[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/glupteba-malware-uefi-bootkit/) * [Japanese](https://unit42.paloaltonetworks.com/ja/glupteba-malware-uefi-bootkit/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/ "マルウェア") [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) # Glupteba の UEFI ブートキットの探索 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 6 分で読めます Related Products [![Advanced DNS Security icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced DNS Security](https://unit42.paloaltonetworks.com/ja/product-category/advanced-dns-security-ja/ "Advanced DNS Security")[![Advanced Threat Prevention icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced Threat Prevention](https://unit42.paloaltonetworks.com/ja/product-category/advanced-threat-prevention-ja/ "Advanced Threat Prevention")[![Advanced URL Filtering icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced URL Filtering](https://unit42.paloaltonetworks.com/ja/product-category/advanced-url-filtering-ja/ "Advanced URL Filtering")[![Advanced WildFire icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced WildFire](https://unit42.paloaltonetworks.com/ja/product-category/advanced-wildfire-ja/ "Advanced WildFire")[![Cloud-Delivered Security Services icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Cloud-Delivered Security Services](https://unit42.paloaltonetworks.com/ja/product-category/cloud-delivered-security-services-ja/ "Cloud-Delivered Security Services")[![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR")[![Next-Generation Firewall icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Next-Generation Firewall](https://unit42.paloaltonetworks.com/ja/product-category/next-generation-firewall-ja/ "Next-Generation Firewall")[![Prisma Cloud icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/prisma_RGB_logo_Icon_Color.png)Prisma Cloud](https://unit42.paloaltonetworks.com/ja/product-category/prisma-cloud-ja/ "Prisma Cloud") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Lior Rochberger](https://unit42.paloaltonetworks.com/ja/author/lior-rochberger/) * [Dan Yashnik](https://unit42.paloaltonetworks.com/ja/author/dan-yashnik/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2024年2月13日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [サイバー犯罪](https://unit42.paloaltonetworks.com/ja/category/cybercrime-ja/) * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [Botnet](https://unit42.paloaltonetworks.com/ja/tag/botnet-ja/) * [Botnet](https://unit42.paloaltonetworks.com/ja/tag/botnet-ja/) * [Credential stealer](https://unit42.paloaltonetworks.com/ja/tag/credential-stealer-ja/) * [Cryptocurrency mining](https://unit42.paloaltonetworks.com/ja/tag/cryptocurrency-mining-ja/) * [Redline infostealer](https://unit42.paloaltonetworks.com/ja/tag/redline-infostealer-ja/) * [Smoke Loader](https://unit42.paloaltonetworks.com/ja/tag/smoke-loader-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/glupteba-malware-uefi-bootkit/?pdf=download&lg=ja&_wpnonce=a266be986b "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/glupteba-malware-uefi-bootkit/?pdf=print&lg=ja&_wpnonce=a266be986b "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=Glupteba%20の%20UEFI%20ブートキットの探索&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fglupteba-malware-uefi-bootkit%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fglupteba-malware-uefi-bootkit%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fglupteba-malware-uefi-bootkit%2F&title=Glupteba%20の%20UEFI%20ブートキットの探索 "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fglupteba-malware-uefi-bootkit%2F&text=Glupteba%20の%20UEFI%20ブートキットの探索 "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fglupteba-malware-uefi-bootkit%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=Glupteba%20の%20UEFI%20ブートキットの探索%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fglupteba-malware-uefi-bootkit%2F "Share in Mastodon") ## 概要 Glupteba は高度なモジュール式の多目的マルウェアで、10 年以上にわたって金銭を主たる動機とするサイバー犯罪のオペレーションで観測されてきました。本稿では、2023 年 11 月頃に行われた新たなキャンペーンの感染チェーンについて解説します。 10 年以上の活動にもかかわらず、Glupteba の作者が追加した特定の機能については、これまで未発見・未報告のままでした。ここでは、これまで文書化されていなかった興味深い機能の 1 つ、Unified Extensible Firmware Interface (UEFI) ブートキットに焦点を当てます。