[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/credential-gathering-third-party-software/) * [Japanese](https://unit42.paloaltonetworks.com/ja/credential-gathering-third-party-software/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/ "マルウェア") [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) # サードパーティソフトウェアからのクレデンシャル収集 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 5 分で読めます Related Products [![Advanced WildFire icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced WildFire](https://unit42.paloaltonetworks.com/ja/product-category/advanced-wildfire-ja/ "Advanced WildFire")[![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Dor Attar](https://unit42.paloaltonetworks.com/ja/author/dor-attar/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2022年9月8日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/) * [Credential theft](https://unit42.paloaltonetworks.com/ja/tag/credential-theft-ja/) * [Password stealer](https://unit42.paloaltonetworks.com/ja/tag/password-stealer-ja/) * [Threat intelligence](https://unit42.paloaltonetworks.com/ja/tag/threat-intelligence-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/credential-gathering-third-party-software/?pdf=download&lg=ja&_wpnonce=64814e76fb "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/credential-gathering-third-party-software/?pdf=print&lg=ja&_wpnonce=64814e76fb "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=サードパーティソフトウェアからのクレデンシャル収集&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcredential-gathering-third-party-software%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcredential-gathering-third-party-software%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcredential-gathering-third-party-software%2F&title=サードパーティソフトウェアからのクレデンシャル収集 "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcredential-gathering-third-party-software%2F&text=サードパーティソフトウェアからのクレデンシャル収集 "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcredential-gathering-third-party-software%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=サードパーティソフトウェアからのクレデンシャル収集%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fcredential-gathering-third-party-software%2F "Share in Mastodon") ## 概要 ソフトウェア界隈ではユーザビリティかセキュリティかの論争がたえません。多くのサードパーティプログラムは、ユーザーの認証情報(クレデンシャル)を保存することで生活を便利にし、時間を節約してくれます。ただしこの便利さはセキュリティの犠牲のうえに成り立っており、クレデンシャルの保存はパスワード窃取のリスクとなります。こうして集められたクレデンシャルは、その後サイバー攻撃に利用されるおそれがあるのです。 本稿はクレデンシャル窃取の危険性を解説するため、一般的なサードパーティソフトウェアにおけるクレデンシャルの収集シナリオをいくつか検証していきます。実際の攻撃シナリオにもとづいて、それらのサードパーティソフトウェアでパスワードがどのように保存されているのか、それらパスワードはどのように取得されているのか、パスワード取得の振る舞いをどのように監視するのかについて見ていきます。 [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)をご利用のお客様は、Windows、Linux、MacOSエージェントのCortex 3.4でリリースされたCredential Gathering Protectionモジュール(クレデンシャル収集防止モジュール)により、本稿で解説した攻撃からの保護を受けています。 |------------------|-------------------------------------------------------------------------------------------| | 関連するUnit 42のトピック | [Credential harvesting](https://unit42.paloaltonetworks.jp/tag/credential-harvesting-ja/) | ## 目次 [クレデンシャル窃取の危険性: 攻撃者のアクセス拡大方法](#post-124960-_2quwibwkhp25) [クレデンシャル収集の実際](#post-124960-_50343o6a6han) [WinSCPの場合](#post-124960-_i7lngzuqavd7) [Gitの場合](#post-124960-_1lfjbvekyyj) [RDCManの場合](#post-124960-_z3rux7vtgq3) [OpenVPNの場合](https://docs.google.com/document/d/103cqfXMa-GII-UrpAUHhyIig4VSRaYb3HxRBMV_Ktug/edit?usp=sharing) [Chromiumベースのブラウザの場合](#post-124960-_uoyret6muycd) [Firefoxブラウザの場合](#post-124960-_27p4ihbf46k4) [Emotet?](#post-124960-_68aek7oo69w) [結論](#post-124960-_phf6wzc3kb2j) [IoC](#post-124960-_hg8jgr1mkxaw) [追加リソース](#post-124960-_od9ni5mdz82p) ## クレデンシャル窃取の危険性: 攻撃者のアクセス拡大方法 クレデンシャル窃取は明らかな悪です。ただしクレデンシャル窃取がもたらす影響の大きさを強調することは重要です。 [多くの人は、複数のプログラムに同じパスワードを使いまわす傾向](https://www.enzoic.com/8-stats-on-password-reuse/)があります。