新種ランサムウェア「Spirals」、侵入から暗号化まで24時間未満で完遂-南アジアのIT企業を標的に、既存の対応体制に警鐘|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月21日更新日時: 2026年07月21日

セキュリティ企業シマンテックの脅威分析チームは2026年7月16日、これまで確認されていなかった新種のランサムウェア「Spirals」が、南アジアのIT企業を標的に、初期侵入からデータ窃取・暗号化までを24時間未満で完遂した攻撃を報告しました。専門家は、この種の高速攻撃に対しては、アラートを人手で逐一調査してから対応する従来の運用体制では間に合わないと警鐘を鳴らしています。

サマリー

Symantec Threat Hunter Teamは、2026年6月、南アジアの身元非公開のIT企業を標的に、新種のランサムウェア「Spirals」による二重恐喝攻撃が行われたことを明らかにした
攻撃者はインターネットに公開されたIISのWebサーバーを侵害し、ASP.NET製のWebシェルをアップロードすることで初期侵入を果たした。その後約3時間のインタラクティブなセッションで、永続的なアクセスの確立、エンドポイントセキュリティソフトのアンインストール、SAM(Security Account Manager)ハイブのダンプ、秘匿された遠隔操作経路の構築を行った
初回の不審な活動確認から24時間も経たないうちに、ランサムウェアのペイロードがネットワーク全体のマシンへ展開されていた
Spiralsランサムウェア本体はRust言語で書かれた本格的なファイル暗号化型マルウエアで、防御回避・暗号化・水平展開・プロセス終了・難読化・権限昇格の機能を備えている。暗号化にはファイルごとのAES-128鍵を、攻撃者が管理するECDH P-256公開鍵でラップする方式を採用し、5MBを超える大きなファイルは高速化のためジッター(ばらつき)を持たせた断続的な部分暗号化が行われる
ランサムノートは「C:\RECOVERY_SECTION.log」に書き込まれ、身代金を支払わない場合は6日後に窃取データを公開すると脅迫し、Torポータルでの交渉に誘導する典型的な二重恐喝の手口が確認された
攻撃者の技術水準の高さから、Symantecは同様の攻撃が今後さらに展開される可能性を指摘している
セキュリティ専門家は、こうした高速攻撃に対応するには、インシデント対応の目標を「攻撃の全容確認」から「攻撃の勢いを止めること」へ転換し、高い確信度のランサムウェアの兆候が見られた時点で、分析担当者による詳細調査を待たずに端末の即時隔離やアカウント停止を許可する運用体制(プレイブック)が不可欠だと指摘している

項目	内容
公表日	2026年7月16日(Symantec Threat Hunter Team)
攻撃発生時期	2026年6月
標的	南アジアのIT企業(身元非公開)
ランサムウェア名	Spirals(新種、初確認)
開発言語	Rust
初期侵入経路	インターネット公開のIIS Webサーバー、ASP.NET Webシェル
侵入から暗号化までの所要時間	24時間未満
恐喝の形態	二重恐喝(データ窃取+暗号化)、6日以内の未払いでリーク予告
ランサムノートの保存先	C:\RECOVERY_SECTION.log
攻撃者の正体	不明

1 攻撃の全体像-侵入から展開まで
2 PsExecを用いた大量展開とセキュリティツールの無力化
3 専門家の見解-対応目標を「全容確認」から「勢いを止めること」へ
4 情報システム部門への示唆
5 出典

攻撃の全体像-侵入から展開まで

Symantecの報告によれば、最初の不審な活動は2026年6月16日22時21分(現地時間)、最初に侵害されたホスト上でトンネリング・リバースプロキシ系のツール群が出現したことで観測されています。これらのツールはWeb公開用の運用ディレクトリと、Windowsのタスクフォルダの両方に配置されており、インターネットに公開されたWebサーバー経由でのアクセスと一致するパスです。

活動開始からわずか10分以内に、3種類の異なるネットワークトンネリングツールがホストへ展開されました。1つ目はtunn.exeという名称のツールで、まず公開Web運用ディレクトリ配下に、続いてWindowsのタスクフォルダにも配置されています。その直後、リバースSOCKSプロキシツールのrevsocks.exeが同じ場所に展開・実行されました。攻撃者はさらに、トンネリングツールChiselを「chrome.exe」という名称に変更してGoogle Chromeブラウザに偽装させ展開したほか、Cloudflare TunnelクライアントもWeb運用ディレクトリへ展開し、暗号化された外向き通信のための冗長な経路を複数確保しています。同時期には、トークン偽装ツール「tokens.exe」も実行され、ホスト上での権限昇格に利用されたとみられています。23時07分までには、最初に侵害されたホスト上で、セキュリティツールの無効化の試みや追加ツールのダウンロードといった、ランサムウェアの前兆となる活動がテレメトリ上で確認されています。

6月16日23時33分からは、WMIを用いた水平展開(ラテラルムーブメント)が、最初に侵害されたホストから他のマシンへ向けて開始されました。この活動には、ドメイン管理者アカウントとみられる複数の悪用されたアカウントが関与しており、最初の数分間で10台超のマシンが標的にされ、その挙動は手動での個別標的化ではなく自動化された水平展開と一致するものでした。

