[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/)  
[![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/)  
Menu

* [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42)
* [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html)  
  Japanese
* [English](https://unit42.paloaltonetworks.com/plugx-variants-in-usbs/)
* [Japanese](https://unit42.paloaltonetworks.com/ja/plugx-variants-in-usbs/)
* [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research")
* [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ")
* [ランサムウェア](https://unit42.paloaltonetworks.com/ja/category/ransomware-ja/ "ランサムウェア")  
  [ランサムウェア](https://unit42.paloaltonetworks.com/ja/category/ransomware-ja/)

# USBデバイスに潜む―中国のPlugXマルウェアは今も現役

![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 4 分で読めます  
Related Products  
[![Advanced WildFire icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/strata_RGB_logo_Icon_Color.png)Advanced WildFire](https://unit42.paloaltonetworks.com/ja/product-category/advanced-wildfire-ja/ "Advanced WildFire")[![Cortex XDR icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/cortex_RGB_logo_Icon_Color.png)Cortex XDR](https://unit42.paloaltonetworks.com/ja/product-category/cortex-xdr-ja/ "Cortex XDR")[![Unit 42 Incident Response icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/unit42_RGB_logo_Icon_Color.png)Unit 42 Incident Response](https://unit42.paloaltonetworks.com/ja/product-category/unit-42-incident-response-ja/ "Unit 42 Incident Response")

* ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg)  
  著者:
  
  * [Mike Harbison](https://unit42.paloaltonetworks.com/ja/author/mike-harbison/)
  * [Jen Miller-Osborn](https://unit42.paloaltonetworks.com/ja/author/jen-miller-osborn/)

* ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg)  
  公開日:2023年1月29日

* ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg)  
  カテゴリー
  
  * [ランサムウェア](https://unit42.paloaltonetworks.com/ja/category/ransomware-ja/)
  * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/)

* ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg)  
  タグ:
  
  * [Black Basta ransomware](https://unit42.paloaltonetworks.com/ja/tag/black-basta-ransomware-ja/)
  * [Brute ratel c4](https://unit42.paloaltonetworks.com/ja/tag/brute-ratel-c4-ja/)
  * [Dark Scorpius](https://unit42.paloaltonetworks.com/ja/tag/dark-scorpius-ja/)
  * [GootLoader](https://unit42.paloaltonetworks.com/ja/tag/gootloader-ja/)

* [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/plugx-variants-in-usbs/?pdf=download&lg=ja&_wpnonce=7052973960 "Click here to download")

* [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/plugx-variants-in-usbs/?pdf=print&lg=ja&_wpnonce=7052973960 "Click here to print")

共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg)

* ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg)
* [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=USBデバイスに潜む―中国のPlugXマルウェアは今も現役&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fplugx-variants-in-usbs%2F "Share in email")
* [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fplugx-variants-in-usbs%2F "Share in Facebook")
* [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fplugx-variants-in-usbs%2F&title=USBデバイスに潜む―中国のPlugXマルウェアは今も現役 "Share in LinkedIn")
* [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fplugx-variants-in-usbs%2F&text=USBデバイスに潜む―中国のPlugXマルウェアは今も現役 "Share in Twitter")
* [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fplugx-variants-in-usbs%2F&ts=markdown "Share in Reddit")
* [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=USBデバイスに潜む―中国のPlugXマルウェアは今も現役%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Fplugx-variants-in-usbs%2F "Share in Mastodon")

## 概要

最近、Unit 42のインシデントレスポンスチームがBlack Bastaによる侵害に対応したところ、被害者のマシンから[GootLoader](https://www.cyber.nj.gov/alerts-advisories/gootloader-malware-platform-uses-sophisticated-techniques-to-deliver-malware)マルウェア、[Brute Ratel C4](https://unit42.paloaltonetworks.jp/brute-ratel-c4-tool/)レッドチームツール、古い[PlugX](https://unit42.paloaltonetworks.jp/thor-plugx-variant/)マルウェアサンプルなど、複数のツールとマルウェアサンプルが発見されました。なかでも私たちの注目を引いたのがPlugXマルウェアでした。PlugXマルウェアは、フロッピードライブ、サムドライブ、フラッシュドライブなどのリムーバブルUSBメディアデバイスに感染し、それらの感染デバイスを挿入したべつのシステムへ感染を広げます。