しかもほとんどパスワードを変更しません。変更する場合でも、見抜かれやすいパターンでやってしまいます。 ですから、あるソースからパスワードをひとつ入手できれば、攻撃者はそのパスワードをべつのリソースに使いまわしてみることができます。使いまわしてみる対象には、しっかり保護されたソースも含まれます。つまり、安全性の高いプログラムAがあるとして、それより安全性の低いプログラムBで、同じパスワードやパターンが使われていれば、結果的にプログラムAの安全性を低下させてしまうことになるのです。 このほか、あるユーザーがオペレーティングシステム用のパスワードをほかの安全でない場所で使っていることがわかった場合、その攻撃者にはまったく新たな可能性の地平が開けることになります。 たとえばあるユーザーXがWindowsアカウントのドメインとLinuxのFTPファイルサーバーに同じパスワードを使っているとしましょう。このシナリオでユーザーXは一般的なプログラムWinSCPを使い、ファイルサーバー内のファイルを管理しています。WinSCPはパスワードの保存を推奨していませんが、ユーザーXは毎週このファイルサーバーにアクセスするので、パスワードを保存することで時間を節約したがっています。 ![WinSCPのダイアログ。赤枠で Save Password (not recommended) オプションをハイライト表示している](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image.png) 図1. WinSCPはパスワード保存を推奨していない 本稿後半でデモを行いますが、ユーザーパスワードはWinSCPの保存場所から簡単に取得できます。XのPCに侵入できれば、Xのドメインアカウントのパスワードも入手できます。なぜならパスワードが安全な状態で保存されていないからです。しかもこのパスワードはファイルサーバーへの接続にも有効です。このファイルサーバーにはなにか機微情報を含むファイルがあって、いまや攻撃者はそれらにアクセスできる状態かもしれません。そこからさらに[BloodHound](https://attack.mitre.org/software/S0521)ようなツールを使えば、組織内をどこまで侵害できそうかを推定することもできます。 ## クレデンシャル収集の実際 ### WinSCPの場合 [WinSCP](https://winscp.net/eng/docs/lang:jp)はメジャーなMicrosoft Windows用SFTP・FTPクライアントです。ローカルWindowsコンピュータとリモートサーバーとの間で、FTP・FTPS・SCP・SFTPなどでファイルをコピーするのに使います。 #### 検証したバージョン: 5\.19.6 (Build 12002 2022-02-22) #### クレデンシャルの保存場所: WinSCPは暗号化したユーザーパスワードをレジストリキーHKCU\\software\\martin prikryl\\winscp 2\\sessions\\\以下のPasswordという値に保存します。 #### クレデンシャルの復元方法: WinSCPはユーザーパスワードのビットに対して対称的な数学的演算を行います。パスワードの各バイトを受け取り、0xFF(11111111)との補数を計算した後、バイト**0xA3**(10100011)とのXORを取ります。 この暗号化処理は、補数を求めた後1回XORを行うという内容になっています。そしてそのパスワードがレジストリ値Passwordに保存されます。この一連の演算は対称的なので、同じ演算をもう一回逆順に行えば元の値を得られます。 たとえばよく使われるパスワードの「Aa123456」を例に取ってみましょう。WinSCPはこのパスワードを「1D3D6D6E6F68696A」として保存します。 図2がこのパスワードの復号手順です。 ![WinSCPのパスワード復号手順。この表のように「0xA3」とのXORを取ってからその補数を求める。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-1.png) 図2. WinSCPに保存されているパスワードの復号 このパスワードはHostName、UserNameと一緒に保存されています。Passwordのレジストリ値からこれを取得するにはパスワード先頭のインデックスを見つけねばなりませんが、この計算はとても簡単です。WinSCPのバージョンにより、レジストリ値の1バイト目か3バイト目が、ユーザー名、ホスト名、パスワードを連結した長さになります。この長さを表すバイトの後ろに続くバイトが開始インデックスで、この値は2倍されます。長さと開始インデックスは同じ方法で暗号化されています。 UserNameとHostNameも別のレジストリ値に保存されているので、その長さと値もわかっています。Passwordレジストリの値をインデックス「開始インデックス + UserNameの長さ + HosNameの長さ」から「長さ」まで復号すればパスワードを得られます。 ![このスクリーンショットは、レジストリの値をインデックス「開始インデックス + UserNameの長さ + HosNameの長さ」から「長さ」まで復号すればパスワードを得られることを示しています。その結果がパスワードです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-2.png) 図3. ユーザー名、ホスト名、パスワードが連結されている場所 #### 利用実態 私たちはこれまでに図4のようなスクリプトが複数のお客様環境で実行されている様子を確認しました。 ![Unit 42が複数の顧客環境で観測した不審なPowerShellスクリプト。デコードされたスクリプトはWinSCPのパスワードの復号を試みるもの。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-3.png) 図4. コマンドがエンコードされている不審なPowerShell * \-enc は「EncodedCommand」の略で、base-64でエンコードされた文字列がコマンドとして使用されることを意味しています。 デコードされたスクリプトからはWinSCPのパスワード復号の試みが確認されました。 ![クレデンシャル収集に使用されたPowerShellスクリプトをデコードしたもの。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-4.png) 図5. WinSCPのパスワードを抽出・復号するPowerShellスクリプト ![この図の赤い矩形は、Cortex XDRのCredential Gathering Protectionモジュールが疑わしいレジストリの操作を特定した様子を表しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-5.png) 図6. Cortex XDRがWinSCPに保存されたパスワードの読み取りを防止したところ ### Gitの場合 #### 検証したバージョン: 2\.35.1.windows.2 #### クレデンシャルの保存場所: GitではパスワードとPAT(Personal Access Token)の両方を使えます。 ユーザーがGitのクレデンシャルを保存して時間を節約したければ、次のコマンドで行えます。 git config credential.helper 'store' このコマンドを使うと、Gitはユーザーのクレデンシャルを平文で無期限にディスク上に保存します。 パスワードを含む可能性のあるファイル: * \\\.git-credentials * \\\.config\\git\\credentials Gitでは、従来のパスワードの代わりに、PATをクレデンシャルとして使えます。このトークンはよりモジュール化されていて、それぞれに異なる権限と有効期限を持つアクセストークンをいくつでも作成できます。 ユーザーのアクションをさらに細かくモジュール化してそれぞれのアクションを特定のPATに関連付けた形で制御することは可能ですが、ユーザーのPATを持つ人は当該ユーザーがアクセスできるリポジトリをすべて閲覧できます。 これらのトークンは上に記載したのと同じファイルにも平文で保存されます。 #### クレデンシャルの復元方法: これらのファイルを読める人は、ユーザー名、パスワード、トークン、関連Gitリポジトリを**平文で**見られます。 ### RDCManの場合 #### 検証したバージョン: 2\.83 リモートデスクトップ接続マネージャーの[RDCMan](https://docs.microsoft.com/ja-jp/sysinternals/downloads/rdcman)は、複数のリモートデスクトップ接続を管理します。自動チェックインシステムやデータセンターなど、定期的にマシンにアクセスする必要があるサーバーラボの管理に便利です。 #### クレデンシャルの保存場所: ユーザーがRDCManを使うセッションのパスワードを保存する場合、デフォルトの設定ファイルは%localappdata%\\Microsoft\\Remote Desktop Connection Manager\\RDCMan.settingsです。 このファイルは各RDP接続に関するメタデータ一般を含むXMLファイルです。 私たちは、このデータのなかにあるCredentialsProfilesというXMLタグに着目しました。 このタグの下にはCredentialsProfilesという別のタグがあって、その中にcredentialsProfileというXMLタグがあり、ここにPasswordというタグがあります。 ![RDCMan.settingsのcredentialsProfileというXMLタグにあるPasswordタグの内容を赤い矩形で強調表示しているところ。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-6.png) 図7 RDCMan.settingsのXMLタグを確認したところ #### クレデンシャルの復元方法: パスワードを取得するには、RDCManプログラムを利用するユーザーのコンテキストでコマンドを実行する必要があります。これはパスワードが DATA Protection API (DPAPI) を使って保存されているためです。DPAPIは[CryptProtectData](https://docs.microsoft.com/en-us/windows/win32/api/dpapi/nf-dpapi-cryptprotectdata)関数と[CryptUnprotectData](https://docs.microsoft.com/en-us/windows/win32/api/dpapi/nf-dpapi-cryptunprotectdata)関数を使うことで、あらゆる種類のデータをそれぞれの関数で対称暗号化/復号できます。 つまり、パスワードを取得するにはCryptUnprotectData関数を呼び出さねばなりません。 通常であれば、データを復号できるのは、そのデータを暗号化したユーザーと同じログインクレデンシャルを持つユーザーだけです。 RDCManからのクレデンシャル収集は、ほかのソフトウェアで見てきた例とちがい、攻撃者側に「対象ユーザーのコンテキストでソフトウェアを実行する」という余計なステップが必要ですが、その結果はじゅうぶんその価値に見合うものです。これがうまくいけば、この特定のユーザーが接続するすべてのマシンのすべてのユーザー名とそのパスワードを取得できるからです。 攻撃者が対象ユーザーのコンテキストでコマンドを実行さえできれば、あとクレデンシャル収集のためにやるべきことは以下だけです。 1. RDCMan.settingsファイルを開いてpasswordというXMLタグがあることを確認する 2. タグ内の文字列をbase64でデコードする 3. デコードしたパスワード文字列を引数に指定してCryptUnprotectData関数を呼び出す 4. 戻り値をUTF-8(ないしそのほかの適切なフォーマット)でデコードする 5. 不要なNull文字を削除する 上の例の場合、ファイルに保存されているパスワードは次のとおりです。 AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAA8/nnW5aFNUi0AKiTG4y9UQAAAAACAAAAAAAQZgAAAAEAACAAAADIjLLw0X4z9RDdWgPpqabLU7hTcJ1HVlFklpzX3eA14QAAAAAOgAAAAAIAACAAAAB01OvDCNCjaEhrq8J8hRm/SKycef7nR52ZkqcPLJqMsCAAAACg2htaeRsutDziS3FISeEAg3DsBpGxBGpPeWlUSVnXOkAAAAB5Tei9g5KWcVIhOKQ2cXxr5ONUOHMEEH5h3Lmp12mPlWaaZ6y8dGIVz8WnNKr4e73dhqNU8NyzI7RZBamS6DG6 そして復号されたパスワードはAa123456となります。 ![赤い矩形はパスワード復号結果を示す。RDCManを標的とするクレデンシャル収集が完了した状態。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-7.png) 図8 RDCManからパスワードを復元 ### OpenVPNの場合 #### 検証したバージョン: 2\.5.029 [OpenVPN](https://ja.wikipedia.org/wiki/OpenVPN)はVPN(仮想プライベートネットワーク)ソフトウェアで、ルーティング構成ないしブリッジ構成や、リモートアクセス設備内で、ポイント・ツー・ポイントまたはサイト・ツー・サイト接続を安全に行う技術を実装しています。 #### クレデンシャルの保存場所: OpenVPN はユーザーのパスワードをレジストリキーHKCU\\software\\openvpn-gui\\configs\\\ のauth-dataという値に保存します。 #### クレデンシャルの復元方法: OpenVPNもDPAPIのしくみを使っています。[エントロピー](https://docs.microsoft.com/en-us/windows/win32/api/dpapi/nf-dpapi-cryptunprotectdata)用のパラメータ(NULLに設定可能)がオプションで使えます。 暗号化の段階でオプションのエントロピー用DATA\_BLOB構造体を使った場合は、同じDATA\_BLOB構造体を復号段階でも使う必要があります。 OpenVPNの場合、このエントロピーはentropyというレジストリ値に保存されます。また、entropyレジストリの値はHKCU\\software\\openvpn-gui\\configs\\\にも格納されています。 したがって、CryptUnprotectData関数をauth-dataからのパスワードとentropy(entropyレジストリ値から)を引数にして呼び出すと、セッションパスワードを得られます。 entropyというレジストリ値には00が1バイト余分に含まれているので、それは削除する必要があります。 ![図上: OpenVPNのパスワード復元用PowerShellスクリプト。下はauth-dataとentropyのレジストリ値がreg.exeによって表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-8.png) 図9 図上: OpenVPNのパスワード復元用PowerShellスクリプト。図下: auth-dataとentropyのレジストリ値をreg.exe[(PoC](https://github.com/flyinghuman/openvpnpasswordrecovery/blob/master/openvpn-passwords.ps1))経由で表示しているところ。 ### Chromiumベースのブラウザの場合 #### 検証したバージョン: * Google Chrome: 103.0.5060.53 (Official Build) (64-bit) * Microsoft Edge: 103.0.1264.37 (Official Build) (64-bit) * Opera: 88.0.4412.53 [Chromiumプロジェクト](https://www.chromium.org/chromium-projects)は、Google Chromeブラウザを支えるオープンソースプロジェクト、Chromiumを含んでいます。 一般的傾向として、多くの人はインターネットを閲覧するさい、パスワードを保存しています。 ![このスクリーンショットは、Google Chromeの設定で保存されたパスワードを確認する際に表示される画面を再編集したものです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-9.png) 図10 Google Chrome Version 102.0.5005.115 (Official Build) (64-bit)で保存されたパスワード #### クレデンシャルの保存場所: Microsoft Edge、Opera、Google ChromeなどのChromiumベースのブラウザを使用する場合、パスワードは通常 login dataと呼ばれるSQLiteデータベースファイル内に暗号化した状態で配置されます。 各プロファイルは、パスワードデータベース(login dataファイル)を持っています。 パスワードの暗号化に使用される鍵は、親フォルダ内のlocal stateというJSONファイルに配置されています。 例: login data の場所: * Google Chrome: %localappdata%\\google\\**chrome**\\user data\\\\\login data * Microsoft Edge: %localappdata%\\microsoft\\**edge**\\user data\\\\\login data * Opera: %appdata%\\opera software\\**opera** **stable**\\\\\login data local stateの場所: * Google Chrome: %localappdata%\\google\\**chrome**\\user data\\local state * Microsoft Edge: %localappdata%\\microsoft\\**edge**\\user data\\local state * Opera: %appdata%\\opera software\\**opera stable**\\local state #### クレデンシャルの復元方法: login dataデータベース内にある各パスワードは[AES-GCM](https://ja.wikipedia.org/wiki/Advanced_Encryption_Standard)モード(Advanced Encryption Standard with GCM)で暗号化されています。AES-GCMは共通鍵暗号方式なので暗号化にも復号にも同じ鍵が使えます。AESのアルゴリズムは、128ビットブロックごとに異なる鍵を使用し、その鍵は前のブロックの計算にもとづいて作られます。最初のブロックでは、初期化ベクトル(IV)を使用するオプションがあります。 Chromiumベースのブラウザが保存しているパスワードを復号するには以下が必要です。 1. 暗号化されたパスワード 2. 初期化ベクトル 3. AES鍵 それぞれどのように取り出すかを見てみましょう。 A. 暗号化されたパスワード login dataデータベースからエクスポート可能です。暗号化されたパスワードはpassword\_value列の15番目の位置の文字から最後の文字から16文字を引いた位置までを取り出します: \[15:-16\] B. 初期化ベクトル 同じくpassword\_valueフィールド列の3番目の位置の文字から15番目の位置の文字までに格納されています: \[3:15\] C. AES鍵 local state JSONファイルに書き込まれています。書き込まれている場所はos\_cryptキーと encrypted\_keyキーの下で、これをbase64でデコードします。 ChromiumベースのブラウザはDPAPIのしくみを使ってAES鍵を保存しているので、この鍵を取得するにはbase64からデコードして対象ユーザーのコンテキストでCryptUnprotectData関数を使います。 Google Chromeの例: ![Google Chromeのlocal state JSONファイルに保存されたパスワードの例。os\_crypt、encrypted\_key、password\_managerが確認できる。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-10.png) 図11 Google Chromeのlocal state JSONファイルに保存されたパスワード これは先頭にDPAPIという5文字のプレフィックスを付けた状態で保存されています。 ![デコードされたパスワードを表す図。先頭に赤くハイライトされているのが5文字のプレフィックス。DPAPI](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-11.png) 図12. Google Chromeに保存されているパスワードをデコードしたもの 当該ユーザーのコンテキストでの実行が可能である場合に、攻撃者によるユーザークレデンシャル収集の完了までに必要なステップは次のとおりです。 1. login dataファイル、local stateファイルの両方をコピーする 2. local state JSONファイルからAES-GCM鍵を得る 3. (base64で)デコードし、(CryptUnprotectData関数で)復号し、鍵からパディングを除去する 4. login dataデータベースの各パスワードを復号されたAES-GCM鍵で復号する ![Chromeに保存されたパスワードを復元する概念実証 (PoC)、python\_Chrome\_pass.pyを実行した結果のスクリーンショット。機微情報は編集済み。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-12.png) 図13. Chromeに保存されたパスワードを復元するPoC [PythonによるChromeパスワード抽出方法についてはこちら](https://www.thepythoncode.com/article/extract-chrome-passwords-python)の記事をご覧ください。 #### 利用実態 私たちは、regsvr32.exeを使って、以下のコマンドラインでexcel.exeからDLLを動作させる例を確認しています。 C:\\windows\\system32\\regsvr32.exe C:\\users\\\\\appdata\\local\\uolegxnwf\\kgnkudbadmpogg.dll (kgnkudbadmpogg.dllのSHA256: 6599FEE8C7ADF30A00889A7070600F472F8CEAD8EA4DD1A85E724ED15F2AED0F) 一連のイベント後、最終ペイロードはMicrosoft Edgeのクレデンシャルファイルにアクセスしようとしていました。 * login dataファイル(SQLiteデータベースファイル): C:\\users\\\\\appdata\\local\\microsoft\\edge\\user data\\default\\login data * local stateファイル(暗号鍵を含む) C:\\users\\\\\appdata\\local\\microsoft\\edge\\user data\\local state ![赤い矩形はCredential Gathering Protectionモジュールと観測された暗号鍵を含むファイルパスをハイライトしています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-13.png) 図14 Cortex XDRがMicrosoft Edgeブラウザに保存されたパスワードを読み取ろうとする試みを検出したところ ### Firefoxブラウザの場合 #### 検証したバージョン: Firefox Version 101.0.1 (64-bit) これまでパスワードを保存するという振る舞いパターンに関して述べてきたことは、Mozilla Firefoxなどのブラウザを使う場合にも当てはまります。 ![Mozilla Firefoxに保存されたパスワードのスクリーンショット(鍵情報は編集済み)。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-14.png) 図15. Firefox Version 101.0.1 (64bit)に保存されているパスワード #### クレデンシャルの保存場所: Mozilla Firefoxも、Chromiumベースのブラウザ同様、プロファイルごとにパスワードファイルを持てます。 このファイルをlogins.jsonといい、これは%appdata%\\mozilla\\firefox\\profiles\\\\\logins.jsonに配置されています。 