[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/)  
[![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/)  
Menu

* [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42)
* [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html)  
  Japanese
* [English](https://unit42.paloaltonetworks.com/manageengine-godzilla-nglite-kdcsponge/)
* [Japanese](https://unit42.paloaltonetworks.com/ja/manageengine-godzilla-nglite-kdcsponge/)
* [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research")
* [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ")
* [国家支援型サイバー攻撃](https://unit42.paloaltonetworks.com/ja/category/nation-state-cyberattacks-ja/ "国家支援型サイバー攻撃")  
  [国家支援型サイバー攻撃](https://unit42.paloaltonetworks.com/ja/category/nation-state-cyberattacks-ja/)

# ManageEngine ADSelfService Plusに対する標的型攻撃キャンペーンで防衛関連企業など機密情報を扱う産業分野が被害を受けたことが判明

![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 5 分で読めます  
Related Products  
[![Advanced WildFire icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced WildFire](https://unit42.paloaltonetworks.com/ja/product-category/advanced-wildfire-ja/ "Advanced WildFire")[![Cortex icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex](https://unit42.paloaltonetworks.com/ja/product-category/cortex-ja/ "Cortex")[![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR")[![Cortex Xpanse icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex Xpanse](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xpanse-ja/ "Cortex Xpanse")

* ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg)  
  著者:
  
  * [Jeff White](https://unit42.paloaltonetworks.com/ja/author/jeff-white/)
  * [Peter Renals](https://unit42.paloaltonetworks.com/ja/author/peter-renals/)

* ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg)  
  公開日:2021年11月7日

* ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg)  
  カテゴリー
  
  * [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/)
  * [国家支援型サイバー攻撃](https://unit42.paloaltonetworks.com/ja/category/nation-state-cyberattacks-ja/)
  * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/)

* ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg)  
  タグ:
  
  * [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/)
  * [Backdoor](https://unit42.paloaltonetworks.com/ja/tag/backdoor-ja/)
  * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/)
  * [Credential stealer](https://unit42.paloaltonetworks.com/ja/tag/credential-stealer-ja/)
  * [KdcSponge](https://unit42.paloaltonetworks.com/ja/tag/kdcsponge-ja/)
  * [ManageEngine](https://unit42.paloaltonetworks.com/ja/tag/manageengine-ja/)
  * [NGLite](https://unit42.paloaltonetworks.com/ja/tag/nglite-ja/)
  * [NGLite](https://unit42.paloaltonetworks.com/ja/tag/nglite-ja/)
  * [TiltedTemple](https://unit42.paloaltonetworks.com/ja/tag/tiltedtemple-ja/)
  * [Trojan](https://unit42.paloaltonetworks.com/ja/tag/trojan-ja/)
  * [Zoho ManageEngine](https://unit42.paloaltonetworks.com/ja/tag/zoho-manageengine-ja/)

* [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/manageengine-godzilla-nglite-kdcsponge/?pdf=download&lg=ja&_wpnonce=46edad538b "Click here to download")

* [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/manageengine-godzilla-nglite-kdcsponge/?pdf=print&lg=ja&_wpnonce=46edad538b "Click here to print")

共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg)

* ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg)
* [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=ManageEngine%20ADSelfService%20Plusに対する標的型攻撃キャンペーンで防衛関連企業など機密情報を扱う産業分野が被害を受けたことが判明&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanageengine-godzilla-nglite-kdcsponge%2F "Share in email")
* [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanageengine-godzilla-nglite-kdcsponge%2F "Share in Facebook")
* [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanageengine-godzilla-nglite-kdcsponge%2F&title=ManageEngine%20ADSelfService%20Plusに対する標的型攻撃キャンペーンで防衛関連企業など機密情報を扱う産業分野が被害を受けたことが判明 "Share in LinkedIn")
* [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanageengine-godzilla-nglite-kdcsponge%2F&text=ManageEngine%20ADSelfService%20Plusに対する標的型攻撃キャンペーンで防衛関連企業など機密情報を扱う産業分野が被害を受けたことが判明 "Share in Twitter")
* [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanageengine-godzilla-nglite-kdcsponge%2F&ts=markdown "Share in Reddit")
* [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=ManageEngine%20ADSelfService%20Plusに対する標的型攻撃キャンペーンで防衛関連企業など機密情報を扱う産業分野が被害を受けたことが判明%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanageengine-godzilla-nglite-kdcsponge%2F "Share in Mastodon")

## 概要

2021年9月16日、米Cybersecurity and Infrastructure Security Agency（CISA）は、ManageEngine ADSelfService Plusとして知られるセルフサービス型のパスワード管理およびシングルサインオンソリューションにおいて、新たに確認された脆弱性をAPT攻撃者が積極的に利用しているという[警告](https://us-cert.cisa.gov/ncas/alerts/aa21-259a)を発表しました。このアラートでは、悪意のあるアクターが特定のWebシェルを展開するなどして、被害者の環境での持続性を維持していることが確認されたと説明しています。私たちはその後の数日間で関連性のない2つ目のキャンペーンが同じ脆弱性に対する攻撃を成功させた様子を観測しました。

9月17日には、米国内のリースインフラを利用し、インターネット上の数百の脆弱な組織をスキャンしていました。その後、9月22日から10月上旬にかけてエクスプロイトの試行が行われたようです。この期間中、このアクターにより少なくとも9つのグローバル企業を標的とした侵害が行われました。その対象セクタにはテクノロジ、防衛、医療、エネルギー、教育などが含まれます。

最初のエクスプロイト後は、ペイロードが被害者のネットワークにアップロードされ、それが[Godzilla](https://github.com/BeichenDream/Godzilla/)Webシェルをインストールしていました。このアクティビティはすべての被害者に対して一貫して行われていましたが、侵害された組織の一部では、その後新たに[NGLite](https://github.com/Maka8ka/NGLite)と呼ばれるバックドアを改変したものを受け取っていることも確認されました。その後、WebシェルまたはNGLiteのペイロードを使用してコマンドを実行し、ネットワーク上の他のシステムに横展開しつつ、シンプルにWebサーバーからファイルをダウンロードするという方法で目的のファイルを漏出させていました。ドメインコントローラに移動後、アクターは新たな認証情報窃取ツール（追跡名「KdcSponge」）をインストールしていました。

GodzillaもNGLiteも中国語の指示説明付きで開発されており、GitHubで公開され、ダウンロードできる状態になっています。脅威アクターは、関心の高いネットワークへのアクセスを維持するために、これらのツールを組み合わせて冗長性を持たせていると考えられます。Godzillaは機能の豊富なWebシェルで、インバウンドのHTTP POSTリクエストを解析し、そのデータを秘密鍵で復号し、復号されたコンテンツを実行して追加機能を実行し、その結果をHTTPレスポンスで返します。これにより攻撃者は、動的にそれを実行する準備が整うまで、ターゲットシステムにより悪意のあるコードとしてフラグを立てられないようにしています。

NGLiteについて作者は「ブロックチェーン技術に基づいた匿名クロスプラットフォーム遠隔操作プログラム」とその特徴を説明しています。このプログラムは、コマンド＆コントロール（C2）通信に[New Kind of Network（NKN）](https://nkn.org/)インフラを活用しており、それにより理論的にはユーザーの匿名性を実現しています。ここで重要なのは、NKNがブロックチェーン技術を用いて分散型ピアネットワークをサポートする正当なネットワークサービスであるということです。C2チャンネルとしてNKNを使用するのは非常に珍しいことです。私たちがこれまで確認したNKNを使って通信しているサンプルは13個しかなく、内訳はこの9個のNGLiteサンプルと、NKNを使ってファイル共有を行うオープンソースの正当なユーティリティ[Surge](https://github.com/rule110-io/surge)に関連する4つのサンプルのみとなっています。

