[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/chromeloader-malware/) * [Japanese](https://unit42.paloaltonetworks.com/ja/chromeloader-malware/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/ "マルウェア") [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) # ChromeLoader: 新たな継続的マルウェアキャンペーン ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 7 分で読めます Related Products [![Advanced WildFire icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced WildFire](https://unit42.paloaltonetworks.com/ja/product-category/advanced-wildfire-ja/ "Advanced WildFire")[![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Nadav Barak](https://unit42.paloaltonetworks.com/ja/author/nadav-barak/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2022年7月18日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [Adware](https://unit42.paloaltonetworks.com/ja/tag/adware-ja/) * [Browser hijacker](https://unit42.paloaltonetworks.com/ja/tag/browser-hijacker-ja/) * [Choziosi Loader](https://unit42.paloaltonetworks.com/ja/tag/choziosi-loader-ja/) * [ChromeBack](https://unit42.paloaltonetworks.com/ja/tag/chromeback-ja/) * [ChromeLoader](https://unit42.paloaltonetworks.com/ja/tag/chromeloader-ja/) * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/) * [Malvertising](https://unit42.paloaltonetworks.com/ja/tag/malvertising-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/chromeloader-malware/?pdf=download&lg=ja&_wpnonce=1628116e08 "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/chromeloader-malware/?pdf=print&lg=ja&_wpnonce=1628116e08 "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=ChromeLoader:%20新たな継続的マルウェアキャンペーン&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fchromeloader-malware%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fchromeloader-malware%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fchromeloader-malware%2F&title=ChromeLoader:%20新たな継続的マルウェアキャンペーン "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fchromeloader-malware%2F&text=ChromeLoader:%20新たな継続的マルウェアキャンペーン "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fchromeloader-malware%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=ChromeLoader:%20新たな継続的マルウェアキャンペーン%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fchromeloader-malware%2F "Share in Mastodon") ## 概要 2022年1月、[ChromeLoader](https://github.com/xephora/Threat-Remediation-Scripts/tree/main/Threat-Track/CS_INSTALLER)(Choziosi Loader、ChromeBackとも呼ばれる)と名付けられた新しいブラウザハイジャッカー/アドウェアキャンペーンが発見されました。単純なマルバタイジング(悪意のある広告)しか使っていませんが、このマルウェアは広く拡散して数千におよぶユーザー・組織のデータを流出させた可能性があります。 Windowsの実行ファイル(.exe)やダイナミック リンク ライブラリ(.dll)といった従来のマルウェアの代わりに、このマルウェアの作者はブラウザ拡張機能を最終ペイロードとして使っていました。このブラウザ拡張機能は、アドウェア/インフォスティーラとして機能し、ユーザーの検索エンジン クエリをすべて漏えいさせます。同キャンペーンの進行中、たえず大幅な機能変更や追加が見つかっていることから、これが続けば今後もさらなる変化があるものと予想されます。 本稿は同マルウェアの技術的詳細を検証し、異なるバージョン間の進化に焦点を当て、その感染プロセスの変化を解説します。このほかこれまでに公開済みの報告がない新たな亜種についても検証します。 [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)と[WildFire](https://www.paloaltonetworks.jp/products/secure-the-network/wildfire)をご利用中のパロアルトネットワークスのお客様は、この新たに発見されたマルウェアに対する保護を特段の設定変更なしに自動で受けられます。 |----------------|-------------------------------------------| | 本稿で解説する主なマルウェア | ChromeLoader, Choziosi Loader, ChromeBack | ## 目次 [ChromeLoaderマルウェアとは](#post-124090-_p7786d14ec19) [感染ベクトル(亜種1)](#post-124090-_9rwnmgamrvpm) [展開](#post-124090-_sg9isq3ms508) [ドロッパーの統計](#post-124090-_pj2i4qfxz64a) [ペイロード](#post-124090-_nds9vo8tugn) [インフォスティーラとアドウェア](#post-124090-_glca5t2mv1bl) [バージョン管理](#post-124090-_rk3otl9durd) [macOS版の亜種](#post-124090-_mpyacggxtibk) [2つめのWindows版亜種(亜種2)](#post-124090-_er5ve1wvanry) [本当の最初のWindows亜種(亜種0)](#post-124090-_p26kzjrz0h87) [結論](#post-124090-_7jhnitnqzdfq) [製品による保護](#post-124090-_4frcu7uui9ym) [IoC](#post-124090-_udl7sd4kmyeo) [追加リソース](#post-124090-_f4rd46cywrs2) ## ChromeLoaderマルウェアとは ChromeLoaderは多段型マルウェアの一種です。各亜種は感染チェーン全体でそれぞれに異なる段階を使いはしているものの、どの亜種でも悪意のあるブラウザ拡張機能が利用されているなど、その感染チェーンは異なる亜種間でよく似ていることが多いようです。 私たちが追跡したさまざまなペイロードの拡張機能には、攻撃者がハードコードしたバージョン番号が追加されていました。このラベリングのおかげで、私たちの調査プロセスは楽になりました。異なるバージョンを同一キャンペーンに関連付けられ、正しい時系列順に並べることもできました。 さまざまな拡張機能のバージョンはこのマルウェアの異なる亜種と関連しています。私たちは、関連する拡張機能のバージョンのほかに、感染チェーンで使われたテクニックや標的となるオペレーティングシステムによっても亜種を区別しています。 本稿では、異なる亜種を検出順に解説し、それらを以下の名前で言及します。 **亜種0:** 最初に実地利用されているのが見つかった亜種1より前にアクティブだった亜種のため、この名が付きました。これはAutoHotKey(AHK)を組み込んだ実行ファイルとChrome拡張機能のバージョン1.0を使っていました。最初の攻撃は12月に発生しました。本稿ではこの亜種を4番目に説明します(「[本当の最初のWindows亜種](#post-124090-_p26kzjrz0h87)」セクションを参照)。 **亜種1:** 最初に説明する亜種です (「[感染ベクトル](#post-124090-_9rwnmgamrvpm)」セクションを参照)。ペイロードにはChrome拡張機能のバージョン2.0～4.4、ドロッパーには難読化されたPowerShellを起動する.NETの実行ファイルを使っています。この亜種は主に1月にアクティブでした。 **亜種2:** この亜種は3番目に説明します(「[2つめのWindows亜種](#post-124090-_er5ve1wvanry)」セクションを参照)。これはChrome拡張機能バージョン6.0を使い、難読化された実行ファイルを最初のドロッパーとして使っています。この亜種は3月からアクティブになっています。 **macOS版亜種:** 2番めに説明します(「[macOS版の亜種](#post-124090-_mpyacggxtibk)」セクションを参照)。この亜種はmacOSコンピュータにフォーカスしています(他の亜種はWindowsユーザーのみが対象です)。これはバージョン6.0の拡張機能を使っています。3月からアクティブです。 ![ChromeLoaderのさまざまな亜種がたどる感染チェーン: 悪意のある広告やツイート、ダウンロードしたファイル、ドロッパー、Chrome拡張機能の順に進む。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-20-ja.png) 図1. さまざまな亜種の感染チェーン ## 感染ベクトル(亜種1) ChromeLoader マルウェアの1つめの亜種(亜種1)は2022年1月に初めて確認されました。 広告サイトやソーシャルメディア上のマルバタイジング(不正広告)キャンペーンによりユーザーをトレントやクラックされたビデオゲームのダウンロードへと誘導するところからイベントチェーンが始まります。ユーザーがこれらのWebページ上のQRコードをスキャンすると、ISOイメージ(CD/DVDで一般的に使用される光ディスクのイメージファイル)をホストしている侵害済みのWebサイトにリダイレクトされます。ユーザーは、ISOイメージをダウンロードし、ダブルクリックしてマウントし、マウントされたISOイメージに含まれるコンテンツを実行します。 ![この画像は「The five nights at Freddy」をダウンロードするQRコードと思われるもの。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-21.png) 図2. Twitterに投稿されたQRコードの例 ![このスクリーンショットは「Five Nights at Freddy」と思われるもの](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-22.png) 図3. QRコードから不正なISOイメージへのダウンロードリンクの例 ## 展開 ここでダウンロードされるISOイメージの内容は以下の通りです。 * **Microsoft.Win32.TaskScheduler.dll**: Microsoftによる署名がついた正規の.NET DLL。他の.NETプログラムはこれを使ってタスク スケジューラ機能と組み合わせる。 * \*\*言語のフォルダ:\*\*先のDLLが使うリソースファイルを含む。 * **CS\_installer.exeとその設定ファイル:** マルウェアの作者が書いた悪意のある実行ファイル(バージョンによって名前が変わる可能性があることに注意)。バージョンによってはデバッグデータを含むPDBファイルがこのフォルダ内に残っていることがある(おそらくこれはミスによるもの)。 * **\_meta.txt:** このマルウェアの後のバージョンに見られるテキストファイル。[スクランブルされた](#scrambled-ascii)ASCII文字が含まれている。 このフォルダ内のファイルはほとんどが隠しファイルで、一般のユーザーがWindowsのファイルエクスプローラーでこのディレクトリを開いても気づかないようにしてあります。表示されているファイルはCS\_installer.exeのみです。被害者はこのファイルをダブルクリックしてソフトウェアのダウンロードとインストールを完了するよう誘導されます。 ![Selecting](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-23.png) 図4. マウントされる悪意のあるISOイメージの例(隠しファイルの表示を有効にした場合)。 被害者はCS\_installer.exeをダブルクリックして起動します。たいていは実行ファイルが図5に示したようなメッセージを表示し、プログラムの実行に失敗したことを知らせます。ただしこれは被害者が誤解するように仕向けているものです。 ![このスクリーンショットは、誤解を招くメッセージボックスが表示されています。It says,](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-24.png) 図5. ドロッパーが表示するメッセージボックス。ユーザーを誤解させる意図がある 実行ファイルは.NETで書かれた難読化されていないプログラムです。.NETリフレクターでこれを逆コンパイルすればソースコードを読めます。実行ファイルをリフレクターにロードすると、図6に示すコードが表示されます。このコードは、悪意のあるbase64エンコードされたPowerShellコマンドを10分ごとに実行するように設定されたスケジュールタスクを作成するものです。このタスク名は「Chrome」という文字列とnamesDict配列のランダムなサフィックスを連結して作成されます。 ![この図はCS\_installer.exeをデコンパイルしたソースコードです。メッセージボックスを開き、悪意のあるタスクが既に存在するかどうかを確認し、Chrome\*という名前の新しい悪意のあるタスクを作成する箇所に注釈を表示しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/Screen-Shot-2022-07-11-at-6.38.33-PM-ja.png) 図6. CS\_installer.exeのソースコードをデコンパイルした例 このスクリプトの内容は\_meta.txtファイルから来ています。図7の定義済み関数がそのスクランブルを解除し、単純な文字列の置換を行います。 ![ここで紹介する定義済み関数が、\_meta.txtファイル内のスクリプト内容を単純な文字列の置換を行い、スクランブルを解除します。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-29.png) 図7 スクランブルを解除する関数の例 このマルウェアの以前のバージョンでは、先に言及した機能の一部は存在していませんでした。たとえば、図6と図7で示したバージョンのほんの1週間前に発見された図8のバージョンでは、作者はスクランブル解除の関数を使用せず、シンプルに.NET実行ファイル内にエンコードしたPowerShellスクリプトをハードコードしているだけでしたし、ランダムなサフィックスを生成したりせず、定義済みのChromeLoaderという名前をタスクに使っていました。 ![この図に示す古いバージョンの悪意あるChromeLoaderブラウザ拡張機能ではスクランブル解除用の関数を使用しておらず、シンプルに.NET実行ファイル内にエンコードしたPowerShellスクリプトをハードコードしている。また、ランダムなサフィックスを生成せず、定義済みのChromeLoaderという名前をタスクに使っている](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-30.png) 図8 亜種1の古いバージョンのソースコードの例 攻撃者は、エンコードしたPowerShellスクリプトを使い、悪意のあるブラウザ拡張機能をユーザーのChromeブラウザにダウンロードして読み込みます。 ![ChromeLoader内の変数定義](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/Screen-Shot-2022-07-11-at-6.46.44-PM.png) 図9 PowerShellドロッパーの変数定義の例 ![この図はChromeLoaderのペイロードダウンロード試行部分を示したもの。コード内には、接続成功時にスケジュールタスクを削除している場所と、ペイロードをダウンロード・抽出する箇所を注釈で示してある](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/Screen-Shot-2022-07-11-at-6.42.11-PM-ja.png) 図10 ペイロードのダウンロード試行例 ![このスクリーンショットは、Get-ProcessとStart-Processが、ChromeLoaderのペイロードをユーザーにロードしようとする様子を示している](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/Screen-Shot-2022-07-11-at-6.48.29-PM.png) 図11 ユーザーのブラウザにペイロードを読み込もうとしているところ このマルウェアの初期バージョンから後期バージョンへの進化は、エンコードされているPowerShellスクリプトにも見て取れます。図12は、この亜種の初期バージョンが実行したPowerShellスクリプトを示したものです。かなり短く、複雑なコードは含まれていません。 ![この亜種の初期バージョンが実行したPowerShellスクリプトを示したもの。かなり短く、複雑なコードは含まれていない](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-36.png) 図12. PowerShellドロッパーの旧バージョンの例 ## ドロッパーの統計 弊社Cortex XDRをご利用中のお客様に対するChromeLoaderによる攻撃は、同キャンペーン初日から振る舞い脅威防御(Behavioral Threat Protection)モジュールでブロックされていましたが、防御されなかった場合の攻撃の次の段階がどのようなものか気になりました。そこで、攻撃者のフットプリントとその意図を追って調査を続けることにしました。 スケジュールされたタスクは、マルウェアを使って悪意のあるChrome拡張機能をダウンロードし、被害者のブラウザにインストールします。このChrome拡張機能のホストされているURLは難読化済みPowerShellコマンド内にハードコードされていて、バージョン間で違いがあります。 ![インストールサーバーの一覧(左)と初回の接続試行日(右)](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-37-ja.png) インストールサーバーの一覧(左)と初回の接続試行日(右) ![ilsandothe 1.5%, yeconnected 3.1%, idwhitdoe 4.6%, rsonalrecom 3.1%, ithconsukultin 7.7%, etterismype 10.8%, yflexibilituky 38.5%, learnataloukt 12.3%, brokenna 15.4%](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/points-scored.png) 図14. インストールサーバーごとの接続試行数の割合 ![米国56、欧州8、カナダ1 - 地域ごとのブロックされた感染数内訳](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/points-scored-1.png) 図15 地域ごとのブロックされた感染数内訳 ![亜種1におけるインストールサーバーごとの1日あたりの感染試行回数](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/points-scored-2.png) 図16 亜種1が最もアクティブだった期間における、インストールサーバーごとの1日あたりの感染試行回数 ## ペイロード マルウェアのペイロードはChrome拡張機能です。ダウンロード可能な拡張機能はすべて同じフォーマットをもっています。 ![ダウンロードされた拡張機能ファイル: background.js、conf.js、manifest.json、settings.png](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-38.png) 図17 ダウンロードされた拡張機能ファイルの例 manifestファイル内の定義を複数使い、よく知られた正規の画像を使うことで、この拡張機能は正当で無害なものであると主張します。ただしこの拡張機能は特権の昇格を求めてきます。求められる特権は、ブラウザのデータへのアクセス、Webリクエストの操作、可能な限りのURLアドレスへのアクセスなど、正規のブラウザ拡張機能であれば不要なものです。![](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-39.png) ![この図では、ダウンロードされた拡張機能が正規のものであるかのように装っている箇所に注釈をつけてある](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/Screen-Shot-2022-07-11-at-7.49.39-PM-ja.png) 図18. ダウンロードされた拡張機能のmanifestファイルの例 JavaScriptファイルのconf.jsではローカル変数の宣言をしています。これらは、後でメインスクリプトbackground.jsが使用します。C2ドメインは\_ExtDomNoSchemaに格納されています。 ![conf.jsはローカル変数を宣言しており、★係り受けチェック★後でメインスクリプトのbackground.jsを使用することになる。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-42.png) 図19 ダウンロードされた拡張機能のconf.jsファイルの例 background.jsは、1行のJavaScriptファイルで、ここに拡張機能のすべての機能が含まれています。高度に難読化されていますが、いくつか手順を踏めば読みやすいJavaScriptコードに変換できます。ただし、既存のJavaScript難読化解除ツールでコードの難読化を解除しようとしても[後述](#deobfuscation-tools)する理由で失敗します。 ![ダウンロードした拡張機能の例](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-43.png) 図20 ダウンロードした拡張機能の難読化されたbackground.jsファイルの例 このスクリプトは、目的と悪意のあるコードの隠蔽のため、さまざまな難読化技術を使用しています。最初に実行される関数の1つは、標準的なJavaScriptの関数やオブジェクトを、スクランブルされた名前にリネームした新しいオブジェクトにコピーする役割を担っています。これらのオブジェクトが、このスクリプト最後の命令群に含まれる最終ペイロードをデコードするさいに使用されることになります。 ![このコードはChromeLoaderの一部であるリネームの仕組みを表しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-44.png) 図21. リネームの仕組みの例。たとえばここではStringオブジェクトがb4VVにリネームされて格納されている この作者はスクリプト実行中にswitch文を好んでプログラムに使うことでマルウェアアナリストがプログラムを読解しづらいようにしています。 ![この作者はスクリプト実行中にswitch文を好んでプログラムに使うことでマルウェアアナリストがプログラムを読解しづらいようにしています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-45.png) 図22. switch文を使ったプログラミング例 このプログラムは、図22の上に示した変数E3を使ってループしていて、E3の値が変わると動作も変わります。switch文内の対応するcase節のフローが終了すると、プログラムはE3の値を変更して次の命令に移ります。またこのプログラムは先に説明した名前のスクランブルされたオブジェクト名を使います。図22は該当コード行の下にコメントでリネーム前のオブジェクト名を追加したものです。 スクランブルされた名前とswitch文を好むプログラミング作法がわかれば、このコードセクションの目的を分析しやすくなります。このコードは、ハードコードされた長さが4の整数型配列を使って、それを対応するASCII文字に変換し、ランダムな順序に並べ替えます。後でこの配列が結合されて1つの文字列になり、プログラムはその名前で定義された関数を検索します。対象の関数が見つからなければ、実行フローは最初からやり直しになります。 