Black Shrantac：世界中の組織を標的に、正規のツールを悪用するランサムウェアグループの内幕

2025年9月にその存在が初めて確認されて以来、「Black Shrantac」は、複数の業界や地域にわたる組織を標的とする、現実的かつ執拗なランサムウェアの脅威としてその存在を確立してきました。 特定のセクターや地域に焦点を当てる一部のランサムウェアグループとは異なり、Black Shrantacは機会主義的に活動し、条件が整った場所ならどこにでも攻撃を仕掛け、さまざまな地域にわたる製造業、金融サービス、テクノロジー、ホスピタリティ、公共部門、ビジネスサービスなどの分野で被害者を出しています。

このグループが特に注目に値するのは、そのマルウェアの斬新さではなく、侵入手法における規律と高度な運用能力にある。 Black Shrantacは、確立された攻撃手法と、正規の商用ツールを意図的に優先して使用することを組み合わせており、これにより検知が困難になり、攻撃元の特定もより複雑になっています。本記事では、このグループの活動手法、防御側が注意すべき点、および組織がリスクを軽減するためにできることについて詳しく解説します。

二重恐喝モデル

Black Shrantacの主要なビジネスモデルは二重恐喝です。攻撃は2つの段階で展開されます。まず、同グループは被害者の環境から大量の機密データを窃取し、次にランサムウェアを展開してファイルを暗号化し、業務を妨害します。 その結果、被害者は「暗号化されたシステムへのアクセス権を取り戻すために支払う」ことと、「盗まれたデータが公開されるのを防ぐために支払う」ことという、2つの脅威を同時に突きつけられることになる。

圧力を最大限に高めるため、このグループはTorネットワーク上に専用の情報漏洩サイトを運営し、被害者の名称、侵害日、および侵害の証拠となるサンプルデータを公開しています。対応が遅い組織に対しては、データの一部を公開することで強制力を働かせており、この戦術は、より専門性の高いランサムウェア運営者たちの間で標準的なものとなっています。

重要な点として、身代金を支払ったとしても、盗まれたデータが漏洩しないという保証はありません。支払った組織はシステムを復旧できるかもしれませんが、データの公開による評判の低下や規制上の影響には依然として直面することになります。この現実こそが、侵害後の交渉よりも、予防と早期発見の方がはるかに重要である理由を浮き彫りにしています。

被害者とのコミュニケーションは、追跡されにくい通信経路を避け、交渉の監視や妨害を行う法執行機関の取り組みを困難にする、ピアツーピアの暗号化メッセージングプロトコル「Tox」を介してのみ行われる。

初期侵入：境界の悪用

Black Shrantacによる侵入は、ネットワークの境界から始まります。このグループは、GlobalProtectゲートウェイまたはポータルを実行しているPalo Alto NetworksのPAN-OSデバイスに影響を与える重大なコマンドインジェクション脆弱性であるCVE-2024-3400を悪用していることが確認されています。 この脆弱性のCVSSスコアは最大値である10.0であり、認証されていない攻撃者がルート権限で任意のOSコマンドを実行することを可能にします。 影響を受けたデバイスはPAN-OS 11.0.0を実行しており、このバージョンは2024年11月にサポート終了（EOL）を迎えており、パッチも適用されていませんでした。

境界デバイスが侵害されると、このグループは特に巧妙なサプライチェーン攻撃の手法を用います。すなわち、トロイの木馬化されたGlobalProtect MSIインストーラーを、ファイアウォール自身の更新ポータルに注入するのです。 その後、正当なソフトウェア更新だと信じてこれをダウンロードした管理者は、実際には攻撃者のリモートアクセスツールをインストールする悪意のあるパッケージを実行することになります。この手順が注目されるのは、信頼を悪用している点にあります。つまり、被害者自身のインフラが攻撃の媒介となるのです。