さらにこのPlugXマルウェアは、本稿執筆時点で最新のWindowsオペレーティングシステム(OS)に対しても有効な斬新な手口を使ってUSBデバイス内に脅威アクターのファイルを隠します。この悪意のあるファイルは、Unix系(\*nix)のOS上か、フォレンジックツールでUSBデバイスをマウントした場合にのみ閲覧できます。

また、USBデバイスに感染し、ホストからAdobe PDFファイルとMicrosoft WordファイルをすべてコピーするPlugXと似た亜種もVirusTotal上で見つかっています。この亜種は、自身が作成したUSBデバイス上の隠しフォルダ内にコピーしたファイルを格納します。

PlugXは、中国とつながりのある複数のグループのほか、複数のサイバー犯罪グループが使用する第2段階のインプラントです。10年以上前から存在し、2015年に発生した[米国政府人事管理局(OPM)](https://www.wired.com/2016/10/inside-cyberattack-shocked-us-government/)の情報漏えい事件をはじめ、注目を集めたサイバー攻撃でも観測されてきました。モジュール式のマルウェアフレームワークを持ち、長年、機能を拡張しながらの提供が続いています。

パロアルトネットワークスのお客様は、[Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)、[WildFire](https://www.paloaltonetworks.jp/products/secure-the-network/wildfire)を通じ、本稿で取り上げた種類の脅威からの保護を受けています。

| **関連するUnit 42のトピック** | [PlugX](https://unit42.paloaltonetworks.jp/thor-plugx-variant/)**,** [Brute Ratel C4](https://unit42.paloaltonetworks.jp/brute-ratel-c4-tool/) |
|----------------------|------------------------------------------------------------------------------------------------------------------------------------------------|

## はじめに

今回のGootLoaderやBrute Ratel C4、PlugXのように、調査のなかで複数のマルウェアサンプルが見つかることは珍しくありません。多数の脅威アクターが同じ標的を侵害し、被害を受けたマシン上に共存することがあります。

これらのマルウェアサンプルが単一グループの残したものか複数のグループが残したものかは断定できません。したがってこれらのツールをBlack Bastaランサムウェアグループに帰属させることはいたしません。ただし本事例で使用されたBrute Ratel C4のバージョンは[Trend Micro](https://www.trendmicro.com/en_ca/research/22/j/black-basta-infiltrates-networks-via-qakbot-brute-ratel-and-coba.html)が報じたBlack Bastaランサムウェアグループの関与した事例と同じバージョンでした。

## PlugXマルウェアの感染

歴史的にPlugXの感染はデジタル署名されている既知の信頼されたソフトウェア アプリケーションをハイジャックし、アクターが作成した暗号化済みペイロードをロードさせるところから始まります。この技術は2010年から使用されており、MITRE ATT\&CKの技術には「[Hijack execution flow DLL-Side loading](https://attack.mitre.org/techniques/T1574/002/) ID: T1574.002 Sub-technique T1574」として記載されています。

本事例でアクターらはマルウェア解析/リバース エンジニアリングのコミュニティが使う「[x64dbg](https://x64dbg.com/)」と呼ばれるポピュラーなWindows用無料オープンソース デバッグ ツールを乗っ取ることにしたようです。X64dbgアプリケーションはオープンソース開発者のDuncan Ogilvie氏によりデジタル署名されています。

同ツールの開発者は、64-bitアプリケーション用のx64と32-bitアプリケーション用のx32という2種類のデバッガーアプリケーションを提供しています。私たちの事例では、x64dbgの32-bit版デバッガーであるx32dbg.exeが使われていました。

x32dbg.exeを実行すると、Microsoft Windowsはこのアプリケーションの実行に必要な依存ファイルを解決しようとします。このさい、検索はその場所(つまり現在の作業ディレクトリ)から始まります。見つかったところで必要なファイルがロード・実行されます。

X32bridge.dllは、Windowsのx32dbg.exeが依存しているDLL(ダイナミックリンクライブラリ)ファイルです。正規のx32bridge.dllも同じデジタル署名がされています。本事例では、このファイルが署名されていません。

ロードされたマルウェアはアクターが作成した暗号化ペイロードファイルのx32bridge.dat (SHA256：e72e49dc1d95efabc2c12c46f3731f2e20dab715caf58b1be9ca41ec0e172)をその場から検索します。

X32bridge.datは2021年1月22日にVirusTotalに初めて提出されました。2022年12月15日現在で61社あるAVエンジンのうち8社の検出スコアが存在しています。ただしどのAVエンジンも同ファイルをPlugXマルウェアとは識別していません。

