[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/operation-rewrite-seo-poisoning-campaign/) * [Spanish (LATAM)](https://unit42.paloaltonetworks.com/es-la/operation-rewrite-seo-poisoning-campaign/) * [French](https://unit42.paloaltonetworks.com/fr/operation-rewrite-seo-poisoning-campaign/) * [Japanese](https://unit42.paloaltonetworks.com/ja/operation-rewrite-seo-poisoning-campaign/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/ "マルウェア") [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) # Operation Rewrite: 中国語圏の脅威アクターがBadIISを大規模SEOポイズニング キャンペーンに展開 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 3 分で読めます Related Products [![Advanced WildFire icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced WildFire](https://unit42.paloaltonetworks.com/ja/product-category/advanced-wildfire-ja/ "Advanced WildFire")[![Cloud-Delivered Security Services icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Cloud-Delivered Security Services](https://unit42.paloaltonetworks.com/ja/product-category/cloud-delivered-security-services-ja/ "Cloud-Delivered Security Services")[![Cortex icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex](https://unit42.paloaltonetworks.com/ja/product-category/cortex-ja/ "Cortex")[![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR")[![Unit 42 Incident Response icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Unit 42 Incident Response](https://unit42.paloaltonetworks.com/ja/product-category/unit-42-incident-response-ja/ "Unit 42 Incident Response") * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Yoav Zemah](https://unit42.paloaltonetworks.com/ja/author/yoav-zemah/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2025年9月22日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [CL-UNK-1037](https://unit42.paloaltonetworks.com/ja/tag/cl-unk-1037-ja/) * [SEO poisoning](https://unit42.paloaltonetworks.com/ja/tag/seo-poisoning-ja/) * [Web shells](https://unit42.paloaltonetworks.com/ja/tag/web-shells-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/operation-rewrite-seo-poisoning-campaign/?pdf=download&lg=ja&_wpnonce=9455982592 "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/operation-rewrite-seo-poisoning-campaign/?pdf=print&lg=ja&_wpnonce=9455982592 "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=Operation%20Rewrite:%20中国語圏の脅威アクターがBadIISを大規模SEOポイズニング%20キャンペーンに展開&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Foperation-rewrite-seo-poisoning-campaign%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Foperation-rewrite-seo-poisoning-campaign%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Foperation-rewrite-seo-poisoning-campaign%2F&title=Operation%20Rewrite:%20中国語圏の脅威アクターがBadIISを大規模SEOポイズニング%20キャンペーンに展開 "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Foperation-rewrite-seo-poisoning-campaign%2F&text=Operation%20Rewrite:%20中国語圏の脅威アクターがBadIISを大規模SEOポイズニング%20キャンペーンに展開 "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Foperation-rewrite-seo-poisoning-campaign%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=Operation%20Rewrite:%20中国語圏の脅威アクターがBadIISを大規模SEOポイズニング%20キャンペーンに展開%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Foperation-rewrite-seo-poisoning-campaign%2F "Share in Mastodon") ## エグゼクティブ サマリー 2025年3月、弊社はSEO(検索エンジン最適化)をポイゾニングするキャンペーンを摘発しました。発見されたインフラと言語的アーティファクトに基づき、私たちは中国語を話す脅威アクターがこのキャンペーンを運営していると高い確信を持って評価しています。弊社ではこれを、脅威アクターのコードにあるオブジェクト名の英訳にちなんで「Operation Rewrite」と呼んでいます。 