この段階では、このスクリプトのもう1つの難読化テクニックが明らかになります。標準的な難読化解除ツールが使う重要な機能の1つに、参照されていない関数やオブジェクトを削除する機能があります。多くの場合、この機能を使えばコードを短くできます。実行されることのない複雑な部分は取り除けるし、マルウェアアナリストを混乱させるためだけに存在する関数を削除できるからです。しかしこのスクリプトの場合、難読化解除ツールを使うと必要な関数まで削除されてしまってスクリプトが無限ループに陥ります。 関数h0QQはスクリプト実行中には一度も直接参照されていません。しかし、先に述べたランダムな並べ替えアルゴリズムを用いたコードの部分で、h0QQという文字列は0hQQという文字列の綴り変えになっているので、いずれは実行が試みられることになります。h0QQが存在しなければ、このコードはただ文字を並べ替えて関数名を繰り返し探そうとします。 ![参照されていないが重要な関数(h0QQ)の例](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-46.png) 図23. 参照されていないが重要な関数の例 この関数は、長いスクランブルされた文字列をハードコードされたキーでXORし、文字列型配列に分割して返します。 ![参照されないが重要な関数はハードコードされているキーでXORした長いスクランブル文字列を返し、それを文字列型配列に分割する。この図はマルウェアが使用する文字列を含む、XORを復号した配列の例。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-47.png) 図24. マルウェアが使用する文字列を含む、XORを復号した配列の例 マルウェアは最終的にこれらの文字列を使って悪意のあるコードをデコードします。そのさいは、コード中に文字列名をハードコードせず、先の文字列型配列で該当するインデックス位置の文字列を参照します。 ![マルウェアが最終ペイロードをデコードするためにXORを復号した配列を使用した例。またこのマルウェアは配列のインデックスに整数ではなく、算術演算と組み合わせた文字列を使用していることが見てとれます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-48.png) 図25 マルウェアが最終ペイロードをデコードするためにXORを復号した配列を使用した例。またこのマルウェアは配列のインデックスに整数ではなく、算術演算と組み合わせた文字列を使用していることが見てとれる デバッガを使って初期化コードを実行後、上記リストのメンバーをエクスポートしました。その後、Pythonスクリプトで、JavaScriptコードの残りの部分の難読化を解除しました。 ![PythonスクリプトでJavaScriptコードの残りの部分の難読化を解除したところ](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-49.png) 図26. background.jsの難読化解除に使用したスクリプト ## インフォスティーラとアドウェア 悪意のある拡張機能との通信には、以前拡張機能をインストールした際に使用したインストールサーバーとは別のコマンド＆コントロールサーバ(C2)が使われます。このマルウェアはさまざまな拡張機能を使用してユーザーのブラウザに強固な足場を築きます。 ![拡張機能をインストールすると、図のように2つのChromeアラームが追加されます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/Screen-Shot-2022-07-11-at-8.03.02-PM.png) 図27. マルウェアがインストールするアラームの例 拡張機能をインストールすると2つのChromeアラームが追加されます(アラームを使うと開発者が定期的にトリガーされるコールバック/スケジュールタスクをインストールできるようになる)。これらのアラームがトリガーされると対応する2つの関数が呼び出されます。 * adアラームがトリガーされるとこの拡張機能はC2に広告を要求し、新しいタブに表示します。 * hbコールバックがトリガーされるとC2と通信する関数をトリガーして現在の実行状態を知らせます。 ![このコードには、アラームがトリガーされたさいの結果を表示しています。adアラームがトリガーされると拡張機能はC2に広告を要求します。hbコールバックがトリガーされると拡張機能はC2に現在の実行状態を知らせます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-51.png) 図28 マルウェアのアラームがトリガーされたさいの応答例 また図29に示したコードにも興味深い活動が見られます。この拡張機能はリスナーをインストールし、このリスナーを使って送出されるすべてのリクエストを傍受します。そしてこの傍受したリクエストがGoogle、Yahoo、Bingのいずれかの検索エンジンに送信されたかどうかをチェックします。これらいずれかの検索エンジンに送信されていた場合、この拡張機能は検索内容をC2に送信し、被害者の考えていることや関心事を漏出させます。 ![この拡張機能はリスナーをインストールし、このリスナーを使って送出されるすべてのリクエストを傍受します。そしてこの傍受したリクエストがGoogle、Yahoo、Bingのいずれかの検索エンジンに送信されたかどうかをチェックします。これらいずれかの検索エンジンに送信されていた場合、この拡張機能は検索内容をC2に送信し、被害者の考えていることや関心事を漏出させます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-52.png) 図29. ブラウザハイジャック機能の例 また、拡張機能が正しく実行されていることを確認するためにさまざまなメカニズムが使われています。その例を以下にあげます。 * C2への各送信パケットにddというハードコードされたヘッダを付けている。これを使うことでC2が異なるディストリビューションチャネルやアフィリエイトを識別できる。 ![この図に示すとおり、C2への各送信パケットには、ddというハードコードされたヘッダが使用されている。これを使うことでC2が異なるディストリビューションチャネルやアフィリエイトを識別できる。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-53.png) 図30. 追加されたddヘッダの例 * 検索候補をキャンセルする。その理由はおそらく、ユーザーが意図した検索クエリであることを確認するため。 * 既存のChrome拡張機能をブラウザからアンインストールする。なお、選択した拡張機能は削除の対象から外すために、拡張機能名をC2に送信してallowlistというjsonを受け取っている。 * この悪意のある拡張機能をアンインストールできないよう、chrome://extensionsへのアクセスをすべて無効にし、代わりにchrome://settingsを開く。 ## バージョン管理 悪意のある拡張機能のほとんどに、background.jsに格納されているメインのJavascriptコードと一緒に、conf.jsという名前のファイルが含まれていました。このconf.js(conf.jsがない場合はmanifest.jsonまたはbackground.js)ファイルには、C2 のホスト名(たとえばkrestinaful\[.\]comやtobepartou\[.\]com)、検証ヘッダのddの値、拡張機能名、バージョンといったその拡張機能に関する構成内容が格納されています。バージョン情報は正確なようです。私たちが確認したバージョン(2.0、3.0、4.0、4.3、4.4)には、若干違いが見られます。亜種とバージョンの関係の考えかたについては「[ChromeLoaderマルウェアとは](#post-124090-_p7786d14ec19)」を確認してください。 ### バージョン2.0(初認: 2022-01-04): 存在しない機能: * 被害者に向けた広告の表示 * Yahoo!、Bingの各検索エンジンからのクエリ収集 (Google については収集する) * 既存のブラウザの拡張機能の削除 ### バージョン3.0(2022-01-06): 追加された機能: * Yahoo!とBingからの検索エンジンクエリ収集 (Googleからの収集に追加) * SetWithExpiry()、GetWithExpiry()関数を追加。前者は変数(クエリのURLなど)の保存、後者は既存の拡張機能の削除を行う * 既存の拡張機能を削除する仕組み ### 4.x バージョン (2022-01-07): 追加された機能: * スクリプト全体でのより高度な難読化 * Chromeの広告機構 * ハードコードされたC2 URLを変更 * Chromeアラームの仕組み ## macOS版の亜種 2022年3月、macOSユーザーを標的とした新たな亜種が出現しました。この亜種は本稿執筆時点でもまだアクティブで、これまでのものと同様のテクニックでペイロードのインストールや動作の隠蔽を行います。感染ベクトルも同じで、被害者を侵害されたPay-Per-Download(PPD: ダウンロードごとに課金される)サイトに誘導してドロッパーをインストールさせます。 この亜種では、ドロッパーはディスクイメージ(DMG)ファイル(macOSのISOファイル実装)で、このなかにbashスクリプトが1つとほかのファイルが複数含まれています。このbashスクリプトはスケジュールされたPowerShellスクリプトと複数の点で似ています。 * リモートのインストールサーバーからペイロードであるブラウザ拡張機能をダウンロードする * 標的ブラウザであるGoogle Chromeと内蔵Safariブラウザにペイロードをロードする ![ChromeLoaderのmacOSインストールスクリプトの初期バージョンの例。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-54.png) 図31 macOSのインストールスクリプトの初期バージョンの例 もっと後のケースでは、bashスクリプトにダウンロードと実行の部分をハードコードせず、これらのコマンドを別のファイル内にエンコードし、bashスクリプトでOpenSSLを使ってデコードして実行しています。 ![macOS用ChromeLoaderの後期バージョンのインストールスクリプトの例](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-55.png) 図32 後期バージョンのmacOSのインストールスクリプトの例 ダウンロードされた拡張機能はWindows版で使われているものと同様でした。macOS版の亜種も同じ難読化手法を使って検索エンジンのクエリ収集・広告表示という重要な機能を実行しています。またこのバージョンから新たなC2アドレスが使用されるようになりました。 この亜種が配信した悪意のある拡張機能のバージョン番号から、攻撃者がmacOS版の亜種をWindows版の亜種より新しいバージョンとして参照していることがわかりました。このことは、同キャンペーンの感染タイムラインと一致しています。私たちの調査では、この亜種と同時に見つかった拡張機能は同マルウェアのバージョン6.0とラベリングされていました。 ## 2つめのWindows版亜種(亜種2) 2022年3月、亜種1の最後の感染から数週間後、亜種1のキャンペーンと複数の類似点を持つ新しいキャンペーンを確認しました。このことから私たちは、実際に、同じChromeLoaderマルウェアの別亜種(本ブログではこれを「亜種2」と呼びます)を目にしていたものと考えています。 この亜種2の感染ベクトルは亜種1と同一です。ユーザーは、Pay-Per-Install (PPI: インストールごとに支払いを行う)サイトやソーシャルメディア上のマルバタイジングキャンペーンを通じ、トレントやクラックされたビデオゲームのダウンロードへと誘導されます。 亜種2で使用されるISOイメージには新しい実行ファイルが含まれています。Windowsのショートカットファイル(.lnk)しか表示されないため、被害者はこのファイルをダブルクリックして目的のソフトウェアをインストールしたり、ムービーを見たりしようとしてしまいます。 ![亜種2で使用されるISOイメージには新しい実行ファイルが含まれています。この図に示すとおり、Windowsのショートカットファイル(.lnk)しか表示されないため、被害者はこのファイルをダブルクリックして目的のソフトウェアをインストールしたり、ムービーを見たりしようとしてしまいます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-56.png) 図33 悪意のあるISOがマウントされた例 しかしこのISOイメージには、被害者がWindowsのショートカット(.lnkファイル)を起動したときに実行される他の隠しファイルが含まれています。この.lnkファイルは単純にresources.batという名前のバッチスクリプトを実行するだけです。つづいてこのスクリプトがapp.zipの中身を%APPDATA%に展開します。zip アーカイブにはTone.exeという名前の実行ファイルが含まれており、最終的にバッチスクリプトによってレジストリのRunキーに格納され、感染が永続化されます。 ![.lnkファイルは、この図のようにresources.batという名前のバッチスクリプトを実行します。