サイバーセキュリティの世界では、古くから存在する脅威が新たな手口と結びつき、驚くべき効果を発揮することがしばしばあります。最近、Forcepointの新たなアドバイザリによって明らかになったのは、まさにそのような事例です。長年にわたり活動を続けるPhorpiexマルウェアが、巧妙なフィッシングキャンペーンを通じて、静かで破壊的なGlobal Groupランサムウェアを拡散している実態が浮き彫りになりました。このキャンペーンは、2024年から2025年にかけて広く観測された「Your Document」という件名のメールを悪用し、一見無害な文書に見せかけた添付ファイルを通じて感染を広げています。
このフィッシングメールに添付されているのは、実際には悪意のあるWindowsショートカット（.lnk）ファイルであり、これが多段階にわたる感染チェーンの引き金となります。攻撃者は、ユーザーがファイルを一クリックするだけでコード実行に至るという、Windowsショートカットファイルの根強い有効性を巧みに利用しています。特に注目すべきは、Global Groupランサムウェアが「サービスとしてのランサムウェア（RaaS）」として提供され、その運用が極めてステルス性が高く、オフライン環境でも機能するという点です。
この攻撃は、高度な技術を駆使するだけでなく、人間の心理的な脆弱性やシステムのデフォルト設定を悪用する、古典的かつ効果的な手法の組み合わせによって成り立っています。ユーザーは、添付ファイルが通常の文書であると信じ込み、何の疑いもなく開いてしまうことで、知らぬ間に感染の第一歩を踏み出してしまいます。この初期アクセスベクターの成功が、その後の高インパクトなペイロード、すなわちGlobal Groupランサムウェアの展開へとスムーズに繋がっているのです。
Forcepointの分析は、Phorpiexのような歴史あるマルウェアファミリーが、シンプルながら信頼性の高いフィッシング技術と組み合わせることで、いかに高い効果を維持し続けているかを明確に示しています。このキャンペーンは、サイバーセキュリティの専門家に対し、既知の脅威が進化し続ける手口と、それに対抗するための継続的な警戒の重要性を改めて突きつけるものと言えるでしょう。
欺瞞の入り口：Windowsショートカットファイル悪用の深層
なぜWindowsショートカットファイルが、これほどまでに執拗に攻撃者に悪用され続けるのでしょうか。その理由は、ユーザーの認識とシステムのデフォルト設定の間に存在する巧妙なギャップにあります。攻撃者は、「Document.doc.lnk」のような二重拡張子を用いることで、ファイルを正規の文書ファイルであるかのように偽装します。Windowsのデフォルト設定では、既知のファイル拡張子を非表示にするため、ユーザーには「Document.doc」としか表示されず、悪意のある「.lnk」部分が見えません。この視覚的な欺瞞が、ユーザーを誤解させる大きな要因となっています。
さらに、攻撃者は正規のWindowsリソースからアイコンをコピーし、添付ファイルに適用することで、その信頼性をさらに高めます。これにより、ユーザーはアイコンを見ただけで、それがWord文書やPDFファイルであると錯覚し、何の疑いもなくクリックしてしまうのです。この一見無害なクリックが、実際には悪意のあるコード実行のトリガーとなるのです。
ショートカットファイルが一度開かれると、内部に埋め込まれたコマンドが「cmd.exe」を介して実行されます。この「cmd.exe」は、次に「PowerShell」を起動し、リモートサーバーから第二段階のペイロードをダウンロードして実行する役割を担います。この一連のプロセスは、ユーザーにインストーラーの表示や警告を一切見せることなく、バックグラウンドで静かに進行します。
このような「ローノイズ」な実行は、ユーザーが異常に気づく機会を奪い、攻撃が水面下で進行することを可能にします。ショートカットファイルが悪用される手口は、技術的には決して新しいものではありませんが、そのシンプルさと効果の高さから、依然として多くのサイバー攻撃キャンペーンで初期アクセスベクターとして重宝されています。この持続的な有効性は、ユーザー教育とシステム設定の見直しが不可欠であることを示唆しています。
静かに進行する感染連鎖：Phorpiexボットネットの役割
