[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/)  
[![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/)  
Menu

* [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42)
* [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html)  
  Japanese
* [English](https://unit42.paloaltonetworks.com/cobalt-strike-metadata-encoding-decoding/)
* [Japanese](https://unit42.paloaltonetworks.com/ja/cobalt-strike-metadata-encoding-decoding/)
* [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research")
* [ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/ "ラーニング ハブ")
* [サイバーセキュリティ チュートリアル](https://unit42.paloaltonetworks.com/ja/category/cybersecurity-tutorials-ja/ "サイバーセキュリティ チュートリアル")  
  [サイバーセキュリティ チュートリアル](https://unit42.paloaltonetworks.com/ja/category/cybersecurity-tutorials-ja/)

# Cobalt Strike解析\&チュートリアル: Cobalt Strikeによるメタデータのエンコードとデコード

![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 4 分で読めます

* ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg)  
  著者:
  
  * [Chris Navarrete](https://unit42.paloaltonetworks.com/ja/author/chris-navarrete/)
  * [Durgesh Sangvikar](https://unit42.paloaltonetworks.com/ja/author/durgesh-sangvikar/)
  * [Yu Fu](https://unit42.paloaltonetworks.com/ja/author/yu-fu/)
  * [Yanhui Jia](https://unit42.paloaltonetworks.com/ja/author/yanhui-jia/)
  * [Siddhart Shibiraj](https://unit42.paloaltonetworks.com/ja/author/siddhart-shibiraj/)

* ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg)  
  公開日:2022年5月8日

* ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg)  
  カテゴリー
  
  * [サイバーセキュリティ チュートリアル](https://unit42.paloaltonetworks.com/ja/category/cybersecurity-tutorials-ja/)
  * [ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/)
  * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/)

* ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg)  
  タグ:
  
  * [C2](https://unit42.paloaltonetworks.com/ja/tag/c2-ja/)
  * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/)
  * [Cobalt Strike Series](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-series-ja/)
  * [Evasion](https://unit42.paloaltonetworks.com/ja/tag/evasion-ja/)
  * [Malleable C2 profile](https://unit42.paloaltonetworks.com/ja/tag/malleable-c2-profile-ja/)
  * [Post-exploitation](https://unit42.paloaltonetworks.com/ja/tag/post-exploitation-ja/)

* [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/cobalt-strike-metadata-encoding-decoding/?pdf=download&lg=ja&_wpnonce=c159619a8e "Click here to download")

* [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/cobalt-strike-metadata-encoding-decoding/?pdf=print&lg=ja&_wpnonce=c159619a8e "Click here to print")

共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg)

* ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg)
* [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=Cobalt%20Strike解析&チュートリアル:%20Cobalt%20Strikeによるメタデータのエンコードとデコード&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcobalt-strike-metadata-encoding-decoding%2F "Share in email")
* [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcobalt-strike-metadata-encoding-decoding%2F "Share in Facebook")
* [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcobalt-strike-metadata-encoding-decoding%2F&title=Cobalt%20Strike解析&チュートリアル:%20Cobalt%20Strikeによるメタデータのエンコードとデコード "Share in LinkedIn")
* [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcobalt-strike-metadata-encoding-decoding%2F&text=Cobalt%20Strike解析&チュートリアル:%20Cobalt%20Strikeによるメタデータのエンコードとデコード "Share in Twitter")
* [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcobalt-strike-metadata-encoding-decoding%2F&ts=markdown "Share in Reddit")
* [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=Cobalt%20Strike解析&チュートリアル:%20Cobalt%20Strikeによるメタデータのエンコードとデコード%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcobalt-strike-metadata-encoding-decoding%2F "Share in Mastodon")

## **概要**

Cobalt Strikeは商用の脅威エミュレーションソフトウェアで、ネットワークに長期的にひそむアクターをエミュレートします。Beaconと呼ばれるこのアクターは外部チームサーバーと通信してコマンド＆コントロール(C2)トラフィックを模倣します。汎用性が高く、レッドチームの正規ツールとしてよく利用されますが、脅威アクターの実際の攻撃でも広く使用されています。この汎用性の高さはCobalt Strike にそなわる多くの機能に起因しています。たとえばC2サーバーへ送信するメタデータを難読化するエンコード用のアルゴリズムなどがその例です。

前回のブログ「[Cobalt Strike解析\&チュートリアル: Malleable C2プロファイルでCobalt Strike検出が難しくなる理由](https://unit42.paloaltonetworks.jp/cobalt-strike-malleable-c2-profile/)」で、攻撃者またはレッド チームが HTTP トランザクションに対し、Malleable C2 プロファイル内でメタデータ エンコード インジケーターを定義できることを学びました。Cobalt Strike Beaconは、Phone Home通信 (C2サーバーへの連絡通信)時に、侵害システムに関する情報であるメタデータをCobalt Strike TeamServerに送信します。レッドチームや攻撃者は、このメタデータをどのようにエンコードし、HTTPリクエストで送信し、C2トラフィック通信を終了させるかを定義する必要があります。

