2025年に入り、新たに「NightSpire」と呼ばれるランサムウェアが世界中で猛威を振るい始めています。この攻撃は、すでに日本を含む世界33か国で被害が確認されており、業種を問わずあらゆる組織を標的とする無差別性が特徴です。
本記事では、この新たな脅威「NightSpire」の実態を徹底的に解剖します。その特徴や攻撃手口を解説します。
| 本ページには広告が含まれています。本コンテンツ経由で商品・サービスの申込みがあった場合、企業から送客手数料を受け取ることがあります。 |
新たなランサムウェアの脅威「NightSpire」とは？
NightSpireは、2025年3月から活動が観測されている新しいランサムウェアファミリーです。その攻撃は特定の国や業種に限定されず、グローバルな規模で展開されています。ここでは、NightSpireを理解する上で重要な3つの特徴を解説します。
出典：BROADCOM
世界33か国に及ぶ広範な攻撃
NightSpireは活動開始の2025年3月から6月で、世界33か国に及ぶ64の組織への攻撃を主張しています。この数字は、攻撃者が非常に高い活動レベルを維持しており、その攻撃基盤が広範囲に及んでいることを示唆しています。
特に被害が集中しているのはアメリカですが、日本、トルコ、香港、台湾、メキシコなど、アジアやヨーロッパ、中南米の国々でも複数の被害が確認されており、決して対岸の火事ではないグローバルな脅威と言えます。
「二重恐喝」モデルの採用と短期決戦型の脅迫
NightSpireは、近年のランサムウェア攻撃の主流である「二重恐喝（ダブルエクストーション）」モデルを採用しています。これは、以下の二重の脅迫によって被害組織を追い込む手口です。
- データの暗号化: 組織内のファイルを暗号化し、事業継続を不可能にすることで、復号キーと引き換えに身代金を要求します。
- データの暴露: 暗号化の前に窃取した機密情報を盾に、「支払わなければ盗んだ情報を公開する」と脅迫します。
特にNightSpireのランサムノートでは、「3日以内に支払わなければ、情報漏洩の事実と盗んだデータを公開する」と、非常に短い期限を設けて被害者に決断を迫る、短期決戦型の脅迫が特徴です。
多様な業種を狙う無差別的な標的選定
NightSpireは、特定の産業に固執せず、非常に多様な業種を標的としています。これは、攻撃者がセキュリティ対策の甘い組織を無差別に狙っていることを示しており、あらゆる企業がターゲットになりうることを意味します。
Broadcom社で挙げられている主な被害セクターは以下の通りです。
- ヘルスケア: 病院、医療施設
- 教育・政府機関: 学区、教育省、地方自治体
- 金融・コンサルティング: 投資会社、会計事務所
- 工業・製造業: 鉄鋼、繊維、電子機器
- ITサービス・テクノロジー: 中小企業、ソフトウェア開発会社
- 物流・運輸: 港湾運営業者、物流会社
このように、企業の規模や業種に関わらず、全ての組織が警戒を要する脅威です。
もしランサムウェア被害に遭った場合はすぐにフォレンジック調査会社に相談することをおすすめします。フォレンジック調査は、法的に有効な形で証拠を保全し、被害の実態を明らかにするための調査を行えます。
NightSpireの技術的特徴と攻撃の仕組み
NightSpireが検知を回避し、攻撃を成功させている背景には、いくつかの巧妙な技術的手段の利用があります。
出典：SonicWall
プログラミング言語と実行時の挙動
NightSpireはプログラミング言語「Go（Golang）」で作成されています。Go言語は、複数のOSで動作するクロスプラットフォーム対応のプログラムを比較的容易に開発できるため、近年のマルウェア開発で採用が増えています。
実行ファイルはWindowsのPEファイル形式で、実行されるとコンソールウィンドウ（conhost.exe）を起動し、システム内のファイルスキャンを開始します。
検知を回避する高度な難読化技術
NightSpireはセキュリティ製品による解析を困難にするため、高度な難読化技術を用いています。
- 多重暗号化: 攻撃コード本体（ペイロード）は、AES、RC4、XORといった複数の方式で暗号化されています。