足場を確立する：持続性と認証情報の取得

初期アクセス後、Black Shrantacは迅速に複数の冗長な持続性メカニズムを確立します。このグループは、正規の商用リモートアクセスツールであるSimpleHelpを永続的なWindowsサービスとして展開し、通常の管理トラフィックに溶け込む信頼性の高いコマンド＆コントロールチャネルを提供します。 一部のホストでは、商用エンドポイント監視製品である「Net Monitor for Employees Agent」が追加で展開され、攻撃者が制御するインフラとの隠蔽された通信を維持するために流用されます。

また、このグループは被害者のActive Directory環境内に新しいドメインアカウントを作成します。その目的は、他の持続化メカニズムが発見され削除された場合でも、攻撃者が環境に再侵入できるような、資格情報に基づく持続的な足場を確立することにあります。一方で、このようなアカウントが作成された場合、防御側は容易に警告を発することができるようになります。

認証情報へのアクセスに関しては、このグループは Windows のネイティブユーティリティである klist.exe を使用して、侵害されたホスト上のアクティブな Kerberos セッションを列挙し、パス・ザ・チケット攻撃に使用するチケットを収集しています。 この「リビング・オフ・ザ・ランド（LOLT）」アプローチにより、エンドポイント検知制御をトリガーする可能性の高いサードパーティ製の認証情報ダンプツールを展開する必要がなくなります。

ネットワーク内での移動

内部に侵入すると、Black Shrantacは、インストールを必要とせず、痕跡を最小限に抑えるポータブルな商用ユーティリティである「SoftPerfect Network Scanner」を使用して、体系的な内部偵察を行います。正当な認証情報を持つドメインアカウントで実行されるこのツールにより、グループは横方向の移動を行う前に、稼働中のホスト、公開されているサービス、およびネットワークトポロジをマッピングすることができます。

横方向の移動には、複数の手法が組み合わされています。RDPが主要な攻撃ベクトルであり、攻撃者が作成したアカウントおよび侵害されたアカウントの両方を使用して、ドメインコントローラー、サーバー、ワークステーション間で接続が確立されます。PSExecは、SMB経由でのリモートコマンド実行に使用されます。VNCベースのリモートコントロールユーティリティであるMightyViewerは、侵害されたホストへの対話型GUIアクセスを提供します。 また、SSHFS-WinとWinFspを組み合わせることで、攻撃者はSSH経由でリモートディレクトリをローカルドライブとしてマウントでき、ファイル転送ツールに通常伴うトラフィックパターンを生成することなく、目立たないファイルアクセスが可能になります。

攻撃の全段階を通じて、正規の市販ツールを一貫して使用していることは、意図的な検知回避戦略である。これらの製品はいずれも、企業環境において妥当な正当な使用事例が存在するため、攻撃者の活動を通常の管理業務と見分けることが困難になる。

防御回避：道を開く

ランサムウェアを展開する前に、Black Shrantacは被害者の防御体制を体系的に解体します。 Microsoft Defenderのリアルタイム保護機能は、PowerShellを介して無効化されます。サードパーティ製のエンドポイントセキュリティ製品が存在する場合、このグループはベンダーが提供するアンインストールユーティリティを実行して、侵害されたホストからそれらを完全に削除します。特に、事前に作成されたドメインアカウントの下でこれを行うことで、アカウントの作成と防御回避との間に直接的な運用上の関連性があることを示しています。

Windowsのイベントログは、フォレンジック調査による可視性を制限するために改ざんされ、暗号化プログラムのバイナリは、静的なファイル名やハッシュ値の一致に依存するシグネチャベースの検出制御を回避するために、汎用的なファイル名にリネームされる。

ランサムウェアの展開

攻撃の最終段階は、ランサムウェアのペイロード自体の展開である。 Black Shrantacは、手動起動とスケジュールされたタスクの両方を通じて同時に実行される複数の暗号化バイナリを使用しています。これは、いずれか一つの実行経路が遮断された場合でも暗号化の適用範囲を最大化するための冗長性対策です。主要な暗号化バイナリは、管理者権限を必要とせずに実行されるように設計されていることを示唆する命名規則に従っており、これにより影響を受けるホストの範囲が広がります。