本稿は、エンコードアルゴリズム、Cobalt Strikeフレームワークで使用されるエンコードタイプの定義と違い、実際に観測されている悪意のある攻撃について解説します。解説ではC2トラフィック通信中にエンコード用・デコード用のアルゴリズムがどのように機能するかを示すほか、なぜ汎用性が高いとCobalt Strikeがエミュレータとして有効で、従来型ファイアウォール対策の設計が難しくなってしまうのかについても示します。

|--------------------|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 関連する Unit 42 のトピック | [Cobalt Strike](https://unit42.paloaltonetworks.jp/tag/cobalt-strike-ja/), [C2](https://unit42.paloaltonetworks.jp/tag/C2-ja/), [Tutorials](https://unit42.paloaltonetworks.jp/category/tutorial-ja/) |

## **目次**

[メタデータのエンコード用アルゴリズム](#Metadata-Encoding-Algorithm)  
[Base64エンコードとデコード](#Base64-Encoding-and-Decoding)  
[Base64URLエンコードとデコード](#Base64URL-Encoding-and-Decoding)  
[NetBIOSエンコードとデコード](#NetBIOS-Encoding-and-Decoding)  
[NetBIOSUエンコードとデコード](#NetBIOSU-Encoding-and-Decoding)  
[マスクエンコードとデコード](#Mask-Encoding-and-Decoding)  
[実際の攻撃事例](#Cases-in-the-Wild)  
[結論](#Conclusion)  
[IoC](#Indicators-of-Compromise)  
[追加リソース](#Additional-Resources)

## **メタデータのエンコード用アルゴリズム**

Cobalt Strikeがサポートするエンコード方式は5つあります。RSAで暗号化したメタデータをエンコードすれば、ネットワークプロトコルでこの暗号化したバイナリデータを簡単に転送できるようになります。
![Cobalt Strikeがサポートするメタデータのエンコード方式は、Base64、Base64URL、Mask、NetBIOS、NetBIOSUです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image.png) 図 1. Cobalt Strike プロファイルのエンコード方式

## **Base64エンコードとデコード**

Base64エンコードとデコードは標準的なRFC用アルゴリズム実装です。作者はBase64の文字集合になんら変更をくわえていません。データのエンコードとデコードに使用される文字の一覧は次のとおりです。

**\[ 'A', 'B', 'C', 'D', 'E', 'F', 'G', 'H', 'I', 'J', 'K', 'L', 'M', 'N', 'O', 'P', 'Q', 'R', 'S', 'T', 'U', 'V', 'W', 'X', 'Y', 'Z', 'a', 'b', 'c', 'd', 'e', 'f', 'g', 'h', 'i', 'j', 'k', 'l', 'm', 'n', 'o', 'p', 'q', 'r', 's', 't', 'u', 'v', 'w', 'x', 'y', 'z', '0', '1', '2', '3', '4', '5', '6', '7', '8', '9', '+', '/' \]**

MalleableプロファイルでのBase64アルゴリズムの使用について、実際の例をとりあげて理解しましょう。

1. プロファイルのメタデータ

[Havex.profile](https://github.com/rsmudge/Malleable-C2-Profiles/blob/26323784672913923d20c5a638c6ca79459e8529/APT/havex.profile)は侵害システムに関するメタデータ情報をBase64エンコードで変換してから送信します。図2は、メタデータがBase64エンコードアルゴリズムでエンコードされ、その結果がCookieヘッダに配置される様子を示しています。
![Havexプロファイルのメタデータエンコードオプション。この図が示すようにメタデータはBase64エンコードアルゴリズムでエンコードされ、その結果がCookieヘッダに配置される。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-1.png) 図 2. Havexプロファイル内のメタデータエンコードオプション

2. HTTP C2トラフィック

図3はこのプロファイルが生成したHTTP C2トラフィックです。ハイライト表示した部分が侵害システムに関するメタデータをBase64エンコードしたものです。
![Havexプロファイルが生成したHTTP C2トラフィック。ハイライト表示した部分が侵害システムに関するメタデータをBase64エンコードしたものです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-2.png) 図 3. Havexプロファイルが生成したHTTP C2トラフィック

3. Base64デコード

* エンコードされたメタデータは何を使ってデコードしてもかまいません。私たちはPythonのBase64 ライブラリでデコードしました。図4はこのデータをデコードして16進数で表示するスクリプトのサンプルです。
* 以下はこのスクリプトでデコードしたデータで、侵害システムに関するRSA暗号化されたメタデータです。  
  **"** 751990bee317e74e4f2aa6f13078ef22dd884e065b738f8373f49dee401a069d5dfd1d3e39e94cc637e21364e1fd71ab3322fb9c7a987fc6aa27dfab981f077e7ddc2f20aba8e9d841250adc4edd4d15082445869278f2bbcf66e145aa74152a22b85c9b6c5f15d69f7d8b3708b33deea7198683d6468bd0424f537617f759b5\*\*"\*\*

![サンプルのPythonスクリプト。これでデータをデコードして16進数で表示する](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-3.png) 図 4. サンプルのPythonスクリプト。これでデータをデコードする

## **Base64URLエンコードとデコード**

Base64URLはBase64エンコードアルゴリズムの変形版で、URLとファイル名を問題なく扱える文字集合をエンコードとデコードに使用します。以下がその文字集合です。