弊社はこの活動群を[CL-UNK-1037](https://unit42.paloaltonetworks.com/ja/unit-42-attribution-framework/)として追跡しています。分析により、公に追跡されている「Group 9」脅威クラスターや「DragonRank」キャンペーンとインフラやアーキテクチャが重複していることが明らかになりました。 SEOのポイズニングを実行するうえで、攻撃者は検索エンジンの結果を操作し、金銭的な利益を得るために、予期しない、または望まないWebサイト(ギャンブルやポルノサイトなど)に訪問するように人々を誘導していることが確認されています。この攻撃には、BadIISと呼ばれる悪意のあるネイティブのインターネット インフォメーション サービス(IIS)モジュールが使われています。このモジュールは、Webトラフィックを傍受して改ざんし、正規の侵害されたサーバーを使用して悪意のあるコンテンツを訪問者に提供するものです。侵害されたWebサーバーは、リバースプロキシとして機能するようになります。つまり、他のサーバーからコンテンツを取得し、自分のサーバーとして表示する仲介サーバーとしての機能です。 マルウェアの構成を分析すると、明らかに東アジアと東南アジアに地理的な焦点があることが分かりました。このターゲティングは、地域検索エンジン用の特別なロジックを含むモジュールのコードを見れば明らかです。 キャンペーンの背後にいる攻撃者は、BadIISモジュールだけにとどまらないツールキットを使用しています。軽量ASP.NETページハンドラー、マネージド.NET IISモジュール、オールインワンPHPスクリプトなど、文書化されていない亜種が確認されています。 パロアルトネットワークスのお客様は、以下の製品を通じて、上記の脅威に対する確実な保護を構築いただけます。 * [Advanced WildFire](https://www.paloaltonetworks.com/network-security/advanced-wildfire) * [Advanced URL Filtering](https://docs.paloaltonetworks.com/advanced-url-filtering/administration)および[Advanced DNS Security](https://docs.paloaltonetworks.com/dns-security) * [Cortex XDR](https://www.paloaltonetworks.com/cortex/cortex-xdr?_gl=1*13pmp8e*_ga*NzQyNjM2NzkuMTY2NjY3OTczNw..*_ga_KS2MELEEFC*MTY2OTczNjA2MS4zMS4wLjE2Njk3MzYwNjEuNjAuMC4w) 情報漏えいの可能性がある場合、または緊急の案件がある場合は、[Unit 42インシデント レスポンス チーム](https://start.paloaltonetworks.com/contact-unit42.html)までご連絡ください。 | **Unit 42の関連トピック** | **[SEOポイズニング](https://unit42.paloaltonetworks.com/ja/tag/seo-poisoning-ja/), [Webシェル](https://unit42.paloaltonetworks.com/ja/tag/web-shells-ja/)** | |--------------------|----------------------------------------------------------------------------------------------------------------------------------------------------| ## BadIISマルウェアの背景 2021年に初めてプロファイリングされたBadIISは、悪意のある[IISネイティブ モジュール](https://learn.microsoft.com/en-us/iis/get-started/introduction-to-iis/iis-modules-overview)の総称です。これらのモジュールはWebサーバーのリクエスト パイプラインに直接統合され、Webサーバーの全権限を継承します。Webサーバー内でのこの特権的な地位により、1つのインプラントが幅広いアクションを実行できます。これには以下の機能が含まれます。 * JavaScriptまたはiframeの注入 * 内蔵リバースプロキシでトラフィックをトンネリング * 検索エンジンのクローラーを騙す302リダイレクトを放つ * 機密情報を盗む ESETの研究者は、[これらのモジュールをBadIISと名付け](https://web-assets.esetstatic.com/wls/2021/08/eset_anatomy_native_iis_malware.pdf)その亜種をマッピングした最初の人物です。 ### SEOポイズニングの役割 攻撃者はBadIISマルウェアを使用して、検索エンジンの結果を悪意を持って操作し、トラフィックを選択した目的地に誘導しています。この手法はSEOポイズニングと呼ばれるものです。新しいWebサイトの評判をゼロから構築するのは時間がかかり、困難なプロセスであることから、攻撃者はその代わりに、すでにドメインの評判が良い確立された正規のWebサイトを侵害します。 検索結果を汚染するために、攻撃者は侵害されたWebサイトに、インターネット検索で頻繁に表示されるキーワードやフレーズを注入します。この操作によってサイトのSEOが変更され、より広範な人気クエリの検索結果に表示されるようになります。その結果、Webサイトのランキングは一般的に使用される用語で改善され、汚染されたサイトに多くのトラフィックをもたらすようになります。 ### 攻撃の流れ: 俯瞰的なウォーク スルー 以下のセクションでは、攻撃の流れの中でBadIISがどのようにSEOポイズニングを活用するかを概説します。このキャンペーンには2つの主要な段階があります。それは検索エンジンをおびき寄せることと、被害者を罠にかけることです。 #### 第1段階: 毒のルアー この段階での攻撃者の目標は、検索エンジンに侵害されたWebサイトを特定のキーワードでインデックスさせることにあります。 1. **HTTPリクエストの着信:** 検索エンジンのクローラーが、侵害されたwww.victim\[.\]comのWebサーバーを訪問します。 2. **BadIISモジュールの傍受:** モジュールはUser-Agentヘッダを検査します。ヘッダーが設定リストのキーワードを含む場合、モジュールは訪問者を検索エンジンのクローラーとして識別します。 3. \*\*C2 コミュニケーションと対応:\*\*モジュールはコマンド アンド コントロール(C2)サーバーに連絡し、毒入りコンテンツをフェッチします。C2は、純粋にSEOのために設計された、キーワードを詰め込んだカスタムHTMLで応答します。 4. **最終的なアウトプット:** BadIISモジュールは、この悪意のあるHTMLを検索エンジンのクローラーに提供します。その結果、検索エンジンはwww.victim\[.\]comをC2レスポンスで見つかった用語に関連するソースとしてインデックスし、事実上検索結果を汚染することに成功します。 #### 第2段階: リダイレクトの罠を仕掛ける こうしておびき寄せられた攻撃者は、被害者がポイズニングされた検索結果をクリックするのを待ちます。 1. **HTTPリクエストの着信:** 誰かが、モジュールのコンフィギュレーション リストに表示されるキーワードを検索し、www.victim\[.\]comを指し示す偽装された検索結果をクリックします。 2. **BadIISモジュールの傍受:** もしモジュールがこのリクエストに検索エンジンのクローラーとしてのフラグを立てなければ、次にRefererヘッダーを検査します。