの仕組みを整理しています。

ランサムウェア グループ The Gentlemen がアフィリエイトへ提供するEDRキラーツール

新興ランサムウェアグループが複数の脆弱ドライバを組み合わせ、EDRを停止させる攻撃手法について解説しています。

精電舎電子工業、ランサムウェア被害の最終調査報告を公表

VPN経由の侵入からActive Directoryへのアクセス、認証情報窃取、ネットワーク探索、暗号化まで進んだ国内企業の実例です。

Check Point VPNの認証回避脆弱性、サイバー攻撃への悪用を確認

ランサムウェアの初期侵入経路になりやすいリモートアクセスVPNについて、認証保護と外部公開機器の管理を解説しています。

出典

• Settra Ransomware: TTPs, Victims, and Defense Guide – MOXFIVE
• Industrial Ransomware Analysis for Q2 2026 – Dragos
• Ransomware Trends & Data Insights: May 2026 – Arete
• StopRansomware Guide – CISA
• Mitigating malware and ransomware attacks – UK National Cyber Security Centre
• Ransomware-resistant backups – UK National Cyber Security Centre
• Full Applied Guide to Organizational Cyber Defense – Israel National Cyber Directorate