このフィッシングキャンペーンにおける感染チェーンは、シンプルながらも極めて効果的なシーケンスで展開されます。まず、ユーザーの受信トレイに届くフィッシングメールには、あたかも正規の文書であるかのように見える添付ファイルが含まれています。この添付ファイルは、前述の通り、悪意のあるWindowsショートカットファイルであり、ユーザーがこれをクリックすることで、感染の第一歩が踏み出されます。ショートカットファイルは、埋め込まれたコマンドを「cmd.exe」を通じて実行し、その結果として「PowerShell」が起動されます。
「PowerShell」は、リモートのコマンド＆コントロール（C2）サーバーから第二段階のペイロードをダウンロードし、「windrv.exe」という名前でローカルに保存します。このバイナリは、ユーザーに目に見えるプロンプトを表示することなく、直ちにローカルで実行されます。このペイロードこそが、長年にわたり活動を続けているモジュラー型マルウェア・アズ・ア・サービス（MaaS）ボットネットであるPhorpiexと関連付けられています。Phorpiexは、およそ2010年頃から活動が確認されており、その主な目的は、ランサムウェアやその他の二次マルウェアを配布することにあります。
Phorpiexボットネットは、その柔軟性と広範な配布能力により、サイバー犯罪の世界で重要なインフラとしての地位を確立してきました。今回のキャンペーンでは、Phorpiexが最終的にGlobal Groupランサムウェアを展開する役割を担っています。これは、Phorpiexが単なる情報窃取やスパム送信だけでなく、より破壊的なペイロードを標的システムに送り込むための「運び屋」として機能していることを示しています。
この多段階の感染プロセスは、各段階で異なるツールと技術を組み合わせることで、検出を回避し、攻撃の成功率を高めるように設計されています。特に、Phorpiexのような確立されたマルウェアが初期侵入に成功することで、攻撃者は信頼性の高い基盤を確保し、その後のランサムウェア展開を確実なものにしているのです。
孤立環境を狙う：Global Groupランサムウェアの特異な戦略
Phorpiexによって最終的に展開されるGlobal Groupランサムウェアは、多くの現代的なランサムウェアファミリーとは一線を画す、非常に特異な運用モデルを採用しています。その最大の特徴は、完全にオフラインで機能するという点です。通常、ランサムウェアは暗号化キーの生成や被害者との交渉、データの窃取のためにコマンド＆コントロール（C2）サーバーと通信を行いますが、Global Groupランサムウェアはこれらのプロセスを一切行いません。
Global Groupは、暗号化キーをローカルで生成し、C2サーバーとの通信を必要としないため、ネットワーク接続が制限された環境や、いわゆる「エアギャップ」で隔離された環境でもその機能を完全に発揮することができます。この設計は、ネットワークトラフィックに依存しないことで、セキュリティ監視システムによる検出のリスクを大幅に低減させる効果も持ちます。多くの組織がネットワークトラフィックの異常を監視している中で、この「ローノイズ」な運用は、攻撃者が静かに目的を達成するための重要な戦略となっています。
このランサムウェアは、ファイルを暗号化する際にChaCha20-Poly1305アルゴリズムを使用し、暗号化されたファイルには一律に「.Reco」という拡張子が付加されます。暗号化が完了すると、システム全体に「README.Reco.txt」という身代金要求メモが配置され、デスクトップの壁紙も「GLOBAL GROUP」というメッセージに置き換えられます。これにより、被害者はシステムがランサムウェアに感染したことを明確に認識させられます。
データ窃取を行わないという選択は、現代の二重恐喝型ランサムウェアの主流とは異なりますが、これはGlobal Groupが特定の環境、例えば機密性の高い情報を扱うオフラインシステムや、ネットワーク監視が厳重な環境を標的とする際に、その効果を最大化するための戦略であると考えられます。この特異なアプローチは、従来のランサムウェア対策だけでは不十分である可能性を示唆しており、セキュリティ対策の再考を促すものです。
痕跡を消し去る巧妙さ：フォレンジックを阻む手口