ユーザー名もパスワードも暗号化された状態で保存されています。 ![このスクリーンショットには、encryptedUsername、encryptedPasswordなどのログインデータが表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-15.png) 図16. Firefoxのlogins.jsonファイルに保存されているパスワード #### クレデンシャルの復元方法: logins.jsonファイル内の各ユーザー名とパスワードは[PKCS #11](https://en.wikipedia.org/wiki/PKCS_11)という暗号化規格で暗号化されています。FirefoxではNSSライブラリ(nss3.dll)を開発してこの規格をブラウザに採用しています。 NSSはそのバージョンによって、key3.dbかkey4.dbというファイルに[秘密鍵を保存](https://wiki.mozilla.org/NSS_Shared_DB)します。 対象ユーザーのパスワードを得るには、攻撃者はこれらのファイルのいずれか1つとlogins.jsonファイルにアクセスする必要があります。 つまり、攻撃者が対象ユーザーと同一のマシン上での実行権限を得られるなら、次のステップでパスワードを窃取可能です。 1. 攻撃者はlogins.jsonファイルをコピーする 2. NSSライブラリ(nss3.dll)をロードする 3. コピーしたlogins.jsonからencryptedUsernameとencryptedPasswordを(base64で)デコードする 4. 各入力を[SecItem](https://mozilla.github.io/python-nss-docs/nss.nss.SecItem-class.html))に格納する。このオブジェクトは後でNSS全体でバイナリデータのブロックをやり取りするのに使われる 5. 出力用のSecItemオブジェクトを作成する 6. nss3.dllのPK11復号関数を使ってencryptedUsernameとencryptedPasswordの入力オブジェクトをそれぞれ復号し、先程作った出力用SecItemオブジェクトにデータを格納する Chromiumベースのブラウザとはちがい、対象ユーザーのパスワードを取得するさい、攻撃者が当該ユーザーのコンテキストで実行している必要はありません。対象ユーザーのファイルシステムのプロファイルにアクセスする権限を持っているなら、どのユーザーでも利用可能です。 ![赤い矩形は、ユーザーSがユーザーDのクレデンシャルを収集している様子をハイライト表示している。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-16.png) 図17 ユーザーSが、Firefoxのプロファイル2に保存されたユーザーDのパスワードを収集したところ(PoC) #### 利用実態 私たちは、以下のようなスクリプトが実行されていた様子を観測しました。 ![Mozilla Firefox からのクレデンシャルを収集しようとする不審なPowerShellスクリプト。難読化されている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-17.png) 図18. 難読化された不審なPowerShellスクリプト 難読化を解除した状態: ![難読化を解除したPowerShellスクリプト。図には一連のリンクが表示されている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-18.png) 図19 難読化を解除した後のPowerShellスクリプト スクリプトの内容: 1. %localappdata%\\ujXgADというフォルダを作成する 2. $Linksの各リンクに対し、Invoke-WebRequestの作成を試み、DLLを1つダウンロードして先に作成したフォルダにrRXqwGvGNR.wTjという名前で保存する 3. エクスプロイトが成功したらbreakする 次に、エンドポイントにDLLが1つ作成され、以下のコマンドラインを指定してregsvr32.exeが使われていました。 C:\\WINDOWS\\system32\\regsvr32.exe C:\\Users\\\\\AppData\\Local\\Temp\\..\\ujXgAD\\rRXqwGvGNR.wTj このパスは回避技術が使われている点が要注目です。\\..\\を使ってLocalフォルダに戻ることで攻撃者は直接のアクセスを避けています。 regsvr32.exeの使用後: A. DLLはランダムな名前のフォルダに、ランダムな名前で、拡張子をDLLにした自分自身をコピーする C:\\Users\\\\\AppData\\Local\\\\\\.dll B. DLLが探索コマンドを複数実行する 1. 1. systeminfo: マシンの情報を一覧表示 2. ipconfig /all: マシンのすべてのネットワークインターフェイスをリストアップ 3. nltest.exe /dclist: ドメイン内の全ドメインコントローラを一覧表示 C. DLLがcertutil.exeをベースにした2つのファイルをランダムな名前で作成して実行する 1. ファイルの1つには新たなランダム名が付けられるがMicrosoftの署名がついたままになっている 2. もう1つはcertutilを改ざんしたもので、名前は元のままだが機能は異なり署名もついていない D. 上記ステップCは2回行われる 署名のないファイルのSHA256: A88C344F3F80F8A3EA2E9BA0687FEBCEE2A730FD9AC037D54C4FD21C0AB91039 CertutilのSHA256: **このファイルじたいは良性** であることに注意 D252235AA420B91C38BFEEC4F1C3F3434BC853D04635453648B26B2947352889 この署名のないcertutil.exeは、ChromiumベースのブラウザとFirefoxベースのブラウザの両方のパスワードファイルにアクセスしようとします。 図19のリンクを確認すると2つのリンクだけが機能していました。 ![クレデンシャル収集攻撃中にダウンロードされたDLLのlw1JF63zARLUV8UwpwGnWpgg.dllとRwuuPYoVei7FkJB.dll](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-19.png) 図20 ダウンロード可能だったDLL * 最初にダウンロードされたDLL: hxxps://www\[.\]yell\[.\]ge/nav\_logo/AEnTP/ ダウンロードされたファイルの名前: RwuuPYoVei7FkJB.dll (SHA256: A1D513E4A5C83895E5769C994C4D319959EF5AE3F679CE6C0C5211B5BECA7695) * 2番目にダウンロードされたDLL: hxxps://yakosurf\[.\]com/wp-includes/S/ ダウンロードしたファイル名:lw1JF63zARLUV8UwpwGnWpgg.dll (SHA256:1B8638333751EFCB6B5332C801C11DF0DE3D7077C6ACEA1D663C0302519D7172) どちらのファイルも実は同じDLLで、SHA256ハッシュを変えるささいな変更があるのみです。 このサンプルを調べたところ、最初のDLLは[Emotet](https://unit42.paloaltonetworks.jp/tag/emotet-ja/)マルウェアファミリに属するものであることが確認されました。 ![赤い矩形はCredential Gathering Protectionモジュールが鍵ファイルのパスを識別した様子を表しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-20.png) 図21. Cortex XDRがFirefoxブラウザに保存されたパスワードを読み取ろうとする試みを防止したところ Cortex XDRはこの攻撃を**発生と同時に**防止するので攻撃の次の段階が実行されていません。このマルウェアは、最初にFirefox、次にMicrosoft Edge、最後にGoogle Chromeの順でパスワードを読み取ろうとします。 デモのためにレポートモードにしたCortex XDRでの例を示します。