エンドポイント保護ツールを導入していれば安心——そんな前提が今また崩されつつある。セキュリティ企業Sophosが最近公開したレポートで、「Payouts King」と呼ばれるランサムウェアグループがQEMUという正規のオープンソース仮想化ツールを悪用し、感染端末の上に隠し仮想マシン（VM）を展開することでエンドポイントセキュリティを完全に回避している実態が明らかになった。

QEMUを「隠れ蓑」にする攻撃の仕組み

QEMUはLinuxやWindowsの開発者に広く使われているCPUエミュレータ・システム仮想化ツールだ。その特性上、ホスト側のセキュリティソリューションはVM内部をスキャンできない。これを逆手に取ったのが今回の手口である。

攻撃者は感染端末に侵入後、TPMProfiler という名前のスケジュールタスクを作成し、SYSTEMユーザー権限でQEMU VMをひっそりと起動する。仮想ディスクはデータベースファイルやDLLファイルに偽装されており、一見すると正規ファイルと区別がつかない。

VM内部ではAlpine Linux 3.22.0が動作しており、以下のような攻撃ツール一式が搭載されている。

  • AdaptixC2 — コマンド＆コントロール（C2）フレームワーク
  • Chisel — リバースSSHトンネリングツール
  • BusyBox — 軽量Unixコマンドセット
  • Rclone — クラウドストレージへのデータ持ち出しツール

リバースSSHトンネルを通じてVM内から外部C2サーバーへの通信が確立されるため、ホスト側のネットワーク監視をも回避できる。QEMUによるVM悪用の手口は3AMランサムウェアやLoudMinerなど過去の事例にも見られるが、Payouts Kingはそれをより洗練させた形で組み込んでいる。

多彩な初期侵入経路——VPNからTeamsまで

Sophosが追跡するSTAC4713キャンペーン（2025年11月以降観測）では、初期アクセスにさらされた状態のSonicWall VPN、およびSolarWinds Web Help Desk脆弱性（CVE-2025-26399）が悪用されている。

注目すべきは、より新しい攻撃手法としてMicrosoft Teamsを使ったソーシャルエンジニアリングが確認されていることだ。攻撃者はITスタッフを装って従業員に接触し、QuickAssist（Windowsに標準搭載のリモートサポートツール）をダウンロード・実行させる。これはかつてBlackBastaグループが多用した手口と一致しており、ZscalerのレポートによればPayouts KingはBlackBastaの元アフィリエイトメンバーによって運営されている可能性が高い。

侵入後はvssuirun.exeでVSSシャドウコピーを作成し、NTDS.dit・SAM・SYSTEMハイブといったドメイン認証情報の宝庫を抜き取る。暗号化にはAES-256（CTR）＋RSA-4096を採用し、大容量ファイルには断続暗号化（intermittent encryption）を使うことで処理速度を確保しながら検出を困難にしている。

実務への影響——日本のIT管理者が今すぐ見直すべきこと

1. 正規ツールの実行制御を強化する

QEMU、Rclone、Chiselはいずれも正規の業務ツールとして使われることがある。これらを一律に禁止するのではなく、「誰が・どのマシンで・いつ」実行するかを管理する仕組みが必要だ。Windows Defender Application Control（WDAC）やAppLockerによるアプリケーション許可リスト管理を改めて見直してほしい。

2. Teams経由のソーシャルエンジニアリングに備える

「ITサポートからTeamsでメッセージが来たのでQuickAssistを起動した」という経路での侵害は、技術的な脆弱性ではなく運用上の隙を突いている。ヘルプデスクが正規の手順でどこからアクセス要求するかをユーザー教育として徹底しておく必要がある。

3. エンドポイントだけに頼らない多層防御の再確認

VM内部はエンドポイントセキュリティの視野外になる。ネットワーク層でのC2通信の検知（不審な外向きSSHトンネル等）、認証層でのドメイン認証情報の異常利用検知、そして認可層でのJust-In-Time特権管理を組み合わせることが、このような迂回攻撃への現実的な対抗手段になる。

4. VPNの露出面を縮小する

STAC4713もSTAC3725もVPN装置の脆弱性を初期アクセスに使っている。SonicWall、Citrix NetScalerともにパッチの適用状況と公開ポートの棚卸しを早急に行ってほしい。

筆者の見解

この手口が示しているのは、「エンドポイントにエージェントを入れれば守れる」というモデルの限界だ。QEMUのような正規ツールをVM起動に使われると、プロセス監視ベースのEDRはその中身を見ることができない。攻撃者は常に「セキュリティツールが見ていない場所」を探しており、今回はそれが仮想化レイヤーだった。

ゼロトラストアーキテクチャの本質は「ネットワーク内にいるから信頼する」を廃止することにある。今回の攻撃でも、VM内からリバースSSHトンネルが外向きに張られた時点でネットワーク異常として検知できた可能性がある。ホスト側のEDRが無力化されても、ネットワークトラフィック分析・Identity保護・SIEM連携の組み合わせが機能していれば早期発見の余地はあった。

Teams経由のQuickAssist悪用については、正直なところMicrosoftには引き続き改善を期待したい。Quick Assistはエンタープライズ向けのセキュリティ制御オプションが強化されてきているが、「見知らぬ相手からのセッション要求を普通のユーザーがどう判断するか」という設計上の課題はまだ残っている。ユーザーが公式に提供された手段を最も安全に使える状況を整えてこそ、禁止に頼らない現実的なセキュリティが実現する。Microsoftがその方向でさらに踏み込むことを期待している。

エンドポイント一点に賭けるのは、もはや通用しない。多層防御の見直しを今すぐ始めてほしい。

出典: この記事は Payouts King ransomware uses QEMU VMs to bypass endpoint security の内容をもとに、筆者の見解を加えて独自に執筆したものです。