メモリ上にロード・復号されたマルウェアは、ホストと接続されたリムーバブルUSBデバイスをPlugXマルウェアに感染させます。図1は、x64dbgのDLLハイジャックを利用したPlugX DLLのサイドローディングの様子を示しています。
![画像1はPlugX DLLがサイドロードされるまでの流れを示した図です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-1.png) 図1. x64dbgでPlugXのDLLをサイドローディングする

「x64dbgのハイジャック」、「ハイジャック挙動とマルウェアPlugXとの関連性」、これらはいずれも[2020年11月](https://news.sophos.com/en-us/2020/11/04/a-new-apt-uses-dll-side-loads-to-killlsomeone/)にSophosが報告した内容です。Sophosのブログではこのマルウェアを*KilllSomeOne*と呼んでいます。この名前はバイナリに含まれるプログラム データベース(PDB)の文字列からきています。

Sophosはすばらしい手腕でサンプルを分析したのち、USB感染についてもふれています。私たちは本事例のサンプルの挙動がSophosの報告で説明されている挙動と合致することを確認しました。そこで私たちは、USB感染、野生(in the wild)のUSB亜種、PlugXマルウェアとの関連に焦点を当てて調査を拡大したいと考えました。

## PlugXマルウェアUSBの概要

PlugXマルウェアがUSBデバイスにファイルを隠す技術には、特定のUnicode文字が使われています。この技術によってWindowsエクスプローラやコマンドシェル(cmd.exe)にUSBのディレクトリ構造やファイルが表示されなくなり、被害者からは見えなくなります。

このPlugXマルウェアがディレクトリに使用するUnicode文字は00A0(ノーブレークスペースと呼ばれる空白文字)です。ノーブレークスペースは、エクスプローラ内に名前のないフォルダを表示するかわりに、Windowsオペレーティング システムがディレクトリ名を画面に描画するのを防ぐことでディレクトリを隠します。

隠しディレクトリからマルウェアのコード実行を実現するために、USBデバイスのルートフォルダ上にはWindowsショートカット(.lnk)ファイルが作成されます。このマルウェアへのショートカットパスにはUnicodeの空白文字(改行されないスペース)が含まれていますが、Windowsエクスプローラでは見ることができません(図2)。
![画像2はWindowsエクスプローラーの画面です。USBドライブのプロパティ(TESTDRIVEという名前)のショートカットタブが表示されています。この図にはTarget type (ターゲットの種類)、Target location (ターゲットの場所)、Target (ターゲット)のフィールドが表示されています。このTarget(ターゲット)のフィールドには拡張ASCII文字を含む隠しディレクトリが表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-2.png) 図2. 隠しディレクトリにアクセスするWindowsショートカットのプロパティ

このショートカットファイルをバイナリエディターで表示すると、この文字の16進数表記は図3でハイライト表示した部分になります。
![画像3は拡張ASCII文字をハイライト表示したバイナリエディターの画面です。2箇所とも「00A0」です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-3.png) 図3. Windowsショートカットのプロパティをバイナリエディターで表示したところ

PlugXマルウェアは.lnkファイルの作成にCOM (Component Object Model)インターフェースを使ってUnicode文字00A0を含めます。これはシェル デスクトップのインスタンスを作成して関連するWindowsのショートカットファイルを作成することで実現しています。ShellLink::SetArgumentsメソッドを使ってUnicodeのノーブレークスペース文字を含むコマンドライン引数を設定します(図4)。
![画像4はCOMのShellLinkのコマンドライン引数の画面です。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-4.png) 図4. COMのShellLink::SetArguments

最後に*ShellLink::Save*メソッドですべての変更を含むショートカット ファイルを保存します。

## PlugXマルウェアUSBの感染

PlugXマルウェアx32bridge.dllはx32bridge.datをロードします。このx32bridge.datがホストにマルウェアのインプラントを行い、フロッピーやサムドライブ、フラッシュドライブなどのリムーバブルUSBメディアデバイスに感染させる役割を担います。リムーバブルメディアデバイスが見つかると以下が実行されます。