最後にKdcSpongeは、ドメインコントローラに展開して認証情報を窃取する新たな認証情報窃取用ツールです。KdcSpongeは、LSASS（Local Security Authority Subsystem Service）プロセスに自分自身を注入し、特定の関数をフックして、Kerberosを介してドメインに認証しようとするアカウントからユーザー名とパスワードを収集します。この悪意のあるコードは、窃取した認証情報をファイルに書き込みますが、漏出には他の機能を使います。

パロアルトネットワークスのお客様は、次の方法でこのキャンペーンから保護されています。

* [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)のローカル解析はNGLiteのバックドアをブロックします。
* 既知のサンプル（Dropper、NGLite、KdcSponge）はすべて[WildFire](https://www.paloaltonetworks.jp/products/secure-the-network/wildfire)がマルウェアに分類します。
* [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse)は、お客様のネットワーク上にあるZoho ManageEngine ADSelfServicePlus、ManageEngine Desktop Central、またはManageEngine ServiceDeskPlus サーバーを正確に識別します。

## 初期アクセス

9月17日から10月初旬にかけて、ManageEngine ADSelfService Plus サーバーに対するスキャンを確認しました。グローバルなテレメトリから、アクターは米国だけでも少なくとも370台のZoho ManageEngineサーバーをターゲットにしていたと考えられます。その規模から、これらのスキャンは、教育機関から国防総省の組織まで幅広いターゲットを対象とした無差別的なものと評価されます。

スキャン結果を得たアクターは9月22日にエクスプロイト試行に移りました。これらは脆弱なデバイスでREST APIの認証をバイパスし、その結果リモートコード実行が可能となる[CVE-2021-40539](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40539)に焦点を当てたものでした。これを狙ってアクターはカスタム作成したPOST文をREST APIのLicenseMgrに配信していました。

このキャンペーンでエクスプロイトの対象となった組織の全体像は把握できませんでしたが、世界全体では、テクノロジ、防衛、医療、エネルギー、教育などの分野で少なくとも9つの組織が侵害されたと考えられます。エクスプロイトが成功すると、次にアクターはGodzillaのWebシェルを展開するペイロードをアップロードし、被害者のネットワークへの追加アクセスを可能にしました。米国内の以下のリースIPアドレスが、侵害されたサーバーとやり取りしていることが確認されています。

24\.64.36\[.\]238  
45\.63.62\[.\]109  
45\.76.173\[.\]103  
45\.77.121\[.\]232  
66\.42.98\[.\]156  
140\.82.17\[.\]161  
149\.28.93\[.\]184  
149\.248.11\[.\]205  
199\.188.59\[.\]192

すべての被害者に共通しているように見うけられるWebシェルの展開に続き、侵害を受けたネットワークの一部では追加のツールが展開されて使用された様子も確認しています。具体的には、NGLiteと呼ばれるオープンソースのバックドアを改変したものとKdcSpongeと呼ばれる認証情報収集ツールがアクターによって導入されていました。次のセクションでは、これらのツールの詳細な分析を行います。

## Malware (マルウェア)

エクスプロイトの時点で、2つの異なる実行ファイルが侵害されたサーバーに保存されていました。ME\_ADManager.exeとME\_ADAudit.exeです。ME\_ADManager.exeファイルは、GodzillaのWebシェルをシステムに保存するほか、システムに保存された他の実行ファイル（ME\_ADAudit.exe）をインストール・実行するドロッパ型トロイの木馬として機能するものです。実行ファイルME\_ADAudit.exeはNGLiteをベースにしたもので、脅威アクターはこれをペイロードとして使用し、システム上でコマンドを実行しています。

### ME\_ADManager.exeドロッパ

最初の搾取後、ドロッパは以下のパスに保存されます。

c:\\Users\\\[username\]\\AppData\\Roaming\\ADManager\\ME\_ADManager.exe

このファイルを解析すると、このペイロードの作者がサンプルのビルドの際、デバッグシンボルを削除していないことがわかりました。そのためサンプル内には次のデバッグパスが存在しており、このペイロードの作成にはユーザー名pwnが使用されたことを示唆しています。

c:\\Users\\pwn\\documents\\visual studio 2015\\Projects\\payloaddll\\Release\\cmd.pdb

このサンプルを実行すると、インターネットに公開されている多くのコードサンプルでよく見られる次のような一般的なミューテックスが作成され、これによりドロッパのインスタンスを複数実行しないようにしています。

cplusplus\_me

その後、ドロッパはハードコードされたGodzilla Webシェルを以下の場所に書き込もうとしますが、これについては本レポートの後半で詳細な分析を行います。

../webapps/adssp/help/admin-guide/reports.jsp  
c:/ManageEngine/ADSelfService Plus/webapps/adssp/help/admin-guide/reports.jsp  
../webapps/adssp/selfservice/assets/fonts/lato/lato-regular.jsp  
c:/ManageEngine/ADSelfService Plus/webapps/adssp/selfservice/assets/fonts/lato/lato-regular.jsp

その後、ドロッパは、%APPDATA%\\ADManagerフォルダを作成し、自身を%APPDATA%\\ADManager\\ME\_ADManager.exeとしてコピーしてから、以下のレジストリキーを作成し、再起動しても実行が持続するようにします。

Software\\Microsoft\\Windows\\CurrentVersion\\Run\\ME\_ADManager.exe : %APPDATA%\\ADManager\\ME\_ADManager.exe  
Software\\Microsoft\\Windows\\CurrentVersion\\Run\\ME\_ADAudit.exe : %SYSTEM32%\\ME\_ADAudit.exe  
その後、ドロッパはADAudit.exeをカレントディレクトリから以下のパスにコピーし、WinExecでそのファイルを実行します。  
%SYSTEM32%\\ME\_ADAudit.exe

このドロッパはME\_ADAudit.exeファイルをディスクに書き込まないので、脅威アクターは（おそらく[CVE-2021-40539](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-40539)脆弱性の初期エクスプロイトのなかで）ドロッパ実行前にこのファイルをサーバーにアップロードする必要があります。複数のインシデントを分析した結果、ME\_ADAudit.exeサンプルのSHA256ハッシュは805b92787ca7833eef5e61e2df1310e4b6544955e812e60b5f834f904623fd9fと一貫していたことから、アクターは複数のターゲットに対して同じカスタマイズ版のNGLiteバックドアを展開していたと考えられます。

## Godzilla Webシェル

前述のとおり、初期ドロッパには、JSP（Java Server Page）のWebシェルがハードコードされています。Webシェルを解析したところ、これは中国語版の[Godzilla](https://github.com/BeichenDream/Godzilla/)WebシェルV3.00+であることが判明しました。Godzilla WebシェルはBeichenDreamというユーザーが開発したものです。BeichenDreamは、このWebシェルの開発理由として、当時利用されていたWebシェルがレッドチームの実施中にセキュリティ製品にしょっちゅう検出されていた点を挙げています。そのため、作者はネットワークトラフィックにAES暗号を利用することで検出を回避し、さまざまなセキュリティベンダ製品で非常に低い静的検出率を維持していると喧伝しています。
![このグラフは、VirusTotalに掲載されたGodzilla Webシェルの検出数を示しています。列は、検出数、サイズ、初認日時、終認日時です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/word-image.png) 図1. VirusTotalに掲載されているGodzilla Webシェルの検出結果

Godzilla Webシェルは、[ChinaChopper](https://unit42.paloaltonetworks.jp/tag/china-chopper-ja/)などの同じグループが使用している他のWebシェルよりも機能性が高くネットワーク回避性も優れているので、当該地域の脅威グループが侵入時に採用していることにとくに驚きはありません。

