[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/manic-menagerie-targets-web-hosting-and-it/) * [Japanese](https://unit42.paloaltonetworks.com/ja/manic-menagerie-targets-web-hosting-and-it/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/ "主なサイバー脅威") * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/ "マルウェア") [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) # Manic Menagerie 2.0: 精力的に活動を続ける脅威アクターの進化 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 4 分で読めます Related Products [![Advanced DNS Security icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced DNS Security](https://unit42.paloaltonetworks.com/ja/product-category/advanced-dns-security-ja/ "Advanced DNS Security")[![Advanced URL Filtering icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced URL Filtering](https://unit42.paloaltonetworks.com/ja/product-category/advanced-url-filtering-ja/ "Advanced URL Filtering")[![Advanced WildFire icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced WildFire](https://unit42.paloaltonetworks.com/ja/product-category/advanced-wildfire-ja/ "Advanced WildFire")[![Cloud-Delivered Security Services icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Cloud-Delivered Security Services](https://unit42.paloaltonetworks.com/ja/product-category/cloud-delivered-security-services-ja/ "Cloud-Delivered Security Services")[![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR")[![Cortex XSIAM icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XSIAM](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xsiam-ja/ "Cortex XSIAM")[![Next-Generation Firewall icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Next-Generation Firewall](https://unit42.paloaltonetworks.com/ja/product-category/next-generation-firewall-ja/ "Next-Generation Firewall")[![Unit 42 Incident Response icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Unit 42 Incident Response](https://unit42.paloaltonetworks.com/ja/product-category/unit-42-incident-response-ja/ "Unit 42 Incident Response") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Daniel Frank](https://unit42.paloaltonetworks.com/ja/author/daniel-frank/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2023年6月28日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) * [主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [Cryptocurrency](https://unit42.paloaltonetworks.com/ja/tag/cryptocurrency-ja/) * [Cryptojacking](https://unit42.paloaltonetworks.com/ja/tag/cryptojacking-ja/) * [CVE-2021-26855](https://unit42.paloaltonetworks.com/ja/tag/cve-2021-26855-ja/) * [CVE-2021-33766](https://unit42.paloaltonetworks.com/ja/tag/cve-2021-33766-ja/) * [CVE-2021-34473](https://unit42.paloaltonetworks.com/ja/tag/cve-2021-34473-ja/) * [CVE-2022-41040](https://unit42.paloaltonetworks.com/ja/tag/cve-2022-41040-ja/) * [Manic Menagerie](https://unit42.paloaltonetworks.com/ja/tag/manic-menagerie-ja/) * [Microsoft Exchange Server](https://unit42.paloaltonetworks.com/ja/tag/microsoft-exchange-server-ja/) * [Persistence method](https://unit42.paloaltonetworks.com/ja/tag/persistence-method-ja/) * [ProxyNotShell](https://unit42.paloaltonetworks.com/ja/tag/proxynotshell-ja/) * [Webshell](https://unit42.paloaltonetworks.com/ja/tag/webshell-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/manic-menagerie-targets-web-hosting-and-it/?pdf=download&lg=ja&_wpnonce=9455982592 "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/manic-menagerie-targets-web-hosting-and-it/?pdf=print&lg=ja&_wpnonce=9455982592 "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=Manic%20Menagerie%202.0:%20精力的に活動を続ける脅威アクターの進化&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanic-menagerie-targets-web-hosting-and-it%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanic-menagerie-targets-web-hosting-and-it%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanic-menagerie-targets-web-hosting-and-it%2F&title=Manic%20Menagerie%202.0:%20精力的に活動を続ける脅威アクターの進化 "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanic-menagerie-targets-web-hosting-and-it%2F&text=Manic%20Menagerie%202.0:%20精力的に活動を続ける脅威アクターの進化 "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanic-menagerie-targets-web-hosting-and-it%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=Manic%20Menagerie%202.0:%20精力的に活動を続ける脅威アクターの進化%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmanic-menagerie-targets-web-hosting-and-it%2F "Share in Mastodon") ## **概要** Unit 42のリサーチャーは、2020年後半から2022年後半にかけて、米国・EUの複数のWebホスティング・ITプロバイダーを標的とした活発なキャンペーンを発見しました。