1. 次のディレクトリ構造を作成します。  
   *\<usb volume\>*:\\u00A0\\u00A0\\RECYCLER.BIN\\files (例: *F:\\ \\ \\RECYCLER.BIN\\files*)
2. 各フォルダにdesktop.iniという隠しファイルを作成し、この隠しファイルがフォルダにアイコンを指定します。このファイルには次のデータが含まれます。

\[.ShellClassInfo\]IconResource=%systemroot%\\system32\\SHELL32.dll,7

Windows OSは、デスクトップにショートカットとして表示するアイコン画像を、ファイルを使って取得するか、Windowsエクスプローラーのファイルやフォルダから取得します。Shell32.dllファイルにはアイコンのリストとユニークな番号が含まれています。今回の場合、以下の図5のように、ドライブのアイコンと数字の「7」が使われています。
![画像5は、ドライブのアイコンのスクリーンショットで、青い背景に緑のランプが光っているドライブが表示されています。下には「7」という数字が表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-5.png) 図5. ドライブアイコン7

隠しファイルを有効にした状態でWindowsエクスプローラで表示した場合、このドライブアイコンが使われているディレクトリはドライブとして表示されます。削除された場合、ディレクトリはフォルダとして表示されます。

3. 2つめのディレクトリにRECYLER.BINというサブフォルダを作成します。このディレクトリはごみ箱として機能します。このディレクトリの中には、filesというサブディレクトリがあり、desktop.iniというファイルが隠されています。このdesktop.iniファイルには、次のデータが含まれています。

\[.ShellClassInfo\]

CLSID = {645FF040-5081-101B-9F08-00AA002F954E}

このCLSIDは、作成されたRECYCLER.BINフォルダにごみ箱のアイコンを付与し、ごみ箱のディレクトリとして表示するようにWindowsエクスプローラに指示するものです。その様子をサンプルとして図11に示します。

4. filesサブフォルダには、PlugXマルウェアのx32dbg.exe、暗号化されたアクターの .datファイル、アクターの悪意のあるDLLのコピーが格納されています。その例を下の図6に示します。

![画像6はfilesというサブフォルダ内をWinHexで閲覧したスクリーンショットです。Name(名前)、Extension(拡張子)、Size(サイズ)、Created(作成日時)、Modified(変更日時)、Accessed(アクセス日)、Attribute(属性)、1st Sector(第1セクター)の各列が表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-6.png) 図6. 感染したUBSリムーバブルデバイスをWinHexで表示したところ

なおUSBデバイスへの感染前にリムーバブルデバイスのルートにある既存のファイルやディレクトリは、USBデバイスの2番目の隠しフォルダに移動されます(図7)。
![画像7は感染前のUSBデバイス(左)と感染後のUSBデバイス(右)のルートディレクトリを左右に並べて比較したものです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-7-ja.png) 図7 感染前のUSBデバイスと感染後のUSBデバイスのルートディレクトリを並べて比較したところ

5. 感染したUSBデバイスからのショートカットファイルがクリックされるたび、PlugXマルウェアはWindowsエクスプローラを起動し、そのディレクトリのパスをパラメータとして渡します。これにより、隠しディレクトリ内にあるUSBデバイス上のファイルを表示し、さらにそのホストをPlugXマルウェアに感染させます。被害者には自分のファイルが見えるので、すべて予期したとおりに動いているものと思い込んでしまいます。

図8は、Windowsエクスプローラがデフォルト設定(隠しファイルを表示しない設定)の場合に、感染したUSBメモリが被害者からどのように見えるかを示したものです。

![画像8は感染したUSBドライブを表示しているWindowsエクスプローラーのスクリーンショットです。ここでは\[隠しファイルを表示する\]のオプションが無効になっています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-8.png) 図8. Windowsのエクスプローラーが感染したUSBリムーバブルデバイスを表示したところ。隠しファイルの表示が無効の状態。 感染したPlugX USBデバイスのルートフォルダにはファイルやディレクトリは存在せず、.lnkファイルが1つだけ存在しています。

図9では、ショートカットファイルがTESTDRIVEとなっていて、USBデバイス名と一致していることがわかります。このショートカットファイルの役割は、ホストに感染し、自身がクリックされるたびにUSBデバイスの隠しディレクトリに移動することです。たとえば図9で参照したショートカットファイルには次のデータが含まれています。

%comspec% /q /c " \\ \\RECYCLER.BIN\\files\\x32dbg.exe"

被害者がこのショートカットをクリックすると、USBデバイス上の隠しファイルのディレクトリからcmd.exe経由でx32dbg.exeが起動します。これでこのUSBデバイスを挿したホストはPlugXマルウェアに感染した状態になります。

\[隠しファイルを表示する\]を有効にし、Windowsエクスプローラで感染したUSBデバイスの内容を表示すると、被害者には以下のように表示されます(図9)。
![画像9はUSBドライブのルートフォルダを表示したWindowsエクスプローラーのスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-9.png) 図9 Windowsのエクスプローラーで感染したUSBリムーバブルデバイス(ルートフォルダ)を表示したところ

