【概要】
本レポートでは、近年確認された新規ランサムウェア「Sepsis（セプシス）」の技術的な特徴、感染プロセス、およびシステムへの影響について詳細な分析結果を報告します。Sepsisランサムウェアは、Windows環境を標的として深刻な被害をもたらすマルウェアであり、実行されるとシステム内の重要ファイルを強力な暗号化アルゴリズムによってロックし、独自の拡張子へと書き換えます。
感染拡大に伴い、攻撃者はシステム復旧を困難にするための破壊的コマンドを実行し、ユーザーが即座に被害を認識できるよう強制的にランサムノートを表示させます。組織的な情報セキュリティ担当者は、本レポートを参照し、最新の脅威に対する適切な防御体制を構築することが急務となります。
[要約] SepsisランサムウェアはWindowsシステムを標的にファイル暗号化と復旧機能の無効化を行います。C++で開発され、Windowsフォルダへの自己複製やレジストリ改ざんによる持続化を特徴としています。組織では専用のアンチランサムウェアソリューション導入や脆弱性管理による対策が必要です。
目次 (Index)
【技術分析】
Sepsisランサムウェアのファイル形式、識別情報、および攻撃で使用される主な特徴は以下の通りです。本マルウェアはC++言語によって開発されており、実行ファイルはPE32形式のGUIアプリケーションとしてコンパイルされています。
| 項目 | 内容 |
|---|---|
| ランサムウェア名称 | Sepsis（セプシス） |
| 暗号化後の拡張子 | . [Sepsis@protonmail.com].SEPSIS |
| ランサムノート | mshta.exe を用いた表示 |
| 攻撃者連絡先 | Sepsis@protonmail.com |
以下は解析された検体のサンプル識別情報です。
| 項目 | 内容 |
|---|---|
| ファイルサイズ | 16.50 KB |
| ファイルタイプ | PE32 executable (GUI) Intel 80386, for MS Windows |
| MD5ハッシュ | 1221ac9d607af73c65fd6c62bec3d249 |
| SHA1ハッシュ | 518d5a0a8025147b9e29821bccdaf3b42c0d01db |
| SHA256ハッシュ | 3c7d9ecd35b21a2a8fac7cce4fdb3e11c1950d5a02a0c0b369f4082acf00bf9a |
Sepsis感染後、拡張子が書き換えられたファイル群
【動作プロセス】
Sepsisランサムウェアが端末に侵入してから暗号化を完了するまでの実行フローは以下の通りです。
- 標的システム上で実行されると、マルウェアは自身のバイナリをWindowsシステムフォルダ内へ「svchost.exe」という偽装名でコピーし、当該パスから再実行を行います。
- 再起動後も持続的に実行させるため、Windowsのログオン時に動作するWinlogon関連のレジストリ領域に自身を登録し、永続化（Persistence）を確立します。
- ファイル暗号化の事前処理として、ボリュームシャドウコピー（Volume Shadow Copy）の削除、Windowsシステム復元機能の無効化、ならびにアプリケーションエラー通知の停止を実行し、ユーザーによる復旧の試みを妨害します。
Windowsフォルダへの自己複製および再実行プロセス
レジストリの改ざんによる持続化設定
復旧機能を阻害する内部コードのルーチン
【被害状況とランサムノート】
感染端末では、主要なドキュメント、画像、データベースなどのファイルが強制的に暗号化され、拡張子が「. [Sepsis@protonmail.com].SEPSIS」に置換されます。これにより、正当なアプリケーションからのファイルアクセスが完全に遮断され、業務継続が不可能な状態に陥ります。また、デスクトップ画面の変更やmshta.exeを介したランサムノートが展開され、金銭を要求するメッセージが提示されます。
[警告] Sepsisランサムウェアに感染した場合、システム復元領域が削除されているため通常のバックアップ手段からの復旧が極めて困難になります。身代金の支払いはデータ回復を保証するものではなく、組織的な二次被害を招く恐れがあるため推奨されません。
Your files have been encrypted by Sepsis ransomware. All your important documents, databases, and images are secured with strong encryption. To restore your data, contact us at Sepsis@protonmail.com with your personal ID.
拡張子が変更され使用不能となったファイル群
感染後のデスクトップとランサムノートの展開状態
WhiteDefenderによる挙動検知および自動隔離・復元ログ
WhiteDefenderによるブロック通知ポップアップ
【推奨される対策】
Sepsisをはじめとする高度なランサムウェアの脅威から企業および組織のITインフラストラクチャを保護するため、以下のセキュリティ対策を強く推奨します。
- VPNアプライアンスや境界防御システムの脆弱性を常時スキャンし、最新のセキュリティパッチを迅速に適用することで初期侵入経路を断ちます。
- 未知のランサムウェアの挙動をリアルタイムで検知し、暗号化が試みられたファイルを瞬時に自動復元できる専門的なアンチランサムウェア製品（例：WhiteDefender等）を導入します。
- ネットワークから隔離されたオフライン環境（エアギャップ）へ重要データの定期的なバックアップを取得し、万が一の際にも迅速にシステムをリストアできる体制を維持します。
[推奨事項] 組織全体のセキュリティ強度を高めるため、脆弱性管理プロセスの厳格化とエンドポイントにおける次世代型保護ソリューション（EDR/アンチランサムウェア）の常時稼働を徹底してください。
【まとめ】
Sepsisランサムウェアは、巧妙な自己複製メカニズムとシステム復元機能の破壊を組み合わせた非常に悪質なマルウェアです。単なるファイルの暗号化にとどまらず、端末の持続的制御やバックアップの抹殺を図るため、従来型のシグネチャベースの対策だけでは侵入を完全に阻止することが困難な場合があります。
組織におけるサイバーレジリエンスを維持するためには、脆弱性の継続的な修正に加え、振る舞い検知および自動ファイル復元機能を備えた多層防御アーキテクチャの導入が不可欠です。インシデント発生時の被害を最小限に抑えるため、平時からの備えと迅速なインシデントレスポンス体制の確立が求められます。
よくある質問（Q&A）
Q1. Sepsisランサムウェアに感染した場合、身代金を支払うべきですか？
身代金の支払いは、攻撃者に資金を提供しさらなる攻撃を誘発するだけでなく、暗号化されたファイルが確実に復元される保証もありません。専門のセキュリティベンダーやインシデントレスポンスチームに相談することを強く推奨します。
Q2. 感染を防ぐために最も効果的な対策は何ですか？
VPNや公開サーバーの脆弱性管理を徹底し初期侵入を防ぐとともに、ファイルの不正な暗号化を高精度で検知・自動復元できる専用のアンチランサムウェア製品をエンドポイントに導入することが最も効果的です。
Q3. なぜシャドウコピーやシステム復元が無効化されるのですか？
攻撃者はユーザーがOS標準機能やバックアップを利用して容易にファイルを復元できないようにするため、マルウェア実行直後にこれらの機能を意図的に削除・無効化するように設計されています。
システムを「止めない」新時代のBCP対策をまずは無料体験
どれほどの大企業でも一瞬の隙を突かれれば、
数日間のシステム停止と致命的な損失を被る時代。
PC1台あたり月額換算650円で始められる「3.4秒自動復元」の威力を、
14日間の無料トライアルで体感してみませんか？ まずはお問い合わせください！