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-57.png) 図34 リンクファイル(.lnk)の設定例 ![resources.batの内容の例Tone.exeという実行ファイルの存在に注意](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-58.png) 図35 resources.batの内容の例 亜種1同様、亜種2も同じ種類のChrome拡張機能をインストールしていました。このマルウェアはcmd.exeプロセスを起動し、このcmd.exeが次にpowershell.exeを実行していました。PowerShellプロセスはWMIクエリを実行し、これらのクエリがchrome\*という新しいスケジュールタスクをインストールするために使われ、別のエンコードされたPowerShellコマンドを起動していました。 ![マルウェアがスケジュールタスクをインストールするさいの因果連鎖(causality chain)の例](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-59.png) 図36 マルウェアがスケジュールタスクをインストールするさいの因果連鎖(causality chain)の例 上記の難読化されたPowerShellスクリプトを解析したところ、ドロッパーとして使われているスクリプトに行き当たりました。このスクリプトは新しいChrome拡張機能を直接インストールしないので、亜種1のPowerShellスクリプトのパターンに完全には一致していません。ただし構造や変数の使いかたは、亜種1のものに似ています。 ![インストールされたスケジュールタスクスクリプトをデコードした内容の例。構造と変数の使いかたは亜種1のものに似ている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-60.png) 図37 インストールされたスケジュールタスクスクリプトをデコードした内容の例。 XQLクエリを使って調べたところ、インストールサーバーが利用できる場合このPowerShellスクリプトはこれまで見てきた悪意のあるChrome拡張機能(最新のMacOSの亜種で使用されているバージョン6.0)を作成してロードしています。 ![エンコードされたPowerShellが複数のファイルをダウンロード。それらのファイルには、manifest.jsonとbackground.jsが含まれる。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-61.png) 図38 エンコードされたPowerShellが複数のファイルをダウンロード。 ## 本当の最初のWindows亜種(亜種0): 2021年12月 このマルウェアファミリは[複数の感染インシデント](https://thehackernews.com/2022/05/experts-warn-of-rise-in-chromeloader.html)を引き起こしたことから、サイバーセキュリティ界隈で世界的に注目されてきました。 前述のとおり今回の調査ではさまざまなバージョンのマルウェアが検出されました。各バージョンは私たちによるラベリングのほかにマルウェア作者自身によるラベリングが行われていました。私たちが検出したもののうち、ラベリングされている最も古いバージョンは2.0でしたので、私たちはこの攻撃者の攻撃は今回が初めてではないことを確信していました。そこで私たちは、このマルウェアの実際の最初のバージョンを明らかにすることを決意しました。 攻撃者はペイロードを頻繁に更新していたことから考えて、本当の最初の感染事例は、2022年1月に報告のあった感染事例と比較的近い時期に発生したものと考えられました。 亜種1のPowerShellドロッパーに使用されたインストールサーバーのドメインを軸足に調査範囲を広げてみると、2021年12月に別のマルウェアがこれらのドメインのいくつかをインストールサーバーとして使っていたことがわかりました。 このマルウェアは、スクリプトの自動化に使われるフレームワーク、AutoHotKey(AHK)で記述された実行ファイルでした。 プログラマは、このツールを使ってスクリプトをAHK構文で短くわかりやすく書けます。そして、プログラマの定義内容にしたがって、同フレームワークはこれらスクリプトの実行をトリガーする対象のフックを作成します。 AHKスクリプトは、Windows実行ファイルに変換されるときに元のスクリプトのソースコードを実行ファイルの末尾に貼り付けるので、難読化されたほかの亜種と比べてリサーチャーの調査プロセスははるかに容易でした。この例はハードコードされたスクリプトに以下のソースコードを含んでいましたが、これは先に分析したPowerShellドロッパーと非常によく似ていました。 ![AutoHotKeyスクリプトの内容の例。先に分析したPowerShellドロッパーと非常によく似ている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-62.png) 図39 AutoHotKeyスクリプトの内容の例。 要するに、このドロッパーはインストールサーバーからペイロードをダウンロードしてくるものです。ダウンロードされたペイロードに使用されている変数名(Extension\_Name)からすると、このペイロードはまた別のブラウザ拡張機能であると推測されます。 さらに詳しく調査した結果、ダウンロードされた拡張機能が見つかりました。ChromeLoaderマルウェアファミリに関連する機能も含まれていた点には何も驚きはないですが、バージョン1.0のラベリングがされていた点は重要です。 これらの拡張機能は、このファミリと関連する他の拡張機能と非常によく似ていますが、1つだけ大きな違いがあります。この時点で拡張機能は難読化されていないのです。これにはさまざまなコードのセクションに関する作者のコメントまで含まれていました。 ![ChromeLoaderの亜種0でダウンロードされた拡張機能の例。私たちは変更を加えていない。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/07/word-image-63.png) 図40 ChromeLoaderの亜種0でダウンロードされた拡張機能の例。私たちは変更を加えていない。 ## 結論 このブログでは不正広告を利用して拡散する新しいマルウェアファミリ「ChromeLoader」のさまざまなサンプルを解説しました。このマルウェアはサイバー犯罪者やマルウェア作者の継続力がいかほどのものかを示すものでした。ChromeLoaderの作者は短期間のうちに複数の異なるコードバージョンをリリースし、複数のプログラミングフレームワークを使用し、機能強化や高度な難読化、問題修正、さらにはWindowsとmacOSの両方をターゲットにしたクロスプラットフォームサポートの追加までも行っています。 このマルウェアは、被害者のブラウザ検索をハイジャックし、広告を表示するために使用されます。これら2つの行為はさほど深刻な被害をもたらしたり、非常に機微なデータを漏えいしたりはしていませんが、短期間にこれほど広く拡散しえたことを考えると、このChrome機能拡張の2つの主機能による被害よりもずっと重い損害を与えることも可能だったでしょう。 またこの作者のやりかたは非常にきちょうめんで、異なるバージョンのマルウェアにラベリングしたり、攻撃ルーチン全体で類似したテクニックを使用したりしていました。このきちょうめんさのおかげで、攻撃フレームワークの開発や攻撃チェーンの維持は彼らにとって容易であったと思われます。ただしそれは、意図せずして私たちの調査作業をも大幅に簡略化してくれました。実際、そのおかげで私たちの調査が進み、このマルウェアの最初のバージョンと最新のバージョンという、これまでこのマルウェアファミリにリンクされていなかった2つの新しいバージョンを検出することができました。 最後に、この攻撃チェーンは、セキュリティ製品だけでなく一般ユーザーも注意すべき、マルウェア作者たちの間にある2つの上昇トレンドを示しています。それはISO(およびDMG)ファイルの利用とブラウザ拡張機能の利用です。 ## 製品による保護 弊社のCortex XDR Prevent/Proをご利用のお客様は、ChromeLoaderがその実行のさまざまなステージで利用する戦術や技術を特定する機械学習ベースのローカル分析モジュール、BTP(振る舞い脅威保護)、BIOC、Analytics BIOCルールによる多層防御によって、こうしたキャンペーンから保護されています。 ほとんどのルールはChromeLoader用にカスタマイズされたものではなく、通常と異なる、あまり見ない振る舞いに基づいているため、同様の手法を使う多くのマルウェアファミリのキャンペーンからの防御も提供されます。 以下のルールは、Cortex XDRをご利用のお客様向けに、このマルウェアをさまざまな段階でブロックする振る舞い検出・防止策を提供するものです。 |-------------------------------------------------|-------------------------------------------------------------------------| | **ルール名** | **説明** | | Power Empire - 2280642765 | Power Empire post-exploitation framework | | PowerShell Activity - 83290630 | Suspicious PowerShell activity | | PowerShell Activity - 1683698903 | Suspicious PowerShell activity | | PowerShell Activity - 1038764491 | Suspicious PowerShell activity | | PowerShell Activity - 2677692363 | Suspicious PowerShell activity | | Suspicious Scheduled Task Installed - 161058768 | Potential malware granted persistency via scheduled task | | Suspicious File Dropped - 1664970582 | Potential malware dropped a suspicious payload executable | | Suspicious File Dropped - 1833473256 | Potential malware dropped a suspicious payload executable | | Suspicious Chromium Extension - 4043645859 | Potential malware tries to load malicious extension to victim's browser | | Staged Malware Activity - 2903131508 | Activity similar to ChromeLoader malware | | Staged Malware Activity - 4059467241 | Activity similar to ChromeLoader malware | さらに以下のXQLクエリを使用することで、異なる実行段階にあるChromeLoader亜種を検出できます。 **亜種1(1月) -- インストーラ** dataset = xdr\_data | filter event\_type = ENUM.RPC\_CALL | filter actor\_process\_signature\_status = ENUM.UNSIGNED | filter action\_rpc\_interface\_uuid = "{86D35949-83C9-4044-B424-DB363231FD0C}" and action\_rpc\_func\_opnum = 1 | filter lowercase(action\_rpc\_func\_str\_call\_fields) contains "chrome" |-----------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 | dataset = xdr\_data | filter event\_type = ENUM.RPC\_CALL | filter actor\_process\_signature\_status = ENUM.UNSIGNED | filter action\_rpc\_interface\_uuid = "{86D35949-83C9-4044-B424-DB363231FD0C}" and action\_rpc\_func\_opnum = 1 | filter lowercase(action\_rpc\_func\_str\_call\_fields) contains "chrome" | **亜種2(3月) -- スケジュールタスクのインストーラ** dataset = xdr\_data | filter event\_type = ENUM.RPC\_CALL | filter actor\_process\_image\_name = "powershell.exe" | filter action\_rpc\_interface\_uuid = "{9556DC99-828C-11CF-A37E-00AA003240C7}" and action\_rpc\_func\_opnum = 25 | filter lowercase(action\_rpc\_func\_str\_call\_fields) contains "powershell -windowstyle hidden -e" and action\_rpc\_func\_str\_call\_fields contains "PS\_ScheduledTask" |-----------|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 | dataset = xdr\_data | filter event\_type = ENUM.RPC\_CALL | filter actor\_process\_image\_name = "powershell.exe" | filter action\_rpc\_interface\_uuid = "{9556DC99-828C-11CF-A37E-00AA003240C7}" and action\_rpc\_func\_opnum = 25 | filter lowercase(action\_rpc\_func\_str\_call\_fields) contains "powershell -windowstyle hidden -e" and action\_rpc\_func\_str\_call\_fields contains "PS\_ScheduledTask" | **亜種2 (3月) --** **Tone.exe\*\*\*\*の展開** dataset = xdr\_data | filter action\_process\_image\_name = "tar.exe" | filter action\_process\_image\_command\_line contains "-xvf" and action\_process\_image\_command\_line contains "-C" and action\_process\_image\_command\_line contains "AppData\\Roaming" |-------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 | dataset = xdr\_data | filter action\_process\_image\_name = "tar.exe" | filter action\_process\_image\_command\_line contains "-xvf" and action\_process\_image\_command\_line contains "-C" and action\_process\_image\_command\_line contains "AppData\\Roaming" | **macOS版の亜種 -- 拡張機能のダウンロード(展開)** dataset = xdr\_data | filter agent\_os\_type = ENUM.AGENT\_OS\_MAC | filter event\_type = ENUM.PROCESS | filter action\_process\_image\_command\_line contains "sh -c echo\* | base64 --decode | bash" | dedup agent\_hostname , action\_process\_image\_command\_line | fields \_time , agent\_hostname , action\_process\_image\_command\_line , actor\_process\_command\_line |-------------|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 6 | dataset = xdr\_data | filter agent\_os\_type = ENUM.AGENT\_OS\_MAC | filter event\_type = ENUM.PROCESS | filter action\_process\_image\_command\_line contains "sh -c echo\* | base64 --decode | bash" | dedup agent\_hostname , action\_process\_image\_command\_line | fields \_time , agent\_hostname , action\_process\_image\_command\_line , actor\_process\_command\_line | **不審なブラウザ拡張機能のロード** dataset = xdr\_data | filter action\_process\_image\_name in ("chrome.exe", "safari", "chrome") | filter action\_process\_image\_command\_line contains "-load-extension=" | filter actor\_process\_image\_name in ("powershell.exe", "bash", "sh") |---------|---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 | dataset = xdr\_data | filter action\_process\_image\_name in ("chrome.exe", "safari", "chrome") | filter action\_process\_image\_command\_line contains "-load-extension=" | filter actor\_process\_image\_name in ("powershell.exe", "bash", "sh") | WildFireを使用しているパロアルトネットワークスのお客様もこの脅威からの保護を受けています。 ## IoC ### **亜種1のISOハッシュ** fa52844b5b7fcc0192d0822d0099ea52ed1497134a45a2f06670751ef5b33cd3 e1f9968481083fc826401f775a3fe2b5aa40644b797211f235f2adbeb0a0782f 860c1f6f3393014fd84bd29359b4200027274eb6d97ee1a49b61e038d3336372 0ecbe333ec31a169e3bce6e9f68b310e505dedfed50fe681cfd6a6a26d1f7f41 614e2c3540cc6b410445c316d2e35f20759dd091f2f878ddf09eda6ab449f7aa 2e006a8e9f697d8075ba68ab5c793670145ea56028c488f1a00b29738593edfb bcc6cfc82a1dc277be84f28a3b3bb037aa9ef8be4d5695fcbfb24a1033174947 6d89c1cd593c2df03cdbd7cf3f58e2106ff210eeb6f60d5a4bf3b970989dee2e edeec82c65adf5c44b52fbdc4b7ff754c6bd391653bba1e0844f0cab906a5baf 6c54e1ea9c54e4d8ada1d15fcdbf53e4ee7e4a677d33c0ea91f6203e02140788 a9670d746610c3be342728ff3ba8d8e0680b5ac40f4ae6e292a9a616a1b643c8 fb9cce7a3fed63c0722f8171e8167a5e7220d6f8d89456854c239976ce7bb5d6 1717de403bb77e49be41edfc398864cfa3e351d9843afc3d41a47e5d0172ca79 1b4786ecc9b34f30359b28f0f89c0af029c7efc04e52832ae8c1334ddd2b631e 486c966b6e2d24dd8373181faf565d85abfd39559d334765f5135e20af55542c 03b2f267de27dae24de14e2c258a18e6c6d11581e6caee3a6df2b7f42947d898 dd2da35d1b94513f124e8b27caff10a98e6318c553da7f50206b0bfded3b52c9 3927e4832dcbfae7ea9e2622af2a37284ceaf93b86434f35878e0077aeb29e7e e449eeade197cab542b6a11a3bcb972675a1066a88cfb07f09e7f7cbd1d32f6d 8840f385340fad9dd452e243ad1a57fb44acfd6764d4bce98a936e14a7d0bfa6 26977d22d9675deddfde231e89a77c013062b8820aa117c8c39fd0a0b6ab0a23 ### **亜種1の実行形式ハッシュ(別名** **CS\_Installer.exe** **)** ded20df574b843aaa3c8e977c2040e1498ae17c12924a19868df5b12dee6dfdd 1dbe5c2feca1706fafc6f767cc16427a2237ab05d95f94b84c287421ec97c224 9eca0cd45c00182736467ae18da21162d0715bd3d53b8df8d92a74a76a89c4a0 c56139ea4ccc766687b743ca7e2baa27b9c4c14940f63c7568fc064959214307 3b5a18d45ab6fcf85df51703ef6fac8226fc274ecd0a21c0a1f15f15f7d39e01 44464fb09d7b4242249bb159446b4cf4c884d3dd7a433a72184cdbdc2a83f5e5 2d4454d610ae48bf9ffbb7bafcf80140a286898a7ffda39113da1820575a892f 53347d3121764469e186d2fb243f5c33b1d768bf612cc923174cd54979314dd3 afc8a5f5f8016a5ce30e1d447c156bc9af5f438b7126203cd59d6b1621756d90 564e913a22cf90ede114c94db8a62457a86bc408bc834fa0e12e85146110c89b ### **亜種2のISOハッシュ** e72a42ad27c06ba0a9951705423a3650a0c4a1f8c18c5782ab98e2e72021bbb8 26bce62ea1456b3de70d7ac328f4ccc57fe213babce9e604d8919adf09342876 44f9680710ba7635bb3bfe025b087e85d51857d9618c5ffa5c247ccdc8bca3c3 5ee2b7ea46cc3f34b796ab4992e778938c057490695e9109f016fc7a1b308395 a0ff3b427c77594fa48d79ed52d372bd2a8baae54ee85b243d86d9dd493ffbc6 f3176bcd28b89e4ae7a4426c82c8b73ca22c62ecbc363296193c8f5becef973c 424347b6f5caca8174d1b0ac2e32867a4201a41176fed1af7b3e1a0716fc7e46 c67b87cb7420500e4b0bb6500f1875bc77a7d96997ed2850d8142dfd9636da29 8f2da6c721251edd251addb795552ed54d89fb53d2a470d8a7f807e77aac402c e0d57152524e79a07e5b7d7b37831cb7596cd3afe651b4eecaf4123b1af1ffa6 606d49ae054e13461bad3e405cc5996462c14bd48e94fe8a63f923fbb7c14b71 7ef7bdf8ea2f8751f45482453bf7441d2b2f92d743324afdf1afc11ea248c56d 84c93f1f7bdc44e8e92be10bf5e566f3116c9962c35262643fe2084c3b8d1bb5 4673c1f8d307b70c4be837e842cfdf5cce60c6bf793ae85a1bce07c9c15fe14d 0257dccfdeb1bc9683334d0d964c72ea0eeedbfda33cba1f60a395cca8e516da 0d510dbcf8ed5c7b81206598886a7fbd86f11d36871612ba066d6ec85723fada e920dbc4741114f747a631928e398ef671fe9133b6aab33991d18150b4fcd745 