この例からは、Credential Gathering Protectionモジュールが、Chromiumベースのブラウザに保存されたパスワードを読み取ろうとする試みについても検知していることがわかります。 ![赤い矩形はCortex XDRのCredential Gathering Protectionモジュールが鍵ファイルのパスを識別した様子を表しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-21.png) 図22. Cortex XDRがMicrosoft Edgeブラウザに保存されたパスワードを読み取ろうとする試みを検出したところ ![赤い矩形はCredential Gathering Protectionモジュールが鍵ファイルのパスを識別した様子を表しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-22.png) 図23. Cortex XDRがGoogle Chromeブラウザに保存されたパスワードを読み取ろうとする試みを検出したところ ## Emotet? Emotetが関与した事例を2つ確認したので、このマルウェアファミリとそのサードパーティクレデンシャルの収集方法についてもう少し詳しく調べてみました。マルウェアはコードをすべて自前で実装する必要がない場合もあります。Nirsoftの[WebBrowserPassView](https://www.nirsoft.net/utils/web_browser_password.html)ツールのような既存ツールをラップして、Webブラウザが保存しているパスワードを明らかにするだけでよいのです。 ![WebBrowserPassView.exeでユーザー名やパスワード、またそのそれぞれを保存しているファイルパスを表示したところ。取得された各パスワードがWebブラウザに表示されているところ(機微情報は編集済み)。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-23.png) 図24. WebBrowserPassView.exeでユーザー名やパスワード、またそのそれぞれを保存しているファイルパスを表示したところ。 Chromiumベースブラウザのlogin dataファイルとFirefoxブラウザのlogins.jsonファイルが確認できます。 ![赤い矩形はCredential Gathering Protectionモジュールが鍵ファイルのパスを識別した様子を表しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2022/09/word-image-24.png) 図25 Cortex XDRがWebBrowserPassView.exeによるWebブラウザの保存パスワード読み取り試行を防止したところ ## 結論 サードパーティのソフトウェアのなかには、クレデンシャルの保存方法が、思ったより安全ではないものもあることがわかりました。これらのプログラムのほとんどは、ユーザーのクレデンシャルをファイルやレジストリ値としてローカルディスクに保存しています。この事実が攻撃者の探すセキュリティのアキレス腱となり、組織を攻撃するためのアクセス権を与えてしまうことになります。 Cortex XDRをご利用中のパロアルトネットワークスのお客様は、新たなCredential Gathering Protectionモジュールにより、上記で解説したシナリオにくわえ、本稿で言及しなかったほかのクレデンシャル収集技術に対する保護も受けています。またLocal Analysis、BTP(Behavioral Threat Protection)、BIOC、Analytics BIOCsルールなど、追加の保護レイヤーも利用できます。 [WildFire](https://www.paloaltonetworks.jp/products/secure-the-network/wildfire)をお使いのパロアルトネットワークスのお客様は、こうしたクレデンシャルの収集を試行するツールからの保護を受けています。 NirsoftのツールはWildFireではグレーウェアとしてマークされ、XDRエージェントによってブロックされます。 ## IoC |------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | **以下のレジストリ値への不正アクセス** | | \* HKCU\\software\\martin prikryl\\winscp 2\\sessions\\\\\Password \* HKCU\\software\\openvpn-gui\\configs\\\\\auth-data \* HKCU\\software\\openvpn-gui\\configs\\\\\entropy | |--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | **以下のファイルへの不正アクセス** | | \* \\\.git-credentials \* \\\.config\\git\\credentials \* %localappdata%\\Microsoft\\Remote Desktop Connection Manager\\RDCMan.settings \* %localappdata%\\google\\chrome\\user data\\\\\login data \* %localappdata%\\microsoft\\edge\\user data\\\\\login data \* %appdata%\\opera software\\opera stable\\\\\login data \* %localappdata%\\google\\chrome\\user data\\local state \* %localappdata%\\microsoft\\edge\\user data\\local state \* %appdata%\\opera software\\opera stable\\local state \* %appdata%\\mozilla\\firefox\\profiles\\\\\logins.json \* %appdata%\\mozilla\\firefox\\profiles\\\\\key\<3/4\>.json | |----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | **悪意のあるハッシュ** | | 6599FEE8C7ADF30A00889A7070600F472F8CEAD8EA4DD1A85E724ED15F2AED0F A88C344F3F80F8A3EA2E9BA0687FEBCEE2A730FD9AC037D54C4FD21C0AB91039 A1D513E4A5C83895E5769C994C4D319959EF5AE3F679CE6C0C5211B5BECA7695 1B8638333751EFCB6B5332C801C11DF0DE3D7077C6ACEA1D663C0302519D7172 | ## 追加リソース * [Detecting Credential Stealing with Cortex XDR(Cortex XDRによるクレデンシャル窃取の検出)](https://www.paloaltonetworks.com/blog/security-operations/detecting-credential-stealing-with-cortex-xdr/) * [git-credential-storeのドキュメント](https://git-scm.com/docs/git-credential-store) * [Git Tools - Credential Storage](https://git-scm.com/book/en/v2/Git-Tools-Credential-Storage) * [GitHub Docs: 個人用アクセス トークンの作成](https://docs.github.com/ja/authentication/keeping-your-account-and-data-secure/creating-a-personal-access-token) * [CryptUnprotectData 関数 (dpapi.h)](https://docs.microsoft.com/en-us/windows/win32/api/dpapi/nf-dpapi-cryptunprotectdata) * [How Emotet is altering techniques in response to Microsoft's tightening of Workplace macro safety](https://blingeach.com/how-emotet-is-altering-techniques-in-response-to-microsofts-tightening-of-workplace-macro-safety/) * [How to crack Firefox passwords with Python](https://medium.com/geekculture/how-to-hack-firefox-passwords-with-python-a394abf18016) * [servo/nss](https://github.com/servo/nss/blob/master/lib/pk11wrap/pk11sdr.c) トップに戻る ### タグ * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting") * [Credential theft](https://unit42.paloaltonetworks.com/ja/tag/credential-theft-ja/ "credential theft") * [Password stealer](https://unit42.paloaltonetworks.com/ja/tag/password-stealer-ja/ "password stealer") * [Threat intelligence](https://unit42.paloaltonetworks.com/ja/tag/threat-intelligence-ja/ "threat intelligence") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:D-Linkの機器を狙うMirai亜種MooBot](https://unit42.paloaltonetworks.com/ja/moobot-d-link-devices/ "D-Linkの機器を狙うMirai亜種MooBot") ### 目次 * ### 関連記事 * [npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/ "article - table of contents") * [「Shai-Hulud」ワームがサプライチェーン攻撃でnpmエコシステムを侵害 （11月26日更新）](https://unit42.paloaltonetworks.com/ja/npm-supply-chain-attack/ "article - table of contents") * [AIのデュアルユースのジレンマ：悪意あるLLM](https://unit42.paloaltonetworks.com/ja/dilemma-of-ai-malicious-llm/ "article - table of contents") ## 関連項目 マルウェア リソース ![Pictorial representation of ChainDrop, a self-propagating npm worm. An artistic depiction of a digital workspace featuring an open laptop with a red virus on the screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/08/03_Malware_Category_1920x900-7-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年8月6日 [#### ChainDropの脅威の概要:自己増殖型npmワームの内部](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/) * [Blockchain](https://unit42.paloaltonetworks.com/ja/tag/blockchain-ja/ "blockchain") * [ChainDrop](https://unit42.paloaltonetworks.com/ja/tag/chaindrop/ "ChainDrop") * [Claude code](https://unit42.paloaltonetworks.com/ja/tag/claude-code/ "Claude code") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/ "ChainDropの脅威の概要:自己増殖型npmワームの内部") ![Pictorial representation of the npm packages supply chain attack. Screen displaying code with a prominent alert symbol and the words 'VIRUS DETECTED' highlighted in red.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/05_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年6月2日 [#### npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/) * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Npm packages](https://unit42.paloaltonetworks.com/ja/tag/npm-packages/ "npm packages") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/ "npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)") ![Pictorial representation of Screening Serpens. An illustrated blue snake is highlighted by a red circle against a night sky. The constellation serpens.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/Serpens-Iran-A-1920x900-2-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年5月22日 [#### イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/) * [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat") * [AppDomainManager](https://unit42.paloaltonetworks.com/ja/tag/appdomainmanager/ "AppDomainManager") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/ "イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡") ![Pictorial representation of Iran cyber attacks. Close-up of a person wearing glasses, with computer code reflected in the lenses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/12_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月17日 [#### 脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/) * [APK](https://unit42.paloaltonetworks.com/ja/tag/apk-ja/ "APK") * [DDoS attacks](https://unit42.paloaltonetworks.com/ja/tag/ddos-attacks-ja/ "DDoS attacks") * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)") ![Pictorial representation of the supply chain attack compromising Axios. A giant eye made of glowing binary code.