**\[ 'A', 'B', 'C', 'D', 'E', 'F', 'G', 'H', 'I', 'J', 'K', 'L', 'M', 'N', 'O', 'P', 'Q', 'R', 'S', 'T', 'U', 'V', 'W', 'X', 'Y', 'Z', 'a', 'b', 'c', 'd', 'e', 'f', 'g', 'h', 'i', 'j', 'k', 'l', 'm', 'n', 'o', 'p', 'q', 'r', 's', 't', 'u', 'v', 'w', 'x', 'y', 'z', '0', '1', '2', '3', '4', '5', '6', '7', '8', '9', '-', '\_' \]**

標準Base64文字集合との違いは、変形版が「+」を「-」に、「/」を「\_」に置き換えているところです。パディング文字の「=」はエンコードデータには含まれません。通常、URIではパーセントエンコードが行われるためです。

MalleableプロファイルでのBase64URLアルゴリズムの使用について、実際の例をとりあげて理解しましょう。

1. プロファイルのメタデータ

[Cnnvideo\_getonly.profile](https://github.com/rsmudge/Malleable-C2-Profiles/blob/26323784672913923d20c5a638c6ca79459e8529/normal/cnnvideo_getonly.profile)はメタデータ情報の変換にBase64URLエンコードを使います。なお、このプロファイルは正規のCNN HTTPトラフィックを模倣していることからその名がついていますが、当該組織とは無関係なので注意してください。さて、図5はBase64URLエンコードアルゴリズムでメタデータをエンコードし、パラメータgにデータをアペンドしたところを示しています。
![このサンプルでは、メタデータをBase64エンコードアルゴリズムでエンコードし、そのデータをパラメータgにアペンドしている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-4.png) 図 5. Cnnvideoプロファイルでのメタデータエンコード

2. HTTP C2トラフィック

図6はBeaconが生成するHTTP C2トラフィックを示したものです。パラメータの値は侵害システムに関するメタデータをBase64URLでエンコードしたものです。
![Beaconが生成するHTTPトラフィック。パラメータの値は侵害システムに関するメタデータをBase64URLでエンコードしたものです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-5.png) 図 6. Cnnvideoプロファイルが生成したHTTP C2トラフィック

3. Base64URLデコード

このデータのデコード方法はいくつかあります。

* 「+」を「-」に、「\_」を「/」に置き換えてパディング文字の「=」を追加する。置換した文字列は標準Base64エンコードデータになるので任意のBase64デコードツールを使って暗号化メタデータを得られる。
* スクリプト言語に処理させる。図7にこのデータをデコードするPythonスクリプトのサンプルを示す。urlsafe\_b64decode命令は文字を置き換えるだけでパディング文字は追加しないのでこのサンプルでは「=」を追加してBase64エンコードと互換の出力を得ている。パディング文字はもっと追加してもよい。Pythonはパディングが少なすぎる場合にのみエラーを返す。
* このスクリプトで出力されるRSAで暗号化されたメタデータは次のとおり。"60495dff002eddaa0c409aaaae0fda592810993ae0ae319c87d62b65c54d92447daf2c1bc84930c5d90ed3a023227e254d3a2c28763be372bb7444ef5719d5948b99d33ede3775f51c216bba97bc5fd4777e819517e89a737284c784bdc30b1d6b3b7debe2448c1dc28b00e3ac611fd5a8fd070502f3f7f672786f6b5787af51"

![サンプルのPythonスクリプト。これでデータをデコードする。urlsafe\_b64decode命令は文字を置き換えるだけでパディング文字は追加しない。このサンプルでは '=' を追加してBase64エンコードと互換の出力を得ている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-6.png) 図 7. Base64URLをデコードするPythonスクリプト

## **NetBIOSエンコードとデコード**

NetBIOSエンコードはNetBIOSサービス名のエンコードに使用されます。Cobalt StrikeはC2通信で被害システムのメタデータを転送するさいこのアルゴリズムでエンコードしています。

NetBIOSのエンコードアルゴリズムは各バイトを2バイトのASCII文字で表現します。入力バイトの各4ビット（これを「ニブル」という）に2進数の右寄せ/ゼロ埋めを行い、それぞれを別のバイトとして扱います。その数値は次にASCII文字の「a」の値に加算され、結果として得られたバイトもそれぞれ別のバイトとして保存されます。エンコードに使用する文字集合は\*\*\[a', 'b', 'c', 'd', 'e', 'f', 'g', 'h', 'i', 'j', 'k', 'l', 'm', 'n', 'o', 'p'\]です。\*\*

図8はエンコード処理の様子を示したものです。
![NetBIOSのエンコード処理を元のバイトからニブルを分割する手順、最後に'a' (16進数で0x61)を追加する手順まで実演。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-7.png) 図 8. NetBIOSのエンコード処理

MalleableプロファイルでのNetBIOSアルゴリズムの使用について、実際の例をとりあげて理解しましょう。

1. プロファイルのメタデータ

[Ocsp.profile](https://github.com/rsmudge/Malleable-C2-Profiles/blob/26323784672913923d20c5a638c6ca79459e8529/normal/ocsp.profile)は被害システムのメタデータ変換にNetBIOSエンコードを使います。図9は、メタデータがNetBIOSエンコードアルゴリズムでエンコードされる様子を示しています。得られたデータはURIにアペンドされます。
![メタデータがNetBIOSアルゴリズムでエンコードされています。得られたデータはURIにアペンドされます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-8.png) 図 9. OCSPプロファイルでのメタデータエンコード