Unit42は、このキャンペーンに関連する[アクティビティをCL-CRI-0021として追跡](https://unit42.paloaltonetworks.jp/from-activity-to-formal-naming/)しており、これらのキャンペーンが「[Manic Menagerie](https://www.cyber.gov.au/sites/default/files/2023-03/report_manic_menagerie.pdf)」として知られる以前のキャンペーンと同じ脅威アクターによるものと考えています。 この脅威アクターはハイジャックしたマシンにコインマイナーを展開し、侵害したサーバー リソースを悪用していました。Webシェルを大規模に展開して被害環境での足場をさらに固めてアクセスを持続し、同時に侵害したWebサイトの内部リソースへのアクセスを持続していました。 これにより、この攻撃者はハイジャックした正規Webサイト(標的となったWebホスティング プロバイダーやITプロバイダーがホスティングしているもの)を大規模なコマンド\&コントロール(C2)サーバーに作り変え、潜在的に何千ものWebページに影響を与えていた可能性があります。またこの脅威アクターは、レピュテーションが高く、セキュリティ ソリューションによる悪性フラグが立っていない、正規のWebサイトから、C2アクティビティを実行することができました。悪用の被害にあった正規Webサイトは多大な影響を受けていた可能性があります。そうした状況で、知らぬ間に悪質なコンテンツをホストし、犯罪行為に加担していたかもしれないのです。こうした犯罪行為は、対象Webサイトの所有者やWebホスティング会社に法的および/または風評上の損害を与える可能性があります。 被害ネットワーク内での活動時、この攻撃者は、複数の技術を使って、さまざまな監視ツールや、環境内で動作している商用サイバーセキュリティ製品の検出を回避しようとしていました。また彼らは、ペイロードの実行を続けてみたり、以前にブロックされていたツールを再展開して再実行してみたり、ほかの類似ツールを試してみたりもしていました。この攻撃者は、既知のマルウェアを使わず、カスタム ツールを取り入れ、誰でも入手できる公開された正規ツールを使うことで、検出を避けようとしていました。 最近観測したこのキャンペーンで使われていた戦術・技術・手順(TTP)に基づくと、このキャンペーンを実行していたのは、以前「[Manic Menagerie](https://www.cyber.gov.au/sites/default/files/2023-03/report_manic_menagerie.pdf)」というキャンペーンを実行していたのと同じ脅威アクターであると考えられました。したがって私たちは最近観測したこのキャンペーンを「Manic Menagerie 2.0」と呼ぶことにしました。 [Australian Cyber Security Center](https://www.cyber.gov.au/)によれば、この脅威アクターは少なくとも2018年から、オーストラリアのWebホスティング会社を標的として活動していることが報告されていました。この名前(menagerieは「見世物として集められた動物の群れ」ないし「奇妙で多様な人々や物の集まり」の意)はおそらく、彼らの忙しないアクティビティに加えて、攻撃されたWebホスティング会社の多さや、使用されるさまざまなツールにちなんだものではないかと考えられます。 パロアルトネットワークスのお客様は、以下の製品とサービスによって本稿で解説した脅威からの保護を受けています。 * [Cortex XDR](https://docs-cortex.paloaltonetworks.com/p/XDR)と[XSIAM](https://docs-cortex.paloaltonetworks.com/p/XSIAM)のローカル解析、振る舞い脅威防御(BTP)、クリプトマイナー モジュール、アナリティクス * [Advanced URL Filtering](https://docs.paloaltonetworks.com/advanced-url-filtering/administration)、[DNS Security](https://docs.paloaltonetworks.com/dns-security)、[WildFire](https://docs.paloaltonetworks.com/wildfire)を含む[クラウド配信型セキュリティサービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) サービス * [次世代ファイアウォール (NGFW)](https://docs.paloaltonetworks.com/ngfw)とThreat Preventionセキュリティ サブスクリプション * クラウド配信型マルウェア解析サービス[WildFire](https://docs.paloaltonetworks.com/wildfire) | **関連するUnit 42のトピック** | [**Cryptominers**](https://unit42.paloaltonetworks.jp/tag/cryptominers-ja/), **[Web shells](https://unit42.paloaltonetworks.jp/tag/webshell-ja/)** | |----------------------|----------------------------------------------------------------------------------------------------------------------------------------------------| ## **初期アクセスと永続性** Manic Menagerie 2.0キャンペーンの最初の足がかりは2020年後半に観測されました。このとき標的とされていたのは米国とEUの企業です。このキャンペーンで脅威アクターは、脆弱なWebアプリケーションとIISサーバーをエクスプロイトして標的マシンにアクセスし、感染サーバー上にさまざまなWebシェルを展開していました。 稼働中のWebサーバー上にWebシェルを展開することで、脅威アクターは正規Webサイトをハイジャックできます。Webシェルは、侵害されたサーバー上のC:\\*\[hosted websites on the server path\]*\\wwwroot\\example.com\\webshell.aspxフォルダー内にホストされたこれらのWebサイト上に配置されます。 こうすることで、将来的に被害ネットワークの外からの公開アクセスが可能になり、事実上、これらのWebサイトが攻撃者のC2サーバー予備軍になります。 私たちはまた、xn.aspxというWebシェルを確認しています。このWebシェルは、オーストラリア国内のWebホスト会社を標的とした最初のManic Menagerieオペレーションに関する[Australian Cyber Security Center (ACSC)の報告書](https://www.cyber.gov.au/sites/default/files/2023-03/report_manic_menagerie.pdf)で言及されていたものと同じWebシェルです。 Manic Menagerie 2.0オペレーションでは、脅威アクターはWebシェルを展開後、コインマイナーの展開を開始しました。これは、侵害したサーバーの強力なコンピューティング リソースを悪用し、コイン マイニングを通じて脅威アクターが金銭的利益を得るために行われた可能性が高いでしょう。 2021年から2022年にかけて、Microsoft Exchange Serverの複数の脆弱性が公開されたことを受け、脅威アクターは複数の標的に対し、以下の脆弱性のエクスプロイトを試みていました。 * [CVE-2021-26855](https://nvd.nist.gov/vuln/detail/CVE-2021-26855)、[CVE-2022-41040](https://nvd.nist.gov/vuln/detail/CVE-2022-41040): (ProxyNotShell) Exchange Serverにおけるサーバーサイド リクエスト フォージェリ(SSRF)の脆弱性 * [CVE-2021-34473](https://nvd.nist.gov/vuln/detail/cve-2021-34473): (ProxyShell脆弱性の1つ) Exchange Serverにおけるリモート コード実行の脆弱性 * [CVE-2021-33766](https://nvd.nist.gov/vuln/detail/CVE-2021-33766): (ProxyToken) 攻撃者が任意のユーザーのメールボックスの設定を改ざん可能 つまり、環境内にある[IIS サーバー](https://blog.viettelcybersecurity.com/deep-understand-aspx-file-handling-and-some-related-attack-vector/)の脆弱性と[脆弱なWeb アプリケーション](https://attack.mitre.org/techniques/T1190/)に、前述の脆弱性が合わさって、脅威アクターに侵入や永続性確保のための攻撃ベクトルがさらに与えられたことになります。[Morphisec](https://blog.morphisec.com/proxyshellminer-campaign)は最近、攻撃者がExchange Serverにおける脆弱性(ProxyShellと総称される)を利用し、クリプトマイナーをドロップするキャンペーンを調査しています。 ## 偵察と特権昇格 Manic Menagerie 2.0キャンペーンに関与している脅威アクターらは、2020年後半から、ローカル権限昇格の概念実証(PoC)ツール(後述)を定期的に実行しはじめました。IISサーバーのAdministratorsグループに自分たち用のユーザーを追加して、利益をさらに拡大しようとしたのです。彼らはあるツールが失敗しても、似たような機能を持つ別のツールで再度チャレンジします。 この攻撃者は、RunasCsと呼ばれるrunas.exeの.NETラッパーの1つを使っていました。このツールは誰でも入手できる公開ツールで、元になったrunas.exeユーティリティにはない拡張機能をもたせてあります。たとえば、明示的にユーザー クレデンシャルを指定してプロセスを実行することもその1つです。 この脅威アクターは、脆弱なWebアプリケーションをユーザーとして実行することにより、感染環境内でさらなるネットワーク偵察を行おうとしていたことが確認されています。その後、au.exe(auは「add user」の略。図1参照)を実行し、自分たち用のユーザーを追加しようとしていました。このファイルは特権を昇格させたユーザーに実行される必要があります。彼らはさらにその後、netコマンドを実行して、作成したユーザー名の存在を確認していました。 彼らのiis\_user、iis\_usesといったユーザー名の使用は注目に値します。後者は、一見すると綴り間違いととられかねません。この命名規則は、前述のACSCの報告書にも記載されているものです。 ![画像1はコマンド プロンプトのスクリーンショットです。ユーザーはau.exeで、iis\_userとパスワードを作成します。このスクリーンショットは情報の一部を伏せてあります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-1.png) 図1. au.exeはiis\_userというユーザーを作成しそのパスワードを生成 前述のau.exeはこのアクターが複数回実行していたツールで、これはさらに別のPoCローカル権限昇格ツール(図2)とつなぎ合わせて使われていました。 ![画像2は、ブロックされたRunasCsの実行フロー図です。実行がブロックされたのは第2レベルです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-2.png) 図2. 脆弱なWebアプリケーションをユーザーとして別のコマンドと組み合わせてRunasCsを実行しようとしたがCortex XDRにブロックされた この脅威アクターは、やはり特権の昇格を狙って、複数のツールを使用していたようすが観測されています。上の図2の64-bit版PrintSpooferがそうしたツールの1つで、攻撃者はこの公開ツールをau.exeの特権昇格に使っていました。このツールを使っていなければ、意図したようなユーザーの追加はできないでしょう。 ## Fork爆弾とさらなるローカル特権昇格 この脅威アクターは、一般公開されている複数のツールを使用して、以下の脆弱性を利用したローカル権限の昇格(Local Privilege Escalation: LPE)を試みているようすが確認されています。 * [CVE-2018-8120](https://nvd.nist.gov/vuln/detail/CVE-2018-8120) * [CVE-2019-0623](https://nvd.nist.gov/vuln/detail/CVE-2019-0623) * [CVE-2019-0803](https://nvd.nist.gov/vuln/detail/CVE-2019-0803) * [CVE-2019-1458](https://nvd.nist.gov/vuln/detail/CVE-2019-1458) Manic Menagerie 2.0のキャンペーンで観測されたもう1つ興味深いアクティビティは、svchost.exeの[Fork爆弾](https://www.okta.com/identity-101/fork-bomb/)です。最初のManic Menagerieキャンペーンに関するACSCの報告書でも、この種のサービス妨害(DoS)ツールの存在にふれています。 Fork爆弾のコードは非常にシンプルで、無限ループで実行して(図3)、マシンのメモリーが枯渇するまで自身のインスタンスを次から次にオープンしていくだけです。このアクティビティは、マシンをクラッシュさせて強制的に再起動することを目的としています。これによって、その起動にマシンの再起動を必要とする、ある実行ファイルの永続化メカニズムを機能させています。 ![画像3は、Fork爆弾のバイナリーによって無限ループを作成するコード スニペットのスクリーンショットです。これはwhile(1)で始まります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-3.png) 図3. Fork爆弾バイナリーのエンドレス ループのコードスニペット ## dllnc.dll: ペイロードの実行とユーザー ツールの追加 Manic Menagerie 2.0キャンペーンで観測したもう1つのツール、dllncには主な機能が2つあります。1つは攻撃者の実行ファイルやバッチ ファイルをロードする機能で、もう1つは攻撃者のユーザーをAdministratorsグループへ追加することを想定した機能です。 これには、示唆的なPDBパスが1つ含まれています。 2023年5月中旬現在、VirusTotalには、ほかにF:\\upfile\\3389\\opents\\dlladduser\\x64\\Release\\dllnc.pdbを含む検索結果は存在しません。このことからは、おそらくこのツールがこの特定攻撃者のカスタム ツールだろう、ということが示唆されます。 このローダーのコード セグメントは、攻撃者のパス(図4)内での存在を想定したツールをいくつかロードしようとします(それらのツールの有無をチェックしていないことからの推測)。そのさいはハードコードされた複数のパスが対象となりますが、そのほとんどがこのキャンペーンで観測されています。 ![画像4は何行ものコードで、攻撃者のツールのハードコードされたパスです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-4.png) 図4. dllnc.dllで確認された攻撃者のツールのハードコードされたパス 次にこのツールは、現在のiis\_userユーザーを削除してから、同じユーザーをハードコードされたパスワードで再度追加します。この振る舞いも、最初のManic Menagerieキャンペーンに関するACSCの報告書との相関が見られます。この報告書でも言及されている[Relative ID (RID)ハイジャック](https://www.ired.team/offensive-security/persistence/rid-hijacking)ツールの古い亜種(図5)は、これと似た振る舞いをします。 ![画像5は管理者のコマンド ラインのスクリーンショットです。これはRIDハイジャック ツールからの出力です。このスクリーンショットは情報の一部を伏せてあります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-5.png) 図5. RIDハイジャック ツールからの出力。出典: [Australian Cyber Security Centre (ACSC) Report 2018-143](https://www.cyber.gov.au/sites/default/files/2023-03/report_manic_menagerie.pdf) 図6 両亜種のパスワードには明らかに強い類似性があります。両方ともxmanという接頭辞を使い、同じような接尾辞を使っています(図6)。 ![画像6は、iis\_userとそのパスワードのスクリーンショットです。情報の一部を伏せてあります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-6.png) 図6. ユーザーiis\_userとハードコードされたパスワード ## PCHunter 私たちはこのManic Menagerie 2.0キャンペーンでPCHunterという別のツールの使用も確認しています。このツールはGMERやRootkit Unhookerといった古いツールと似たもので、さまざまなWindowsの内部コンポーネントのブラウズや変更を行う強力な正規ツールキットです。図7はPCHunterの実行がブロックされている様子を示しています。 ![画像7は、Cortex XDRのスクリーンショットで、PCHunter64.exeがブロックされています。この図にはパスやSHA、署名が含まれています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-7.png) 図7 PCHunterの実行をブロック 図8は、「Epoolsoft Corporation」によるPCHunterのデジタル署名です。中国語のコメントにはツールの簡単な説明が記載されています。これを訳すと「YipminはWindowsのシステム情報閲覧ツール(セキュリティ カテゴリー)です」になります。 ![画像8はPCHunterの署名者情報のスクリーンショットです。これには、Copyright、Product、Description、Original Name、Internal Name、File Version、Comments (漢字で書かれている)、Data signedが含まれます。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-8.png) 図8. PCHunterの署名者情報。 ## 第2の波: 大規模なバックドア化 ### 複数の宛先を対象とする既知Webシェルの展開 Manic Menagerie 2.0のキャンペーンで観測された2つめの明確な攻撃波は、ホスティングされたWebサイトに対する大規模なWebシェル展開という大きな特徴を持っています。