NightSpireランサムウェアの進化：更新された手法と検出のヒント

概要

NightSpireは、ランサムウェアファミリーで、 Ransomware-as-a-Service スタイルのデリバリーモデルで運用されているようです。組み込みのLiving-off-the-landのバイナリに大きく依存するのではなく、オペレーターは サードパーティのユーティリティ を持ち込んで永続性、データステージング、エクスフィルトレーションを行う傾向があり、手動の活動を示しています。2025年初頭から2026年3月までの事例が確認されており、通常、攻撃者によるツールの手動展開が含まれます。一般的な指標には、カスタムの暗号化バイナリ、 .nspire で終わる暗号化されたデータのファイル拡張子、そして一貫した命名規則に従う身代金のメモが含まれます。

調査

Huntressの調査員は、攻撃者が RDPを通じてアクセスし、その後、 Chrome Remote Desktop をインストールしてインタラクティブな制御を維持することを報告しています。侵入者はその後、 Everything, 7-Zip、および MEGASync のようなツールを使用して貴重なデータを特定し、ステージング用にパッケージし、エクスフィルトレーションを行いました。後のステップでは、ホスト上に VMware Workstation and WPS Office が導入されました。永続性の痕跡は複数のエンドポイントで確認され、NightSpireの暗号化プログラム（enc.exe）は、個別の事例で異なる SHA-256 値で出現しており、操作ごとに構築または再パッキングされていることが示唆されています。

緩和策

不正なリモートアクセスツール（特に新規RDP関連ユーティリティとChrome Remote Desktop）、サードパーティのアーカイバーや同期クライアントの不自然なインストール、および .nspireで終わるファイルの作成を監視します。未知のバイナリの実行をブロックし、遠隔アクセスに対する最小特権の制御を厳格化することで露出を減らします。定期的なバックアップを保持し、破壊的な改ざんを防ぐために Volume Shadow Copy の保護を確保します。

対応

NightSpireの活動が疑われる場合は、影響を受けたシステムを隔離し、インストールされたユーティリティとランサムウェアのペイロードの法医学証拠を保存し、アクティブなリモートデスクトップセッションを終了します。検証済みのクリーンなバックアップから復元し、暗号化ツールが完全に除去されたことを確認します。エンタープライズ全体で同じツールセットと関連的なアーティファクトを探索し、再発パターンと隣接するオペレーターの行動を検出するために検出コンテンツを更新します。

シミュレーション実行

前提条件: テレメトリ & ベースライン プリフライトチェックをパスしている必要があります。

根拠: このセクションは、検出ルールをトリガーするために設計されたアドバサリー技術（TTP）の正確な実行を詳述します。コマンドと説明は識別されたTTPに直接反映され、検出ロジックによって予期される正確なテレメトリを生成することを目的としています。抽象的または無関係な例は誤診につながります。

• 攻撃のストーリーとコマンド:
  模擬攻撃者が初期アクセスを取得し、現在ランサムウェアペイロードを開始しています。このペイロードはターゲットファイルを暗号化し、“.nspire”拡張子で名前を変更し、同じディレクトリにランサムノートをドロップします。攻撃者は、組み込みのPowerShellコマンドレットを使用して追加のバイナリを書き込むことを避け、Living-off-the-landアプローチを模倣します。

  1. ターゲットファイルを選択 （例：ダミーの文書）。
  2. ファイルを暗号化 シンプルなXORルーチンを使用して（ランサムウェア暗号化の代表例）。
  3. 暗号化されたファイルの名前を変更 して「.nspire」で終わるようにします。
  4. ランサムノートを作成 その名前を _nightspire_readme.txt にして、身代要求の手順を含めます。

• 回帰テストスクリプト: 以下のPowerShellスクリプトは上記の手順を再現し、Sigmaルールが監視する正確なテレメトリを生成します。

  # NightSpireランサムウェアシミュレーション – .nspireファイルとランサムノートを生成
  param(
      [string]$TargetFolder = "$env:USERPROFILEDesktopNightSpireDemo"
  )
  
  # 1. デモフォルダを準備
  New-Item -ItemType Directory -Path $TargetFolder -Force | Out-Null
  
  # 2. ダミーの被害者ファイルを作成
  $victimPath = Join-Path $TargetFolder "victim_document.txt"
  "This is a sample document that will be 'encrypted'." | Set-Content -Path $victimPath -Encoding UTF8
  
  # 3. シンプルなXOR「暗号化」（デモ目的のみ）
  $key = 0x5A
  $bytes = [System.IO.File]::ReadAllBytes($victimPath)
  for ($i = 0; $i -lt $bytes.Length; $i++) {
      $bytes[$i] = $bytes[$i] -bxor $key
  }
  $encPath = Join-Path $TargetFolder "victim_document.nspire"
  [System.IO.File]::WriteAllBytes($encPath, $bytes)
  
  # 4. 元の平文を削除
  Remove-Item -Path $victimPath -Force
  
  # 5. ランサムノートをドロップ（ルールが検出する2つの名前のうちの1つ）
  $notePath = Join-Path $TargetFolder "_nightspire_readme.txt"
  @"
  Your files have been encrypted by NightSpire ransomware.
  To restore your data, send 2 BTC to the address below.
  "@ | Set-Content -Path $notePath -Encoding UTF8
  
  Write-Host "シミュレーション完了。作成されたファイル:"
  Write-Host " - $encPath"
  Write-Host " - $notePath"

• クリーンアップコマンド: すべてのアーティファクトを確認後に削除します。

  # NightSpireシミュレーションアーティファクトのクリーンアップ
  $demoFolder = "$env:USERPROFILEDesktopNightSpireDemo"
  if (Test-Path $demoFolder) {
      Remove-Item -Path $demoFolder -Recurse -Force
      Write-Host "デモフォルダが削除されました。"
  } else {
      Write-Host "デモアーティファクトは見つかりませんでした。"
  }