- ソフトウェアパッキング: 実行ファイルの実体を隠蔽し、シグネチャベースの検知を回避します。
- 実行時デコード: 最も特徴的なのが、プログラム実行時にメモリ上で初めてペイロードを復号する点です。これにより、ファイル単体をスキャンする静的解析をすり抜けます。
持続化・権限昇格の巧妙な手口
侵入後の活動として、以下の手口が確認されています。
- DLLサイドローディング: 正規のアプリケーションに見せかけて悪意のあるDLLを読み込ませることで、システム内に潜伏し続ける「持続化」を図ります。
- プロセスインジェクション: 正常なプロセスのメモリに悪意のあるコードを注入し、より強力なシステム権限を奪取する「権限昇格」を行います。
DLLサイドローディングや高度な難読化など、NightSpireの攻撃手口は極めて巧妙です。付け焼き刃の調査では、侵入経路の特定や、攻撃者が潜ませたバックドアを見落とすリスクが非常に高まります。
根本原因を根絶し、法的に有効な証拠を確保するため、自己判断で対応する前に、必ずサイバーインシデント対応の専門家にご相談ください。
NightSpire感染後の具体的な症状と影響
万が一NightSpireに感染した場合、システムにはどのような変化が現れるのでしょうか。レポートからは、以下の具体的な症状が報告されています。
出典：SonicWall
拡張子「.nspire」とランサムノート
感染したPCでは、ファイルが暗号化され、ファイル名の末尾に「.nspire」という拡張子が追記されます。
「拡張子が.nspireの暗号化されたファイルの例」画像出典：SonicWall
同時に、暗号化された各フォルダには、_nightspire_readme.txt または readme.txt という名前のランサムノート（脅迫状）が生成されます。このファイルの存在は、NightSpireによる被害を確定づけるものです。
「実際のランサムノート」画像出典：SonicWall
OneDrive上のファイルへの影響
ランサムノートの中では、OneDrive上に保存されているファイルも危険に晒されていることが明確に記載されています。これは、ローカルPCのOneDrive同期フォルダが暗号化され、その変更がクラウド上のファイルにも反映されてしまうことを示唆しています。クラウドにバックアップがあるから安心とは言えない、非常に厄介な特徴です。
Tor上のリークサイトへの誘導
被害者はランサムノートの指示に従い、Torネットワーク上にあるブログ（リークサイト）へ誘導されます。このサイトは、攻撃者が盗んだデータを公開・販売するためのプラットフォームとして機能します。サイト上では、他の被害者リストが公開されているほか、盗まれたデータの一部が「証拠」としてプレビュー表示されることもあります。
NightSpireは、OneDrive上のファイルさえも暗号化の標的とする、これまでにない脅威をもたらします。クラウド上のデータを含めた被害の全容を正確に把握し、安全な復旧計画を立てるためには、フォレンジック調査の専門家による詳細な分析が不可欠です。
「クラウドにも影響が及んでいるかもしれない」と少しでも不安を感じたら、まずは専門家による状況判断をお受けください。
【重要】NightSpireランサムウェア感染時の初期対応
もしNightSpireの感染を示す症状（拡張子「.nspire」やランサムノートの出現など）を発見した場合、その後の対応が被害の大きさを左右します。パニックにならず、冷静に、そして迅速に正しい初期対応を行うことが極めて重要です。自己判断での誤った操作は状況を悪化させるだけですので、以下の手順を厳守してください。
ネットワークからの隔離
インシデント対応において、最も優先すべき行動は「被害拡大の防止」です。感染が疑われる端末を、直ちにネットワークから物理的に切り離してください。
- 有線LANの場合: LANケーブルを抜きます。
- Wi-Fiの場合: Wi-Fi機能をオフにします。
NightSpireのようなランサムウェアは、ネットワークを通じて他のPCやサーバーへ感染を広げる「横展開」を行います。この動きを速やかに断ち切ることが、被害を最小限に抑えるための第一歩です。