この暗号化ツールは、ファイル内容の暗号化に非対称暗号と対称暗号を組み合わせて使用しています（暗号化ツールにはRSA公開鍵が組み込まれており、対称暗号化部分はAES-256によって行われています）。暗号化されたファイルはランダムな名前に変更され、拡張子として.shrtまたは.shrttが付与されます。 shrt.readme.html という名前の身代金要求メッセージが、感染したディレクトリに配置されます。デスクトップの壁紙は、「ALL YOUR DATA ENCRYPTED」というメッセージが表示された黒い画面に置き換えられます。暗号化ツールの永続化は、SYSTEM アカウントで実行される OneDrive の更新ジョブを装ったスケジュールされたタスクによって実現されています。

身代金要求文自体は、準商業的な表現で構成されており、侵入をビジネス取引として提示し、信頼構築策として重要度の低い少数のファイルに対する復号証明を提供しています。これは、確立されたランサムウェアの手口と一致するパターンです。

正規のツール

脅威アクターは以下の正規ツールを使用しました：

IoC

この脅威アクターに関連して、以下の侵害の兆候（IoCs）が確認されています：

マルウェアの指標

ファイルの識別子

ホストベースのインジケーター

 ネットワークの兆候

防御担当者が注意すべき点

攻撃のあらゆる段階において、セキュリティチームが監視できる行動上の兆候が見られます。境界線では、GlobalProtect ポータルに原因不明の MSI ファイルが出現したり、管理者が変更管理ウィンドウ外のデスクトップパスからインストーラーを実行したりした場合は、直ちに調査を開始する必要があります。

ネットワーク内部では、サーバーから外部IPアドレスに対してInvoke-WebRequestを呼び出すPowerShell、これらのツールの使用が承認されていないホスト上でのSimpleHelp、Net Monitor、またはMightyViewerの出現、および作成直後に昇格された権限が付与された新しいドメインアカウントは、いずれも侵害の確度が高い指標となります。 SYSTEMアカウント以外による、ユーザーが書き込み可能なディレクトリ内の実行ファイルを参照するスケジュールされたタスクの作成や、対応するサービスデスクの記録なしに行われたActive Directoryのパスワードリセットも、同様に重要な指標です。

検知チームに対しては、schtasks.exe のアクティビティを積極的に監視することが特に推奨される。というのも、このグループの攻撃手法において、スケジュールされたタスクは、持続化とランサムウェアのペイロード配布の両方において中心的な役割を果たしているからである。 また、短期間の間に複数のホストにわたって、汎用アカウントまたはサービス名アカウントで発生するKerberosチケット要求の異常（イベントID 4769）や対話型ログオンイベント（イベントID 4624、ログオンタイプ10）についても、優先的に調査する必要があります。

リスクを低減する方法

Black Shrantac に対する防御には、体系的なセキュリティ対策が必要です。このグループの侵入チェーンは、一般的な設定ミスに対する既知の手法にほぼ完全に依存しています。以下の対策は、最も重大な脆弱性に対処するものです：