これによって攻撃者は、将来の公開アクセスを有効にして足場を固め、ネストしたフォルダーの奥深くにWebシェルを隠せます。ハイジャックされたこれらの正規Webサイトは、将来的にC2サーバーとして使用される可能性があります(ボットネット インフラの一部として利用されるなど)。 この攻撃者は、2022年初頭までさかのぼって、ASPXSpyと呼ばれる同じ既知のWebシェルを、複数のホスティングされたWebサイトに展開しようとしていました。図9に示すように、このWebシェルは何百もの異なるパスに書き込まれていたようすが確認されています。 ![画像9はCortex XDRのスクリーンショットです。ACTION\_TYPE、FILE\_PATH、FILE\_SHA256の列が表示されています。ACTION\_TYPEは「File Write (ファイルの書き込み)」です。ここではファイル パスのほとんどが伏せ字にされています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-9.png) 図9. ASPXSpy WebシェルがホスティングされたWebサイトのさまざまなパスに書き込まれていた ### GoIIS この攻撃者はまた、2017年にコンパイルされた、IIS1.aspまたはGoIIS.exe(図10)と呼ばれるツールを実行していました。このツールはGolangで書かれていて、サーバーのフォルダーを走査し、その設定情報を取得するのに使われます。これによって攻撃者は侵害したサーバーに関する価値の高い情報を得られます。 ![画像10はISSツール出力のスクリーンショットです。2つの赤い枠によるハイライトがあります。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-10.png) 図10. IISツールの出力 ### Sh.exe: カスタムWebシェル展開ツール 2022年の後半、この攻撃者はManic Menagerie 2.0キャンペーンの一環としてsh.exeというカスタムツールを展開しました。その実行のようすは以下の図11で確認できます。このツールの役割は、事前に設定されたパスの一覧と、同じパブリックIPアドレスを共有している対象サーバー上のハイジャック済み正規Webサイトをもとにして、ホスティングされたWebサイトに大規模なWebシェルを書き込むことです。 このツールの使用を容易にするため、攻撃者はアクセス制御リスト(ACL)管理用コマンドライン ツールであるcaclcs.exe(mycacls.comという名前がつけられていた)のカスタム ラッパーを使っていました。このツールを使えば、WebサーバーのACLパーミッションを一括で変更したり、IISのセキュリティ設定を緩めたりできます。 ![画像11はCortex XDRのスクリーンショットです。ツリー図にsh.exeがブロックされた場所が示されています。このスクリーンショットには複数のファイルパスが含まれています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-11.png) 図11 ほかのツールやコマンドとともにsh.exeの実行が試みられたがCortex XDRによってブロックされた sh.exeに渡されるパラメーターには、同じパブリックIPを共有する関連Webサイトの一覧が含まれています。実行されたsh.exeツールは、imagesやcssといった一見正規のものに見えるさまざまなサブフォルダーを生成し、自らのアクティビティのさらなる隠蔽をはかります。これは、攻撃者が将来的にインターネットから被害者のマシンにアクセスできるようにし、今後このインフラを大規模C2サーバーとして利用することを意図していた可能性があります。 sh.exeは「Fujian identical investment co.,Ltd.」が発行した無効な証明書で署名されています(図12)。この名前は、ACSCの報告書が以前のキャンペーンで解説した別ツールの署名に使われたものと同じ名前です。 私たちが観測したサンプルでは、sh.exeは2022年11月3日にコンパイルされていました。その証明書は2022年12月6日に署名されていました。これに署名してまもなく、この脅威アクターが、侵害した環境の1つで、sh.exeを実行するようすが確認されています。コンパイルのタイムスタンプと、この無効な証明書の有効期間は、このツールがこの特定のキャンペーンのために特別に作られたものである可能性を示唆しています。 ![画像12はデジタル署名の詳細のポップアップ ウィンドウです。ここでは\[General\]タブを開いています。ここには、Name、E-mail、Signing timeのほか、\[View Certificate\] ボタンが表示されています。Countersignaturesも表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-12.png) 図12. sh.exeの無効な署名 脅威アクターはほとんどのファイルを削除していましたが、私たちはsh.exeとそれがドロップしたファイル(復元はできず)の間につながりがあることを発見しました。調査の結果、攻撃者が使用したコンパイル済み.NET DLLは3種類であることが判明しました。 [これらのDLL](https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/hafnium-china-chopper-and-aspnet-runtime/)はrawのASPXファイルが初めてアクセスされたさい、IISサーバーによって[コンパイル](https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/hafnium-china-chopper-and-aspnet-runtime/)されます。コードを逆コンパイルしてみると、両ファイルで確認された示唆的な文字列から、このWebシェルとsh.exeとの間に興味深い類似点が見つかりました。 Webシェルの1つがドロップされたWebサイトの1つをブラウズしてみると、そのページ上のコンテンツは文字列ONEPIECEでした(図13)。 ![画像13は、Webシェル リソースのスクリーンショットです(一部内容を伏せてある)。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-13.png) 図13. ハイジャックされたWebサイト内のWebシェル リソースをブラウズ WebシェルのコードをブラウズしてHTMLコンテンツを表示しているコードを見てみると、この文字列はx\_best\_911(図14)といった、ほかの示唆的な文字列とともに確認できます。 ![画像14は、数行のコードのスクリーンショットです。これらは文字列で、WebシェルのDLLコードにハードコードされている「ONEPIECE」という文字列も含まれています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-14.png) 図14 コンパイルされたWebシェルのDLLコードにハードコードされたONEPIECEという文字列。 x\_best\_911という文字列はsh.exe内でも見つかります(図15)。 ![画像15は、数行のコードのスクリーンショットです。ハードコードされているのはx\_best\_911の文字列です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-15.png) 図15. sh.exe.にハードコードされたx\_best\_911という文字列 ACSCの報告に戻ると、前述のRIDハイジャック ツールの実行時に生成されるパスワードには、xmanという文字列が含まれています。この文字列はsh.exeからも見つかっており(図16)、今回のキャンペーンと、以前のManic Menagerieのキャンペーンで見られた新たなツールの間にさらなる類似性が示唆されます。 ![画像16は、数行のコードのスクリーンショットです。sh.exeにはxmanという文字列がハードコードされています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-16.png) 図16. sh.exeにハードコードされたxmanという文字列 ### さらなるローカル特権昇格の試み #### ローカル特権昇格ツールセット: HipposとPotatoes 前のセクションで述べたように、IISサーバーがWebシェルにアクセスすると、ある.NET DLLがその場でコンパイルされて一時ディレクトリに置かれます。そうしたコンパイル済みDLL Webシェル ファイルの1つが、以下の図17に示すApp\_Web\_xvuga1zl.dllです。 このキャンペーンに関連するさまざまなステージの攻撃で見られたように、この攻撃者はWebシェルとの接続を確立後、公開されている複数のローカル特権昇格ツールを、リモートからさらに実行しようとしました。 以前のキャンペーン同様に、今回も以下のような特権昇格ツールが使われました。なかには、それぞれの実行間隔を数分しか空けないことで、ブロックを回避しようとしていた事例もありました。 * JuicyPotato * PrintSpoofer * JuicyPotatoNG * EfsPotato * PetitPotam (フランス語で「小さなカバ」) ![画像17はCortex XDRのスクリーンショットです。これはツリー図です。プログラムによって検出・ブロックされた複数のローカル特権昇格ツールが表示されています。赤い枠でDLLがハイライトされています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-17.png) 図17. 複数のローカル権限昇格ツールをCortex XDRが検出・ブロック #### MyComEop Manic Menagerie 2.0キャンペーンで標的となった組織から復元したいくつかのローダーを分析したところ、別の発見が目に留まりました。これらのローダーには、xとx.tmpというファイルのハードコードされた文字列が含まれていました。