このJSP Webシェル自体は、機能的には非常にシンプルで、軽量な作りになっています。その主な機能は、HTTP POSTをパースし、コンテンツを秘密鍵で復号し、ペイロードを実行することです。これにより攻撃者は、動的にそれを実行する準備が整うまで、ターゲットシステムにより悪意のあるコードとしてフラグを立てられないようにしています。

下の図は、デフォルトのJSP Webシェルの最初の部分と復号機能を示したものです。
![デフォルトのJSP Webシェルの最初の部分と復号機能を示したもの。注目すべきはコードの1行目と2行目にある変数xcとpass。](https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/word-image-1.png) 図2. デフォルト Godzilla JSP Webシェルのヘッダ

注目すべきは、図2のコードの1行目と2行目にある、変数xcとpassです。これらの変数が重要な要素で、これらはオペレータが新たなWebシェルを生成するたびに変更されていき、各Webシェル内でAES復号に使用する秘密鍵を表しています。

Webシェルを手動で生成する際は平文のパスとキーを指定します。デフォルトではこれはpassとkeyです。
![このスクリーンショットには中国語のGodzillaインターフェースが表示され、Webシェルのデフォルト値であるpassとkeyが表示されている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/word-image-2.png) 図3. GodzillaのデフォルトのWebシェルの値

これらの変数がWebシェル自体にどう提示されるのかを把握するには、GodzillaのJARファイルを確認するとよいでしょう。

下の図は、/shells/cryptions/JavaAES/GenerateShellLoder関数内に埋め込まれたWebシェルテンプレートの1つで、ここでコードが文字列を置換していることが確認できます。
![下の図は、/shells/cryptions/JavaAES/GenerateShellLoder関数内に埋め込まれたWebシェルテンプレートの1つで、ここでコードが文字列を置換していることが確認できる](https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/word-image-3.png) 図4. Generate.classファイル内のGenerateShellLoder関数

したがってWebシェルのxc変数には、テンプレートが示しているようにAESの秘密鍵が入ることがわかります。

String xc="{secretKey}"; String pass="{pass}"; String md5=md5(pass+xc);

私たちは、xcの値がハッシュのように見えることと、/core/shell/ShellEntity.classファイル内でコードがMD5ハッシュの最初の16文字を平文の秘密鍵として受け取っていることを確認しました。

public String getSecretKeyX()  
{

return functions.md5(getSecretKey()).substring(0, 16);

}

以上のことからxcの値3c6e0b8a9c15224aは、keyという言葉のMD5ハッシュの最初の16文字であることがわかります。

このため、インシデントをまたがるアクティビティをトラッキング・マッピングするには、このxcとpassの2つの変数が主として使えることになります。本稿の作成にあたり、私たちはデフォルトのオプションでGodzilla Webシェルを生成し、それを解析に利用しました。なおデフォルトのWebシェルと攻撃で観測されたWebシェルとの違いは、xcとpassの値が異なる点のみです。

このWebシェルの重要な特徴は、作者が静的検知ができないことをアピールし、セキュリティ製品のシグネチャで認識される可能性のあるキーワードや共通の構造を避けることで、このファイルが目立たないようにしていることです。特に興味深い静的回避技術は、復号の指示にJavaの三項条件演算子を使用することです。

ここでの条件はm?1:2 です。mはこの関数に渡されるブーリアン値で、先に図2で示したものです。mがTrueの場合、最初の式の定数(1)が使われます。それ以外の場合は、2つ目の(2)が渡されます。Javaのドキュメントによると1はENCRYPT\_MODE、2はDECRYPT\_MODEとなっています。
![crypto定数の意味を示したJavaのドキュメント1はENCRYPT\_MODE、2はDECRYPT\_MODE。](https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/word-image-4.png) 図5. JavaX cryptoの定数の意味

Webシェルがこの関数xを実行した時点では、mの値を設定しないので、mは強制的にFalseになり、復号に設定されます。

response.getWriter().write(base64Encode(x(base64Decode(f.toString()), true)));

Godzillaの機能について理解するには/shells/payloads/java/JavaShell.classを確認するとよいでしょう。このクラスファイルには、オペレータに提供されるすべての関数が含まれています。以下はgetFile関数の例です。
![Godzillaの機能について理解するには/shells/payloads/java/JavaShell.classを確認するとよいでしょう。このクラスファイルには、オペレータに提供されるすべての関数が含まれています。ここで示したのはgetFile関数の例です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/word-image-5.png) 図6. GodzillaのgetFile関数のペイロード

ペイロードの関数

getFile  
downloadFile  
getBasicsInfo  
uploadFile  
copyFile  
deleteFile  
newFile  
newDir  
currentDir  
currentUserName  
bigFileUpload  
bigFileDownload  
getFileSize  
execCommand  
getOsInfo  
moveFile  
getPayload  
fileRemoteDown  
setFileAttr

関数名からわかるとおり、Godzilla Webシェルは、リモートシステムのナビゲート、データ転送、リモートコマンド実行、列挙など、数多くのペイロードを提供します。

これらのペイロードは前述の秘密鍵で暗号化され、オペレーティング中のソフトウェアがデータを含むHTTP POSTを侵害されたシステムに送信します。

さらにcore/ui/component/dialog/ShellSetting.classファイル（下図）を見てみると、 initAddShellValue()関数にはリモートネットワークアクセス用のデフォルト設定が含まれています。したがって、Webアクセスログ内で侵害の兆候がないかを検索するフォレンジック調査を行うさいは、静的なHTTPヘッダやUser-Agent文字列などの要素を特定すると役に立ちます。

private void initAddShellValue() {

this.shellContext = new ShellEntity();

this.urlTextField.setText("http://127.0.0.1/shell.jsp");  
this.passwordTextField.setText("pass");  
this.secretKeyTextField.setText("key");  
this.proxyHostTextField.setText("127.0.0.1");  
this.proxyPortTextField.setText("8888");  
this.connTimeOutTextField.setText("60000");  
this.readTimeOutTextField.setText("60000");  
this.remarkTextField.setText("??");  
this.headersTextArea.setText("User-Agent: Mozilla/5.0 (Windows NT  
10\.0; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0\\nAccept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,\*/\*;q=0.8\\nAccept-Language:  
zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2\\n");

this.leftTextArea.setText("");  
this.rightTextArea.setText("");

}

以下は、curlアプリケーションを使用してカスタムURLペイロードを送信し、CVE-2021-40539の脆弱性をトリガーしている最初のエクスプロイトを示したWebサーバーアクセスログからのスニペットです。このスニペットでは、最初のドロッパによってハードコードされたパスに配置されたGodzilla Webシェルへのアクセスが続く様子が示されています。User-Agentを確認すると、脅威アクターは、エクスプロイトから初期Webシェルアクセスまでを4分強で行ったことがわかります。

- /./RestAPI/LicenseMgr "-" X.X.X.X Y.Y.Y.Y POST \[00:00:00\] - - 200 "curl/7.68.0"
- /help/admin-guide/reports.jsp "-" X.X.X.X Y.Y.Y.Y POST \[+00:04:07\] - - 200 "Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:84.0) Gecko/20100101 Firefox/84.0"

## カスタムNGLite

NGLiteは、Go言語（具体的にはGoバージョン1.13）で書かれたオープンソースのバックドアで、公開[GitHubリポジトリ](https://github.com/Maka8ka/NGLite)からダウンロードできます。NGLiteはバックドア型のトロイの木馬で、C2チャネル経由で受け取ったコマンドを実行することしかできません。機能はバックドアとしては標準的なものですが、NGLiteはバックドアとアクター間の通信に、正規のNKNをベースにした分散型ネットワークを使う斬新なC2チャネルを採用しています。