リファラーを検索エンジンと識別した場合、訪問者を被害者としてフラグを立てます。 3. \*\*C2 コミュニケーションと対応:\*\*モジュールは悪意のあるコンテンツを取得するためにC2サーバーに連絡します。これは通常、詐欺サイトへのリダイレクトです。 4. **最終的なアウトプット:** BadIISモジュールは、このリダイレクトを被害者のブラウザにシームレスにプロキシします。被害者がwww.victim\[.\]comにアクセスすると思っているなか、すぐに攻撃者が管理する他の詐欺コンテンツに飛ばされます。 ## CL-UNK-1037工廠とインフラの技術分析 弊社は、攻撃者がWebサーバーにアクセスするセキュリティ侵害を調査しました。最初の足がかりをつかんだ後、攻撃者は複数の本番用Webサーバー、ドメイン コントローラー、その他の価値の高いホストに軸足を移しています。その後、以下のアクションを実行しています。 * 侵害された各Webサーバーに追加のWebシェルを導入 * ネットワーク上を横方向に移動するリモート スケジュール タスクを作成し、標的マシン上で偵察コマンドと追加ツール セットを実行 * 侵害されたシステム上に新しいローカル ユーザー アカウントを作成 ### Web上でのソースコード窃取 攻撃者はデプロイしたWebシェルを使って、Webアプリケーションのソースコード ディレクトリ全体をZIPアーカイブに圧縮しています。その後、アーカイブをWebからアクセスできるパスに移動させています。 これは攻撃者が後の段階でHTTP経由でZIPアーカイブを取得することを意図していたことを強く示唆するものです。ソースコードを流出させた後、攻撃者は複数の新しいDLLを侵害されたWebサーバにアップロードし、IISモジュールとして秘密裏に登録しています。 さらに分析を進めると、これらのDLLは**BadIIS**インプラントであることが判明しました。 ### 最初に発見されたBadIISサンプル IISモジュールのDLLを詳しく調べてみると、RegisterModule関数をエクスポートしていることが分かりました。この関数は、モジュールがロードされたときにIISによって呼び出されたもので、以下を実行するものです。 * chongxiedeという名前のオブジェクトのインスタンスを作成する * IISのSetRequestNotificationsを呼び出す * OnBeginRequestとOnSendResponseのハンドラを登録する これらのメソッドは、処理が始まる前と、最終的なレスポンスが送信される直前に、入ってくるHTTPリクエストを傍受することで、モジュールがWebページのコンテンツを秘密裏に操作することを可能にするものです。 chongxiedeオブジェクトのインスタンスが作成されると、そのコンストラクタはDLLのデータセクションからインプラントの暗号化された設定を取り出し、それぞれをその場でXOR復号化します。Chongxiedeは中国語のピンイン音訳であり、重写(chóng xiě)は機械翻訳で「書き換え」または「上書き」と訳されます。図1は復号化プロセスを示したものです。 ![シンタックスハイライト付きテキストエディタ内のコンピュータコードの断片を表示した画像。暗号化処理に関連するC/C++プログラミング言語の関数と変数が表示されている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/09/word-image-567069-158830-1.png) 図1.インプラントの設定の解読プロセス。 ### BadIISの設定と内部動作 インプラントの初期設定は以下の通りです。 * Referer/user-agent keywords list: google|yahoo|bing|viet|coccoc|timkhap|tuugo * ファーストC2サーバー: hxxp://404.008php\[.\]com/ * セカンドC2サーバー：hxxp:/103.6.235\[.\]26/ この設定データは、的を絞った戦略を示しています。キーワード リストには、GoogleやBingのような一般的なグローバル検索エンジンが含まれているが、言語固有のサービスが存在するため、攻撃者のターゲットが露呈しています。 * Cốc Cốc * Timkhap * viet 最初の2つの用語はベトナムの検索エンジンであり、3番目の用語はベトナム関連の検索に関するものです。ベトナムのデジタル エコシステムに特化したこの取り組みから、ベトナムのデジタル環境を明確かつ戦略的にターゲットにしていることが示されます。 モジュールはこの設定を使って、実行時にコアロジックを実行していることが確認されています。HTTPリクエストのUser-Agentヘッダーが同じリストのキーワードと一致すると、モジュールは訪問者を検索エンジンのクローラーと識別し、ポイズニング フェーズが実行されます。C2サーバーに連絡し、悪意のあるSEOに最適化されたHTML Webページを取得し、レスポンスとして提供します。 図2は、C2サーバーから配信された実際のペイロードを示したものです。ペイロードには、悪意のあるHTMLと一連のリンクが含まれており、検索エンジンを騙してスクレイピングさせ、インデックスさせます。 ![ベトナム語の複数のハイパーリンクで埋め尽くされたWebページのスクリーンショット。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/09/word-image-569794-158830-2.png) 図2.C2サーバーからのSEOポイズン ペイロード。 このメカニズムではまずルアーを作り、それから罠をかけます。攻撃者が検索エンジンのクローラーに操作されたコンテンツを送り込むことで、獲物をおびき寄せるのです。これによって、侵害されたWebサイトは、そうでなければ何の関係もない追加的な用語でランク付けされることになります。 例えば、上の図2が示すように、ペイロードは、人気のあるベトナムの検索クエリを含むリンクで満たされています。主な例としては、xôi lạc tv trực tiếp bóng đá hôm nayがあり、これは「xôi lạc tv今日のサッカーライブ」と訳されます。これは違法なサッカー ストリーミング サービスを検索する際によく使われるものです。 この用語で侵害されたサーバーをランク付けすることで、攻撃者はその信頼性と評判を悪用することができます。図3は、この文字列のGoogle検索結果を表示したもので、東南アジアの政府機関が詐欺コンテンツを提供するために侵害されたことが示唆されます。 ![ベトナム語テキストの見出しを持つWebサイトのスクリーンショット。矢印は、いくつかの再編集が施されたURLを指している。背景にはサッカーをテーマにしたグラフィックとカジノの広告。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/09/word-image-573076-158830-3.png) 図3.危殆化した政府機関のGoogle検索インデックス。 逆に、入ってくるHTTPリクエストのRefererヘッダーに、設定にあるキーワードのどれかが含まれていると、モジュールはそれを本物のユーザーとしてフラグを立てます。この場合、モジュールはC2サーバーに連絡し、そのコンテンツを被害者のブラウザに直接プロキシします。 図4は、C2から送信された実際のプロキシされたペイロードを示したものです。この図は、侵害されたWebサーバーが、無防備な訪問者をベッティング サイトにリダイレクトしていることを示したものです。 ![ギャンブルサイトのローディング画面のスクリーンショット。1秒後に進行状況を示すインジケーター、「Loading, please wait...」を示すベトナム語のテキスト、「Loading, please wait patiently（ローディング中、辛抱強くお待ちください）」という英訳がある。