3d65f5a060f8ecc92de9f5e0754b8f6c129cb9a243bf1504a92143ac3bc5a197 11174dbaca376288fd59c66d1c00255ad6c034beff96a075e833897ef3a113cc 44e77ac27a8b7d9227d95feb87bad1cc2a4ed2172c85f5e16d335a4d62d385f4 ### **亜種2の実行形式ハッシュ(別名** **Tone.exe**\*\*)\*\* 00c07e354014c3fb21d932627c2d7f77bf9b4aeb9be6efb026afdbd0368c4b29 3c7acdce8a37e40672eb4fba092804f9e783f284e7d52cbcf8a9f9f3cf306af7 5fbf4d8d44b2e26450c1dd927c92b93f77550cebfbc267c80ff9d224c5318b88 1bb6f2a9498a220ade34b64f3208287fca6699847a5fd61e0e5ed4ee56b19316 4e5001c698f9f1758874067c5fb6fb2911e1f948db2cc0f289d42c61f2e2fec1 747ba8be14e4d465f79a8211a26204230719ce19293725ca139f4386e57a7dff fcc92f1736b5b4bd9fe503e7d6debeb7e69858fc582783c3f35e7cdece9d4feb 0b00a215a42739809a55f05b6028399843e305fb285028de6efc5544b949a1ef 66ababb8bd9f8b19193f56678568197350be6306f448ee9a01eeee21a487f765 ce129e2e14fb0de7bd0af27a8303686bde1c330c05449c1ff95591f364189e33 1a01be5f08943ce03811f398f7b77aba26313dc0d0681cfad89f37db59819bc2 c93fbf63d82b816cd32dfc7bb0eaf7053fb27cfb78433638248010e83636ae20 7f9d31d382cef81bf858b8e848897b41397c033ad5aa5c416277cf843d7218f5 6c87e496ba0595ac161be8abb4e6da359d5d44c7e5afbe7de8fd689e4bb88249 d3212f79f33c8ccf6ba27984ed18acc86ec2297fe9c3df8fad5a00878986f2e2 329e7494d516652e64c1181979fdf53b507b4a3ab23b4821823f0aef96abc6a4 b73becdb7ad8b130072622ac7b2f03d450d7d0f9aae28e67dcb6724e5727f96c 10bd1b5144d9a2582aaecd28eb0b80366a2675d0fd8a2f62407f8c108d367ec7 11ad9d3e25bee2275f4930818bd737df1e1d79b334f990970c61763078c532d0 061408f4e1f37feb0b89db3cafc496194941fade412c96ee03fc46e492df3d29 8bdaf2a1e5400df06ce4d47b5b302b20cfb62e662e778a657485c6599865e393 ### **亜種0の実行可能ファイルのハッシュ** 0bc3516e327fea0b5f65299366182d1e7577c9998d0cbd07891709f51fb0ac47 0e1c5477ea71fdc1271e63989107b2d855c685c6c2303f297a610eb875520ec0 140162b2c314e603234f2b107a4c69eb24aece3a3b6bd305101df7c26aee5f8e 1dbc8aa73b64a1a607bcbe448347314d9a456d4d31a6cf846e25277b575bbb5b 32aa2f66b96a95a00b032758232fc09e18439395466660b995a7d82905ef0637 3ff8e17ee3c130e327a614400f594fec404c42188c0e7df0ce3b2bb3a3c1aff6 57c0f3d24452b68d756577af78e809e2da12694691e62448bb132c12311360ec 8ef4026b254dd0918bf3ace7741b26ff52a52ef024c721d8129c5ccfa4ccde24 d2b1b9642884a6839f09204135944c02c7437f7e692d07bb0d0269c4ff8316bb d8d18baa934a4f1ad6777f2ca862be8d3b3a59a1fedb8d2a8e50f0a419793a15 e4ab0e5ecbd6c87432f08398b7f7424a248f98ff780e0adb710edd0698bf5434 45510bf70bc9063392ac0514f4e26431b9c38631ed0e61b6847fe9385f5eb17c e4ab0e5ecbd6c87432f08398b7f7424a248f98ff780e0adb710edd0698bf5434 f3727e372949d12ce9f214b0615c9d896dcf2ac0e09fcd40f4a85ff601ef01f0 ### **macOS用DMGのハッシュ** 965a6729b89f432f61b65a7addbe376317e8fd4a188c05c6aae7f9e4a1a88fbb 6f105daec2336658629042afa4f334f4949fc189404f66c09400fd2ca260eb0c 267ab450a5965a525bda34deccd64bf22b5fb6cc04d811a3eec1d9289e28bc73 a6c8cbbe502df8407861590b97e634f51b85e4fe176bf68f86f6088ce81baaac 6845a4b37e51fbf01a9573330c81483d5a438dbb1c87cbe069f72896927b4dab fad5e680c181fd7415e8c03ee20735411d1259f4ae19ead0100f0929d48f3f53 40232e0ffdb8fe925f9d4a1f10d5aeda208bb58d82390ac7d1952f9219770103 fd9a89dc83d26994708a1d9661322df12d107693d4b483a89bf9b03c974f418c b65dc44a3288b1718657d2197b1e0b22aa97d0e33b05e2877320e838da0ccb26 2b24417ea8cb3271636e1747be0cc205af4bdc0d31686f024693259afdca259e dffdad0ced320b9934019a75658b16cf8f6abb2e4af48cb73f66a761dfe72392 0c1700551ca47143590722ae60204f1a597040d5fa6afa966d4fc3c42d82d517 060c0b17a2d6fc7fb3a7a866c2013891527f1cf4602c420bc186d55b1802e382 1286ff043574dffb0c0a677b102272d7ea858030dc48d6c50534dba19d95adb6 1adc521a448a3588c892c98e00c9e58ba30a453b0795286b79ff2f0eaf821d25 90acb46c7964404cf22b7faad5910dfa97ae8d49b45808bd9f98bb61b7bc878f f0da9bf1fc8da212ae1bcb10339539f5127e62aae0ad5809c2ae855921d2ab96 c0e50646addd20136befa520380e4d0f8915c0e0808fd8d393a386f5af87e623 2612ee5c099d6115dcbed7247cc56838fdeeb2654ba365b1b00d6294e6981f22 8ea53e242e05e5da560ac9a4c286f707e888784d9c64c43ae307d78b296d258a a660f95f4649f7c1c4a48e1da45a622f3751ee826511167f3de726e2a03df05c ### **zip圧縮済み拡張機能のハッシュ** 6c1f93e3e7d0af854a5da797273cb77c0121223485543c609c908052455f045d 92dc59664ab3427fb4b0d2d4108f1729abb506a2567770f7c4406e64db9aafae 79114e6392bb8ffee76738e71f47131b0a2c843efe3e14f1b5e6a6d2a94c1046 667f5bb50318fe13ea11227f5e099ab4e21889d53478a8ee1677b0f105bdc70a 34d21f3a543a69f34973c25bbaaedb5c8bc797d63da493cbac97bfbbedbe7206 a950e93ab9b2c4d1771a52fbeb62a9f2f47dc20e9921b9d23d829b949ba187b5 48efaa1fdb9810705945c15e80939b0f8fe3e5646b4d4ebcace0c049d1a67789 6c1af2e5cf6d6ea68c7e017d279b432d5259358b81ea1c444dc20625805b95b9 0f5fb924eb5eb646ba6789db665545a08c0438e99e5a24f27c37bc0279b1a8a6 a1005c22c2305781fbbce5552dcc095f9ef0237023d7041eace005542fcd3d81 7f2cd9ad91ddab408619d3c80eef614b91a727c35285ebd813bcd1636b2cb030 7e3d97c3802cc8bc9524480170d78aa68a9de28e3a7f4ce35d103f77843a3d0c f940e948586d3148e28df3e35e5671e87bc7c49525606068ac6f00783409d7aa 63c97409bb2a8b5026b459ff6c6dcc93dd12fdd8c0a4915e9298bd96dfdedb5c 3b4c3c598b87a3c3b9590940b4e67861c6541316bac1e1c07a139b1892307c04 a113128466145973de141c4e5c5199e5474050edd4d9225463d0527d68935ef0 ef633a38fb49a81a30fe8977dff378bb9e89f849ceceb709cbcf76272f92c402 cc01324cbefb6d79e3a7ea1031edb6256fb3d40832ea621913aadda70e08a3b9 3271eac4d9d20044a5fc27be6d0feece31791f3889dce2788f7ef4e201ffff4e 8e74b6d667d7ddb7859687fd5c599f67b62b491087d1d926037effc7f7890b43 4556d3c5e6a3322fcb39da3ef5b36d541bab70fa2f68a12e52c3de41bef092a6 181a15d583d1ba4ad42b09ab62f3ef401c8cc2103e7ea2717d0571864f5440fd a950e93ab9b2c4d1771a52fbeb62a9f2f47dc20e9921b9d23d829b949ba187b5 308071d4e8298b4eba9f82ca7269ac58f8e39f64da515c0761406aacd110b731 ddb1793220d75c7126eb8af9f0d35f22e7be6998bf8ede8199c2019119b26592 5b7dedcf0802547c8e18d46fbfe1a5daa91e77a6cf464c4b5f0cfc48fa235c1d b8b8f57edbd70345e2134abd8917371a29e04aa37210b553879710f717b69ddd 6b1db4f891aa9033b615978a3fcfef02f1904f4eba984ba756ff5cd755d6f0b4 099c2d8c3c34a24f6ed3cbf5c4ff6b22312546f2c3881281b7cc66ebff899136 70f1d1b35ee085768aa75f171c4d24b65d16099b2b147f667c891f31d594311b 3da0189884e07adfe946ef8f214fa9ec1c01bf093d69418563368f39fdc98e12 216f9f9c3e69c6723203afb79ee91917eff7707312058d7e9858d70bfb6acf92 