2. HTTP C2トラフィック

図10はBeaconがOCSPプロファイルで生成するHTTPトラフィックを示したものです。
![図 10. OCSPプロファイルが生成したHTTP C2トラフィック](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-9.png) 図 10. OCSPプロファイルが生成したHTTP C2トラフィック

3. NetBIOSデコード

図11は、NetBIOSでエンコードされたメタデータをデコードするPythonの実装です。

スクリプトの出力は侵害システムに関するメタデータをRSAで暗号化したものです。"5725245edcb589b305e33e02da1cda208ed083bed8a1ae0b3a87da0f9d6ebe31025ab67c58572acb9757288cc2e78bea414249fa8cb0783485a1b5a3c0863501fc1c89c6ac59b7129c51cacbfa197cc64eea31ec8ac204cbcdbefaecf19762f9efcc56280f3e9b183c37f98f371f5e1c08b645524646d7010af4408f4ebb8a2f"
![NetBIOSでエンコードされたメタデータをデコードするPythonの実装。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-10.png) 図 11. NetBIOSエンコードをデコードするPythonスクリプト

## **NetBIOSUエンコードとデコード**

NetBIOSUは先のNetBIOSエンコードアルゴリズムを若干変更したもので、エンコードに使用する文字集合が異なっています。NetBIOSUの文字集合は、通常のNetBIOSアルゴリズムで使用される文字集合を大文字にしたもので、その内容は\*\*\['A', 'B', 'C', 'D', 'E', 'F', 'G', 'H', 'I', 'J', 'K', 'L', 'M', 'N', 'O', 'P'\]\*\*です。

NetBIOSUのエンコード処理はNetBIOSのアルゴリズムと同じです。詳しくは、図8を参照してください。

MalleableプロファイルでのNetBIOSUアルゴリズムの使用について、実際の例をとりあげて理解しましょう。

1. プロファイルのメタデータ

[Asprox.profile](https://github.com/rsmudge/Malleable-C2-Profiles/blob/26323784672913923d20c5a638c6ca79459e8529/crimeware/asprox.profile)は被害システムのメタデータ変換にNetBIOSUエンコードを使います。図12は、メタデータがNetBIOSUエンコードアルゴリズムでエンコードされる様子を示しています。得られたデータはURIにアペンドされます。
![メタデータがNetBIOSUエンコードアルゴリズムでエンコードされる様子。得られたデータはURIにアペンドされます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-11.png) 図 12. asproxプロファイルでのメタデータエンコード

2. HTTP C2トラフィック

図13は、Beaconがasproxプロファイルで生成するHTTPトラフィックを示したもので、ハイライトした箇所が被害システムに関するメタデータです。
![Beaconがasproxプロファイルで生成するHTTPトラフィック。ハイライトした箇所が被害システムに関するメタデータ。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-12.png) 図 13. Beaconがasproxプロファイルで生成するHTTPトラフィック

3. NetBIOSUデコード

図14は、NetBIOSUでエンコードされたメタデータをデコードするPythonの実装です。

スクリプトの出力は侵害システムに関するメタデータをRSAで暗号化したものです。  
"722676e535f86ffc29ba1cafb9856d98d1f697a83b0afc5bb143e2cf2242152a351081fb837192da3e3b2d9021fab75ce32677b6299a24d15e28db883adb36c5fe448d5eb47014f6d2e72eff389f0176efced60380450c87e2015a8c5de6aa90dc8f105683ac5fd96dc33d4d63da62818facda595910cf9aee10f36fe54d4a6a"
![NetBIOSUでエンコードされたメタデータをデコードするPythonの実装。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-13.png) 図 14. NetBIOSUエンコードをデコードするPythonスクリプト

## **マスクエンコードとデコード**

マスクエンコードアルゴリズムはMalleable C2プロファイルのほかのエンコードアルゴリズムに指定して組み合わせで使えます。その内容をTeamServerがロードしてC2通信として使うことができます。Beaconはランダムな4バイトをマスクのXORキーとして生成します。次に、生成したマスクキーで、暗号化した128バイトのメタデータをXORし、マスクキーと暗号化データをC2通信のためにTeamServerに送ります。例として [randomized.profile](https://github.com/rsmudge/Malleable-C2-Profiles/blob/master/normal/randomized.profile)の内容を順を追って説明します。

1. 図15はメタデータをマスクとBase64URLでエンコードしたプロファイルの一部を示しています。このプロファイルではURIとメタデータのエンコードアルゴリズムをマスクとBase64URLと定義しているので、エンコードされたメタデータはURIにアペンドされます。
   ![メタデータをマスクとBase64URLでエンコードしたプロファイルの一部を示したもの。このプロファイルではURIとメタデータのエンコードアルゴリズムをマスクとBase64URLと定義しているので、エンコードされたメタデータはURIにアペンドされます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-14.png) 図 15. ランダム化されたプロファイルのメタデータエンコードオプション