NKNは、その分散型ネットワークにパブリックなブロックチェーンを使い、数百万のピア間の通信をサポートし、各ピアはIPアドレスなどの典型的なネットワーク識別子の代わりに一意なNKNアドレスで識別されると謳っています。したがって、NGLiteツールがC2チャネルで通信している直近のIPアドレスは、分散型ネットワーク内のピアの1つに過ぎず、脅威アクターのネットワークロケーションを表している可能性は低いと考えられます。こうした設計のため、NGLiteのC2通信チャネルの検出や防止は困難です。

幸い、C2チャネルとしてNKNを使用することは非常に稀です。私たちがこれまで確認したNKNを使って通信しているサンプルは13個しかなく、内訳はこの9個のNGLiteサンプルと、NKNを使ってファイル共有を行うオープンソースのユーティリティ[Surge](https://github.com/rule110-io/surge) に関連する4つのサンプルのみとなっています。既知の9つのNGLiteサンプルのうち8つがVirusTotalによってスキャンされましたが、4つは検出されず、3つが1つのアンチウイルス製品に検出され、残りのサンプルは5つのアンチウイルス製品に検出されました。この検出率の低さから、この攻撃キャンペーン中、NGLiteはほとんどのウイルス対策製品で未対応だったものと考えられます。

前のセクションで述べたように、このドロッパはレジストリキーを作成し、以下のパスに保存されたNGLiteバックドアのカスタム化した亜種（SHA256：805b92787ca7833eef5e61e2df1310e4b6544955e812e60b5f834f904623fd9f）を実行します。

C:\\Windows\\system32\\ME\_ADAudit.exe

Goベースのバックドア内のデータ構造には以下のパスが含まれており、このパスは、このNGLiteのカスタム化した亜種のメインソースコードを開発者のシステムに保存するために使用されています。

/mnt/hgfs/CrossC2-2.2/src/ng.com/lprey/main.go

このパスに基づいて、アクターが[CrossC2](https://github.com/gloxec/CrossC2/tree/v2.2/src)を使ってクロスプラットフォームCobalt Strike C2ペイロードをビルドしたのでは、と推測することがあるかもしれません。ただこのペイロードは一般に公開されているNGLiteバックドアをカスタマイズしたものなので、それが実際にCrossC2をベースにしたものであったと考える根拠にはなりません。

Cobalt Strikeのペイロードを配信していると分析側に勘違いさせることを狙って、脅威アクターが陽動のためにパスにCrossC2の文字列を入れた可能性があります。なお、同じソースコードパスを使用した以下のNGLiteサンプルが8月11日にさかのぼって確認されていることから、この脅威アクターは数ヶ月前からこのツールを使用していたと考えられます。

3da8d1bfb8192f43cf5d9247035aa4445381d2d26bed981662e3db34824c71fd  
5b8c307c424e777972c0fa1322844d4d04e9eb200fe9532644888c4b6386d755  
3f868ac52916ebb6f6186ac20b20903f63bc8e9c460e2418f2b032a207d8f21d

本キャンペーンで使用しているカスタムNGLiteサンプルでは、コマンドライン引数にgまたはgroupの値があるかどうかを確認しています。このスイッチがない場合、ペイロードにはデフォルトの文字列7aa7ad1bfa9da581a7a04489896279517eef9357b81e406e3aee1a66101fe824が使用され、NGLite はこれをシード識別子として参照します。

このペイロードは、システムのネットワークインターフェースカード（NIC）のMACアドレスとIPv4アドレスをハイフン（-）で区切ったものを連結し、ペイロードがprey id（「獲物の識別子」の意）と呼ぶところのものを作成します。このprey idは、C2通信で使用されます。

NGLiteのペイロードは、C2通信にNKN分散ネットワークを使用します。次の図はサンプルのNKNクライアントの設定です。
![NGLiteのペイロードは、C2通信にNKN分散ネットワークを使用します。この図はサンプルのNKNクライアントの設定です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/word-image-6.png) 図7 埋め込まれたNKNクライアント設定

このサンプルでは、まず30003/tcp経由でseed.nkn\[.\]orgにアクセスし、以下のような構造のHTTP POSTリクエストを送信します。

![このサンプルでは、まず30003/tcp経由でseed.nkn\[.\]orgにアクセスし、以下のような構造のHTTP POSTリクエストを送信します。](https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/word-image-7.png) 図8 最初のNKN HTTP POST また以下のように、 monitor\_03をprey idに指定したHTTP POSTリクエストを送信します。

![またこの図が示すように、monitor\_03をprey idに指定したHTTP POSTリクエストを送信します。](https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/word-image-8.png) 図9 「獲物のID (prey id)」を含むHTTP POST

このリクエストに対し、seed.nkn\[.\]orgのサーバーは、以下のような構造のJSONに\[prey id (MAC-IPv4)\]を入れて応答します。

{"id":"nkn-sdk-go","jsonrpc":"2.0","result":{"addr":"66.115.12.89:30002","id":"223b4f7f4588af02badaa6a83e402b33dea0ba8908e4cd6008f84c2b98a6a7de","pubkey":"38ce48a2a3cffded7c2031514acaef29851ee39303795e4b3e7fce5a6619e6be","rpcAddr":"66.115.12.89:30003"}}

これは、ペイロードが30003/tcp経由で66.115.12.89のピアと通信していることを示しています。次に、seed.nkn\[.\]orgサーバーは、monitor\_03のリクエストに以下のように応答しています。ここではペイロードが30003/tcp経由で54.204.73.156と通信している様子が示されています。

{"id":"nkn-sdk-go","jsonrpc":"2.0","result":{"addr":"54.204.73.156:30002","id":"517cb8112456e5d378b0de076e85e80afee3c483d18c30187730d15f18392ef9","pubkey":"99bb5d3b9b609a31c75fdeede38563b997136f30cb06933c9b43ab3f719369aa","rpcAddr":"54.204.73.156:30003"}}

seed.nkn\[.\]orgからの応答を取得後、ペイロードは、JSON内のaddrフィールドで指定されたIPアドレスとTCPポートに対し、HTTP GETリクエストを発行します。これらのHTTPリクエストは以下に示すとおりですが、これらのシステムはアクターにコントロールされたものではなく、最終的にアクターのコンテンツを返すことになる一連のピアの直近のピアに過ぎない点に留意してください。

![seed.nkn\[.\]orgからの応答を取得後、ペイロードは、JSON内のaddrフィールドで指定されたIPアドレスとTCPポートに対し、HTTP GETリクエストを発行します。これらのHTTPリクエストは図に示すとおりですが、これらのシステムはアクターにコントロールされたものではなく、最終的にアクターのコンテンツを返すことになる一連のピアの直近のピアに過ぎない点に留意してください。](https://unit42.paloaltonetworks.com/wp-content/uploads/2021/11/word-image-9.png) 図10 NKNのピアリング 最終的にこのカスタム化されたNGLiteクライアントとサーバー間のネットワーク通信は、以下のキーを使ってAESで暗号化されます。

WHATswrongwithUu

カスタムNGLiteサンプルは、以下に示すように、whoamiコマンドの結果と文字列「#windows」を連結したものを含む初期ビーコンをC2に送信することから始まります。

\[username\]#windows

この初期ビーコンの送信後、NGLiteのサンプルはPreylistenerと呼ばれるサブファンクションを実行してインバウンドのリクエストをリッスンするサーバーを作成します。またこのサンプルは、インバウンドの通信をリッスンし、デフォルトのAESキー1234567890987654を使って復号を試みます。復号されたコンテンツは、Goメソッド os/exec.Command 経由でコマンドとして実行されます。その結果は、同じAESキーで暗号化され、リクエストを出した側に送り返されます。