f85e706123bedf3b98eb23e2fb4781e2845b2b438aa0f6789c2b496bfb36d580 18b8ab327177cbde47867694d3d7acb93c83237d2418271f1020fe943760c026 23f30fa4e9fe3580898be54f8762f85d5098fd526a51183c457b44822446c25a 276f4008ce6dcf867f3325c6b002950cbd0fdb5bf12dc3d3afb1374622820a4e 309c87b34966daecd05c48b787c3094eeed85b5f23ec93b20fc9cdbf8ff9b586 47c65ef4d6b0ffe7109c588e04575dcf05fdf3afe5796078b4f335cb94c438b7 502a8d1e95c21b5dc283ef4877ca2fe2ba41570bd813c47527fca2fb224d5380 5e6b5a9c0849db8ca0696a16c882d6945a62e419bd646f23d4d00533bbe9bca5 6e0cb7518874437bac717ba1888991cee48dfaca4c80a4cbbbe013a5fe7b01a6 83cf9d2244fa1fa2a35aee07093419ecc4c484bb398482eec061bcbfbf1f7fea 87f0416410ac5da6fd865c3398c3d9012e5488583b39edacd37f89bc9469d6a9 c6a68fac895c0b15d5cbbba63f208e5b0a6f3c1d2382b9465375d1794f447ac5 c7aedc8895e0b306c3a287995e071d7ff2aa09b6dac42b1f8e23a8f93eee8c7a d374ef30aa17f8bad0fb88d0da47f4038669c340d4c7fc2ff6505b07c17fdf65 dfc90f64139b050cf3c72d833e1a7915af1bd689ece7222b9ac2c8426a0bfd0a 9a5be852afef127b5cbe3af23ef49055677b07bcaca1735cf4ad0ff1e8295ccb 7ba5e623ad2e09896f0e1d1167758bcf22a9092e4a65856f825a2b8740e748f6 edb21b3f6f52ab0d0e17aca7e658a6e3f9ce98002433810612562b8e6ab41920 0cf40fbce8a48bfc5068ac24ec1dd1f828af31fe3cff0342003d12b0ea561dcf 4a0ababa34024691dc1a9e6b050fe1e5629220af09875998917b1a79af4e2244 52c7bb3efafdd8f16af3f75ca7e6308b96e19ef462d5d4083297da1717db8b07 bcac3fee6182a64764e88b4ed4f78cc071f297c501746df6473b0e9e679b3b43 aa9b742267bba71507a644ea4ee52a0f118ee6d595bd7eac816a8e8ee0246427 55f240467cf2c0891484d97ded9e0c53b259a88814b6f1c78a8961bda58c9377 49006f7529453966d6796040bb1c0ab2d53a1337c039afe32aaa14a8cce4bf0e 08de8a1103ccd7980a9900e2ceccdef0fe4db6bd06184eb628bfbcf76a7ff997 2eb1056cc176747c1be4b115be90cc7ee26da11a597cff6631da54c517d1a15c 436dde0fb44f95371832a55e56ed9ee9cb22f5323ce0d2a4cdcd61cbab713503 c05dbec1aaa11703195c743433a4319d49180c7fbd9a962e162cacd6b605ddd9 b919fbd354654a7bf99db7206adf6a5fba9ce73ee3fedb6d08ed932ee527f301 bfead4ccc3c16dee5f205b78e12aaaa2b33bdedbc57e22a4dbc48724f13f6277 eddd3ce6d39909be6fd5a093c2798a0c9113769b8f0f24a038449b409232472a 22f4a87053769ae21efa8945a83e46df2f56e8f01a66f156cacf5ef6b6a8262a a3631d6012b72a63b0f1b4a013d0971ea8505ee3db32d4a0b7b31cb9ba8dd309 1ad535854fe536fd17aa56ae82f74872d6fad18545e19950afa3863bcbcf34eb 9d46a0509291bf3365771f6ad53e213ffb58e4926f11365687f4a11fd0f03855 ### **C2とインストールサーバー** #### インストールサーバー brokenna\[.\]work etterismype\[.\]co idwhitdoe\[.\]work ithconsukultin\[.\]com learnataloukt\[.\]xyz rsonalrecom\[.\]co yflexibilituky\[.\]co yeconnected\[.\]com ableawid\[.\]com airplanegoobly\[.\]com baganmalan\[.\]com balljoobly\[.\]com balokyalokd\[.\]com boogilooki\[.\]com bookimooki\[.\]com carfunusme\[.\]com carmoobly\[.\]com chairtookli\[.\]com chookiebooki\[.\]com choopinookie\[.\]com ckgrounda\[.\]com computermookili\[.\]com dubifunme\[.\]com dudesurfbeachfun\[.\]com exkcellent\[.\]com funbeachdude\[.\]com ketobepar\[.\]com kooblniplay\[.\]com letfunhapeme\[.\]com lookiroobi\[.\]com lookitoogi\[.\]com madorjabl\[.\]com malanbagam\[.\]com mokkilooki\[.\]com myeducatio\[.\]com nakasulba\[.\]com ndinterper\[.\]com ndworldwi\[.\]com nookiespooti\[.\]com oempafnyfi\[.\]com saveifmad\[.\]com siwoulukdli\[.\]com slootni\[.\]com sonalskills\[.\]com tabletoobly\[.\]com toogimoogi\[.\]com toukfarep\[.\]com uiremukent\[.\]com ukrawinrusyes\[.\]com utfeablea\[.\]com voobmijump\[.\]com xoomitsleep\[.\]com yalfnbagan\[.\]com yalokmalos2\[.\]com yescoolservmate\[.\]com yourretyeq\[.\]com tcaukthw\[.\]com tooblycars\[.\]com koooblycar\[.\]com rooblimyooki\[.\]com yooblygoobnku\[.\]com playkooblni\[.\]com rockslootni\[.\]com muendakere\[.\]xyz mployeesihigh\[.\]xyz adiingsinsp\[.\]xyz ajorinryeso\[.\]xyz ktyouexpec\[.\]xyz learnataloukt\[.\]xyz ngwitheaam\[.\]xyz ptonnervent\[.\]xyz ukmlasttyye\[.\]xyz ukseseem\[.\]xyz withyourret\[.\]xyz #### C2サーバー betasymbolic\[.\]com krestinaful\[.\]com tobepartou\[.\]com tobedirectuke\[.\]com eandworldw\[.\]com etobepartou\[.\]com kfareputfeabl\[.\]com blesasmetot\[.\]com siwoulukdlik\[.\]com sforourcompa\[.\]com ## 追加リソース [CS\_Installer Threat Remediation Scripts](https://github.com/xephora/Threat-Remediation-Scripts/tree/main/Threat-Track/CS_INSTALLER) [ChromeLoader: a pushy malvertiser](https://redcanary.com/blog/chromeloader/) [QR codes on Twitter deliver malicious Chrome extension](https://www.gdatasoftware.com/blog/2022/01/37236-qr-codes-on-twitter-deliver-malicious-chrome-extension) [Choziosi Loader Analysis](https://www.th3protocol.com/2022/Choziosi-Loader) [Malicious Chrome Browser Extension Exposed](https://www.gosecure.net/blog/2022/02/10/malicious-chrome-browser-extension-exposed-chromeback-leverages-silent-extension-loading/) トップに戻る ### タグ * [Adware](https://unit42.paloaltonetworks.com/ja/tag/adware-ja/ "Adware") * [Browser hijacker](https://unit42.paloaltonetworks.com/ja/tag/browser-hijacker-ja/ "browser hijacker") * [Choziosi Loader](https://unit42.paloaltonetworks.com/ja/tag/choziosi-loader-ja/ "Choziosi Loader") * [ChromeBack](https://unit42.paloaltonetworks.com/ja/tag/chromeback-ja/ "ChromeBack") * [ChromeLoader](https://unit42.paloaltonetworks.com/ja/tag/chromeloader-ja/ "ChromeLoader") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") * [Malvertising](https://unit42.paloaltonetworks.com/ja/tag/malvertising-ja/ "malvertising") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:Cobalt Strike解析\&チュートリアル: Cobalt Strikeによるメタデータの暗号化と復号](https://unit42.paloaltonetworks.com/ja/cobalt-strike-metadata-encryption-decryption/ "Cobalt Strike解析&チュートリアル: Cobalt Strikeによるメタデータの暗号化と復号") ### 目次 * ### 関連記事 * [プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/ "article - table of contents") * [Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer](https://unit42.paloaltonetworks.com/ja/vvs-stealer/ "article - table of contents") * [情報窃取者マルウェアを提供するPhantomVAI Loader](https://unit42.paloaltonetworks.com/ja/phantomvai-loader-delivers-infostealers/ "article - table of contents") ## 関連項目 マルウェア リソース ![Pictorial representation of ChainDrop, a self-propagating npm worm. An artistic depiction of a digital workspace featuring an open laptop with a red virus on the screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/08/03_Malware_Category_1920x900-7-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年8月6日 [#### ChainDropの脅威の概要:自己増殖型npmワームの内部](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/) * [Blockchain](https://unit42.paloaltonetworks.com/ja/tag/blockchain-ja/ "blockchain") * [ChainDrop](https://unit42.paloaltonetworks.com/ja/tag/chaindrop/ "ChainDrop") * [Claude code](https://unit42.paloaltonetworks.com/ja/tag/claude-code/ "Claude code") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/ "ChainDropの脅威の概要:自己増殖型npmワームの内部") ![Pictorial representation of the npm packages supply chain attack. Screen displaying code with a prominent alert symbol and the words 'VIRUS DETECTED' highlighted in red.