このブートキットは OS のブート プロセスへの介入・制御が可能で、Glupteba が自身を隠し、検出や削除の非常に困難な、ステルス性の高い永続性を作りだすことができます。 この脅威は単純なバックドアとして始まりましたが、強力なボットネットへと変化し、サイバー脅威界隈のメジャー プレーヤーとして台頭しました。2010 年代初頭の発見以来、Glupteba は大きな進化を遂げ、一連の密かな変態を経てきました。この脅威は、その複雑な感染チェーンでつとに知られ、これが同マルウェアのオペレーターによる継続的開発と従来型セキュリティ対策の回避試行を誇示するものとなっています。 ![画像 1 は、Cortex XDR および XSIAM プログラムにおける Glupteba 感染チェーンのスクリーンショットです。これは 23 の分岐がある広大な樹形図です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-1.png) 図 1. Cortex XDR / XSIAM で Glupteba の感染チェーンを表示したところ。ここでは検証のため「検出のみ」のモードに設定してある パロアルトネットワークスのお客様は、[Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire)、[Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention)、[Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) などの[クラウド配信型セキュリティサービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions)を有効にした[次世代ファイアウォール (NGFW)](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) と [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) により、本稿で取り上げたマルウェアからより確実に保護されています。さらに、[Prisma Cloud](https://docs.paloaltonetworks.com/prisma/prisma-cloud) Cortex XDR Cloud Agent や Prisma Cloud Defender Agent は、既知の Glupteba マルウェアのインスタンスを監視します。[DNS Security](https://docs.paloaltonetworks.com/dns-security) は悪意のあるドメインをブロックできます。 とくに Glupteba などの UEFI ブートキットについては、Cortex Agent 8.3 の一部としてリリースされた UEFI Protection モジュールが、検出・防御機能を提供します。 | **関連する Unit 42 のトピック** | [**Malware**](https://unit42.paloaltonetworks.jp/category/malware-2-ja/), **[Botnet](https://unit42.paloaltonetworks.jp/tag/botnet-ja/)** | |------------------------|-------------------------------------------------------------------------------------------------------------------------------------------| 頭字語に関する注意: 本稿では複数の頭字語が使用されています。順番にひとまとまりとして使われる用語や、さまざまな背景を持つアナリストにとって馴染みがのない用語を記載しておきます。 |---------|-----------------------------------------------------------------------------------------------------| | **頭字語** | **用語** | | DSE | Driver signature enforcement (ドライバー署名の強制) | | ESP | EFI system partition (EFI システム パーティション) | | PPI | Pay-per-install (ペイ・パー・インストール、インストールごとの支払い) | | SPI | Serial Peripheral Interface (シリアル ペリフェラル インターフェイス) | | UEFI | Unified Extensible Firmware Interface (ユニファイド エクステンシブル ファームウェア インターフェイス) | | UPGDSED | Universal PatchGuard and Driver Signature Enforcement Disable (Universal PatchGuard とドライバー署名強制の無効化) | ## Glupteba の概要 Glupteba はモジュール形式になっていて、追加のコンポーネントやペイロードをダウンロードして実行できます。こうしたモジュール設計のおかげで、Glupteba はさまざまな攻撃シナリオや環境に適応でき、同マルウェアのオペレーターも多様なセキュリティ ソリューションに順応できます。 マルウェアの作者は長年にわたり、同マルウェアにさまざまなタスクを実行できる新たなモジュールを導入してきました。導入されたモジュールには次のようなものがあります。 * 追加ペイロードの配信 * さまざまなソフトウェアからのクレデンシャル (認証情報) 窃取 * クレジット カード データなど機微情報の窃取 * 感染システムのクリプトマイニング ボットネットへの登録 * クリプト ハイジャックとクリプトマイナーの展開 * デジタル広告詐欺の実行 * Googleアカウント情報の窃取 * UAC のバイパス、ルートキット・ブートキットの両コンポーネントの保持 * ルーターのエクスプロイトによるクレデンシャルやリモート管理アクセスの取得 最近のキャンペーンでは、攻撃者が主に Pay-per-Install (PPI) サービスを通じて Glupteba を配布し、同マルウェア オペレーターによる世界中のマシンへの大規模感染を可能にしました。 ## Glupteba の PPI エコシステムについて PPI エコシステムは、サイバー犯罪情勢において、重要かつ収益性の高い要素となっています。このモデルは当初、広告配信手段として登場したものですが、スパイウェアやマルウェアの配布という、より邪悪な目的に向け、長年進化してきました。 金銭的動機を持つ PPI サービス プロバイダーがマルウェア配布に重要な役割を果たしていることから、同モデルは悪意のあるソフトウェアの配布拡大を後押ししています。これには、PrivateLoader や SmokeLoader などの高度なダウンローダーから、Glupteba、RedLine Stealer、コインマイナー、さらにはランサムウェアなどの多用途の脅威まで、さまざまな脅威が含まれます。 PPI サービスプロバイダーは、さまざまなプラットフォームを使ってアフィリエイトを募集し、サービスを販売しています。PrivateLoader を拡散している最も人気のある PPI サービスの 1 つは Ruzki と呼ばれるものです。Ruzki は、ロシアのハッキング フォーラムでユーザー les0k によって運営されています。図 2 は、WWHClub としても知られるロシアのハッキング フォーラム WWH の les0k のアカウント概要を示しています。 ![画像 2 は、les0k のプロフィールのスクリーンショットです。金の金庫の中で金の匂いを嗅ぐ Scrooge McDuck のアイコンがあります。さまざまなバナー (WWH-CLUB, Verified Seller, Premium member, Enroll Group, Project participant, Bank of Scrooge, AutoGarant) があります。King of Installs. MessagesL 228. Reaction score: 25. Total sell: $43,416. Total purchase: $24,964.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-2.png) 図 2. ロシアのハッキング フォーラム WWHClub に表示された「king of installs (インストール王)」こと les0k の概要 マルウェア オペレーターを誘い込むために、PPI サービスはプロモーションを掲載したり、割引を提供したりすることがあります。価格は要求されるインストール数に基づいています。またほとんどの場合、価格は地域にも基づいています。 図 3 は、PPI サービス プロバイダーが、ヨーロッパと米国を除く世界中で 1,000 件のインストールに対して 70 ドルを要求している例を示しています。ヨーロッパでの 1,000 件のインストールの費用は 500 ドルで、米国で同じ数のインストールをした場合、オペレーターに 1,200 ドルの費用が要求されます。 ![画像 3 は、Telegram チャットからの PPI サービスの価格設定のスクリーンショットです。チャットには 39 人の登録者がいて、メッセージが固定されています。