2. HTTP C2トラフィック

図16は図15のプロファイルに基づくC2トラフィックなので、次の手順でエンコードデータを元に戻せます。

* キャプチャしたトラフィックから、全体のURIが/zChN7QMDhftv10Li9Cu-fm\_T\_3qDQawT-Z1GzNg1FWfAfSILT-u\_rKLvXP-RE0ac-pxJTlGFCUIm4Aw9rGHPCIJVl0zNdCbM\_G2VkYXJ5GGtVh8LWM4YLGZD9okLcFBc402j5zESK71HaR\_owJb-AVBfFvAo8q0I2J74rmfGyIROygであることがわかります。
* 接頭辞の/zCを取り除きます。残りの値はBase64URLでエンコードされています。  
  hN7QMDhftv10Li9Cu-fm\_T\_3qDQawT-Z1GzNg1FWfAfSILT-u\_rKLvXP-RE0ac-pxJTlGFCUIm4Aw9rGHPCIJVl0zNdCbM\_G2VkYXJ5GGGtVh8S0LWMM4YLGZD9okLcFBc402j5zESK71HaR\_owJb-AVBfFvAo8q0I2J74rmfGyIROyg

![図15のプロファイルに基づくC2トラフィック。本文で詳しく説明した手順でエンコードデータを元に戻せる。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-15.png) 図 16. ランダム化されたプロファイルに基づくC2トラフィック

3. データのエンコードとデコード

* Base64URLのエンコードとデコード Base64URLエンコードされたデータ:  
  hN7QMDhftv10Li9Cu-fm\_T\_3qDQawT-Z1GzNg1FWfAfSILT-u\_rKLvXP-RE0ac-pxJTlGFCUIm4Aw9rGHPCIJVl0zNdCbM\_G2VkYXJ5GGGtVh8S0LWMM4YLGZD9okLcFBc402j5zESK71HaR\_owJb-AVBfFvAo8q0I2J74rmfGyIROyg
* Base64URLデコードされたデータ: 84ded030385fb6fd742e2f42bbe7e6fd3ff7a8341ac13f99d46ccd8351567c07d220b4febbfaca2ef5cff9113469cfa9c494e5185094226e00c3dac61cf088255974ccd7426ccfc6d959185c9e46186b5587c4b42d630ce182c6643f6890b70505ce34da3e731122bbd47691fe8c096fe01505f16f028f2ad08d89ef8ae67c6c8844eca0 図17に示したコードのように、PythonのBase64ライブラリを使ってBase64URLでエンコードしたデータをデコードすると、デコードされた16進データの長さは132で、最初の4バイト(84ded030)がマスクのXORキーです。残りの128バイトは、マスクのXORアルゴリズムでエンコードされたメタデータです。PythonコードでのBase64URLデコードを以下に示します。

![Python Base64ライブラリでBase64URLエンコードされたデータをデコードする。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-16.png) 図 17. Base64URLデコードを行うPython3のコード

* マスクのエンコードとデコード: マスクのキーは84ded030です。マスクエンコードしたデータは以下のようになります。385fb6fd742e2f42bbe7e6fd3ff7a8341ac13f99d46ccd8351567c07d220b4febbfaca2ef5cff9113469cfa9c494e5185094226e00c3dac61cf088255974ccd7426ccfc6d959185c9e46186b5587c4b42d630ce182c6643f6890b70505ce34da3e731122bbd47691fe8c096fe01505f16f028f2ad08d89ef8ae67c6c8844eca0マスクデコードしたデータ:  
  bc8166cdf0f0ff723f3936cdbb2978049e1fefa950b21db3d588ac3756fe64ce3f241a1e71112921b0b71f99404a3528d44af25e841d0af6982e5815ddaa1ce7c6b21ff65d87c86c1a98c85bd1591484a9bddcd10618b40fec4e67358110e4eabaadc1123f0aa6a17a52d95f64cbd5c1ebdc5f1a545359df0e38ac5c0c9a3c90
  
  図18のPythonコードでマスクエンコードしたデータをデコードすると、デコードされた16進データの長さは128バイトになります。この128バイトはRSAアルゴリズムで暗号化されたメタデータで、詳細はちかく公開予定のブログで解説します。
  
  マスクデコードを行うPythonコード:

![このPythonコードはMaskエンコードしたデータのデコードに使える](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-17.png) 図 18. マスクデコードを行うPython3のコード

## **実際の攻撃事例**

以下のセクションでは、実際にマルウェアによる使用が確認された、2つの異なる事例でのCobalt Strikeペイロードを紹介します。1つめの事例ではBase64エンコードが使われ、2つめの事例ではBase64URLエンコードが使われています。パロアルトネットワークスは[AutoFocus](https://www.paloaltonetworks.jp/cortex/autofocus)システムのUnit42.CobaltStrikeタグ以下で静的・動的分析によりこれらのペイロードを特定しました。

### Base64エンコード

SHA256: 6b6413a059a9f12d849c007055685d981ddb0ff308d6e3c2638d197e6d3e8802
![マルウェアによるCobalt Strikeの利用実例。この事例ではメタデータがBase64でエンコードされている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-18.png) 図 19. Base64エンコード

### Base64URLエンコード

SHA256: f6e75c20ddcbe3bc09e1d803a8268a00bf5f7e66b7dbd221a36ed5ead079e093
![マルウェアによるCobalt Strikeの利用実例。この事例ではメタデータがBase64URLでエンコードされている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/05/word-image-19.png) 図 20. Base64URLエンコード

## **結論**

Cobalt Strikeは侵害後のアクターをエミュレートする強力なツールです。上記の5つのエンコードアルゴリズムは巧妙で、セキュリティ検出回避をねらって設計されています。セキュリティアプライアンス単体ではCobalt Strikeの攻撃を防げないので、ファイアウォール、サンドボックス、エンドポイント、さらにこれらすべての要素を統合してくれるソフトウェアのセキュリティソリューションを組み合わせて使うことが必要になります。