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/02_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月1日 [#### 脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/) * [API attacks](https://unit42.paloaltonetworks.com/ja/tag/api-attacks-ja/ "API attacks") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/ "脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響") ![Pictorial representation of TeamPCP. Glowing code on a screen where several word such as Crime, Hackers, and Security are highlighted in a contrasting color.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/03_Cybercrime_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年3月31日 [#### プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/) * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/ "プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃") ![Pictorial representation of phishing campaign. A blurred image focusing on a person typing on a laptop with lines of code visible on the screen, illuminated in blue and red lights, suggestive of intense coding or cyber activities.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/06_Malware_Category_1920x900-3-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年3月24日 [#### 脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/) * [Email scam](https://unit42.paloaltonetworks.com/ja/tag/email-scam/ "email scam") * [Lure](https://unit42.paloaltonetworks.com/ja/tag/lure/ "lure") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/ "脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム") ![Pictorial representation of Notepad++ supply chain compromise. A digital rendering of Earth from space, focusing on North and South America. The continents are illuminated in blue, with red lines and dots indicating data connections across various locations. Dark background highlights the vibrant network representation.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/11_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月11日 [#### 国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/) * [Backdoor](https://unit42.paloaltonetworks.com/ja/tag/backdoor-ja/ "backdoor") * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/ "国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用") ![Pictorial representation of runtime assembly attacks. Digital artwork of a glowing, futuristic shield disintegrating into small particles, set against a dark blue, bokeh-effect background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/09_Business_email_compromise_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月22日 [#### ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/ "ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成") ![Pictorial representation of SLOW#TEMPEST campaign. Digital artwork depicting a malware alert symbol on a computer screen, with background of blurred programming code in blue and red colors.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/07_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月2日 [#### Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer](https://unit42.paloaltonetworks.com/ja/vvs-stealer/) * [Discord](https://unit42.paloaltonetworks.com/ja/tag/discord/ "Discord") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") * [Python](https://unit42.paloaltonetworks.com/ja/tag/python-ja/ "Python") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/vvs-stealer/ "Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)