言語は英語とキリル文字の両方が使用されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-3.png) 図 3. WWHClub にアップロードされた Telegram メッセージに示された PPI サービスの価格モデル ## 2023 年キャンペーン 2021 年 12 月の [Google によるオペレーション妨害](https://www.bleepingcomputer.com/news/security/google-disrupts-massive-glupteba-botnet-sues-russian-operators/)の後、2022 年 12 月から Glupteba は息を吹き返し、世界中のデバイスに感染してきました。この活動は 2023 年にも続いていきます。この間、Glupteba のボットネットは新生キャンペーンとして登場し、やがて現在進行中のキャンペーン、蔓延したキャンペーンへと成長、複数の地域や業界に影響を与えていきます。このキャンペーンの被害を受けた組織は、ギリシャ、ネパール、バングラデシュ、ブラジル、韓国、アルジェリア、ウクライナ、スロバキア、トルコ、イタリア、スウェーデンなどの国々に拠点をおいていました。 ほかの最近のキャンペーン同様、攻撃者らは Glupteba を拡散するさい、Web ベースで配布したり、クラックないしバンドルされたソフトウェアのインストール ファイルを使った大規模フィッシング攻撃をしかけたりすることがよくあります (図 4)。この戦略により複数のマルウェア感染が発生しました。 ![画像 4 は、青と黄色のシールドとペアになった悪意のあるインストーラーのアイコンの行です。それぞれの下に .exe ファイル名があります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-4.png) 図 4. 2023 年に Glupteba を拡散していた悪意のあるインストーラー ファイルのアイコン 図 5 に示すように、このキャンペーンには複数の段階があります。攻撃の第 1 段階では、別のソフトウェアになりすました偽インストール ファイルの悪意のある ZIP ファイルをユーザーがダウンロードするようにしむけます。ユーザーが ZIP ファイルをダウンロードしてソフトウェアをインストールしようとすると、感染チェーンが始まります。 ![画像 5 は、ZIP ファイルから始まり、PrivateLoader、SmokeLoader、RedLine Stealer などのさまざまなローダーを配布し、ブランチの 3 と 4 で Glupteba を配布するマルウェア感染のツリー図です。最後に、XMRig Miner と STOP Ransomware のアイコンがあります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-5.png) 図 5. Glupteba を含む 2023 年のキャンペーンのマルウェア感染チェーン 脅威アクターらは、複数のマルウェア ファミリーを同時に拡散させる複雑な感染チェーンの一部として Glupteba を配布することがよくあります。この感染チェーンは多くの場合、PrivateLoader または SmokeLoader 感染から始まり、これらがほかのマルウェア ファミリーをロードし、その後 Glupteba をロードします。 たとえば、上の図 5 はある 2023 年の感染チェーンを示したものですが、これは PrivateLoader から始まって SmokeLoader につながり、さらに 2 つの Glupteba サンプルを含むほかのさまざまなマルウェアへとつながっていきます。 図 5 に示す感染チェーンは、2023 年に私たちが発見した多くの同様のチェーンの 1 つです。これらの最近のキャンペーンを分析した結果、Glupteba がこれまで文書化されたことのない UEFI ブートキットを使っていることが明らかになりました。 ## Glupteba の文書化されていない UEFI ブートキットの探索 Glupteba の UEFI ブートキット実装について解説する前に、UEFI ブートキットとその複雑さについて簡単に説明します。 ### UEFI ブートキットの概要 [UEFI](https://ja.wikipedia.org/wiki/Unified_Extensible_Firmware_Interface) は、コンピューター ハードウェアのブートに使用されるプラットフォーム ファームウェアのアーキテクチャと、オペレーティング システムとの間の対話インターフェイスを定義する仕様です。 図 6 は、UEFI システムにおけるブート プロセスのさまざまな段階を示しています。 ![画像 6 は、UEFI ブート プロセスの図です。左から右へ: Security, Pre-EFI initialization, Driver Execution environment, Boot Dev Select, transient system load, run time, and after life. これらの各セクションには複数の手順があります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-6.jpeg) 図 6. UEFI のブート プロセス出典: [Brian Richardson @ GitHub](https://github.com/tianocore/tianocore.github.io/wiki/PI-Boot-Flow) 図 6 のブート デバイス選択前の段階 (BDS) で、システムのファームウェアは SPI (Serial Peripheral Interface) のフラッシュ メモリからロードされます。次に、ブート デバイス内にある Windows ブート マネージャーを含む EFI システム パーティション (ESP) が、ホストが Windows へとブートするさいにロードされます。 ESP 内にマルウェア インプラントさえあれば、Windows の起動前にコードを実行し、さまざまなセキュリティ メカニズムを容易に妨害できるようになります。もう 1 つ考えられる方法は、ブート プロセスの初期段階でコードを実行する SPI フラッシュ メモリ内のインプラントで、これならさらに優れた能力と柔軟性を発揮できます。ただし、フラッシュ メモリ内のファームウェア インプラントを使うマルウェアには、ESP インプラントを使う場合より高い権限が必要になります。これはさらに複雑です。 2023 年時点で、公に報告のある UEFI ブートキットはほんの少数で、たとえば [LoJax](https://docs.google.com/spreadsheets/d/13_ZWhCM_vKfZCgNLqQ8AWHZmGDhsNiTnv6YO-Q6ecK4/edit#gid=1173879998) (ファームウェアインプラント) や [BlackLotus](https://www.welivesecurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-confirmed/) (ESP インプラント) などのみです。 ### Glupteba のブートキット インストーラーの分析 今回の分析は、正規の Windows バイナリー (csrss.exe) に偽装した[ブートキット インストーラー バイナリー](https://www.virustotal.com/gui/file/8e380777da39ad7a588f4d9b703adc18b4ba935c21b17f215a3da5792672f205)から始めます。このインストーラーを分析すると、文字列と関数が明らかに欠如していることがわかります。このことは、このファイルが何らかの方法でパックされていることを示しています。これはつまり、インストーラーの実際のロジック分析の前に、少々作業が必要があるということです。 逆アセンブラーでインストーラーを調べると、main 関数は最終的に以下の図 7 に示した dword\_2FA3A2C 内のアドレスにジャンプしているようです。 ![画像 7 は、コードの最初の行にある WinMain 関数のスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-7.png) 図 7. csrss.exe 内の WinMain 関数 もう 1 つの関数、dword\_2FA3A2C には、新たにアロケートされたヒープ メモリがアサインされ、PAGE\_EXECUTE\_READWRITE 権限 (図 8 参照) がセットされます。最後に、このヒープ メモリには、少なくとも部分的には実行可能なデータが格納されます。 ![画像 8 は多数のコードからなるスクリーンショットです。関数 dword\_2FA3A2C は複数行に渡っています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-8.png) 図 8. csrss.exe 内の RWX ヒープ メモリの初期化 図 9 に示すように、このコードにジャンプした後、さらにアンパックが行われ、最終的には別の RWX メモリがアロケートされて、そこにジャンプすることになります。 ![画像 9 は多数のコード行からなるスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-9.png) 図 9. csrss.exe 内での 2 回目の RWX メモリ アロケーション このメモリ領域にはアンパックされたリソースが含まれています。これには、メイン インストーラー ロジックを含む PE ファイルなどが含まれます。