パロアルトネットワークスのお客様は、次の方法でこの種の攻撃から保護されています。

1. [脅威防御](https://www.paloaltonetworks.jp/products/secure-the-network/subscriptions/threat-prevention)シグネチャ86445と86446を含む[次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall)(NGFW)は、デフォルトプロファイルのBase64メタデータエンコードを行うHTTP C2リクエストを識別します。
2. NGFW用のセキュリティサブスクリプション[WildFire](https://www.paloaltonetworks.jp/network-security/wildfire)と[Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)はCobalt Strike Beaconを識別・ブロックします。
3. [AutoFocus](https://www.paloaltonetworks.com/products/secure-the-network/subscriptions/autofocus)をお使いのお客様は次のタグを使用してこれらのアクティビティを追跡できます: [CobaltStrike](https://autofocus.paloaltonetworks.com/#/tag/Unit42.Cobaltstrike)

## **IoC (侵害指標)**

### Cobalt Strike サンプル

* 6b6413a059a9f12d849c007055685d981ddb0ff308d6e3c2638d197e6d3e8802
* f6e75c20ddcbe3bc09e1d803a8268a00bf5f7e66b7dbd221a36ed5ead079e093

### Cobalt Strike Beacon サンプル

* /n9Rd
  * SHA256ハッシュ:
    * fc95e7f4c8ec810646c16c8b6075b0b9e2cc686153cdad46e82d6cca099b19e7
* /flas
  * SHA-256ハッシュ:
    * 11b8beaa53353f5f52607e994849c3086733dfa01cc57fea2dae42eb7a6ee972

### Cobalt Strike TeamServerのIPアドレス

* 80\.255.3\[.\]109
* 143\.244.178\[.\]247

## **追加リソース**

[Cobalt Strike Training (Cobalt Strikeトレーニング)](https://www.cobaltstrike.com/training)  
[Cobalt Strike Malleable C2 Profile (Cobalt Strike Malleable C2プロファイル)](https://www.cobaltstrike.com/help-malleable-c2)  
[Cobalt Strike解析\&チュートリアル: Malleable C2プロファイルでCobalt Strike検出が難しくなる理由](https://unit42.paloaltonetworks.jp/cobalt-strike-malleable-c2-profile/)  
[Cobalt Strike Attack Detection \& Defense Technology Overview](https://live.paloaltonetworks.com/t5/blogs/cobalt-strike-attack-detection-amp-defense-technology-overview/ba-p/533753)  
トップに戻る

### タグ

* [C2](https://unit42.paloaltonetworks.com/ja/tag/c2-ja/ "C2")
* [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike")
* [Cobalt Strike Series](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-series-ja/ "Cobalt Strike Series")
* [Evasion](https://unit42.paloaltonetworks.com/ja/tag/evasion-ja/ "Evasion")
* [Malleable C2 profile](https://unit42.paloaltonetworks.com/ja/tag/malleable-c2-profile-ja/ "malleable C2 profile")
* [Post-exploitation](https://unit42.paloaltonetworks.com/ja/tag/post-exploitation-ja/ "post-exploitation")  
  [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:BazarLoaderの解析対策技術を破る](https://unit42.paloaltonetworks.com/ja/bazarloader-anti-analysis-techniques/ "BazarLoaderの解析対策技術を破る")

### 目次

* 

### 関連記事

* [国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/ "article - table of contents")
* [React Server Components における重大な脆弱性の悪用 (12月12日更新)](https://unit42.paloaltonetworks.com/ja/cve-2025-55182-react-and-cve-2025-66478-next/ "article - table of contents")
* [AdaptixC2:実世界の攻撃で活用される新しいオープンソース フレームワーク](https://unit42.paloaltonetworks.com/ja/adaptixc2-post-exploitation-framework/ "article - table of contents")

## 関連項目 サイバーセキュリティ チュートリアル リソース

![](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/03/01_Tutorial_Category_1505x922-718x440.jpg)  
[![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-podcast-player.svg)ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) 2024年3月3日 [#### \[2024-03-04 JST 改訂\] Wireshark によるパケット解析講座 4: Pcapからのオブジェクトのエクスポート](https://unit42.paloaltonetworks.com/ja/using-wireshark-exporting-objects-from-a-pcap/)

* [Pcap](https://unit42.paloaltonetworks.com/ja/tag/pcap-ja/ "pcap")

* [Wireshark](https://unit42.paloaltonetworks.com/ja/tag/wireshark-ja/ "Wireshark")

* [Wireshark Tutorial](https://unit42.paloaltonetworks.com/ja/tag/wireshark-tutorial-ja/ "Wireshark Tutorial")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/using-wireshark-exporting-objects-from-a-pcap/ "[2024-03-04 JST 改訂] Wireshark によるパケット解析講座 4: Pcapからのオブジェクトのエクスポート")  
  ![A man wearing headphones with a microphone is focused on multiple computer screens displaying graphs and data, indicating involvement in a professional tech or analytics environment.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/02_Tutorial_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-podcast-player.svg)ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) 2023年10月10日 [#### Wireshark によるパケット解析講座 3: ホストとユーザーを特定する (2023-10-11 更新)](https://unit42.paloaltonetworks.com/ja/using-wireshark-identifying-hosts-and-users/)