## エクスプロイト後のアクティビティ

ネットワークを侵害した脅威アクターは、最初の足場からただちに横展開を行い、NGLiteペイロードとGodzilla Webシェルを介してコマンドを実行することで標的のネットワーク上の他のシステムにアクセスしていました。最初のサーバーへのアクセス後は、Active Directoryデータベースファイル(ntds.dit)やレジストリのSYSTEMハイブなど、ローカルドメインコントローラから機微な情報を収集し、漏出させることに注力していました。その直後、脅威アクターはKdcSpongeという認証情報窃取用のツールをインストールしていることが確認されましたが、これについては次に詳しく説明します。最終的にアクターは認証情報を窃取し、アクセスを維持し、被害者のネットワークから機微なファイルを収集して漏出させることに興味を示していました。

### クレデンシャルハーベスティングとKdcSponge

この分析中、Unit 42 は、脅威アクターが認証情報の窃取のために PwDump と組み込みのcomsvcs.dllを使って lsass.exe プロセスのミニダンプを作成していたことを示すログを確認しました。ただし、このアクターはドメインコントローラから認証情報を窃取したいときは、私たちがKdcSpongeと呼ぶ独自ツールをインストールしていました。

KdcSpongeの目的は、LSASSプロセス内からAPI関数をフックし、Kerberosサービス（以下「KDCサービス」）を介して認証しようとするインバウンドの試行から認証情報を盗むことです。KdcSpongeは、ドメイン名、ユーザー名、パスワードをシステム上のファイルにキャプチャし、このファイルを脅威アクターがサーバーへの既存のアクセスを通じて手動で漏出させます。

私たちはKdcSpongeのサンプルを2つ確認していますが、いずれもuser64.dllという名前がついていました。これら2つのSHA256ハッシュは次のとおりです。

3c90df0e02cc9b1cf1a86f9d7e6f777366c5748bd3cf4070b49460b48b4d4090  
b4162f039172dcb85ca4b85c99dd77beb70743ffd2e6f9e0ba78531945577665

KdcSpongeクレデンシャルスティーラーを起動するさい、脅威アクターは以下のコマンドを実行し、悪意のあるモジュールをロードして実行します。

regsvr32 /s user64.dll

初回実行時、regsvr32アプリケーションは、user64.dllによってエクスポートされたDllRegisterServer関数を実行します。DllRegisterServer関数は、sfc\_os.dll内のSetSfcFileException関数を解決し、c:\\windows\\system32\\kdcsvc.dllファイル上のWindowsファイル保護（WFP）を無効にしようとします。その後は実行中のlsass.exeプロセスへの自身の注入を試みます。その手順は以下の通りです。

1. OpenProcessでlsass.exeプロセスをオープンする。
2. VirtualAllocExでリモートプロセス内でメモリを割り当てる。
3. WriteProcessMemoryにより文字列user64.dllを割り当てられたメモリに書き込む。
4. RtlCreateUserThreadによりlsass.exeプロセス内でuser64.dllを引数としてLoadLibraryAを呼び出す。

user64.dllがlsass.exeプロセス内で実行されると、システムが再起動されても永続性を確立するための次のレジストリ キーを作成して起動する。

HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnce\\KDC Service : regsvr32 /s user64.dll

ここからこのサンプルは、以下のモジュールのいずれかのハンドルの取得を試みることにより、システムがKerberosサービスを実行していることを確認します。

kdcsvc.dll  
kdccli.dll  
Kdcsvs.dll

KdcSpongeは文書化されていない3つのAPI関数（具体的にはKdcVerifyEncryptedTimeStamp、KerbHashPasswordEx3、KerbFreeKey）を探すために次の3つの方法を使います。

1. Kerberosモジュールのバージョンを識別して、フック対象となるAPI関数へのハードコードされたオフセットを使用する。
2. Microsoftのシンボルサーバーにアクセスし、Kerberosモジュール内のAPI関数のオフセットを見つけ、ハードコードされたバイトシーケンスと比較して、正しい関数を確認する。
3. Kerberosモジュールを検索し、ハードコードされたバイトシーケンスを探す。

KdcSpongeがフック対象となるAPI関数を探す主な方法は、PEファイルのIMAGE\_FILE\_HEADERセクション内のTimeDateStamp値に基づいてKerberosモジュールのバージョンを判断することです。Kerberosモジュールのバージョンが判明すれば、KdcSpongeはそのバージョンのモジュール内の適切な関数をフックするために使えるハードコードされたオフセットを保持しています。KdcSpongeは以下のTimeDateStampの値を探します。

2005-12-14 01:24:41  
2049-10-09 00:46:34  
2021-04-08 07:30:26  
2021-03-04 04:59:27  
2020-03-13 03:20:15  
2020-02-19 07:55:57  
2019-12-19 04:15:06  
2019-07-09 03:15:04  
2019-05-31 06:02:30  
2018-10-10 07:46:08  
2018-02-12 21:47:29  
2017-03-04 06:27:32  
2016-10-15 03:52:20  
2020-11-26 03:04:23  
2020-06-05 16:15:22  
2017-10-14 07:22:03  
2017-03-30 19:53:59  
2013-09-04 05:49:27  
2012-07-26 00:01:13

KdcSpongeがKerberosモジュールのバージョンを判断できず、ドメインコントローラがWindows Server 2016またはServer 2019（メジャーバージョン10）を実行している場合、ペイロードはMicrosoftのシンボルサーバー（msdl.microsoft.com）にアクセスして、文書化されていない複数のAPI関数の場所を見つけようとします。このサンプルでは、以下のような構造をもつURLにHTTPS GETリクエストを発行します。そのさい、URLのGUID部分には、PEのIMAGE\_DEBUG\_TYPE\_CODEVIEWセクションのRSDS構造体からのGUID値が指定されます。

/download/symbols/\[library name\].pdb/\[GUID\]/\[library name\].pdb

このサンプルでは、以下の場所のファイルに結果が保存されます。ここでもファイル名のGUIDには、RSDS構造体のIMAGE\_DEBUG\_TYPE\_CODEVIEWセクションのGUID値が使用されます。

ALLUSERPROFILE\\Microsoft\\Windows\\Caches\\\[GUID\].db:

前述のとおり、このコードがシンボルサーバーにアクセスする理由は、文書化されていない3つのKerberos関連の関数（KdcVerifyEncryptedTimeStamp、KerbHashPasswordEx3、KerbFreeKey）の場所を探すためと考えられます。このサンプルはこれらの関数を主に次のライブラリ内で探します。

kdcsvc.KdcVerifyEncryptedTimeStamp  
kdcsvc.KerbHashPasswordEx3  
kdcpw.KerbHashPasswordEx3  
kdcsvc.KerbFreeKey  
kdcpw.KerbFreeKey