• インターネットに接続されているデバイスには、例外なくパッチを適用してください。CVE-2024-3400 にはパッチが提供されています。デバイスにパッチが適用されている場合でも、デバイスの現在の状態や、デバイス上の GlobalProtect ソフトウェアクライアントの整合性を評価しておく価値があります（攻撃者がパッチ未適用の期間にこれを悪用していた可能性があるため）。 パッチ管理は、導入すべき重要なセキュリティ対策です。
• すべてのリモートアクセスにおいて多要素認証（MFA）を強制してください。フィッシング攻撃に耐性のあるMFA（理想的にはFIDO2）を、VPN、RDP、およびすべての管理コンソールへのアクセスにおいて必須とする必要があります。アプリケーション層だけでなく、IDプロバイダーレベルでMFAを強制することで、攻撃者が常套手段として悪用する脆弱性を塞ぐことができます。
• エンドポイントセキュリティに改ざん防止機能を導入してください。攻撃者が単一のPowerShellコマンドやベンダーのアンインストールユーティリティでウイルス対策ソフトを無効化できてしまう場合、実質的な保護効果はほとんど期待できません。グループポリシーやモバイルデバイス管理（MDM）プラットフォームを通じて実施される改ざん防止機能により、これを防ぐことができます。
• RMMツールの監査とガバナンスを実施する。承認済みリモートアクセスおよび監視ツールのホワイトリストを維持する。承認リストにないRMMソフトウェアの実行やインストールがあった場合はアラートを発する。承認済みRMMエージェントからのアウトバウンド接続を、既知のサーバーIP範囲のみに制限する。
• バックアップインフラを隔離し、保護する。バックアップサーバーには、標準のドメイン認証情報を使用してアクセスできないようにすべきである。ドメイン管理者アカウントによって変更または削除できない、不変の、エアギャップ化された、またはオフサイトのバックアップコピーは、ランサムウェアによる暗号化に対する最も効果的な保険となる。復旧手順は、単に機能すると仮定するのではなく、定期的にテストすべきである。
• ネットワークをセグメント化してください。ドメインコントローラー、サーバー、およびバックアップインフラは、無制限の横方向の移動を防ぐ厳格なファイアウォールルールが適用された専用のネットワークセグメントに配置する必要があります。運用上必要な場合を除き、ワークステーションからサーバーに直接アクセスできないようにしてください。
• ログ記録と可視化に投資する。ログの保存期間が短い、あるいはログ記録自体が行われていない場合、侵入の検出、調査、封じ込めの能力が著しく制限される。 少なくとも、プロセスの作成、ログオンイベント、スケジュールされたタスクの作成、サービスのインストール、Kerberosチケットの要求、PowerShellスクリプトのブロックログ、およびActive Directoryアカウントの変更については、一元化されたSIEMに転送し、少なくとも12か月間保持する必要があります。

結論

Black Shrantac の事例は、汎用ツールと体系的なプレイブックを駆使した、規律正しく組織化されたグループが、基本的なセキュリティ対策の不備を放置している組織に対して、深刻な業務上の損害や評判の失墜をもたらし得ることを示しています。

同グループが意図的に正規のツールを好んで使用していること、冗長化された持続化メカニズムを採用していること、そしてランサムウェアを展開する前に防御機能を無力化するという体系的なアプローチは、同等の成熟度を備えた防御態勢を必要とする、高い運用成熟度を反映しています。 パッチ適用、ID管理、エンドポイント保護、ネットワークのセグメンテーション、バックアップの整合性といった基本対策に投資している組織は、この種の侵入を検知、封じ込め、あるいは防止する上で、はるかに有利な立場に立つことができるでしょう。

参考文献

Cyfirma：週次インテリジェンスレポート – 2025年12月12日

Ransom – DB – 2025年12月27日

ICS Strive

BlackFog – 2025年12月16日

ブログ「Have I Been Ransom」 – 2025年9月17日

Ransomwhere.info – 2026年3月24日

Threat fox

The Raven File – 2025年11月14日

OSINTチームブログ：Black Shrantacランサムウェア：被害者分析、リークサイトの情報、および脅威評価（2025-2026年） – 2026年1月23日

ランサムウェア攻撃における従業員監視およびSimpleHelpソフトウェアの悪用

CVE-2024-3400 PAN-OS：GlobalProtectにおける任意のファイル作成がOSコマンドインジェクションの脆弱性を引き起こす

パロアルト - GlobalProtectに「Protecc」を組み込む（CVE-2024-3400）

GlobalProtectにおける認証不要のリモートコード実行脆弱性のゼロデイ攻撃（CVE-2024-3400）

脅威概要：オペレーション「MidnightEclipse」、CVE-2024-3400に関連する攻撃後の活動（5月20日更新）

詳細については、sales.cyber@marlink.com をご覧ください。