* [Pcap](https://unit42.paloaltonetworks.com/ja/tag/pcap-ja/ "pcap")

* [Wireshark](https://unit42.paloaltonetworks.com/ja/tag/wireshark-ja/ "Wireshark")

* [Wireshark Tutorial](https://unit42.paloaltonetworks.com/ja/tag/wireshark-tutorial-ja/ "Wireshark Tutorial")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/using-wireshark-identifying-hosts-and-users/ "Wireshark によるパケット解析講座 3: ホストとユーザーを特定する (2023-10-11 更新)")  
  ![An abstract illustration of a video that has been paused. It includes a red progress bar and a large white Play button.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/03_Tutorial_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-podcast-player.svg)ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) 2023年9月28日 [#### Wireshark によるパケット解析講座 2: 脅威インテリジェンス調査に役立つフィルタリング設定 (2023-09-29 日更新)](https://unit42.paloaltonetworks.com/ja/using-wireshark-display-filter-expressions/)

* [Pcap](https://unit42.paloaltonetworks.com/ja/tag/pcap-ja/ "pcap")

* [Wireshark](https://unit42.paloaltonetworks.com/ja/tag/wireshark-ja/ "Wireshark")

* [Wireshark Tutorial](https://unit42.paloaltonetworks.com/ja/tag/wireshark-tutorial-ja/ "Wireshark Tutorial")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/using-wireshark-display-filter-expressions/ "Wireshark によるパケット解析講座 2: 脅威インテリジェンス調査に役立つフィルタリング設定 (2023-09-29 日更新)")  
  ![A man wearing headphones with a microphone is focused on multiple computer screens displaying graphs and data, indicating involvement in a professional tech or analytics environment.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/02_Tutorial_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-podcast-player.svg)ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) 2023年9月27日 [#### Wireshark によるパケット解析講座 1: Wiresharkの表示列をカスタマイズする (2023-09-28 更新)](https://unit42.paloaltonetworks.com/ja/unit42-customizing-wireshark-changing-column-display/)

* [Pcap](https://unit42.paloaltonetworks.com/ja/tag/pcap-ja/ "pcap")

* [Wireshark](https://unit42.paloaltonetworks.com/ja/tag/wireshark-ja/ "Wireshark")

* [Wireshark Tutorial](https://unit42.paloaltonetworks.com/ja/tag/wireshark-tutorial-ja/ "Wireshark Tutorial")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/unit42-customizing-wireshark-changing-column-display/ "Wireshark によるパケット解析講座 1: Wiresharkの表示列をカスタマイズする (2023-09-28 更新)")  
  ![A person focuses intently on a screen, with many lines of code on the monitor reflected in their glasses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/04_Tutorial_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-podcast-player.svg)ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) 2023年9月1日 [#### Unit 42 Wireshark クイズ 2023年8月: 解答編 − RedLine Stealer](https://unit42.paloaltonetworks.com/ja/wireshark-quiz-redline-stealer-answers/)

* [Pcap](https://unit42.paloaltonetworks.com/ja/tag/pcap-ja/ "pcap")

* [Wireshark Tutorial](https://unit42.paloaltonetworks.com/ja/tag/wireshark-tutorial-ja/ "Wireshark Tutorial")

* [Redline infostealer](https://unit42.paloaltonetworks.com/ja/tag/redline-infostealer-ja/ "Redline infostealer")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/wireshark-quiz-redline-stealer-answers/ "Unit 42 Wireshark クイズ 2023年8月: 解答編 − RedLine Stealer")  
  ![Person wearing glasses and a hoodie, sitting in a dimly lit room, focused on a computer screen displaying complex data visualizations.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/06_Tutorial_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-podcast-player.svg)ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) 2023年8月18日 [#### Unit 42 Wireshark クイズ 2023年8月: 問題編 − RedLine Stealer](https://unit42.paloaltonetworks.com/ja/wireshark-quiz-redline-stealer/)

* [Pcap](https://unit42.paloaltonetworks.com/ja/tag/pcap-ja/ "pcap")

* [Redline infostealer](https://unit42.paloaltonetworks.com/ja/tag/redline-infostealer-ja/ "Redline infostealer")

* [Wireshark Tutorial](https://unit42.paloaltonetworks.com/ja/tag/wireshark-tutorial-ja/ "Wireshark Tutorial")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/wireshark-quiz-redline-stealer/ "Unit 42 Wireshark クイズ 2023年8月: 問題編 − RedLine Stealer")  
  ![A man wearing headphones with a microphone is focused on multiple computer screens displaying graphs and data, indicating involvement in a professional tech or analytics environment.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/02_Tutorial_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-podcast-player.svg)ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) 2023年5月30日 [#### Unit 42 Wireshark クイズ 2023年4月: 解答編 − IcedIDの特定](https://unit42.paloaltonetworks.com/ja/wireshark-quiz-icedid-answers/)

* [Banking trojans](https://unit42.paloaltonetworks.com/ja/tag/banking-trojans-ja/ "banking trojans")

* [Pcap](https://unit42.paloaltonetworks.com/ja/tag/pcap-ja/ "pcap")