UEFI ブートキットに関連しないそのほかのリソースは本稿では扱いません。 このインストーラーには、main\_writeEfiGuard という関数があり、この関数が ESP にファイルを書き込みます (図 10)。 ![画像 10 は、ESP にファイルを書き込むインストーラーのスクリーンショットです。6 つの赤い四角形が強調表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-10.png) 図 10. インストーラーが main\_writeEfiGuard関数内で ESP にファイルを書き込んでいる この関数の動作をまとめると次のようになります。 1. main\_mountEFI 関数は ESP を B:ドライブにマウントする 2. B:\\EFI\\Microsoft\\Boot\\bootmgfw.efi は名前が変更されて B:\\EFI\\Microsoft\\Boot\\fw.efi になる 3. B:\\EFI\\Boot\\bootx64.efi は名前が変更されて B:\\EFI\\Boot\\old.efi になる 4. アセット embedded/bootmgfw.efi が B:\\EFI\\Microsoft\\Boot\\bootmgfw.efi と B:\\EFI\\Boot\\bootx64.efi に書き込まれる 5. アセット embedded/EfiGuardDxe.efi が B:\\EFI\\Boot\\EfiGuardDxe.efi に書き込まれる これらのアクションは Cortex XDR からイベントとして確認できます (図 11 参照)。 ![画像 11 は、Cortex XDR に表示されたイベントのスクリーンショットです。列は、Action Type, File Name, File Previous Name です。全部で 7 行あります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-11.png) 図 11. ESP へのファイル書き込みイベントを Cortex XDR 上で表示したところ この関数名 (main\_writeEfiGuard) と、ドロップされたファイル名の 1 つ (EfiGuardDxe.efi) が、私たちをただちに [EfiGuard](https://github.com/Mattiwatti/EfiGuard) へと向かわせました。 ### EfiGuard EfiGuard はオープンソースのポータブル UEFI ブートキットです。これは UEFI ドライバー (EfiGuardDxe.efi) を実行することで Windows カーネルにパッチを当て、[PatchGuard](https://ja.wikipedia.org/wiki/Kernel_Patch_Protection) と [ドライバー署名の強制](https://learn.microsoft.com/ja-jp/windows-hardware/drivers/install/driver-signing) (DSE) を無効にします。図 12 は、EfiGuard のアーキテクチャを示しています。 ![画像 12 は EfiGuard のアーキテクチャです。合計で 14 個の構成要素があります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-12.png) 図 12. EfiGuard のアーキテクチャ。出典: [Mattiwatti @ GitHub](https://github.com/Mattiwatti/EfiGuard) GitHub プロジェクトにも記載のある通り、EfiGuardDxe.efi は UEFI ドライバー エントリーにインストールするか、ドライバーをロードして Windows のロードを続けるカスタム ローダー (Loader.efi.efi) をブートすることで実行できます。Glupteba は後者の方法を使っています。 いずれの場合もドライバーは EFI Boot Service の LoadImage 関数をフックします。そしてこの関数が Windows ブート マネージャー (bootmgfw.efi) のロードをインターセプトし、最終的にカーネル (ntoskrnl.exe) にパッチを当てることになる一連のパッチを開始します (図 13)。 ![画像 13 は、EfiGuard のパッチ チェーンのスクリーンショットです。EfiGuardDxe.efi。LoadImge のフック。パッチ。Bootmgfw、efi、ImgArchStartBootApplication。パッチ。Winload.efi。OslFwpKernelSetupPhase1。パッチ。Ntoskml.exe。PatchGuard。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/image5.png) 図 13. EfiGuard のパッチ チェーン このプロジェクトは DSE を無効にする方法を 2 つサポートしています。1 つめはブート時、PatchGuard を無効にした直後に発生します。2 つめでは、EFI Runtime Service の SetVariable へのフックを介して UEFI バックドアが残されます。この SetVariable により、 user-mode のコードが、任意のカーネル空間のメモリを読み書きできるようになります。このバックドアは、ある user-mode のプログラム (EfiDSEFix.exe) によって補完されるもので、このプログラムが、カーネルの読み取り/書き込みバックドアを利用して DSE にパッチを当てます。 ### Glupteba の EfiGuard Bindiff を使って Glupteba が ESP に書き込む 2 つのファイルの類似性分析をした結果、それらが EfiGuard 内のコンポーネント EfiGuardDxe.efi と Loader.efi を再コンパイルしたものであることがすぐにわかりました (図 14 および図 15)。ログなど一部のコードは EfiGuard から削除されていました。 ![画像 14 は、EfiGuardDxe.efi の BinDiff プログラム出力のスクリーンショットです。Functions, Calls, Basic Blocks, Jumps, Instruction の 5 つの円グラフがあります。類似点を示す縦棒グラフがあります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-14.png) 図 14. BinDiff で 01e86a4dfe6e0de7857b3cf2fafd041c\[...\] とEfiGuardDxe.efi v1.1.1 を比較 ![画像 15 は、2 つのファイルを比較する BinDiff プログラム出力のスクリーンショットです。列は、Similarity, Confidence, Address, Primary Name, Type, Address, Secondary Name, Type です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-15.png) 図15. BinDiff で 9fdb7c1359f3f2f7279f1df4bde648c0\[...\] とLoader.efi v1.1.1 を比較 (一致した関数) Glupteba は Windows ブート マネージャー (bootmgfw.efi) を Loader.efi に置き換えます。Loader.efi ファイルが EfiGuardDxe.efi ドライバーをロードした後 Windows のロードが続行されます。 以下の図 16 に示すように、このマルウェアの作者は、PatchGuard と DSE を無効にするため、ブート時の方法を使ってドライバー コードを手動で変更・再コンパイルしたようです。このバイパス手法のドライバー構成は、gDriverConfig に保存され、DSE\_DISABLE\_AT\_BOOT にセットされる点に留意してください (図 17参照)。ただしこの作者は実際には、私たちのサンプルではこの構成をチェックするコード パスを削除していました。 ![画像 16 は、PatchNtoskrnl 関数が変更されている複数行のコードのスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-16.png) 図 16. 01e86a4dfe6e0de7857b3cf2fafd041c\[...\] 内の改変されたPatchNtoskrnl 関数 ![画像 17 は、Glupteba サンプルのドライバー構成のスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-17.png) 図17. 01e86a4dfe6e0de7857b3cf2fafd041c\[...\] のドライバー構成 ### Glupteba の DSE バイパスの概要 [Sophos による以前の分析](https://news.sophos.com/en-us/2020/06/24/glupteba-report/) で文書化されているように、Glupteba は以前、Windows カーネル ドライバーを使って自身を隠していました。これらのドライバーを正常にロードするために、Glupteba は [DSEFix](https://github.com/hfiref0x/DSEFix) か Universal PatchGuard and Driver Signature Enforcement Disable ([UPGDSED](https://github.com/hfiref0x/UPGDSED)) を使っていました。 