セキュリティ

GhostLock、Windowsの正規動作でSMBを封鎖

暗号化を一切せずにファイルを人質に取る攻撃手法が公開された。Windowsの正規API一本で、低権限の社員アカウントが企業のファイルサーバーを丸ごと止められる。

情報の灯台

2026年5月12日 08:4000

攻撃ではない、仕様だ

セキュリティ研究者キム・ドヴァシュ（Kim Dvash）が2026年5月、GhostLockと名付けたツールと論文をGitHubおよびZenodoで公開した。Zenodoでは独立系セキュリティ研究者として登録されており、BleepingComputerは取材時の肩書としてイスラエル・エアロスペース・インダストリーズの所属に言及している。

公開されたのは脆弱性ではない。攻撃手法ですらない、というのが本件の最大の論点だ。Windowsが30年前からの標準動作を、ドキュメント通りに呼ぶだけで成立する。CreateFileWはファイルを開くときに誰もが使う基本API、dwShareModeはその引数の一つだ。

ファイルを開くときに渡すdwShareModeという引数に0を指定すると、Windowsはそのファイルに排他ハンドルを付与する。他のプロセスからのアクセスはすべてSTATUS_SHARING_VIOLATIONで弾かれる。Microsoft Office、SQL Server、バージョン管理ツール、バックアップエージェント——どれもがこの仕組みを正常な動作として日常的に使っている。

No CVE. No patch.（CVEはない。パッチもない） ——GhostLock公式サイトおよびホワイトペーパー

つまり修正しようがない。これを直すとMicrosoft自身が販売する製品群が壊れる。

50万ファイルを2分37秒で人質に

ドヴァシュが公開したPythonスクリプトの実測値が衝撃的だ。50万ファイルを抱える検証用SMB共有に対し、99.6%のロック成功率を2分37秒で達成した。32スレッドの並列スキャンが効いている。

必要な権限は「ドメインユーザーで、対象の共有に読み取り権限がある」だけ。管理者権限もエクスプロイトもいらない。フィッシングでアカウントを1個奪えば、その瞬間からこの攻撃は使える状態にある。

しかも復旧の手筋が痛い。Active Directoryでアカウントを無効化しても、すでに張られているSMBセッションは生き続ける。ファイルサーバー側でセッションを物理的に切らない限り、ロックは解けない。攻撃者が再接続してきたら、JSONキャッシュから数秒で再ロックがかかる。

既存の防御がほぼ役に立たない

ドヴァシュは論文の中で、企業が導入している7種類の防御層に対してGhostLockがどう振る舞うかを実測している。結果はほぼ全滅に近い。

書き込みが起きないからカナリアファイルは反応しない。書き込み速度の異常検知は、そもそも書き込みがゼロなので閾値に到達しない。挙動分析型のAIランサムウェア検知は、GhostLockの動きを「検索インデクサ」と分類する。

企業の防御スタック7層に対するGhostLockの検知可否

防御層	検知	すり抜ける理由
カナリアファイル	×	書き込みイベントが発生しない
書き込み速度異常検知	×	監視対象の書き込み量がゼロ
挙動分析型 AI検知	×	検索インデクサと動作が同じ
EDR	×	Word文書のオープンと区別不能
NDR・パケット監視	×	正常な SMB2通信に見える
SIEM	×	排他ハンドル数を取り込んでいない
NAS管理層	○	セッション別ハンドル数を保持

※ Kim Dvash「GhostLock: SMB Deny-Share Handles as a Zero-Privilege Availability Weapon」（Zenodo, 2026年5月）の検証結果に基づき整理。

EDRから見えるのは、Pythonインタプリタがネットワーク越しにNtCreateFileを発行している様子だけだ。ファイル同期エージェント、検索クローラー、バックアップツールのいずれかが動作している光景と区別がつかない。 ——ホワイトペーパー（Zenodo）の趣旨を要約

NDRやディープパケットインスペクションも同じだ。SMB2のCREATEとCLOSEしか流れない。ワードファイルを大量に連続で開くユーザーと、通信の見た目が一致する。

唯一の検知点は、ファイルサーバーまたはNASの管理層が持つ排他ハンドルのセッション別カウントだ。正規アプリは開いて処理して閉じる。ハンドルを数万件抱えたまま離さないアプリは、まず存在しない。

ところがこの数値、SIEMにほぼ取り込まれていない。ストレージ運用チームがキャパシティ計画のために眺めているだけで、セキュリティ運用の視界の外にあるのが現状だ。

ランサムウェアの「定義」が崩れる

ここから先は私の所感に近いが、GhostLockの本当の怖さは速度でもステルス性でもない。ランサムウェアという言葉が前提にしてきた「暗号化と身代金」というモデルが、被害者から見ると本質ではなかったことを突きつけた点にある。

従来ランサムウェアとGhostLockの構造的な違い

観点	従来ランサムウェア	GhostLock
手段	ファイルを暗号化する	CreateFileWで排他ハンドルを保持
ディスク書き込み	大量に発生	ゼロ
必要な権限	多くは特権昇格が前提	読み取り権限のみ
外部通信	C2サーバーが必要	不要
脆弱性・パッチ	悪用される CVEが存在	CVEなしパッチなし
復旧	身代金支払いかバックアップ復元	セッション切断で即時解除
被害者から見た結果	業務停止（両者とも同じ）