2026年7月下旬、ランサムウェア界隈で立て続けに2つの報告が出ました。どちらも「Chaos」という同じグループについてですが、報告した会社も、扱っている場面も違います。ここを混同すると話がわからなくなるので、先に整理します。

表1：今回の一連の報告の整理（2026年7月）

つまり、Talos は「入られた後に何をされるか」、Sophos は「どうやって入られるか」を、それぞれ別の角度から報告しました。この記事では両方を扱いますが、第3〜5章が Talos の話、第6章が Sophos の話と考えてください。

📌 よくある誤解：2021年の「Chaos」とは別物です

「Chaosランサムウェア」で検索すると、2021年ごろの記事がたくさん出てきます。トレンドマイクロが「概念実証（PoC）」として報告した、誰でも作れるランサムウェア作成ツールの話です。これは今回の Chaos とは無関係です。

マキナレコードの解説は、この点をはっきり書いています。「ここでのChaosランサムウェアは、2025年前半に登場したグループを指し、2021年から存在していた同名のランサムウェアファミリーとは無関係」と。

表2：紛らわしい同名マルウェアの区別

マルウェアの名前は発見した会社が自由に付けるため、こうした重複がしばしば起きます。調べものをするときは「いつの記事か」を必ず確認する癖をつけてください。

第1章 おわり — 次は第2章

Chaos は RaaS（Ransomware as a Service）と呼ばれる形態のグループです。直訳すれば「サービスとしてのランサムウェア」。ランサムウェア本体を作る人と、実際に企業に侵入する人が分業しているビジネスモデルを指します。

表3：Chaosランサムウェアグループの概要

この表で注目してほしいのは最後の行です。大企業を狙っているのに、被害を公表するリークサイトへの掲載が少ない。これが意味するところは、おそらく「公表される前に、水面下で身代金が支払われている」ということです。

もうひとつ、表の3行目に「報じられている」という控えめな書き方をした理由もお伝えしておきます。Sophos 自身が断定を避けているからです。同社の分析では、攻撃者がロシア語キーボードで dir と打とうとして вшк と打ち間違えた痕跡までは見つけたものの、「確定的な帰属には証拠が不十分」と結論しています。この慎重さは、そのまま引き継ぐべきだと考えました。

第2章 おわり — 次は第3章

ここからが本題です。まず、普通のマルウェアが何をするかを確認しましょう。

遠隔操作型のマルウェア（RAT＝Remote Access Trojan）は、感染したパソコンから攻撃者のサーバー（C2サーバー）に自分で接続します。そして「次は何をすればいい？」と指示を仰ぎ、受け取った命令を実行して結果を送り返す。これが基本の動きです。

この動きには、防御側にとってとてもありがたい弱点があります。「見慣れないプログラムが、見慣れないサーバーに通信している」という、極めて目立つ足跡が残るのです。ファイアウォールもEDRも、まずここを見ます。

msaRAT は、この足跡を消しました。方法は驚くほど単純です。自分では通信せず、ブラウザに通信させる。

図の下段が msaRAT の動きです。順を追うと、こうなります。

表4：msaRAT が通信路を作るまでの6手順（出典：Cisco Talos）

ちなみに msaRAT 本体は Rust言語で書かれ、名前の由来はプログラムの中に残っていた msaOpen / msaClose / msaError / msaMessage という部品名です。マルウェアの名前がこうした「作者が残した痕跡」から付けられるのは、よくあることです。

第3章 おわり — 次は第4章

第3章で見たのは「通信路を作る部分」だけです。ここでは、そこに至るまでを含めた全体を時系列で並べます。

表5：msaRAT を用いた攻撃の流れ（出典：Cisco Talos）

この表で最も伝えたいのは右端の列です。段階が進むほど、止められる場所が減っていきます。そして最終段階の「6」に到達してしまうと、ネットワーク監視での発見は非常に困難になります。

なお段階3には、防御側にとってありがたい特徴があります。ダウンロードに使われた通信が ポート443なのに暗号化されていないHTTP だった、と Talos は記録しています。443番は本来HTTPS（暗号化通信）用のポートです。「443番なのに中身が丸見え」という組み合わせは、通常のWeb閲覧ではまず起きません。ログを見られる立場の方は、ここが手がかりになります。

第4章 おわり — 次は第5章

この章が、この記事でいちばん読んでほしいところです。従来のRATと msaRAT を、防御側の視点で並べます。

表6：従来のRATと msaRAT の比較（防御側の視点）

上から6行は、すべて「回避される」で埋まっています。ネットワークを見張るという発想が、ほぼ丸ごと通用しないのです。

しかし、下の2行を見てください。ここに希望があります。

Talos も BleepingComputer も、防御側への助言としてまさにこの点を挙げています。「インストーラやサービスによって起動されたブラウザプロセスを監視せよ」「EDRがブラウザのコマンドライン引数まで検査しているか確認せよ」と。

もうひとつ、示唆に富む助言があります。「ブラウザ通信をTLS検査の対象外にしている設定を見直せ」。多くの組織は、通信量が多く問題も起きやすいブラウザ通信を、あえて検査対象から外しています。その運用上の妥協が、そのまま攻撃者の通り道になっているという指摘です。

第5章 おわり — 次は第6章

2026年2月から6月にかけて、北米の組織を狙った攻撃が観測されました。攻撃の95%がカナダ（50%）とアメリカ（45%）に集中し、そのうち少なくとも3件で Chaos ランサムウェアが展開されています。

入口は、驚くほど古典的でした。Microsoft Teams にかかってくる、社内IT部門を名乗る電話です。

表7：Teams ビッシングから Chaos 展開まで（出典：Sophos X-Ops／STAC4749）

侵入から17時間。これは「週明けに気づく」では間に合わない速さです。金曜の午後に電話を受けたら、月曜の朝には全社の業務が止まっている計算になります。

第6章 おわり — 次は第7章

「ネットワーク監視が効かない」と聞くと絶望的に思えますが、見る場所を変えれば手がかりは残っています。Talos と BleepingComputer が挙げた検知のポイントを整理しました。

表8：検知・ハンティングの着眼点（出典：Cisco Talos／BleepingComputer）

Cisco Talos は検出用のシグネチャも公開しています。ClamAV では Win.Downloader.ChaosRaas-10060321-0、Snort では SID 1:66839 / 1:66840 / 1:66841（Snort 3 は 1:301587 / 1:66839）が割り当てられました。該当製品を運用している方は、シグネチャが最新かご確認ください。

次に、立場別にやることを分けます。「自分はどれか」で読んでください。

表9：立場別・今日やること

第7章 おわり — この先はまとめです

表10：この記事の結論と、次の行動

最後に、この記事でいちばん覚えて帰ってほしいことをお伝えします。

攻撃者は、新しい穴を探すのをやめつつあります。代わりに、すでにそこにある正規の道具を、想定外の使い方で使う方向へ進んでいます。msaRAT が使ったのは、Chrome のバグではなく、Chrome の機能でした。Teams ビッシングが使ったのは、脆弱性ではなく人の親切心でした。

この流れが続く限り、「最新の状態にしていれば安全」という考え方は、少しずつ効かなくなっていきます。これからの防御に必要なのは、「何が入っているか」ではなく「いつもと違う使われ方をしていないか」を見る目です。それは製品を買えば手に入るものではなく、知っているかどうかで決まります。この記事が、その一歩になれば幸いです。

第8章 おわり — お読みいただきありがとうございました