DSEFix は、既知の脆弱なドライバーをドロップしてエクスプロイトすることにより、カーネル メモリ内の DSE を無効にします。UPGDSED は user-mode で実行され、やはり同じ目的のために Windows カーネルと Windows ブート ローダーのバイナリーにパッチを当てます。 私たちの現在のサンプルからは、Glupteba が DSE を無効化するツールの武器庫に EfiGuard を追加していることが明らかになりました。 インストーラー内では、関数 main\_installDriver が先程分析した関数 (main\_writeEfiGuard) を呼び出し、後者の関数が ESP にファイルを書き込みます。以下図 18 は、IDA でノードをグループ化して前者の関数のロジックの概要を示したものです。 ![画像 18 は、main\_installDriver 関数のノードの図です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-18.png) 図 18. main\_installDriver 関数内のノードを高レベルでグループ化したもの 図 18 からわかるとおり、アーキテクチャや OS のバージョン、構成に応じて、これまで説明した 3 つの DSE バイパス手法 (DSEFix、UPGDSED、EfiGuard) のいずれか 1 つが使用される可能性があります。BlackLotus ESP インプラントとは異なり、私たちは Glupteba がセキュア ブートをバイパスしているという証拠は確認していません。 ## 結論 目まぐるしく移り変わる脅威情勢において Glupteba マルウェアは現代的サイバー犯罪者らが示す複雑さや順応力の顕著な例として引き続き注目を集めています。 Glupteba における文書化されていない UEFI バイパス技術の特定は、このマルウェアのもつ革新性と回避能力を強調するものです。この新たな手法は、検出に重大な課題をもたらすだけでなく、サイバーセキュリティ専門家が継続的に防御を強化し、新たな脅威に先んじることに対する差し迫った必要性をも浮き彫りにしています。 さらに PPI エコシステムは、Glupteba 配布におけるその役割により、サイバー犯罪者らが大規模な感染を目指して相互に協力して収益化をはかる戦略に光を当てています。PPI エコシステム モデルは脅威アクターらが地下経済を利用してマルウェアを拡散していることを示し、これは包括的サイバーセキュリティ戦略と従来型防御を超えた多層型セキュリティ ソリューションの重要性を物語るものとなっています。 ## 保護と緩和策 Cortex XDR と XSIAM は、Glupteba そのほかのマルウェアを配布する 2023 年のキャンペーンで観測された悪意のあるアクティビティに対し、多数のアラートを発報しました。これらの防御・検出アラートからは、さまざまな段階や関与した多様なマルウェアが明らかになりました。 [SmartScore](https://www.paloaltonetworks.com/blog/security-operations/beating-alert-fatigue-with-cortex-xdr-smartscore-technology/) は、セキュリティの調査手法とそれに付随するデータをハイブリッド スコアリング システムに変換する弊社独自の機械学習ベースのスコアリング エンジンです。図 19 に示すように、 本インシデントのスコアは 100 点中 86 点でした。この種のスコアリングは、アナリストがどのインシデントがより緊急であるかを判断するのに役立ち、評価理由についてのコンテキストを提供し、優先順位付けを支援します。 ![画像 19 は、合計スコアが 86 で、スコアが与えられた理由と洞察をリストした SmartScore インシデント情報のスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-19.png) 図 19. インシデントに関する SmartScore の情報 パロアルトネットワークス製品をご利用のお客様は、弊社の製品・サービスにより、本グループに関連する以下の対策が提供されています。 * [Advanced WildFire](https://docs.paloaltonetworks.com/wildfire) は、本稿で解説した IoC に鑑み、機械学習モデルと分析手法の見直しと更新を行いました。 * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering)、[Advanced Threat Prevention](https://docs.paloaltonetworks.com/advanced-threat-prevention/administration)、[DNS Security](https://www.paloaltonetworks.jp/network-security/dns-security) を含む[クラウド配信型セキュリティサービス](https://docs.paloaltonetworks.com/cdss)は、同グループに関連するドメインを「悪意のあるもの (malicious)」として識別します。 * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud): Windows 仮想マシンを実行しているクラウド インフラは、Cortex XDR Cloud Agent または Prisma Cloud Defender Agent を使って Windows ベースの VM を監視する必要があります。どちらのエージェントも、弊社の WildFire から取得したシグネチャーを使い、既知の Glupteba マルウェアが Windows VM インスタンスにないかどうか監視します。 * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * 既知の悪意のあるマルウェアの実行を防止するほか、ローカル分析モジュールにもとづく機械学習と [Behavioral Threat Protection](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) によって未知のマルウェアの実行も防止します。 * Cortex XDR 3.4 から利用可能になった新たな Credential Gathering Protection を使い、クレデンシャルを収集するツールや技術から保護します。 * Cortex XDR バージョン 3.4 で新たにリリースされた Anti-Webshell Protection を使い、脅威による Web シェルからのコマンドのドロップや実行から保護します。 * Anti-Exploitation モジュールと Behavioral Threat Protection を使い、 ProxyShell や ProxyLogon 含む、さまざまな脆弱性のエクスプロイトから保護します。 * Cortex XDR Pro は振る舞い分析によりクレデンシャル ベース攻撃を含む、[エクスプロイト後のアクティビティ](https://docs.paloaltonetworks.com/cortex/cortex-xdr/cortex-xdr-analytics-alert-reference/cortex-xdr-analytics-alert-reference/analytics-alerts-by-required-data-source)を検出します。 * UEFI Protection (UEFI 保護) モジュールは、UEFI を標的とする高度な脅威を検出・防御します。Glupteba の場合、図 20 は、ESP に対して行われた悪意のある変更をブロックするモジュールを示しています。 ![画像 20 は、Glupteba をブロックする Cortex XDR と XSIAM のスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132484-20.png) 図 20. Glupteba による UEFI バイパスの防御を Cortex XDR と XSIAM で表示したところ 侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、[こちらのフォーム](https://start.paloaltonetworks.jp/contact-unit42.html)からご連絡いただくか、infojapan@paloaltonetworks.comまでメールにてご連絡いただくか、下記の電話番号までお問い合わせください(ご相談は弊社製品のお客様には限定されません)。 * 北米フリーダイヤル: 866.486.4842 (866.4.UNIT42) * EMEA: +31.20.299.3130 * APAC: +65.6983.8730 * 日本: (+81) 50-1790-0200 パロアルトネットワークスは、これらの調査結果を Cyber Threat Alliance (CTA: サイバー脅威アライアンス) のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使って、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害できます。