被害者から見て、最初の隠しディレクトリの中身は以下の図10のように表示されます。
![画像10は、感染したUSBドライブのルートフォルダを表示したWindowsエクスプローラーのスクリーンショットで、最初の隠しディレクトリを表示したところです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-10.png) 図10 感染したUSBリムーバブルデバイスをWindowsエクスプローラで表示したところ(1つめの隠しディレクトリ)

Windowsエクスプローラにはショートカットファイルのほかにもう1つ隠しディレクトリが表示されます(図11)。このショートカットファイルもやはりx32dbg.exeを起動するようになっており、当該USBデバイスを挿入されたホストに感染します。

2つめの隠しフォルダの内容を見ると、Windowsエクスプローラは次のようなディレクトリ構成を表示します。
![画像11は感染したUSBドライブのルートフォルダを表示したWindowsエクスプローラーのスクリーンショットで、ゴミ箱を装ったフォルダが存在する2つめの隠しディレクトリを表示しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-11.png) 図11 感染したUSBリムーバブルデバイスをWindowsエクスプローラで表示したところ(2つめの隠しディレクトリ)

このディレクトリにはWindowsのごみ箱を装ったRECYLER.BINフォルダと、感染時にUSBデバイスのルートフォルダに存在していたファイルやディレクトリが含まれています。WindowsのエクスプローラでRECYLER.BINの内容を見ると、被害者には図12のように表示されます。
![画像12はRECYCLER.BINフォルダの中身を示したWindowsエクスプローラーの画面です。専用ツールを使用しないと検出できない隠しマルウェアファイルが存在しています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-12.png) 図12. Windowsエクスプローラで感染したUSBリムーバブルデバイス(RECYLER.BINフォルダ)を表示したところ

Windowsエクスプローラの初期設定は隠しファイルを表示しないので、被害者からはショートカットファイルしか見えません(図8)。また、隠しファイルの表示を有効にしていても、Windows Explorerやcmd.exeではfilesサブディレクトリに存在するマルウェアファイルは表示できません。

この悪意のあるファイルは、Unix系(\*nix)のOS上か、フォレンジックツールでUSBデバイスをマウントした場合にのみ閲覧できます。図13は、UbuntuでこのUSBデバイスをマウントしてファイルマネージャーでブラウズしたときの様子です。
![画像13はUbuntuのファイルマネージャーでUSBドライブの中身を閲覧した場合の見えかたを示したスクリーンショットです。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-13.png) 図13. 感染したUSBデバイスをUbuntuのファイルマネージャーで表示したところ

## PlugXマルウェアUSBの感染後

同PlugXマルウェア亜種にホストが感染すると、マルウェアはUSBリムーバブルデバイスを継続的に監視するようになります。べつのUSBデバイスが見つかれば、そのデバイスに感染し、感染後はそのUSBデバイスのルートフォルダに書き込まれている新しいファイルを当該USBデバイス内の隠しフォルダに移動します。このWindowsのショートカットファイルはUSBデバイスに似せてあり、マルウェアは被害者のファイルを表示するので、被害者は知らないうちにマルウェアPlugXを拡散し続けることになります。

## PlugXマルウェアUSBの亜種2

これまでに得た知識から、野生でもこれと同様のPlugX USB感染マルウェアが見られるかどうかが知りたくなりました。VirusTotalのファイルSHA256: 5b496972a86cea66aeecaac6e3f67a92e22f35cd5d2a98d54a2f1218fcd5dfc5は、x32bridge.datの挙動(具体的には、Sophosブログで言及されているWindowsタスク スケジューラのタスク作成とPDB文字列の作成)が一致します。

このファイルはWindows x86のPEファイル(DLL)で、x32bridge.datのインメモリ版に相当します。私たちの分析だと、インメモリ版の実行時の挙動は前述のx32bridge.datのUSB感染のものと同じですが、こちらには機能が1つ追加されています。ホストマシンからda520e5という名前の新しい隠しUSBサブフォルダにドキュメントをコピーする機能です。