Global Groupランサムウェアの巧妙さは、単にオフラインで機能する点に留まりません。その設計には、感染後の痕跡を可能な限り消し去り、被害組織によるフォレンジック分析やデータ復旧を極めて困難にするための、計算された手口が組み込まれています。ランサムウェアは、ファイルの暗号化という主要なタスクを完了した後、自身の実行ファイルをシステムから削除します。これにより、マルウェアの存在そのものを隠蔽し、セキュリティアナリストが感染源や侵入経路を特定するのを妨げます。
さらに、このランサムウェアは、Windowsの重要な復旧機能であるシャドウコピー（Volume Shadow Copies）も削除します。シャドウコピーは、システムやファイルの過去のバージョンを保存する機能であり、ランサムウェア攻撃からのデータ復旧において非常に重要な役割を果たします。これを削除することで、被害者はOSの標準機能を用いたファイルの復元が不可能となり、身代金を支払うか、事前に取得したバックアップから復旧する以外の選択肢が事実上なくなってしまいます。
これらの自己削除と痕跡消去の戦術は、Global Groupランサムウェアが「ローノイズ」であるという特徴をさらに強化します。攻撃者は、システムに侵入し、目的を達成した後、迅速かつ静かに姿を消すことで、検出されるリスクを最小限に抑えようとします。これにより、インシデントレスポンスチームは、マルウェアの挙動を追跡し、攻撃の全容を解明するために必要な証拠の収集に多大な困難を伴うことになります。
Forcepointの分析が指摘するように、このような手口は、攻撃者がいかにして防御側の対応を予測し、それを無力化するための戦略を練っているかを示しています。フォレンジック分析を阻害する能力は、攻撃者にとって時間稼ぎとなり、被害組織にとっては復旧までの道のりをさらに長く、費用のかかるものにする要因となります。このため、事前の強固なバックアップ戦略と、迅速なインシデント対応計画の重要性が改めて浮き彫りになります。
長期にわたる脅威：Phorpiexの持続性と今後の課題
今回のPhorpiexとGlobal Groupランサムウェアの組み合わせによるキャンペーンは、サイバー脅威の進化と、その中で変わらず有効性を保ち続ける古典的な攻撃手法の存在を浮き彫りにしています。Forcepointは、このキャンペーンについて「Phorpiexのような長年にわたるマルウェアファミリーが、シンプルながら信頼性の高いフィッシング技術と組み合わせることで、いかに高い効果を維持し続けているかを示している」と述べています。この言葉は、サイバーセキュリティの専門家にとって、過去の脅威が決して過去のものではないという厳しい現実を突きつけています。
攻撃者は、Windowsショートカットファイルのような「おなじみのファイルタイプ」を悪用することで、最小限の摩擦で初期アクセスを獲得し、Global Groupランサムウェアのような高インパクトなペイロードへとスムーズに移行させています。この「最小限の摩擦」という点は、攻撃者にとって非常に重要です。複雑なゼロデイ脆弱性を探すよりも、既存のユーザーの習慣やシステムのデフォルト設定を悪用する方が、はるかに効率的かつ成功率が高いことを彼らは熟知しているのです。
Phorpiexボットネットは2010年頃から活動しており、その長い歴史の中で様々なペイロードを配布してきました。今回のGlobal Groupランサムウェアの拡散も、その活動の一環に過ぎません。これは、サイバー犯罪グループが、確立されたインフラと新しい脅威を組み合わせることで、その攻撃能力を継続的に強化していることを示唆しています。このような脅威の持続性は、組織が単一の脅威に焦点を当てるのではなく、多層的な防御戦略と継続的なセキュリティ意識向上トレーニングを導入することの重要性を強調しています。
最終的に、このキャンペーンは、サイバーセキュリティ対策が技術的な側面だけでなく、人間の要素、すなわちユーザーの警戒心と知識に大きく依存していることを改めて示しています。シンプルながらも効果的なフィッシング手口と、ステルス性の高いランサムウェアの組み合わせは、今後も同様の攻撃が繰り返される可能性が高いことを示唆しており、企業や個人は常に最新の脅威情報に注意を払い、適切な防御策を講じ続ける必要があります。
参考情報
本記事は以下の情報源を参考に作成されました：
- -Phorpiex Phishing Delivers Low-Noise Global Group Ransomware - https://www.infosecurity-magazine.com/news/phorpiex-phishing-global-group/