下に「Entering page」と書かれたボタンが表示されている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/09/word-image-575814-158830-4.png) 図4.C2サーバーからのペイロード: 訪問者をベッティングWebサイトにリダイレクトするローディング ページ。 ### 追加サンプルとインフラ このインプラントの機能性と出自を知る重要な手がかりは、C++のクラス名「chongxiede」にあります。前述の通り、これは重写(chóng xiě)という単語の中国語ピンイン音訳であり、機械翻訳では「書き換え」または「上書き」となります。この言語的アーティファクトは、調査を拡大するうえで軸となり、最終的には、さらなるサンプルとインフラに関連した脅威活動にたどり着くことができました。 弊社はハンドラー登録と初期化ロジックを共有する、関連するネイティブIISモジュール群を発見しました。これらの新しいサンプルのいくつかは、008php\[.\]comドメインファミリーの亜種であるおなじみのC2ドメインを指し示すものであり、他のものは、以前に確認されたことがないインフラを参照するものでした。図5は、インフラとサンプル間のつながりを示したものです。 ![接続されたドメインのネットワークを示す図。中心ノードがラベル付けされ、数字やアルファベットのドメイン名を持つ他のさまざまなリンクノードに囲まれている。ノードは、ドクロのついた虫のアイコンで表されるマルウェアにリンクしている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/09/word-image-578558-158830-5.png) 図5.新たに発見されたBadIISのサンプルとインフラ。 弊社はこれらの関連サンプルを分析し、埋め込まれた設定を抽出して解読を行いました。この分析により、以前はこのキャンペーンに関連していなかったC2サーバーとURLの広範なネットワークが明らかになりました。この新たに発見されたインフラストラクチャを調査したところ、さらに3つの亜種が発見され、脅威アクターのツールキットが拡張され、ネイティブのIISモジュールフレームワークを超える能力があることが明らかになりました。 この言語アーティファクトから得られる情報の重要性から、私たちはこのキャンペーンを「Operation Rewrite」と名付けました。 ## BadIISモジュールに3つの新フレーバー ### 最初の亜種：ASP.NETゲートウェイ 私たちが発見した最初の亜種は、ネイティブ モジュールではなく、単純なASP.NETページ ハンドラーです。このスクリプトベースの亜種は、コアのBadIISモジュールと同じSEOポイズニングという目標を達成するために、異なるテクニックを使用するものです。 IISパイプラインに直接フックする代わりに、ASP.NETページはそのPage\_Loadイベント内にすべての悪意のあるロジックを含んでいます。被害者がサーバーにページを要求すると、ページは訪問者のHTTP\_REFERERをチェックし、検索エンジンからのトラフィックを識別してリダイレクトし、本当の目的を隠蔽します。それ以外のトラフィックに対しては、ゲートウェイとして機能し、リモートのC2サーバーから悪意のあるコンテンツをプロキシします。 これは、メインのBadIISモジュールに代わる、より軽量で柔軟性の高いもので、あまり重要でない危険なサーバーに素早くデプロイできるものです。図6はASP.NETのPage\_Load関数を示したものです。 ![プログラミング コードのスクリーンショット。Twitterの参照を処理し、ユーザーエージェントとリファラーヘッダーに基づいてWebトラフィックをリダイレクトするロジックが見える。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/09/word-image-581886-158830-6.png) 図6.ASP.NETのPage\_Load関数。 ### 第2の亜種: マネージドIISモジュール 2番目の亜種は、ネイティブIISモジュールと同じ目標を達成しているものの、マネージド.NET IISモジュールとして実装されたものです。このC#バージョンは、IIS内のASP.NET統合を活用しています。これはサーバーのリクエスト パイプラインにフックし、アプリケーションを通過するすべてのリクエストを検査し、修正する能力を与えるものです。 このモジュールは、主に以下の2つの機能を通じてSEOポイズニングを実行することが確認されています。 * \*\*404エラーのハイジャック:\*\*このモジュールは、検索エンジンがハードコードされたリストからキーワードを含む存在しないリンクをクロールしたときの404エラーをインターセプトします。その後、C2サーバーからカスタム詐欺ページを提供し、その結果、検索エンジンは攻撃者のコンテンツを被害者の信頼できるドメインの下にインデックスします。 * **ライブコンテンツの注入:** モジュールは、検索エンジンのクローラーが200 OKレスポンスを返す実際のページを閲覧していることを検知すると、別のC2サーバーからスパムリンクとキーワードを動的に注入します。このアクションは、一般ユーザーに見えるコンテンツを変更することなく、既存のページの検索ランキングを変更するものです。 ### 第3の亜種: オールインワンPHPスクリプト 3つ目の亜種は、ユーザーのリダイレクトと動的SEOポイズニングを組み合わせたPHPベースのスクリプトです。IISに統合するのではなく、このスクリプトはスタンドアロンのPHPフロントコントローラとして機能し、シンプルなリファラー、ユーザーエージェント、URLパターンのチェックを使って、何を提供するかを正確に決定します。 * **モバイルユーザーのリクエストの確認** モバイル端末でGoogle検索からアクセスした訪問者に対しては、スクリプトが追加のチェックを行います。リクエストされたURLパスが、ハードコードされたリストのキーワードを含む場合（すなわち、「game」や「video」）、プロキシとして動作します。このスクリプトは、ハードコードされたC2 URLに無言でアクセスし、コンテンツを取得して被害者に直接送信するものです。 * **Googlebot SEOのポイゾニング** このスクリプトは、Googlebotを検出すると、サイトの検索エンジン・ランキングを低下させる2段階のプロセスを開始します。 * \*\*サイトマップ ジェネレーター:\*\*まず、スクリプトはC2サーバーからページ名のリストを取得し、偽のURLでいっぱいの有効なXMLサイトマップとしてGooglebotに提示します。 * \*\*コンテンツのリライター:\*\*Googlebotがこれらの偽URLをクロールすると、スクリプトの第2段階が作動し、コンテンツ書き換えを行います。このスクリプトは、別のC2からHTMLテンプレートを取得し、URLからページのタイトルと見出しにキーワードを注入するものです。その結果、検索結果で上位に表示されるように最適化されたスパムページができあがります。 ## 脅威アクターの元凶を探る 私たちは、CL-UNK-1037の背後にいる脅威アクターの出自を特定するために、言語的な手がかりとインフラの重複を分析しました。弊社では、この活動クラスターを、高い信頼性をもって、中国語を話す攻撃者と断定しており、さらに、このクラスターはGroup 9と中程度の信頼性でリンクし、DragonRankとは低い信頼性でリンクしているものとしています。 ### 中国語話者である脅威アクター いくつかのアーティファクトでは、中国語を話す脅威アクターの関与が示唆されています。前述したように、ネイティブ モジュールのchongxiedeオブジェクト名はピンイン用語です。PHPの変種には、簡体字で書かれた数多くのコード コメントが残されており、これがさらなる言語的証拠となっています。 