詳細は [Cyber Threat Alliance](https://www.cyberthreatalliance.org) にてご確認ください｡ ## IoC (侵害指標) ### 2023 年のキャンペーンの Glupteba バイナリー * cfc7111da7b09e7a93b93ce690f2a4d922cc1009fea8368300f06c6fa4f85472 * 17e4590eceb4fec1e08c29b206d424172753d8472395f37d0647249ceff25817 * 61ab0e1ddaae4704999c4781deea56e1df5b05489bf4c0b892c47b36a63de9f4 * b6604ae49298c59e148b1e741ef8821ffd60c775bfb9c3234783452c54cd3069 * 8e380777da39ad7a588f4d9b703adc18b4ba935c21b17f215a3da5792672f205 * e4a2b53965b9d203d13dd4b5962b9f07270bb87e5738f44cf1126ce36019427d * c353fb081ae8e121c4dcea3ad1bc4061315728a6f0d0ac63885a4f074be5fef3 * df75b62e373e0b91f26384b21aaa8e4dc86c13078cec7e32ad595d0c86d3fedb * 5851e0b4a79208b995ab5a7e1f5247c159aac31c7c166a4bef77be14af64c1e8 * 6263a6ceb172eed7bae158d8066f70cabc42b352129547e1b5ad0c1096319d30 * 9c44bf6c3538c93c95342f5c365de46b6494a5a5764870048df7478a9d0f8723 * b84adf0716facf50418f5f228cf095e5157b6be3f04a98f26ce833057e804a4f * a000684c9fcd2d5a528161a3513f726b2307fa6b50788a568fec0930b452d59e * c867c3bda7b6f6bd228a4d7656c069bd6cf4f67ba4b075cf4113f5b109e7d9ee * 8a62d01c1f321c4adb8428771af3eae1c83fec8a0e0a047b0bc17a51d19c7c96 ### 2023 年キャンペーンの ZIP ファイル * cb347e06d97fde4c7f8dd77be59b8f57d47f6e3f998d708d21a5963bc1620835 * 46eb8b98738df13a3a8c923228ca82006c7d403c7a1aac2d6bc752023b432915 * aa3257efb3182a98f73ad413b34f68067f42c3c51b68d15abea5db01173afad8 * 75bb73decf9fd21643b834a0b3e21e8e0d33910e51efbe56a2162f1180d04802 * 18c6e5a916eea979ea52495309e4e643232832bea614688df4cec0e3123b09d0 * fdd2fbe16f96f6d2b027347fd35c2e105a483a55b43f094754c2b3374ffb051a * 9691b5846e230e0ea87b3f8a7a6dc31daae701ca0bb83e6c7df0f683bdea01e6 * 9c6af24c519d02203bfbdf568f7beb144996af9676b290a96a728ba9314b1c66 * bb809863b3145ceef7fc12ae5bca3940f18c4a24f5b4652e7b4cea6847762887 * 3a1cffaaa68dc4b5f0f94a1ec14b008444074a3faefa4beba20c857a21539bc1 * d0d58229650ff9bf3bbf8edb55c7058a2f243e900473e0ff8849c517c2f165bd * c4f45bdfecb3d8cb4dcfdc8f323cf5d15321d161ac92802aa1e77dfa94fd91ed * 84575070117b8896bafbd6f5dc364db09bea8e742f4af84884d15cab5e811060 ### Glupteba が使う EfiGuard バイナリー * 9fdb7c1359f3f2f7279f1df4bde648c080231ed21a22906e908ef3f91f0d00ee * 01e86a4dfe6e0de7857b3cf2fafd041c8b3a3241e00844cb6bfbd3bfae2d36bc ### 2023 年キャンペーン インフラ * weareelight\[.\]com * onualituyrs\[.\]org * snukerukeutit\[.\]org * stualialuyastrelia\[.\]net * sumagulituyo\[.\]org * criogetikfenbut\[.\]org * dpav\[.\]cc * humydrole\[.\]com * kggcp\[.\]com * kumbuyartyty\[.\]net * lightseinsteniki\[.\]org * liuliuoumumy\[.\]org ### 2023 年の Glupteba のプログラム データベース (PDB) ファイルの場所 * C:\\juro\\yologakib\\rihahoy71\\waxotobub.pdb ## 追加リソース * [Glupteba malware is back in action after Google disruption](https://www.bleepingcomputer.com/news/security/glupteba-malware-is-back-in-action-after-google-disruption/) -- Bleeping Computer * [Disrupting the Glupteba operation](https://blog.google/threat-analysis-group/disrupting-glupteba-operation/) -- Updates from Threat Analysis Group (TAG), Google * [Glupteba Expands Operation and Toolkit with LOLBins And Cryptominer](https://www.cybereason.com/blog/research/glupteba-expands-operation-and-toolkit-with-lolbins-cryptominer-and-router-exploit) -- Malicious Life, Cybereason * [December 2022's Most Wanted Malware: Glupteba Entering Top Ten and Qbot in First Place - Check Point Blog](https://blog.checkpoint.com/2023/01/13/december-2022s-most-wanted-malware-glupteba-entering-top-ten-and-qbot-in-first-place/) -- Check Point Blog * [First UEFI rootkit found in the wild, courtesy of the Sednit group](https://www.eset.com/me/whitepapers/lojax-first-uefi-rootkit-found-in-the-wild-courtesy-of-the-sednit-group/) -- ESET, LoJax white paper * [BlackLotus UEFI bootkit: Myth confirmed](https://www.welivesecurity.com/2023/03/01/blacklotus-uefi-bootkit-myth-confirmed/) -- We Live Security, ESET * [Glupteba malware hides in plain sight](https://news.sophos.com/en-us/2020/06/24/glupteba-report/) -- Sophos News * [DSEFix: Windows x64 Driver Signature Enforcement Overrider](https://github.com/hfiref0x/DSEFix) -- hfiref0x on GitHub * [UPGDSED: Universal PatchGuard and Driver Signature Enforcement Disable](https://github.com/hfiref0x/UPGDSED) -- hfiref0x on GitHub * [EfiGuard: Disable PatchGuard and Driver Signature Enforcement at boot