PsExecを用いた大量展開とセキュリティツールの無力化

翌6月17日、攻撃者は主要な展開手段をPsExecへと切り替えました。14時44分から、PsExecのリモートセッションを通じて、同一のBase64エンコードされたPowerShellペイロードが環境内の各マシンへ配信され始めています。復号されたこのペイロードは、まずWindows Defenderのリアルタイム監視を無効化し脅威定義を削除したうえで、Exchange、Hyper-V、VMware、Veeam、Acronis、Veritas、Commvault、SQL Server、Oracle、MySQL、PostgreSQL、Intuit、SAP、Lotus Dominoを含む、23種類のバックアップ・データベース・仮想化関連製品に一致するサービスを列挙し強制停止するという、2段階の処理を順次実行しました。暗号化前にこれらのサービスを停止するのは、データベース・バックアップ関連プロセスが保持するファイルハンドルが、暗号化処理によるデータファイルへのアクセスを妨げないようにするための、標準的なランサムウェアの手口です。

17日14時12分ごろからは、1台のホストがpsexec.exeを使い、多数のリモートマシンへ数秒おきに1台以上のペースで、約30分間にわたり同一のペイロードを連続して押し込みました。標的にはドメインコントローラー、ファイルサーバー、アプリケーションサーバー、仮想マシン、そして大企業環境に典型的な命名規則を持つ多数のワークステーションが含まれており、この展開の範囲と速度は、攻撃者が足がかりを得た段階ですでにActive Directoryの列挙を通じて標的リストを作成済みだったことを強く示唆しています。ランサムウェアのペイロード自体は「bitsadmin.exe」という、Windowsの正規ユーティリティであるBackground Intelligent Transfer Serviceに偽装した名称で、複数の場所に配置され、カバレッジを最大化していました。特にドメインコントローラーがホストするSYSVOLドメインスクリプトディレクトリとネットワーク共有への配置は、ドメイン全体でレプリケート・アクセス可能な場所であるため、PsExecで直接標的にされなかったマシンにもペイロードが到達する経路になっていたとみられます。

専門家の見解-対応目標を「全容確認」から「勢いを止めること」へ

TokenCoreの最高経営責任者Kevin Surace氏は、攻撃者が管理者権限を獲得した後、PowerShellを用いてMicrosoft Defenderを無効化・脅威定義を削除し、23種類のバックアップ・データベース・仮想化製品に関連するサービスを停止したうえで、SYSTEM権限で実行したPsExecを使いネットワーク全体へランサムウェアを配信したと説明し、これによってかつては手動による侵入だったものが、迅速な自動展開へと変貌したと指摘しています。同氏は、組織はもはや、疑わしい攻撃を封じ込める前にアナリストがすべてのアラートを手動で調査するのを待つことはできないとし、高い確信度のランサムウェアの兆候が見られた際には、影響を受けたマシンの即時隔離、侵害されたアカウントの停止、リモート管理ツールのブロック、水平展開の遮断を許可する対応プレイブックが不可欠だと述べています。同氏は「目標は攻撃全体の確認から、その勢いを止めることへ移行しなければならない。侵害当日のうちに暗号化が始まりうる以上、封じ込めの判断は、会議やエスカレーションに何時間もかけるのではなく、分単位で行われなければならない」と述べています。

Blackpoint Cyberの脅威インテリジェンスエンジニアSam Decker氏は、こうした電光石火の攻撃に対抗するには、防御側自身の対応時間を攻撃者の速度に合わせて縮める必要があると指摘しています。同氏は、侵害されたIISサーバーのような露出したサービスを閉じること、多要素認証(MFA)を徹底すること、Defenderが密かに無効化されないよう改ざん防止機能を有効にしておくことなど、予防が引き続き重要だとしつつも、「予防だけではもはや計画とはいえない。実際に結果を左右するのは、リアルタイムの検知と、それに紐づいたホストの隔離・セッションの遮断を分単位で行える権限を持つ人員の組み合わせだ。攻撃者は『何かが起きている』ことと『誰かがそれを止めた』ことの間のギャップに賭けている」と述べています。同氏はさらに、セキュリティ課題への対応に2〜4週間の猶予があった時代はもはや終わったとし、「露出したWebサーバーから完全に暗号化されたネットワークへ1日足らずで到達するグループが現れた以上、次回の定期スキャンや朝のキュー確認を前提にした戦略は、すでに敗北している」と警告しています。Decker氏は、Spiralsにおいてはファイルが1つもロックされる前に、バックアップ・データベースサービスの停止とLSASSのダンプが行われていたとし、この防御回避と認証情報窃取のパターンは亜種間でもほとんど変わらないため、防御側はこの「繰り返される中間工程」を守ることに集中すべきで、そこを捉えられれば、ランサムウェアが何を名乗ろうとも攻撃そのものを捕捉できると述べています。

情報システム部門への示唆

当サイトで以前紹介した通り、サポートが終了したMicrosoft IISが世界で51万台超稼働しているという実態は、今回のようにインターネット公開のIISサーバーが初期侵入口として悪用されるリスクが、決して他人事ではないことを改めて示しています。自組織でインターネットに公開されたIISサーバーを運用している場合、サポート状況の確認とパッチ適用、不要なWebシェルアップロード経路の遮断を最優先で点検してください。

今回の事案が示す最大の教訓は、初期侵入からランサムウェア展開までの時間がもはや「数日から数週間」ではなく「1日未満」になりうるという前提で、インシデント対応体制を設計し直す必要があるという点です。具体的には、EDR等で高確信度のランサムウェアの兆候(セキュリティツールの無効化試行、SAMハイブのダンプ、23種類のバックアップ・DB関連サービスの一斉停止、PsExecによる大量の水平展開等)を検知した際に、担当者の判断を待たずマシンを自動的に隔離できるプレイブックをあらかじめ整備しておくことが重要です。専門家が指摘する通り、暗号化そのものを防ぐことよりも、防御回避と認証情報窃取という「繰り返される中間工程」を捉えて封じ込めることに焦点を当てる方が、個々のランサムウェアの亜種を後追いするよりも実効性が高いアプローチだといえます。