図7は、PHP亜種の簡体字中国語で書かれたコメントとその英訳を示したものです。 ![HTTPリファラーとユーザーエージェントをチェックするスクリプトのスクリーンショット。モバイルデバイスを特定し、特定の条件に基づいてリダイレクトしている。4つのセクションが赤くハイライトされている。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/09/word-image-584587-158830-7.png) 図7.PHP亜種の開始。 ### Group 9と重複するコード設計とインフラ BadIISの内部アーキテクチャのデザインは、ESETがホワイトペーパーで説明しているように、Group 9が以前使用していた亜種と類似していることが確認されています。これらの類似点には以下が含まれます。 * RegisterModule関数を使ってモジュールのコンポーネントを初期化する * OnBeginRequestハンドラとOnSendResponseハンドラを使用して、Webトラフィックを傍受し、変更する この並列設計は、攻撃者が共有コードベースまたは設計パターンを使用してインプラントを構築していることを示唆するものです。 C2インフラが3つの異なるドメインで直接重複していることが、Group 9とのつながりを強固に示唆しています。BadIISサンプルにハードコードされたC2サーバーは以下に記します。 * 404\.008php\[.\]com * 404\.yyphw\[.\]com * 404\.300bt\[.\]com これらのサーバーは、Group 9が使用するドメインに直接対応しているものです。具体的には、ESETはGroup 9が以下のサブドメインを使用していることを確認しています。 * qp.008php\[.\]com * fcp.yyphw\[.\]com * sc.300bt\[.\]com 図8はこのインフラを示したものです。 ![上部にPANWによるCL-UNK-1037と名付けられた活動グループのインフラを示す図。下方に11のノードが接続され、さらに下部の「Group 9」とラベル付けされたノードに接続されている。各ノードは、6つの歯車を持つ歯車のアイコンを含む円で表される。](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/09/word-image-587299-158830-8.png) 図8.新しいサンプルとGroup 9の間で重複しているインフラ。 ### DragonRankとの関係の可能性 Group 9への直接的なリンクに加え、DragonRankキャンペーンとの類似点がいくつか見られています。Ciscoの[Talosの記事](https://blog.talosintelligence.com/dragon-rank-seo-poisoning/)にあるように、DragonRankは、ESETのGroup 9と類似性を持つ中国語を話す脅威アクターであるとされています。 CL-UNK-1037とDragonRankキャンペーンの間には、インフラの重複は見られなかったが、以下のような共通点が確認されています。 * ツールセット: コア機能と論理的なマルウェアの流れは似ているが、異なる実装を使用しています。どちらの亜種もSEOとプロキシ ツールです。 * \*\*URI構造:\*\*C2のURLに繰り返し見られるzzパターン。各キャンペーンで使用されているパターンは異なるものの、これはツールセットの進化やアップグレードの結果であると考えられます。 ## 結論 SEOポイズニング キャンペーンの調査により、カスタムインプラントのプレイブックを使用する中国語を話す脅威アクターが発見されました。脅威アクターは、検索エンジンの検索結果を操作し、トラフィックの流れをコントロールすることを目的に、すべてのインプラントを調整しています。 私たちは、直接的な言語的証拠に加え、本アクターとGroup 9クラスターとの間のインフラとアーキテクチャのリンクに基づき、中国語を話すアクターがこの活動を運営していることを高い信頼性で評価しています。弊社が行った調査では、DragonRankキャンペーンとの類似点もいくつか明らかになっています。 セキュリティチームとネットワーク防御担当者は、本レポートの分析と指標を活用することで、脅威の検出と発見能力を強化し、これらの脅威や類似の脅威に対するセキュリティを強化することができます。 ### パロアルトネットワークスの保護と緩和策 * [Advanced URL Filtering](https://docs.paloaltonetworks.com/advanced-url-filtering/administration)と[Advanced DNS Security](https://docs.paloaltonetworks.com/dns-security)は、この活動に関連する既知のドメインとURLを悪意のあるものとして識別することが可能です。 * [Cortex XDR](https://www.paloaltonetworks.com/cortex/cortex-xdr?_gl=1*13pmp8e*_ga*NzQyNjM2NzkuMTY2NjY3OTczNw..*_ga_KS2MELEEFC*MTY2OTczNjA2MS4zMS4wLjE2Njk3MzYwNjEuNjAuMC4w)は、マルウェア防御エンジンを採用することで、このブログで説明した脅威を防ぐことができます。このアプローチは、[Advanced WildFire](https://www.paloaltonetworks.com/network-security/advanced-wildfire)、Behavioral Threat Protection、Local Analysisモジュールなど、複数の保護レイヤーを組み合わせて、既知および未知のマルウェアがエンドポイントに害を及ぼすのを防ぐものです。 情報漏えいの可能性がある場合、または緊急の案件がある場合は、[Unit 42インシデント レスポンス チーム](https://start.paloaltonetworks.com/contact-unit42.html)までご連絡ください。 * 北米:フリーダイヤル: +1 (866) 486-4842 (866.4.UNIT42) * 英国: +44.20.3743.3660 * ヨーロッパおよび中東: +31.20.299.3130 * アジア: +65.6983.8730 * 日本: +81.50.1790.0200 * オーストラリア: +61.2.4062.7950 * インド: 00080005045107 パロアルトネットワークスは、本調査結果をサイバー脅威アライアンス(CTA)のメンバーと共有しています。CTAの会員は、この情報を利用して、その顧客に対して迅速に保護を提供し、悪意のあるサイバー アクターを組織的に妨害しています。[サイバー脅威アライアンス](https://www.cyberthreatalliance.org)について詳細を見る。 ## 侵害のインジケーター BadIISが移植したSHA256ハッシュ: * 01a616e25f1ac661a7a9c244fd31736188ceb5fce8c1a5738e807fdbef70fd60 * bc3bba91572379e81919b9e4d2cbe3b0aa658a97af116e2385b99b610c22c08c * 5aa684e90dd0b85f41383efe89dddb2d43ecbdaf9c1d52c40a2fdf037fb40138 * c5455c43f6a295392cf7db66c68f8c725029f88e089ed01e3de858a114f0764f * 82096c2716a4de687b3a09b638e39cc7c12959bf380610d5f8f9ac9cddab64d7 * ed68c5a8c937cd55406c152ae4a2780bf39647f8724029f04e1dce136eb358ea * 6d79b32927bac8020d25aa326ddf44e7d78600714beacd473238cc0d9b5d1ccf * b95a1619d1ca37d652599b0b0a6188174c71147e9dc7fb4253959bd64c4c1e9f * 8078fa156f5ab8be073ad3f616a2302f719713aac0f62599916c5084dd326060 * a73c7f833a83025936c52a8f217c9793072d91346bb321552f3214efdeef59eb * 6d044b27cd3418bf949b3db131286c8f877a56d08c3bbb0924baf862a6d13b27 * 78ef67ec600045b7deb8b8ac747845119262bea1d51b2332469b1f769fb0b67d * 78ef67ec600045b7deb8b8ac747845119262bea1d51b2332469b1f769fb0b67d * 88de33754e96cfa883d737aea7231666c4e6d058e591ef3b566f5c13a88c0b56 * a393b62df62f10c5c16dd98248ee14ca92982e7ac54cb3e1c83124c3623c8c43 * 40a0d0ee76b72202b63301a64c948acb3a4da8bac4671c7b7014a6f1e7841bd2 * 40a0d0ee76b72202b63301a64c948acb3a4da8bac4671c7b7014a6f1e7841bd2 * 1c870ee30042b1f6387cda8527c2a9cf6791195e63c5126d786f807239bd0ddc * 271c1ddfdfb6ba82c133d1e0aac3981b2c399f16578fcf706f5e332703864656 * 22a9e1675bd8b8d64516bd4be1f07754c8f4ad6c59a965d0e009cbeaca6147a7 * e2e00fd57d177e4c90c1e6a973cae488782f73378224f54cf1284d69a88b6805 * 23aa7c29d1370d31f2631abd7df4c260b85227a433ab3c7d77e8f2d87589948f * ab0b548931e3e07d466ae8598ca9cd8b10409ab23d471a7124e2e67706a314e8 * 22a4f8aead6aef38b0dc26461813499c19c6d9165d375f85fb872cd7d9eba5f9 * de570369194da3808ab3c3de8fb7ba2aac1cc67680ebdc75348b309e9a290d37 * d8a7320e2056daf3ef4d479ff1bb5ce4facda67dfc705e8729aeca78d6f9ca84 * d6a0763f6ef19def8a248c875fd4a5ea914737e3914641ef343fe1e51b04f858 * c6622e2900b8112e8157f923e9fcbd48889717adfe1104e07eb253f2e90d2c6a * 6cff06789bf27407aa420e73123d4892a8f15cae9885ff88749fd21aa6d0e8ad ASPXファイルハンドラのSHA256ハッシュ: * b056197f093cd036fa509609d80ece307864806f52ab962901939b45718c18a8 マネージドIISモジュールのSHA256ハッシュ: * 2af61e5acc4ca390d3bd43bc649ab30951ed7b4e36d58a05f5003d92fde5e9a7 PHPファイルハンドラのSHA256ハッシュ: * 36bf18c3edd773072d412f4681fb25b1512d0d8a00aac36514cd6c48d80be71b C2のURL: * hxxp://103.6.235\[.\]26/xvn.html * hxxp://x404.008php\[.\]com/zz/u.php * hxxp://103.6.235\[.\]78/vn.html * hxxp://x404.008php\[.\]com/index.php * hxxp://103.6.235\[.\]78/index.php * hxxp://103.6.235\[.\]78/zz/u.php * hxxp://cs.pyhycy\[.\]com/index.php * hxxp://cs.pyhycy\[.\]com/zz/u.php * hxxps://sl.008php\[.\]com/kt.html * hxxp://160.30.173\[.\]87/zz/u.php * hxxp://404.pyhycy\[.\]com/index.php * hxxp://404.pyhycy\[.\]com/zz/u.php * hxxp://404.hao563\[.\]com/index.php * hxxp://404.300bt\[.\]com/zz/u.php * hxxp://404.yyphw\[.\]com/index.php * hxxp://103.6.235\[.\]26/kt.html * hxxp://404.yyphw\[.\]com/zz/u.php * hxxp://404.hzyzn\[.\]com/index.php * hxxp://404.hzyzn\[.\]com/zz/u.php * hxxp://404.300bt\[.\]com/index.php * hxxp://103.248.20\[.\]197/index.php * hxxp://103.248.20\[.\]197/zz/u.php * hxxps://fb88s\[.\]icu/uu/tt.js * hxxp://404.hao563\[.\]com/zz/u.php * hxxp://www.massnetworks\[.\]org * hxxp://vn404.008php\[.\]com/index.php * hxxp://vn404.008php\[.\]com/zz/u.php * hxxp://404.008php\[.\]com/zz/u.php ## その他の資料 * [ネイティブIISマルウェアの解剖学](https://web-assets.esetstatic.com/wls/2021/08/eset_anatomy_native_iis_malware.pdf) - Eset * [DragonRank、中国語を話すSEOマニピュレーター サービス プロバイダ](https://blog.talosintelligence.com/dragon-rank-seo-poisoning/)- Talos, Cisco * [ハッカーがブラックハットSEOに挑戦する方法とは？](https://sec.vnpt.vn/2024/09/part-2-hacker-thuc-hien-black-hat-seo-cac-trang-web-bat-hop-phap-bang-tan-cong-redirect-nhu-the-nao) - VNPT トップに戻る ### タグ * [CL-UNK-1037](https://unit42.paloaltonetworks.com/ja/tag/cl-unk-1037-ja/ "CL-UNK-1037") * [SEO