近年、企業・団体を中心にランサムウェア被害は高水準で推移しており、攻撃は高度化・組織化が進んでいます。現在主流となっているのは、データ暗号化に加え、事前に窃取した情報の公開をほのめかす「二重脅迫型」です。

「NightSpire（.nightspire）」は、そのような二重脅迫型ランサムウェアとして2023年以降に活動が確認されています。暗号化だけでなく、Torネットワーク上のリークサイトを利用した情報公開を行う点が特徴です。

本記事では、NightSpireの概要、技術的特徴、感染経路、そして感染時の対応方法までを体系的に解説します。

※本記事は、公開情報（JPCERT/CC、海外セキュリティベンダーのレポート等）をもとに構成しています。

「NightSpire（.nightspire）」ランサムウェアとは？

NightSpire（ナイトスパイア）は、2023年3月頃から確認されたランサムウェア亜種です。海外ベンダーの分析では、既存ランサムウェアファミリー（Snatch系）との挙動上の類似性が指摘されています。

主な特徴は以下の通りです。

2024年以降の報告では、企業環境を中心に侵入後の横展開（ラテラルムーブメント）や認証情報窃取の痕跡が確認されており、単純なばら撒き型ではなく標的型に近い挙動も見られます。

NightSpireによって暗号化されたファイルの拡張子

NightSpireに感染すると、PC内のファイルは暗号化され、以下の拡張子が付与される事例が確認されています。

拡張子は亜種により差異がある可能性があり、これらの拡張子が確認された場合、感染している可能性が極めて高いため、以下の対応を実施することが推奨されます。

出典：PCRisk

「NightSpire（.nightspire）」ランサムウェアの特徴

NightSpireは、ファイルの暗号化を行ったうえで金銭（仮想通貨）の支払いを要求するランサムウェアです。Snatch系とされる挙動に加え、いくつかの特有の特徴が確認されています。以下はNightSpireにおける主な特徴です。

1.シャドウコピーの削除

NightSpireは、Windowsのボリュームシャドウコピー（VSS）を削除し、復旧を妨害する挙動が確認されています。

ただし、検体によっては削除が完全でないケースもあり、挙動はバージョンにより異なる可能性があります。

2.ランサムノートと身代金要求

暗号化後、テキスト形式のランサムノート（脅迫文）が生成されます。

近年の傾向として、支払い期限を短く設定し心理的圧力を高める手口が一般的です。

3.Torネットワークを使用した二重脅迫

NightSpireは暗号化だけでなく、窃取した情報をTorネットワーク上のリークサイトに掲載します。

公開される情報には、以下の情報が含まれる場合があります。

支払い拒否時の圧力として利用される典型的な二重脅迫モデルです。

出典：PCRisk

NightSpireランサムウェアの感染経路

NightSpireは、使用者の不注意やシステムの脆弱性を突いて侵入し、ファイル暗号化や情報窃取を行います。主な感染経路は以下の通りです。

感染の流れは、「初期侵入→認証情報窃取→権限昇格→横展開→情報窃取→暗号化」という典型的なランサムウェアの攻撃フローに沿って進行します。単純なばら撒き型ではなく、企業内部を探索してから暗号化を実行するケースも報告されています。

1.初期侵入：利用者の不注意を突いた感染

NightSpireの侵入経路として、依然として多いのが利用者の操作を起点とする感染です。攻撃者は心理的な油断や業務上の確認不足を突き、悪意あるファイルを実行させます。

依然としてメール経由の侵入は主要経路です。

出典：PCRisk

2.外部経路からの侵入：脆弱性・認証情報悪用

企業環境では、利用者操作を伴わない侵入経路も重要です。特に公開サービスや脆弱なネットワーク機器を標的とした攻撃が確認されています。

近年は「初期アクセスブローカー」経由で侵入口が売買されるケースも増加しています。

3.物理メディア・違法コンテンツ経由

企業被害の主流ではありませんが、個人端末や小規模環境では依然として確認される感染経路です。正規ソフトを装った不正ファイルの実行が主な原因となります。

企業被害の主流ではありませんが、依然としてリスクは存在します。

出典：PCRisk

NightSpireランサムウェア感染時、感染経路調査を行うメリット

ランサムウェアによる被害の調査を行う場合、専門業者に相談する