これらのローダーをデバッガーで実行したところ、うまくペイロードを復号でき、さらに別のPoCのローカル特権昇格・バックドア ツールの存在が明らかになりました。これには特徴的なPDBパスが含まれていました。 * E:\\git\\MyComEopPower\\MyComEopPipe\\Build\\Quantum.pdb * E:\\git\\MyComEopPower\\MyComEopPipe\\Build\\MyComEop.pdb VirusTotalでこれらのPDBパスを検索したところ、別の2つ亜種から、注目すべきメタデータがさらに見つかりました(図18)。 ![画像18はある亜種のファイル バージョン情報です。これには、Copyright、Product、Description、Original Name、Internal Name、File Version、Comments (漢字で書かれている)、File Versionが含まれます。英語と漢字が混在しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-18.png) 図18. 別の亜種から取得したファイル メタデータ。同じPDBパスが含まれている この製品名と説明を翻訳すると「プロトコル権限昇格ツール」と「内部特別版」となります。この2つの異なるメタデータ コンポーネントをもとにしてさらに検索してみると、よく似たPDBパスをもつ類似亜種がさらに得られました。そのうちいくつかはVirusTotalで[CVE-2017-0213](https://nvd.nist.gov/vuln/detail/CVE-2017-0213)タグが付けられています。 さらに調査した結果、これもまた特権昇格・バックドア ツールであることがわかりました(図19a、図19b)。 ![画像19は数行のコードのスクリーンショットです。これは特権昇格ツールからのハードコードされたパスです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-19.png) 図19a. 特権昇格・バックドア ツールから見つかったハードコードされたパス ![画像20は数行のコードのスクリーンショットです。このスクリーンショットでは、バックドアという言葉が赤でハイライトされています。これらは説明したツールのバックドア ログです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-20.png) 図19b. 同ツールのバックドア ログ ## 攻撃再開へ 2023年4月、Manic Menagerie 2.0に関連する活動を監視していたところ、この脅威アクターが、更新したツールを展開し、設置済みのWebシェルを介して侵害環境にアクセスするようすが確認されはじめました。そうした行為は、それと並行して展開された古いツールの指標のほか、au.exeといった更新済みのツールとともに見つかっています。 この攻撃者はまた、netコマンドを実行して、自分のiis\_userが存在しているかどうかを確認していました。その後、修正済みツールを%programdata%\\xパスに展開しはじめました。そうした振る舞いは以前確認されていたのと同じです。 彼らが展開したツールの1つはGodPotatoと呼ばれるツールで(図20)、これは 「potatos」として知られる既知のローカル特権昇格ツール ファミリーの別亜種です。これも公開ツールです。 ![画像21はGodPotatoツールのスクリーンショットです。GodPotatoという単語は、大文字の「F」で作ったアスキー アートです。このスクリーンショットには、コマンドラインの入力例である引数と例も含まれています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-21.png) 図20. GodPotatoツールのスクリーンショット 私たちが観測したもう1つのツールは、図21に示したさらに別のカスタム バックドアです。そのPDBパス、D:\\project\\后门类\\dllnc\\exenc\\x64\\Release\\exenc.pdbを見ると、これは前述のdllncツールの新しい亜種のようです。 この亜種は、ローダーとしての主たる機能よりも、バックドアの機能に重点が置かれています。「后门类」を訳すと文字通り「バックドア」という意味になります。 ![画像21は、何行にもわたるコードのスクリーンショットです。新しいバックドアのmainメソッドを示しています。スクリーンショットには編集された情報が含まれています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/06/word-image-128904-22.png) 図21. 新たなバックドアのmainメソッド ## **結論** Unit 42のリサーチャーは、2年以上にわたりWebホスティング企業やIT企業をターゲットにしてきた活発なキャンペーンを発見しました。私たちはこのキャンペーンをManic Menagerie 2.0と呼んでいます。私たちはこのキャンペーンを、以前「Manic Menagerie」というキャンペーンを実行していた脅威アクターによるものと考えています。今回のキャンペーンは、前回のオペレーションの進化版であることが示されています。 Unit 42は、このキャンペーンに関連するアクティビティをCL-CRI-0021という名前で追跡しています。Manic Menagerie 2.0に関与している脅威アクターは現在も戦術・技術・手順(TTP)を変化させながら水面下での活動を続けています。 このオペレーションの背後にいる脅威アクターの主な目的は、侵害したWebサーバーのリソースを悪用して金銭的利益を得ることのようです。この脅威アクターは、ACSCが最初のキャンペーンについてそう報告していたように、Manic Menagerie 2.0でも複数のコインマイナーを展開していました。 私たちの調査からは、攻撃者らがしだいに武器庫を拡充し、TTPを進化させ、正規Webサイトをハイジャックを続けていることが明らかになりました。彼らは、侵害したサイトに大規模にWebシェルを展開し、それをC2サーバーとして使用することでこれを実現していました。 **保護と緩和策** パロアルトネットワークスのお客様は、以下の製品とサービスによって本稿で解説したキャンペーンからの保護を受けています。 * * 次世代ファイアウォール([NGFW](https://docs.paloaltonetworks.com/ngfw))で[Threat Prevention](https://docs.paloaltonetworks.com/advanced-threat-prevention/administration)サブスクリプションを有効にし、ベストプラクティスに従って運用されているお客様は本攻撃をブロックできます。対応する脅威防御のシグネチャは、 [90796](https://threatvault.paloaltonetworks.com/?query=90796)、[90815](https://threatvault.paloaltonetworks.com/?query=90815)、[91505](https://threatvault.paloaltonetworks.com/?query=91505)、[91651](https://threatvault.paloaltonetworks.com/?query=91651)、[91368](https://threatvault.paloaltonetworks.com/?query=91368)、[91589](https://threatvault.paloaltonetworks.com/?query=91589)、[91577](https://threatvault.paloaltonetworks.com/?query=91577)です。 * クラウド配信型マルウェア解析サービス[WildFire](https://www.paloaltonetworks.jp/network-security/wildfire)は既知のサンプルを悪意のあるものとして正確に識別します。 * [Advanced URL Filtering](https://docs.paloaltonetworks.com/advanced-url-filtering/administration)と[DNS Security](https://docs.paloaltonetworks.com/dns-security)は、同グループに関連するドメインを悪意あるものとして識別します。 * [Cortex XDR](https://docs-cortex.paloaltonetworks.com/p/XDR)は、エンドポイント、ネットワーク ファイアウォール、Active Directory、IDおよびアクセス管理ソリューション、クラウド ワークロードを含む複数のデータ ソースからのユーザー アクティビティを分析することにより、ユーザーおよびクレデンシャル ベースの脅威を検出します。また、機械学習により、長期にわたるユーザーの行動プロファイルを構築します。Cortex XDRは、過去のアクティビティやピアー アクティビティ、期待される同者の行動と新しいアクティビティとを比較することにより、クレデンシャル ベースの攻撃を示唆する異常なアクティビティを検出します。 さらに、本稿で取り上げた攻撃に関連し、以下のような保護も提供しています。 * 既知の悪意のあるマルウェアの実行を防止するほか、ローカル分析モジュールにもとづく機械学習と[Behavioral Threat Protection](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention)によって未知のマルウェアの実行も防止します。 * Cortex XDR 3.4以降で利用可能になった新たなCredential Gathering Protectionを使い、資格情報収集ツールや技術から保護します。 * Cortex XDRバージョン3.4で新たにリリースされたAnti-Webshell Protectionを使い、脅威によるWebシェルからのコマンドのドロップや実行から保護します。 * Anti-ExploitationモジュールとBehavioral Threat Protectionを使い、ProxyShellやProxyLogonを含む、さまざまな脆弱性のエクスプロイトから保護します。 * Cortex XDR Proは振る舞い分析によりクレデンシャル ベース攻撃を含む、[エクスプロイト後のアクティビティ](https://docs.paloaltonetworks.com/cortex/cortex-xdr/cortex-xdr-analytics-alert-reference/cortex-xdr-analytics-alert-reference/analytics-alerts-by-required-data-source)を検出します。 侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、[こちらのフォーム](https://start.paloaltonetworks.jp/contact-unit42.html)からご連絡いただくか、infojapan@paloaltonetworks.comまでメールにてご連絡いただくか、下記の電話番号までお問い合わせください(ご相談は弊社製品のお客様には限定されません)。 北米フリーダイヤル: 866.486.4842 (866.4.UNIT42) * 欧州: +31.20.299.3130 * アジア太平洋: +65.6983.8730 * 日本: +81.50.1790.0200 パロアルトネットワークスはファイル サンプルや侵害の兆候などをふくむこれらの調査結果をCyber Threat Alliance (CTA) のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使って、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害できます。詳細については[Cyber Threat Alliance](https://www.cyberthreatalliance.org)にてご確認ください｡ ## **IoC (侵害指標)** **Webシェル** * B00cd3b39bc2fd6a4077c679f050d97ed26ef20a1fe80ad3525ea0dbbd131f74 * 0153246cf5e1d980d65d4920bdc5b2ac4c9aba6d5b6676f0e9bbde794dd04314 * 0f9dca8599d7b350050149e63a6a977f1d157d5967ba6da534919530063cdcde * 9215371ec6058ba38780a5d336eb3201a47c77bb97bb00a60f1bec0386185c77 * adf2ee0ad2f5f13b9bf72741c75910f786d2cfee84b5ae78ea3e5464f46addde **コンパイルされたWebシェルのDLL** * fcd44c32ae6078f2ba44c8c5e2efa3f9b788d4c6470a5ee9bd4944699fb8357a * 2e24c384f9ae7d09179bd41e51c4a9bb43102d170990e8e1576e79362b049ed6 * 3ab6a849d81b66a52d717cc1b0178882e30d44c39b1089604c5746a187b2e4ce * 905cf864acad6b4a664582eb9fc6e0afab87198274a29e5f7d7863fee29f37cd **StreamExマルウェア** * a812d5472458c6fc993ae1e9e8b9f04e31d176e2ec9f5ce5ac48e32ed72fb414 * 8402967a4b0bff39fc3ccc7a5b613734135551e9f6f32cf8c14fd6541a85d4d5 **コインマイナー** * 4cdcec18ef5d3657b488f32912a8ccf4541891e4e4c8518afbc1e1b0e147e96b * db2712470ca60e874b15fa1e5ef667dbf6b755223ee5eb20843843115537e1c4 * c67ce681677909aa5ae9abcf42c35faffee08cd73b5cee8d975fa07159f76c87 * 308643ef08bd65afaba08315826985975515845fb5d6235db80a9bc5bdbb00f3 **SpoolPotato** * 238f5771b8350633e258221e25223e52545709b74cbe2c9361e2b730f9dbfa00 **JuicyPotato** * 5cb0710bef7c7b0ff226bf5ca12f499859505547696f22fa06ce1f47ea312d82 **x.bat** * f20b0a716c3980c46a2996ae21e3566c0151202557417d171566b82e97057f2f **x.tmp** * b4de4eb9763ad18e060513048eed4ac39481cfe62127345d0bb058eb26a18528 **x.tmp (復号後)** * 2092ce3cef30198cb7833851a1b1805bbfe71474152c1357ecd27f71ce807527 **x** * 6f77fea2e8e34fe3bb7134e110036e44e30a6d5144794669a6de21a30f3b7247 **x (復号後)** * db7290032479a53fa7a43262188132d572fab63d00d6d64d39f9256df6c10f55 **PCHunter** * 5cb0710bef7c7b0ff226bf5ca12f499859505547696f22fa06ce1f47ea312d82 **PrintSpoofer** * 609d04a4be3878328503c342f0d73c9ba5ff1c6c62f4c894516e50721207ef83 **PetitPotam** * 419e8bfae7a0887fad0eb273791cf0d03c0ed01d1957c7dc796c6e0d1a43f3d6 **JuicyPotatoNG** * 181daac34fd958aaadf1c9de1414cc3b331ef394ba47d5d2c77d30e9ac89ef17 **EfsPotato** * ef8eae74cddea603c5051de7808f402943d674c6bb557db1eff6a50d25114b6b **au.exe** * b08a089f0e44c2703a9e0dc4f6ef8d9285a08241499ad21dbf7f1fbc262d22bd * 1d61842f5ecdca970f43246ce93f51fa4c85c00b93b6b9e37db17325077497eb **RunasCs\_net2** * 009a28656abb84a6e7794fdd721565a2e2ca2565870597962d67a8e2c3707241 **CVE-2018-8120** * 88f62989cb2f220db3d289ffea924423487b180fabe37711d2ef5c7f2e306f13 **CVE-2019-0803** * 068bfbb2dc6dadc3860eb16cc7ece97d935948f9b64ec66d5afda08e682be790 **CVE-2019-1458** * 3e2041c2efd120960c00bf794b5db4c967fc862e2d536ed5f7b5d5d1cf9bfda0 **CVE-2019-0623** * 74b95e6b8e02ea623849b6bcbf702922dd064ae06238b27cbb20504e38d85756 **Fork爆弾** * 6c569dd683df9600a098a93c9200d44778d535f58f5a82f4a58aeed3855fb9ca **dllnc** * 67fdef1b6fdf6fbec44e4df1608fb46dfbcfa3363bf62872ec132d000092a18f * ae35de63065040d752ef9fa76c553c0fa5c3cc5c8d67cf6981c66d3c8d86a6a6 **sh.exe** * 9e761c6811679311c80291b7d65f23cdd53865f72af64b5a72ae1a86d9ef27d0 **GodPotato** * 4e04472b21365c76d9cf0a324f889f723621fc42433a2f211a23dce728fa4a8a * 5a4a2272ce4388e56fb9d33255ac8c584d41c7099588ef9f39e4bee54be92992 **MyCACLS** * 15c52422bfa461b01901953f5e0d9c77aa0f898c8de4841303a572c59a269674 **PDBのパス** * "F:\\upfile\\3389\\opents\\dlladduser\\x64\\Release\\dllnc.pdb" * "E:\\git\\MyComEopPower\\MyComEopPipe\\Build\\Quantum.pdb" * "E:\\git\\MyComEopPower\\MyComEopPipe\\Build\\MyComEop.pdb" * "D:\\project\\后门类\\dllnc\\exenc\\x64\\Release\\exenc.pdb" ## 追加リソース * [Manic Menagerie: Malicious activity targeting web hosting providers](https://www.cyber.gov.au/sites/default/files/2023-03/report_manic_menagerie.pdf) -- ACSC Report 2018-143, Australian Cyber Security Centre * [Deep understand ASPX file handling and some related attack vectors](https://blog.viettelcybersecurity.com/deep-understand-aspx-file-handling-and-some-related-attack-vector/) -- Viettel Cyber Security * [ProxyShellMiner Campaign Creating Dangerous Backdoors](https://blog.morphisec.com/proxyshellminer-campaign) -- Morphisec * [What Is a Fork Bomb?Definition, Code, Prevention \& Removal](https://www.okta.com/identity-101/fork-bomb/) -- Okta * [RID Hijacking](https://www.ired.team/offensive-security/persistence/rid-hijacking) -- ired.team notes * [HAFNIUM, China Chopper and ASP.NET Runtime](https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/hafnium-china-chopper-and-aspnet-runtime/) -- SpiderLabs Blog, Trustwave トップに戻る ### タグ * [Cryptocurrency](https://unit42.paloaltonetworks.com/ja/tag/cryptocurrency-ja/ "Cryptocurrency") * [Cryptojacking](https://unit42.paloaltonetworks.com/ja/tag/cryptojacking-ja/ "cryptojacking") * [CVE-2021-26855](https://unit42.paloaltonetworks.com/ja/tag/cve-2021-26855-ja/ "CVE-2021-26855") * [CVE-2021-33766](https://unit42.paloaltonetworks.com/ja/tag/cve-2021-33766-ja/ "CVE-2021-33766") * [CVE-2021-34473](https://unit42.paloaltonetworks.com/ja/tag/cve-2021-34473-ja/ "CVE-2021-34473") * [CVE-2022-41040](https://unit42.paloaltonetworks.com/ja/tag/cve-2022-41040-ja/ "CVE-2022-41040") * [Manic Menagerie](https://unit42.paloaltonetworks.com/ja/tag/manic-menagerie-ja/ "Manic Menagerie") * [Microsoft Exchange Server](https://unit42.paloaltonetworks.com/ja/tag/microsoft-exchange-server-ja/ "Microsoft Exchange Server") * [Persistence method](https://unit42.paloaltonetworks.com/ja/tag/persistence-method-ja/ "persistence method") * [ProxyNotShell](https://unit42.paloaltonetworks.com/ja/tag/proxynotshell-ja/ "ProxyNotShell") * [Webshell](https://unit42.paloaltonetworks.com/ja/tag/webshell-ja/ "webshell") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:Cobalt Strike解析\&チュートリアル: 人気Cobalt Strike Malleable C2プロファイル技術の検出](https://unit42.paloaltonetworks.com/ja/cobalt-strike-malleable-c2/ "Cobalt Strike解析&チュートリアル: 人気Cobalt Strike Malleable C2プロファイル技術の検出") ### 目次 * ### 関連記事 * [01flip:Rustで書かれたマルチプラットフォーム ランサムウェア](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/ "article - table of contents") * [コーディングに挑戦する開発者を狙うSlow Pisces、カスタマイズされたPythonマルウェアを新たに導入](https://unit42.paloaltonetworks.com/ja/slow-pisces-new-custom-malware/ "article - table of contents") * [オペレーション CloudKeys: 露出した AWS の IAM キーを悪用するクリプトマイニング オペレーションの追跡](https://unit42.paloaltonetworks.com/ja/malicious-operations-of-exposed-iam-keys-cryptojacking/ "article - table of contents") ## 関連項目 マルウェア リソース ![Pictorial representation of ChainDrop, a self-propagating npm worm. An artistic depiction of a digital workspace featuring an open laptop with a red virus on the screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/08/03_Malware_Category_1920x900-7-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年8月6日 [#### ChainDropの脅威の概要:自己増殖型npmワームの内部](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/) * [Blockchain](https://unit42.paloaltonetworks.com/ja/tag/blockchain-ja/ "blockchain") * [ChainDrop](https://unit42.paloaltonetworks.com/ja/tag/chaindrop/ "ChainDrop") * [Claude code](https://unit42.paloaltonetworks.com/ja/tag/claude-code/ "Claude code") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/ "ChainDropの脅威の概要:自己増殖型npmワームの内部") ![Pictorial representation of the npm packages supply chain attack. Screen displaying code with a prominent alert symbol and the words 'VIRUS DETECTED' highlighted in red.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/05_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年6月2日 [#### npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/) * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Npm packages](https://unit42.paloaltonetworks.com/ja/tag/npm-packages/ "npm packages") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/ "npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)") ![Pictorial representation of Screening Serpens. An illustrated blue snake is highlighted by a red circle against a night sky. The constellation serpens.