poisoning](https://unit42.paloaltonetworks.com/ja/tag/seo-poisoning-ja/ "SEO poisoning") * [Web shells](https://unit42.paloaltonetworks.com/ja/tag/web-shells-ja/ "web shells") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:コードアシスタントLLMのリスク：有害なコンテンツ、不正使用、ごまかし](https://unit42.paloaltonetworks.com/ja/code-assistant-llms/ "コードアシスタントLLMのリスク：有害なコンテンツ、不正使用、ごまかし") ### 目次 * ### 関連記事 * [React Server Components における重大な脆弱性の悪用 (12月12日更新)](https://unit42.paloaltonetworks.com/ja/cve-2025-55182-react-and-cve-2025-66478-next/ "article - table of contents") * [GoldMelody の隠されたコード: イニシャル アクセス ブローカーのインメモリ IIS モジュールが明らかに](https://unit42.paloaltonetworks.com/ja/initial-access-broker-exploits-leaked-machine-keys/ "article - table of contents") * [東南アジア政府へのサイバースパイ攻撃に Stately Taurus (別名 Mustang Panda) が関与](https://unit42.paloaltonetworks.com/ja/stately-taurus-attacks-se-asian-government/ "article - table of contents") ## 関連項目 マルウェア リソース ![Pictorial representation of ChainDrop, a self-propagating npm worm. An artistic depiction of a digital workspace featuring an open laptop with a red virus on the screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/08/03_Malware_Category_1920x900-7-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年8月6日 [#### ChainDropの脅威の概要:自己増殖型npmワームの内部](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/) * [Blockchain](https://unit42.paloaltonetworks.com/ja/tag/blockchain-ja/ "blockchain") * [ChainDrop](https://unit42.paloaltonetworks.com/ja/tag/chaindrop/ "ChainDrop") * [Claude code](https://unit42.paloaltonetworks.com/ja/tag/claude-code/ "Claude code") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/ "ChainDropの脅威の概要:自己増殖型npmワームの内部") ![Pictorial representation of the npm packages supply chain attack. Screen displaying code with a prominent alert symbol and the words 'VIRUS DETECTED' highlighted in red.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/05_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年6月2日 [#### npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/) * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Npm packages](https://unit42.paloaltonetworks.com/ja/tag/npm-packages/ "npm packages") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/ "npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)") ![Pictorial representation of Screening Serpens. An illustrated blue snake is highlighted by a red circle against a night sky. The constellation serpens.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/Serpens-Iran-A-1920x900-2-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年5月22日 [#### イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/) * [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat") * [AppDomainManager](https://unit42.paloaltonetworks.com/ja/tag/appdomainmanager/ "AppDomainManager") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/ "イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡") ![Pictorial representation of Iran cyber attacks. Close-up of a person wearing glasses, with computer code reflected in the lenses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/12_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月17日 [#### 脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/) * [APK](https://unit42.paloaltonetworks.com/ja/tag/apk-ja/ "APK") * [DDoS attacks](https://unit42.paloaltonetworks.com/ja/tag/ddos-attacks-ja/ "DDoS attacks") * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)") ![Pictorial representation of the supply chain attack compromising Axios. A giant eye made of glowing binary code.