time](https://github.com/Mattiwatti/EfiGuard) -- Mattiwatti on GitHub * [PrivateLoader: the loader of the prevalent ruzki PPI service](https://blog.sekoia.io/privateloader-the-loader-of-the-prevalent-ruzki-ppi-service/) -- Sekoia Blog * [PrivateLoader: The first step in many malware scheme](https://intel471.com/blog/privateloader-malware) -- Intel 471 トップに戻る ### タグ * [Botnet](https://unit42.paloaltonetworks.com/ja/tag/botnet-ja/ "botnet") * [Botnet](https://unit42.paloaltonetworks.com/ja/tag/botnet-ja/ "botnet") * [Credential stealer](https://unit42.paloaltonetworks.com/ja/tag/credential-stealer-ja/ "credential stealer") * [Cryptocurrency mining](https://unit42.paloaltonetworks.com/ja/tag/cryptocurrency-mining-ja/ "Cryptocurrency mining") * [Redline infostealer](https://unit42.paloaltonetworks.com/ja/tag/redline-infostealer-ja/ "Redline infostealer") * [Smoke Loader](https://unit42.paloaltonetworks.com/ja/tag/smoke-loader-ja/ "Smoke Loader") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:2024 年 ランサムウェア振り返り: Unit 42 によるリーク サイト分析](https://unit42.paloaltonetworks.com/ja/unit-42-ransomware-leak-site-data-analysis-all-2023/ "2024 年 ランサムウェア振り返り: Unit 42 によるリーク サイト分析") ### 目次 * ### 関連記事 * [Unit 42インシデント レスポンス レポート(2025年版): ソーシャル エンジニアリング編](https://unit42.paloaltonetworks.com/ja/2025-unit-42-global-incident-response-report-social-engineering-edition/ "article - table of contents") * [緊急時に役立つマルウェア分析時短術](https://unit42.paloaltonetworks.com/ja/accelerating-malware-analysis/ "article - table of contents") * [2024 年初めの大規模 StrelaStealer キャンペーン](https://unit42.paloaltonetworks.com/ja/strelastealer-campaign/ "article - table of contents") ## 関連項目 リソース ![Pictorial representation of ChainDrop, a self-propagating npm worm. An artistic depiction of a digital workspace featuring an open laptop with a red virus on the screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/08/03_Malware_Category_1920x900-7-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年8月6日 [#### ChainDropの脅威の概要:自己増殖型npmワームの内部](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/) * [Blockchain](https://unit42.paloaltonetworks.com/ja/tag/blockchain-ja/ "blockchain") * [ChainDrop](https://unit42.paloaltonetworks.com/ja/tag/chaindrop/ "ChainDrop") * [Claude code](https://unit42.paloaltonetworks.com/ja/tag/claude-code/ "Claude code") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/ "ChainDropの脅威の概要:自己増殖型npmワームの内部") ![Pictorial representation of the npm packages supply chain attack. Screen displaying code with a prominent alert symbol and the words 'VIRUS DETECTED' highlighted in red.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/05_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年6月2日 [#### npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/) * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Npm packages](https://unit42.paloaltonetworks.com/ja/tag/npm-packages/ "npm packages") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/ "npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)") ![Pictorial representation of Screening Serpens. An illustrated blue snake is highlighted by a red circle against a night sky. The constellation serpens.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/Serpens-Iran-A-1920x900-2-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年5月22日 [#### イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/) * [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat") * [AppDomainManager](https://unit42.paloaltonetworks.com/ja/tag/appdomainmanager/ "AppDomainManager") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/ "イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡") ![Pictorial representation of Iran cyber attacks. Close-up of a person wearing glasses, with computer code reflected in the lenses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/12_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月17日 [#### 脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/) * [APK](https://unit42.paloaltonetworks.com/ja/tag/apk-ja/ "APK") * [DDoS attacks](https://unit42.paloaltonetworks.com/ja/tag/ddos-attacks-ja/ "DDoS attacks") * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)") ![Pictorial representation of the supply chain attack compromising Axios. A giant eye made of glowing binary code.