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/Serpens-Iran-A-1920x900-2-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年5月22日 [#### イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/) * [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat") * [AppDomainManager](https://unit42.paloaltonetworks.com/ja/tag/appdomainmanager/ "AppDomainManager") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/ "イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡") ![Pictorial representation of Iran cyber attacks. Close-up of a person wearing glasses, with computer code reflected in the lenses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/12_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月17日 [#### 脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/) * [APK](https://unit42.paloaltonetworks.com/ja/tag/apk-ja/ "APK") * [DDoS attacks](https://unit42.paloaltonetworks.com/ja/tag/ddos-attacks-ja/ "DDoS attacks") * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)") ![Pictorial representation of the supply chain attack compromising Axios. A giant eye made of glowing binary code.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/02_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月1日 [#### 脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/) * [API attacks](https://unit42.paloaltonetworks.com/ja/tag/api-attacks-ja/ "API attacks") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/ "脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響") ![Pictorial representation of TeamPCP. Glowing code on a screen where several word such as Crime, Hackers, and Security are highlighted in a contrasting color.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/03_Cybercrime_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年3月31日 [#### プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/) * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/ "プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃") ![Pictorial representation of phishing campaign. A blurred image focusing on a person typing on a laptop with lines of code visible on the screen, illuminated in blue and red lights, suggestive of intense coding or cyber activities.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/06_Malware_Category_1920x900-3-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年3月24日 [#### 脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/) * [Email scam](https://unit42.paloaltonetworks.com/ja/tag/email-scam/ "email scam") * [Lure](https://unit42.paloaltonetworks.com/ja/tag/lure/ "lure") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/ "脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム") ![Pictorial representation of Notepad++ supply chain compromise. A digital rendering of Earth from space, focusing on North and South America. The continents are illuminated in blue, with red lines and dots indicating data connections across various locations. Dark background highlights the vibrant network representation.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/11_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月11日 [#### 国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/) * [Backdoor](https://unit42.paloaltonetworks.com/ja/tag/backdoor-ja/ "backdoor") * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/ "国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用") ![Pictorial representation of runtime assembly attacks. Digital artwork of a glowing, futuristic shield disintegrating into small particles, set against a dark blue, bokeh-effect background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/09_Business_email_compromise_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月22日 [#### ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/ "ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成") ![Pictorial representation of SLOW#TEMPEST campaign. Digital artwork depicting a malware alert symbol on a computer screen, with background of blurred programming code in blue and red colors.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/07_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月2日 [#### Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer](https://unit42.paloaltonetworks.com/ja/vvs-stealer/) * [Discord](https://unit42.paloaltonetworks.com/ja/tag/discord/ "Discord") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") * [Python](https://unit42.paloaltonetworks.com/ja/tag/python-ja/ "Python") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/vvs-stealer/ "Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)