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/05_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年6月2日 [#### npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/) * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Npm packages](https://unit42.paloaltonetworks.com/ja/tag/npm-packages/ "npm packages") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/ "npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)") ![Pictorial representation of Screening Serpens. An illustrated blue snake is highlighted by a red circle against a night sky. The constellation serpens.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/Serpens-Iran-A-1920x900-2-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年5月22日 [#### イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/) * [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat") * [AppDomainManager](https://unit42.paloaltonetworks.com/ja/tag/appdomainmanager/ "AppDomainManager") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/ "イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡") ![Pictorial representation of Iran cyber attacks. Close-up of a person wearing glasses, with computer code reflected in the lenses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/12_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月17日 [#### 脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/) * [APK](https://unit42.paloaltonetworks.com/ja/tag/apk-ja/ "APK") * [DDoS attacks](https://unit42.paloaltonetworks.com/ja/tag/ddos-attacks-ja/ "DDoS attacks") * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)") ![Pictorial representation of the supply chain attack compromising Axios. A giant eye made of glowing binary code.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/02_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月1日 [#### 脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/) * [API attacks](https://unit42.paloaltonetworks.com/ja/tag/api-attacks-ja/ "API attacks") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/ "脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響") ![Pictorial representation of TeamPCP. Glowing code on a screen where several word such as Crime, Hackers, and Security are highlighted in a contrasting color.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/03_Cybercrime_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年3月31日 [#### プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/) * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/ "プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃") ![Pictorial representation of phishing campaign. A blurred image focusing on a person typing on a laptop with lines of code visible on the screen, illuminated in blue and red lights, suggestive of intense coding or cyber activities.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/06_Malware_Category_1920x900-3-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年3月24日 [#### 脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/) * [Email scam](https://unit42.paloaltonetworks.com/ja/tag/email-scam/ "email scam") * [Lure](https://unit42.paloaltonetworks.com/ja/tag/lure/ "lure") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/ "脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム") ![Pictorial representation of Notepad++ supply chain compromise. A digital rendering of Earth from space, focusing on North and South America. The continents are illuminated in blue, with red lines and dots indicating data connections across various locations. Dark background highlights the vibrant network representation.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/11_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月11日 [#### 国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/) * [Backdoor](https://unit42.paloaltonetworks.com/ja/tag/backdoor-ja/ "backdoor") * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/ "国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用") ![Pictorial representation of runtime assembly attacks. Digital artwork of a glowing, futuristic shield disintegrating into small particles, set against a dark blue, bokeh-effect background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/09_Business_email_compromise_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月22日 [#### ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/ "ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成") ![Pictorial representation of SLOW#TEMPEST campaign. Digital artwork depicting a malware alert symbol on a computer screen, with background of blurred programming code in blue and red colors.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/07_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月2日 [#### Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer](https://unit42.paloaltonetworks.com/ja/vvs-stealer/) * [Discord](https://unit42.paloaltonetworks.com/ja/tag/discord/ "Discord") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") * [Python](https://unit42.paloaltonetworks.com/ja/tag/python-ja/ "Python") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/vvs-stealer/ "Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)