* [Wireshark](https://unit42.paloaltonetworks.com/ja/tag/wireshark-ja/ "Wireshark")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/wireshark-quiz-icedid-answers/ "Unit 42 Wireshark クイズ 2023年4月: 解答編 − IcedIDの特定")  
  ![A woman is intently working on a computer in a modern office environment, surrounded by screens displaying dynamic digital data and stock market numbers, highlighting a focus on financial analysis.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/04_Security-Technology_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-podcast-player.svg)ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) 2023年5月26日 [#### Unit 42 Wireshark クイズ 2023年4月: 問題編 − IcedIDの特定](https://unit42.paloaltonetworks.com/ja/wireshark-quiz-icedid/)

* [Banking trojans](https://unit42.paloaltonetworks.com/ja/tag/banking-trojans-ja/ "banking trojans")

* [Pcap](https://unit42.paloaltonetworks.com/ja/tag/pcap-ja/ "pcap")

* [Wireshark](https://unit42.paloaltonetworks.com/ja/tag/wireshark-ja/ "Wireshark")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/wireshark-quiz-icedid/ "Unit 42 Wireshark クイズ 2023年4月: 問題編 − IcedIDの特定")  
  ![Two people working in a modern office environment with one person concentrating on a computer screen displaying code while another person works in the background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/10_Security-Technology_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2023年5月15日 [#### すべては名のなかに: Unit 42による脅威攻撃者の定義・追跡手法](https://unit42.paloaltonetworks.com/ja/from-activity-to-formal-naming/)

* [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat")

* [Nomenclature](https://unit42.paloaltonetworks.com/ja/tag/nomenclature-ja/ "nomenclature")

* [Threat actors](https://unit42.paloaltonetworks.com/ja/tag/threat-actors-ja/ "threat actors")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/from-activity-to-formal-naming/ "すべては名のなかに: Unit 42による脅威攻撃者の定義・追跡手法")  
  ![A Black man in business attire using a tablet, with illuminated skyscrapers in the background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/01_Tutorial_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-podcast-player.svg)ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) 2023年3月27日 [#### Unit 42 Wireshark クイズ 2023年3月: 解答編 − Goziを追え](https://unit42.paloaltonetworks.com/ja/march-wireshark-gozi-answers/)

* [Gozi](https://unit42.paloaltonetworks.com/ja/tag/gozi-ja/ "Gozi")

* [Pcap](https://unit42.paloaltonetworks.com/ja/tag/pcap-ja/ "pcap")

* [Wireshark](https://unit42.paloaltonetworks.com/ja/tag/wireshark-ja/ "Wireshark")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/march-wireshark-gozi-answers/ "Unit 42 Wireshark クイズ 2023年3月: 解答編 − Goziを追え")

* ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg)

* ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg)  
  ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]()  
  ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png)  
  ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得

## 進化する脅威の状況を常に先取り

メール アドレス

本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。

本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。

Invalid captcha!
サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg)  
{#footer} 製品とサービス

* [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security)

* [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design)

* [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security)

* [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security)

* [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions)

* [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention)

* [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering)

* [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire)

* [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security)

* [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention)

* [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security)

* [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security)

* [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security)

* [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security)

* [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall)

* [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations)

* [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls)

* [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager)

* [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription)

* [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os)

* [Panorama](https://www.paloaltonetworks.jp/network-security/panorama)

* [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase)

* [Prisma SASE](https://www.paloaltonetworks.jp/sase)

* [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration)

* [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem)

* [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention)

* [Prisma Access](https://www.paloaltonetworks.jp/sase/access)

* [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser)

* [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan)

* [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation)

* [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security)

* [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex)

* [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud)

* [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud)

* [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security)

* [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security)

* [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security)

* [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud)

* [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex)

* [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam)

* [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)

* [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar)

* [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse)

* [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response)

* [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam)

* [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira)

* [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management)

* [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management)

* [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager)

* [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance)

* [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management)

* [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic)

* [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management)

* [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance)

* [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery)

* [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access)

* [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42)

* [予防評価](https://www.paloaltonetworks.jp/unit42/assess)

* [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond)

* [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform)

* [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners)  
  会社名

* [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us)

* [採用情報](https://jobs.paloaltonetworks.com/en/)

* [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales)

* [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility)

* [お客様向け](https://www.paloaltonetworks.jp/customers)

* [IR](https://investors.paloaltonetworks.com/)

* [拠点](https://www.paloaltonetworks.com/about-us/locations)

* [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom)  
  人気のあるリンク

* [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja)

* [コミュニティ](https://www.paloaltonetworks.com/communities)

* [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources)

* [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia)

* [イベントセンター](https://events.paloaltonetworks.com/)

* [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center)

* [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z)

* [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance)

* [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure)

* [サイトマップ](https://www.paloaltonetworks.jp/sitemap)

* [テクニカル ドキュメント](https://docs.paloaltonetworks.com/)

* [Unit 42](https://unit42.paloaltonetworks.jp/)

* [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd)
  ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg)

* [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy)

* [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center)

* [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)

* [ドキュメント](https://www.paloaltonetworks.jp/legal-notices)

Copyright © 2026 Palo Alto Networks. All Rights Reserved

* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks)
* [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/)
* JP  
  Select your language  
  ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg)

### Default Heading

Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg)  
Seekbar

![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg)  
![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg)  
Volume
![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)