これらの関数が見つかった場合、サンプルは表1のように特定のバイトシーケンスを検索し、関数が正しいかどうか、また変更されていないかどうかを確認します。

|------------------------------------|-------------------------------------------------------------------------------------------------|
| **関数**                             | **16進数バイト**                                                                                     |
| kdcsvc.KdcVerifyEncryptedTimeStamp | 48 89 5c 24 20 55 56 57 41 54 41 55 41 56 41 57 48 8d 6c 24 f0 48 81 ec 10 01 00 00 48 8b 05 a5 |
| kdcsvc.KerbHashPasswordEx3         | 48 89 5c 24 08 48 89 74 24 10 48 89 7c 24 18 55 41 56 41 57 48 8b ec 48 83 ec 50 48 8b da 48 8b |
| kdcpw.KerbHashPasswordEx3          | 48 89 5c 24 08 48 89 74 24 10 48 89 7c 24 18 55 41 56 41 57 48 8b ec 48 83 ec 50 48 8b da 48 8b |
| kdcpw.KerbFreeKey                  | 48 89 5c 24 08 57 48 83 ec 20 48 8b d9 33 c0 8b 49 10 48 8b 7b 18 f3 aa 48 8b 4b 18 ff 15 72 19 |
| kdcsvc.KerbFreeKey                 | 48 89 5c 24 08 57 48 83 ec 20 48 8b 79 18 48 8b d9 48 85 ff 0f 85 00 c5 01 00 33 c0 48 89 03 48 |

^表1 KdcSpongeがWindowsのメジャーバージョン10の正しい関数を確認するために使用している文書化されていない関数とバイトシーケンス^

ドメインコントローラがWindows Server 2008またはServer 2012（メジャーバージョン6）を実行している場合、KdcSpongeはシンボルサーバーにアクセスせず、代わりにkdcsvc.dllモジュール全体を検索して表2に記載されているバイトシーケンスを検索してAPI関数を見つけます。

|------------------------------------|-------------------------------------------------------------------------------------------|
| **関数**                             | **16進数バイト**                                                                               |
| kdcsvc.KdcVerifyEncryptedTimeStamp | 48 89 5C 24 20 55 56 57 41 54 41 55 41 56 41 57 48 8D 6C 24 F9 48 81 EC C0 00 00 00 48 8B |
| kdcsvc.KerbHashPasswordEx3         | 48 89 5C 24 08 48 89 74 24 10 48 89 7C 24 18 55 41 56 41 57 48 8B EC 48 83 EC 40 48 8B F1 |
| kdcsvc.KerbFreeKey                 | 40 53 48 83 EC 20 48 8B D9 48 8B 49 10 48 85 C9 0F 85 B4 B9 01 00 33 C0 48 89 03 48 89 43 |

^表2 KdcSpongeが探している関数の場所を確認するために使用している文書化されていない関数とバイトシーケンス^

KdcVerifyEncryptedTimeStamp、KerbHashPasswordEx3、KerbFreeKeyの各関数が見つかると、このサンプルはこれらの関数をフックし、認証情報を窃取するという意図で、これらの関数へのすべての呼び出しを監視しようとします。ドメインコントローラに認証のリクエストが来ると、Kerberosサービス(KDCサービス)内でこれらの関数が呼び出され、サンプルはインバウンドの認証情報をキャプチャします。その後、認証情報はディスクの以下の場所に書き込まれます。

%ALLUSERPROFILE%\\Microsoft\\Windows\\Caches\\system.dat

窃取された認証情報は、0x55をキーとするシングルバイトのXORアルゴリズムで暗号化され、以下の構造で1行ごとにsystem.datファイルに書き込まれます。

\[\<timestamp\>\]\<domain\>\<username\> \<cleartext password\>

## アトリビューション

アトリビューションはまだ継続中で、キャンペーンの背後にいるアクターについての検証はできていませんが、今回分析したケースで使用された戦術やツールとThreat Group 3390（TG-3390、[Emissary Panda](https://unit42.paloaltonetworks.jp/emissary-panda-attacks-middle-east-government-sharepoint-servers/)、APT27）との間にはいくつかの相関が見られました。

具体的には、SecureWorksが[以前TG-3390のアクティビティ](https://www.secureworks.com/research/threat-group-3390-targets-organizations-for-cyberespionage)に関する記事で紹介しているように、TG-3390も今回のものと同様に、WebエクスプロイトやChinaChopperと呼ばれる中国で人気のWebシェルを最初の足場として利用した後、正規に取得した認証情報を利用してラテラルムーブやドメインコントローラへの攻撃を行っていたことがわかります。Webシェルとエクスプロイトは異なりますが、アクターが環境にアクセスできるようになると、漏出用ツールの一部に重複が見られるようになります。

SecureWorksによると、アクターはRecyclerディレクトリ内で別のアプリケーションを偽装したWinRarを使用してデータをRARアーカイブに分割していたとのことです。この処理のためにデプロイされたバッチファイルから、次のスニペットが提供されていました。

@echo off  
c:\\windows\\temp\\svchost.exe a -k -r -s -m5 -v1024000 -padmin-windows2014 "e:\\recycler\\REDACTED.rar" "e:\\ProgramData\\REDACTED\\"  
Exit

ManageEngine ADSelfService Plusに対する最近の攻撃を分析したところ、同じ手法が観測されました。名前を変更されたWinRarアプリケーションに渡されるパラメータの順序と配置が同じです。

@echo off  
dir %~dp0\>\>%~dp0\\log.txt  
%~dp0\\vmtools.exe a -k -r -s -m5 -v4096000 -pREDACTED "e:\\$RECYCLE.BIN\\REDACTED.rar" "E:\\Programs\\REDACTED\\REDACTED"

ファイルがステージングされると、どちらの場合も外部のWebサーバー上でアクセス可能な状態にされていました。脅威アクターは直接HTTP GETリクエストでそれらのファイルをダウンロードするものと思われます。

## 結論

Unit 42は、2021年9月に、ZohoのManageEngine製品ADSelfService Plusに存在する最近修正された脆弱性（CVE-2021-40539）を利用し、標的となる組織への初期アクセスを奪取する攻撃キャンペーンを観測しました。今回の攻撃キャンペーンでは、テクノロジ、防衛、ヘルスケア、エネルギー、教育などの分野にまたがる少なくとも9つの企業が侵害されました。

エクスプロイト後、脅威アクターはネットワーク内ですばやく横展開し、エクスプロイト後のアクティビティ用のコマンドを実行する複数のツールを展開しました。このアクターはGodzilla Webシェルを多用しており、オペレーションの過程では、さまざまな種類のオープンソースWebシェルを侵害したサーバーにアップロードしていました。他にもいくつかのツールには、目新しい特徴や、過去の攻撃での使用がこれまで公には確認されていないものがありました。具体的には、NGLiteバックドアやKdcSpongeの認証情報窃取ツールなどが挙げられます。たとえばNGLiteバックドアは、NKNとして知られる分散ネットワークを含む新たなC2チャネルを使用しており、KdcSponge 認証情報窃取ツールは、文書化されていない関数をフックして、ドメインコントローラ宛のインバウンドのKerberos認証試行から認証情報を窃取します。

Unit 42は、このアクターの主な目的は、ネットワークへの持続的なアクセスと、侵害した組織からの機微な文書の収集・漏出だったと考えています。脅威アクターは、ステージングディレクトリに機微なファイルを集め、Recyclerフォルダにパスワードで保護されたマルチボリュームのRARアーカイブを作成していました。またこのアクターは、外部接続されたWebサーバーから個々のRARアーカイブを直接ダウンロードすることで、ファイルを漏出させていました。

本インシデント関連のパロアルトネットワークスプラットフォームの対応は以下の通りです。

* 脅威防御シグネチャ「ZOHO corp ManageEngine Improper Authentication Vulnerability」が脅威ID 91676として9月20日にリリースされています。
* NGLiteバックドアはCortex XDRのローカル解析でブロックされます。
* 既知のサンプル（Dropper、NGLite、KdcSponge）はすべて[WildFire](https://www.paloaltonetworks.jp/products/secure-the-network/wildfire)がマルウェアに分類します。
* Cortex Xpanseは、お客様のネットワーク上にあるZoho ManageEngine ADSelfServicePlus、ManageEngine Desktop Central、またはManageEngine ServiceDeskPlus サーバーを正確に識別します。

侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、太平洋アジア地域の場合 (65) 6983-8730までお電話をいただくか、infojapan@paloaltonetworks.com まで電子メールにてご連絡ください。ご相談は弊社製品のお客様には限定されません。また、メールは日本語で記述可能です。お電話でのお問い合わせは英語での対応となります。[Unit 42のインシデントレスポンス](https://www.paloaltonetworks.com/cortex/incident-response)チームは24時間週7日365日対応を行っています。

今回の調査をサポートいただいたUnit 42 Consulting Servicesチーム、NSA Cybersecurity Collaboration Centerのパートナーシップ、協力、洞察に感謝いたします。

パロアルトネットワークスはファイルサンプルや侵害の兆候などをふくむこれらの調査結果をCyber Threat Alliance (CTA サイバー脅威アライアンス) のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使用して、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害することができます。詳細については [Cyber Threat Alliance](https://www.cyberthreatalliance.org)からご覧ください｡

### IoC

#### ドロッパのSHA256

b2a29d99a1657140f4e254221d8666a736160ce960d06557778318e0d1b7423b  
5fcc9f3b514b853e8e9077ed4940538aba7b3044edbba28ca92ed37199292058

#### NGLiteのSHA256

805b92787ca7833eef5e61e2df1310e4b6544955e812e60b5f834f904623fd9f  
3da8d1bfb8192f43cf5d9247035aa4445381d2d26bed981662e3db34824c71fd  
5b8c307c424e777972c0fa1322844d4d04e9eb200fe9532644888c4b6386d755  
3f868ac52916ebb6f6186ac20b20903f63bc8e9c460e2418f2b032a207d8f21d

#### Godzilla WebシェルのSHA256

a44a5e8e65266611d5845d88b43c9e4a9d84fe074fd18f48b50fb837fa6e429d  
ce310ab611895db1767877bd1f635ee3c4350d6e17ea28f8d100313f62b87382  
75574959bbdad4b4ac7b16906cd8f1fd855d2a7df8e63905ab18540e2d6f1600  
5475aec3b9837b514367c89d8362a9d524bfa02e75b85b401025588839a40bcb

#### KdcSpongeのSHA256

3c90df0e02cc9b1cf1a86f9d7e6f777366c5748bd3cf4070b49460b48b4d4090  
b4162f039172dcb85ca4b85c99dd77beb70743ffd2e6f9e0ba78531945577665

#### 脅威アクターのIPアドレス

24\.64.36\[.\]238  
45\.63.62\[.\]109  
45\.76.173\[.\]103  
45\.77.121\[.\]232  
66\.42.98\[.\]156  
140\.82.17\[.\]161  
149\.28.93\[.\]184  
149\.248.11\[.\]205  
199\.188.59\[.\]192

#### レジストリキー

Software\\Microsoft\\Windows\\CurrentVersion\\Run\\ME\_ADManager.exe  
Software\\Microsoft\\Windows\\CurrentVersion\\Run\\ME\_ADAudit.exe  
HKEY\_LOCAL\_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\RunOnce\\KDC Service

## 追加リソース

* [KdcSponge ATOM](https://unit42.paloaltonetworks.com/atoms/kdcsponge/)
* [Threat actor DEV-0322 exploiting ZOHO ManageEngine ADSelfService Plus](https://www.microsoft.com/security/blog/2021/11/08/threat-actor-dev-0322-exploiting-zoho-manageengine-adselfservice-plus/)
  トップに戻る

### タグ

* [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat")
* [Backdoor](https://unit42.paloaltonetworks.com/ja/tag/backdoor-ja/ "backdoor")
* [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting")
* [Credential stealer](https://unit42.paloaltonetworks.com/ja/tag/credential-stealer-ja/ "credential stealer")
* [KdcSponge](https://unit42.paloaltonetworks.com/ja/tag/kdcsponge-ja/ "KdcSponge")
* [ManageEngine](https://unit42.paloaltonetworks.com/ja/tag/manageengine-ja/ "ManageEngine")
* [NGLite](https://unit42.paloaltonetworks.com/ja/tag/nglite-ja/ "NGLite")
* [NGLite](https://unit42.paloaltonetworks.com/ja/tag/nglite-ja/ "NGLite")
* [TiltedTemple](https://unit42.paloaltonetworks.com/ja/tag/tiltedtemple-ja/ "TiltedTemple")
* [Trojan](https://unit42.paloaltonetworks.com/ja/tag/trojan-ja/ "Trojan")
* [Zoho ManageEngine](https://unit42.paloaltonetworks.com/ja/tag/zoho-manageengine-ja/ "Zoho ManageEngine")  
  [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:記事更新: クリプトジャックキャンペーンの背後にWatchDogがいる新たな証拠が浮かぶ](https://unit42.paloaltonetworks.com/ja/teamtnt-cryptojacking-watchdog-operations/ "記事更新: クリプトジャックキャンペーンの背後にWatchDogがいる新たな証拠が浮かぶ")

### 目次

* 

### 関連記事

* [npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/ "article - table of contents")
* [イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/ "article - table of contents")
* [脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/ "article - table of contents")

## 関連項目 リソース

![Pictorial representation of a severe Linux vulnerability. Close-up of a woman wearing glasses and focusing intently on a computer screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/05_Vulnerabilities_1920x900-2-1-786x368.jpg)  
[![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年5月5日 [#### Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/)

* [Containers](https://unit42.paloaltonetworks.com/ja/tag/containers-ja/ "Containers")

* [CVE-2026-31431](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-31431/ "CVE-2026-31431")

* [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/ "Kubernetes")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/ "Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識")  
  ![Pictorial representation of BeyondTrust vulnerability CVE-2026-1731. Digital art depicting a stylized mountain range with vibrant blue and red hues. The peaks are accentuated by glowing particles and an abstract, starry backdrop, creating a futuristic landscape.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/14_Overview_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月19日 [#### BeyondTrustの深刻な脆弱性（CVE-2026-1731）の悪用においてVShellおよびSparkRATを確認](https://unit42.paloaltonetworks.com/ja/beyondtrust-cve-2026-1731/)

* [Bash](https://unit42.paloaltonetworks.com/ja/tag/bash-ja/ "bash")

* [CVE-2026-1731](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1731/ "CVE-2026-1731")

* [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/beyondtrust-cve-2026-1731/ "BeyondTrustの深刻な脆弱性（CVE-2026-1731）の悪用においてVShellおよびSparkRATを確認")  
  ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/AdobeStock_1020436911-786x440.jpeg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月17日 [#### 野放し状態で悪用されているIvanti EPMMの深刻な脆弱性](https://unit42.paloaltonetworks.com/ja/ivanti-cve-2026-1281-cve-2026-1340/)

* [CVE-2026-1281](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1281/ "CVE-2026-1281")

* [CVE-2026-1340](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1340/ "CVE-2026-1340")

* [Ivanti](https://unit42.paloaltonetworks.com/ja/tag/ivanti-ja/ "Ivanti")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/ivanti-cve-2026-1281-cve-2026-1340/ "野放し状態で悪用されているIvanti EPMMの深刻な脆弱性")  
  ![Pictorial representation of the shadow campaigns. Digital graphic showing a networked globe with various data points and connectivity lines, symbolizing global digital communication and information technology.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/03_Nation-State-cyberattacks_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年2月5日 [#### Shadow Campaigns（シャドウ・キャンペーン）：世界規模のサイバースパイ活動の実態を暴く](https://unit42.paloaltonetworks.com/ja/shadow-campaigns-uncovering-global-espionage/)

* [Espionage](https://unit42.paloaltonetworks.com/ja/tag/espionage-ja/ "Espionage")