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/02_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月1日 [#### 脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/) * [API attacks](https://unit42.paloaltonetworks.com/ja/tag/api-attacks-ja/ "API attacks") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/ "脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響") ![Pictorial representation of TeamPCP. Glowing code on a screen where several word such as Crime, Hackers, and Security are highlighted in a contrasting color.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/03_Cybercrime_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年3月31日 [#### プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/) * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/ "プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃") ![Pictorial representation of phishing campaign. A blurred image focusing on a person typing on a laptop with lines of code visible on the screen, illuminated in blue and red lights, suggestive of intense coding or cyber activities.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/06_Malware_Category_1920x900-3-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年3月24日 [#### 脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/) * [Email scam](https://unit42.paloaltonetworks.com/ja/tag/email-scam/ "email scam") * [Lure](https://unit42.paloaltonetworks.com/ja/tag/lure/ "lure") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/ "脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム") ![Pictorial representation of Notepad++ supply chain compromise. A digital rendering of Earth from space, focusing on North and South America. The continents are illuminated in blue, with red lines and dots indicating data connections across various locations. Dark background highlights the vibrant network representation.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/11_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月11日 [#### 国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/) * [Backdoor](https://unit42.paloaltonetworks.com/ja/tag/backdoor-ja/ "backdoor") * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/ "国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用") ![Pictorial representation of Muddled Libra, aka Scattered Spider. A vibrant illustration of the Libra zodiac sign, featuring a stylized balance scale overlaid with a prominent Libra symbol. The background is a starry night sky with shades of purple and blue, suggesting a cosmic theme.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/03-1-Muddle-Libra-1920x900-1-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年2月10日 [#### Muddled Libraのプレイブックを覗いてみよう](https://unit42.paloaltonetworks.com/ja/muddled-libra-ops-playbook/) * [Muddled Libra](https://unit42.paloaltonetworks.com/ja/tag/muddled-libra-ja/ "Muddled Libra") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") * [Scattered Spider](https://unit42.paloaltonetworks.com/ja/tag/scattered-spider-ja/ "Scattered Spider") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/muddled-libra-ops-playbook/ "Muddled Libraのプレイブックを覗いてみよう") ![Pictorial representation of threat groups from Russia. The silhouette of a bear and the Ursa constellation inside an orange abstract planet. Abstract, stylized cosmic setting with vibrant blue and purple shapes, representing space and distant planetary bodies.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/Ursa-Russia-B-1920x900-1-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/08/Insights-icon-white.svg)Insights](https://unit42.paloaltonetworks.com/ja/category/insights-ja/) 2026年1月29日 [#### 2026年冬季オリンピックに対するロシアのサイバー脅威を理解する](https://unit42.paloaltonetworks.com/ja/russian-cyberthreat-2026-winter-olympics/) * [AI](https://unit42.paloaltonetworks.com/ja/tag/ai-ja/ "AI") * [IoT](https://unit42.paloaltonetworks.com/ja/tag/iot-ja/ "IoT") * [Russia](https://unit42.paloaltonetworks.com/ja/tag/russia-ja/ "Russia") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/russian-cyberthreat-2026-winter-olympics/ "2026年冬季オリンピックに対するロシアのサイバー脅威を理解する") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworksJapan/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)