証拠の保全
今後の調査や警察への届け出に備え、デジタル証拠を可能な限り保全することが重要です。
- 電源は切らない: PCのメモリ上には攻撃の痕跡が残っています。シャットダウンすると重要な証拠が失われるため、電源は入れたままにしてください。
- 操作しない: ファイルの削除や設定変更など、一切の操作を控えてください。意図せず証拠を破壊してしまう可能性があります。
- 情報を記録する: ランサムノートの画面やファイル名、暗号化されたファイルの拡張子などを、スマートフォンのカメラで撮影して記録しておきましょう。
身代金の支払いは厳禁
攻撃者は身代金の支払いを要求してきますが、警察庁やセキュリティ機関は、身代金を支払わないよう強く推奨しています。支払いに応じてもデータが復旧される保証はなく、犯罪組織に資金を提供する結果にしかなりません。また、「支払う企業」と認識され、将来的な再攻撃のリスクを高めます。
専門家・関係機関への報告
自社だけで解決しようとせず、速やかに外部の専門家や関係機関に連絡してください。どこに、何を、どのように報告すべきかを知っておくことが重要です。
- 契約しているセキュリティベンダーやIT保守会社
- フォレンジック調査の専門企業
- 管轄の都道府県警察のサイバー犯罪相談窓口
- 独立行政法人情報処理推進機構（IPA）
特に、NightSpireのような手口が巧妙なランサムウェアの被害に遭った場合、被害の全容解明にはフォレンジック調査が不可欠です。
なぜフォレンジック調査が必要なのか？
連絡するだけでなく、被害から真に復旧するためには、専門家による客観的な調査、すなわちフォレンジック調査が欠かせません。その理由は、表面的な復旧だけでは解決できない、以下の根本的な問題解決の1つの手段だからです。
- 侵入経路の特定： 攻撃者は「どこから」「どのように」侵入したのか？ この大元の原因を塞がなければ、必ず再発します。
- 情報漏洩の範囲特定： どの機密情報や個人情報が、どれだけ盗まれたのか？ この正確な把握が、顧客や監督官庁への報告義務を果たす上で必須となります。
- 潜在的な脅威の発見： 攻撃者は、将来の攻撃のために別のマルウェアやバックドアを仕掛けている可能性があります。これらの痕跡を徹底的に洗い出し、根絶します。
そして最も重要なのが「証拠の保全」です。自己判断での調査は、意図せずログなどのデジタル証拠を破壊してしまい、警察の捜査や法的手続きを困難にする危険性が極めて高いです。フォレンジック調査は、法的に有効な形で証拠を保全し、被害の実態を明らかにするための、企業の責任ある対応と言えます。
編集部おすすめ調査会社：デジタルデータフォレンジック(おすすめ度)
情報漏えいや不正アクセスなどがないか調査してくれる専門会社をご紹介します。
こちらの業者は、対応件数が39,000件を超え、民間の調査会社でありながら官公庁や大手企業との取引実績も多く信頼できるため、幅広い調査に対応していておすすめです。
まずは無料で相談・見積りまで行ってくれるようなので、不安な方は一度相談してみるとよいでしょう。
| 費用 | ★見積り無料 まずはご相談ください |
|---|---|
| 調査対象 | PC、スマートフォン、サーバ、外付けHDD、USBメモリ、SDカード、タブレット など |
| サービス | ハッキング・不正アクセス調査、マルウェア・ランサムウェア感染調査、サイバー攻撃被害調査、退職者調査、労働問題調査、社内不正調査、情報持出し調査、横領着服調査、パスワード解除、データ改ざん調査、データ復元、デジタル遺品、離婚問題・浮気調査 など |
| 特長 | ✓累積ご相談件数39,000件以上 |
デジタルデータフォレンジックは、国内トップクラスの調査力を有しており、累計3万9千件以上の豊富な実績があります。
規模が大きな調査会社でありながら、ハッキング調査などの実績もあるようですし、24時間365日の相談体制、ニーズに合わせたプランのカスタマイズなど、サービスの利用しやすさも嬉しいポイントです。
相談・見積りを“無料“で行っているので、まずは電話かメールで問合せをしてみることをおすすめします。
↓調査項目・プラン・料金などは公式サイトへ↓