* [Government](https://unit42.paloaltonetworks.com/ja/tag/government-ja/ "Government")

* [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/shadow-campaigns-uncovering-global-espionage/ "Shadow Campaigns（シャドウ・キャンペーン）：世界規模のサイバースパイ活動の実態を暴く")  
  ![Pictorial representation of CVE-2025-0921. Digital illustration of a map of North America with interconnected glowing lines and dots symbolizing network connections across the continent.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/06_Vulnerabilities_1920x900-2-1-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月30日 [#### SCADAシステムに存在する特権ファイルシステムの脆弱性](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/)

* [CVE-2025-0921](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-0921/ "CVE-2025-0921")

* [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation")

* [SCADA](https://unit42.paloaltonetworks.com/ja/tag/scada/ "SCADA")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iconics-suite-cve-2025-0921/ "SCADAシステムに存在する特権ファイルシステムの脆弱性")  
  ![Pictorial representation of remote code execution in AI and machine learning libraries. Close-up of a woman wearing glasses and focusing intently on a computer screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/05_Vulnerabilities_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月13日 [#### 最新のAI/MLフォーマットとライブラリによるリモート コード実行](https://unit42.paloaltonetworks.com/ja/rce-vulnerabilities-in-ai-python-libraries/)

* [Apple](https://unit42.paloaltonetworks.com/ja/tag/apple-ja/ "Apple")

* [CVE-2025-23304](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-23304/ "CVE-2025-23304")

* [CVE-2026-22584](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-22584/ "CVE-2026-22584")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/rce-vulnerabilities-in-ai-python-libraries/ "最新のAI/MLフォーマットとライブラリによるリモート コード実行")  
  ![Pictorial representation of MongoBleed, CVE-2025-14847. Digital image featuring a glowing padlock icon superimposed on a background of streaming blue binary code, symbolizing cybersecurity.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/AdobeStock_233494953-786x429.jpeg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年1月13日 [#### 脅威ブリーフ: MongoDB の脆弱性 (CVE-2025-14847)](https://unit42.paloaltonetworks.com/ja/mongobleed-cve-2025-14847/)

* [CVE-2025-14847](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-14847/ "CVE-2025-14847")

* [MongoDB](https://unit42.paloaltonetworks.com/ja/tag/mongodb-ja/ "MongoDB")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/mongobleed-cve-2025-14847/ "脅威ブリーフ: MongoDB の脆弱性 (CVE-2025-14847)")  
  ![Pictorial representation of CVE-2025-55182 (React) and CVE-2025-66478 (Next.js). Close-up of a digital display on electronic equipment with illuminated text reading "SYSTEM HACKED" in red, set against a blurred background of blue and red lights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/02_Vulnerabilities_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2025年12月12日 [#### React Server Components における重大な脆弱性の悪用 (12月12日更新)](https://unit42.paloaltonetworks.com/ja/cve-2025-55182-react-and-cve-2025-66478-next/)

* [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike")

* [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182")

* [CVE-2025-66478](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-66478-ja/ "CVE-2025-66478")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cve-2025-55182-react-and-cve-2025-66478-next/ "React Server Components における重大な脆弱性の悪用 (12月12日更新)")  
  ![Pictorial representation of an authentication coercion attack. Panoramic view of a city skyline at night, featuring vibrant light beams from skyscrapers and a deep blue sky.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/07_Vulnerabilities_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月10日 [#### 新たなアップデート。進化し続ける強制認証テクニック](https://unit42.paloaltonetworks.com/ja/authentication-coercion/)

* [Mimikatz](https://unit42.paloaltonetworks.com/ja/tag/mimikatz-ja/ "Mimikatz")

* [PrintNightmare](https://unit42.paloaltonetworks.com/ja/tag/printnightmare-ja/ "PrintNightmare")

* [Privilege escalation](https://unit42.paloaltonetworks.com/ja/tag/privilege-escalation-ja/ "privilege escalation")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/authentication-coercion/ "新たなアップデート。進化し続ける強制認証テクニック")  
  ![Pictorial representation of LANDFALL spyware. An illustration of a glowing red warning icon centered on a detailed blue circuit board background, representing a vulnerability in Samsung Galaxy devices.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/09_Nation-State-cyberattacks_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月7日 [#### LANDFALL: Samsungデバイスを標的とするエクスプロイト チェーンで使用される、新種の商用グレードAndroidスパイウェア](https://unit42.paloaltonetworks.com/ja/landfall-is-new-commercial-grade-android-spyware/)

* [Android](https://unit42.paloaltonetworks.com/ja/tag/android-ja/ "Android")

* [Apple](https://unit42.paloaltonetworks.com/ja/tag/apple-ja/ "Apple")

* [CVE-2025-21042](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-21042-ja/ "CVE-2025-21042")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/landfall-is-new-commercial-grade-android-spyware/ "LANDFALL: Samsungデバイスを標的とするエクスプロイト チェーンで使用される、新種の商用グレードAndroidスパイウェア")

* ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg)

* ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg)  
  ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]()  
  ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png)  
  ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得

## 進化する脅威の状況を常に先取り

メール アドレス

本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。

本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。

Invalid captcha!
サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg)  
{#footer} 製品とサービス

* [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security)

* [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design)

* [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security)

* [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security)

* [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions)

* [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention)

* [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering)

* [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire)

* [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security)

* [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention)

* [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security)

* [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security)

* [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security)

* [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security)

* [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall)

* [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations)

* [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls)

* [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager)

* [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription)

* [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os)

* [Panorama](https://www.paloaltonetworks.jp/network-security/panorama)

* [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase)

* [Prisma SASE](https://www.paloaltonetworks.jp/sase)

* [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration)

* [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem)

* [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention)

* [Prisma Access](https://www.paloaltonetworks.jp/sase/access)

* [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser)

* [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan)

* [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation)

* [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security)

* [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex)

* [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud)

* [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud)

* [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security)

* [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security)

* [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security)

* [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud)

* [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex)

* [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam)

* [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)

* [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar)

* [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse)

* [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response)

* [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam)

* [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira)

* [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management)

* [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management)

* [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager)

* [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance)

* [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management)

* [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic)

* [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management)

* [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance)

* [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery)

* [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access)

* [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42)

* [予防評価](https://www.paloaltonetworks.jp/unit42/assess)

* [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond)

* [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform)

* [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners)  
  会社名

* [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us)

* [採用情報](https://jobs.paloaltonetworks.com/en/)

* [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales)

* [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility)

* [お客様向け](https://www.paloaltonetworks.jp/customers)

* [IR](https://investors.paloaltonetworks.com/)

* [拠点](https://www.paloaltonetworks.com/about-us/locations)

* [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom)  
  人気のあるリンク

* [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja)

* [コミュニティ](https://www.paloaltonetworks.com/communities)

* [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources)

* [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia)

* [イベントセンター](https://events.paloaltonetworks.com/)

* [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center)

* [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z)

* [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance)

* [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure)

* [サイトマップ](https://www.paloaltonetworks.jp/sitemap)

* [テクニカル ドキュメント](https://docs.paloaltonetworks.com/)

* [Unit 42](https://unit42.paloaltonetworks.jp/)

* [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd)
  ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg)

* [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy)

* [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center)

* [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)

* [ドキュメント](https://www.paloaltonetworks.jp/legal-notices)

Copyright © 2026 Palo Alto Networks. All Rights Reserved

* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks)
* [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/)
* JP  
  Select your language  
  ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg)

### Default Heading

Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg)  
Seekbar

![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg)  
![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg)  
Volume
![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)