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/02_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月1日 [#### 脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/) * [API attacks](https://unit42.paloaltonetworks.com/ja/tag/api-attacks-ja/ "API attacks") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/ "脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響") ![Pictorial representation of TeamPCP. Glowing code on a screen where several word such as Crime, Hackers, and Security are highlighted in a contrasting color.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/03_Cybercrime_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年3月31日 [#### プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/) * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/ "プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃") ![Pictorial representation of phishing campaign. A blurred image focusing on a person typing on a laptop with lines of code visible on the screen, illuminated in blue and red lights, suggestive of intense coding or cyber activities.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/06_Malware_Category_1920x900-3-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年3月24日 [#### 脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/) * [Email scam](https://unit42.paloaltonetworks.com/ja/tag/email-scam/ "email scam") * [Lure](https://unit42.paloaltonetworks.com/ja/tag/lure/ "lure") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/ "脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム") ![Pictorial representation of Notepad++ supply chain compromise. A digital rendering of Earth from space, focusing on North and South America. The continents are illuminated in blue, with red lines and dots indicating data connections across various locations. Dark background highlights the vibrant network representation.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/11_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月11日 [#### 国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/) * [Backdoor](https://unit42.paloaltonetworks.com/ja/tag/backdoor-ja/ "backdoor") * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/ "国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用") ![Pictorial representation of runtime assembly attacks. Digital artwork of a glowing, futuristic shield disintegrating into small particles, set against a dark blue, bokeh-effect background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/09_Business_email_compromise_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月22日 [#### ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/ "ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成") ![Pictorial representation of SLOW#TEMPEST campaign. Digital artwork depicting a malware alert symbol on a computer screen, with background of blurred programming code in blue and red colors.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/07_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月2日 [#### Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer](https://unit42.paloaltonetworks.com/ja/vvs-stealer/) * [Discord](https://unit42.paloaltonetworks.com/ja/tag/discord/ "Discord") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") * [Python](https://unit42.paloaltonetworks.com/ja/tag/python-ja/ "Python") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/vvs-stealer/ "Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)