具体的には、インメモリ版マルウェアはホストマシンからすべてのAdobe PDF・Microsoft Word文書をこの隠しUSBサブフォルダにコピーします。以下の図14はホストからコピーされたディレクトリとファイルのサンプルです。
![画像14はFドライブのスクリーンショットです。PlugXマルウェアの亜種が漏出させた2つのファイルが表示されています。この画像にはName(名前)、Extension(拡張子)、Size(サイズ)、Created(作成日時)、Modified(変更日時)、Accessed(アクセス日)、Attribute(属性)、1st Sector(第1セクター)の各列が表示されています。](https://unit42.paloaltonetworks.com/wp-content/uploads/2023/01/word-image-126789-14.png) 図14 同PlugXマルウェア亜種が漏出させたファイルが2つ表示されている

こちらのPlugX USBマルウェア亜種は、被害者から特定のファイルを漏出させ、それらを後で取り出せるように設計してあります。マルウェアはこれらのディレクトリとファイルを使っておらず、これらが被害者に表示されることもありません。

## PlugXマルウェアとの関連性

USBの感染に加え、x32bridge.datとVirusTotalで見つかった2つめのPlugXマルウェア亜種はどちらも、ターゲット上の特定の実行中プロセスをチェックします。それらが見つかれば終了させ、それらの実行元のディレクトリも削除します。

X32bridge.datはAAMから始まるプロセス名を探し出し、見つかればそのプロセスを終了させ、同プロセスに関連する特定のディレクトリを削除します。Sophosのブログでは「これは古いPlugXマルウェアの亜種を削除する動作ではないか」と推測しています。PlugXに帰属済みの以前の亜種はファイル名がAAM (AAM Updates.exeなど)で始まっていました。

私たちがVirusTotalで見つけた2つめの亜種もこのチェックを行っていて、やはりAAM Updates.exeを含む特定プロセスをチェックしていました。さらに、AAM Updates.exeが見つかった場合、AAM UpdatesikBというディレクトリを削除します。このフォルダもやはりPlugXマルウェアファミリーと関連付けられています。

x32bridge.datとVirusTotalで見つかった2つめのPlugXマルウェア亜種は、ほかの実行時の挙動にくわえてUSBの感染方法が同じであることから、実際にPlugXと関連しているものと結論できます。

## 結論

PlugXマルウェアは10年以上前から使われており、歴史的には中国の国家支援型APT攻撃グループと広く関連していました。年が経つにつれ、同ツールは国家支援型攻撃グループからランサムウェア攻撃グループに至るさまざまな脅威グループに採用・利用されるようになりました。

PlugXの典型的な手口は、良性のファイルを使ってDLLサイドローディングとも呼ばれるコード実行を実現するもので、いまでは多くのセキュリティベンダーがこの手口を検出・防止します。アクターがフロッピーディスクやメモリースティック、フラッシュドライブなどのリムーバブルメディアに接続されたUSBデバイス、そのUSBデバイスが接続されたほかのシステムに感染を広げる機能を追加した理由の一部は、こうした事情にあったと考えられます。

同マルウェア亜種に感染したホストは、新たな感染先USBリムーバブルデバイスを継続的に監視しています。また同PlugXマルウェアは、斬新な手口でアクターのファイルをUSBデバイスに隠し、\*nix OS上か、フォレンジックツールでUSBデバイスをマウントした場合にのみ不正なファイルを閲覧できるようにします。こうした検出回避機能のおかげで、PlugXマルウェアの拡散は続き、エアギャップされたネットワークにも飛び火する可能性があります。

さらにVirusTotalでは、感染したホストのすべてのAdobe PDF・Microsoft WordドキュメントをPlugXマルウェアが作成したUSBデバイスの隠しフォルダにコピーする機能が追加された類似亜種も見つかっています。これらサンプルの発見は、少なくとも高い技術スキルをもつ一部の攻撃者の間ではPlugXの開発が続いており、これがいまも現役の脅威であることを物語っています。

パロアルトネットワークス製品をご利用のお客様は、弊社の製品・サービスにより本キャンペーンに関連する以下の対策が提供されています。

* [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)をお使いのお客様は、本稿で取り上げたマルウェアの技術からエンドポイント上で保護を受けています。
* クラウドベースの脅威分析サービスである[WildFire](https://www.paloaltonetworks.jp/products/secure-the-network/wildfire)は、本稿で取り上げたマルウェアを「悪意のあるもの(malicious)」として正確に識別します。

侵害の懸念があり弊社にインシデントレスポンスに関するご相談をなさりたい場合は、[こちら](https://start.paloaltonetworks.jp/contact-unit42.html)の問い合わせフォームからご連絡いただくか、infojapan@paloaltonetworks.comまで電子メールにてご連絡いただくか、下記の電話番号までお問い合わせください(ご相談は弊社製品のお客様には限定されません)。

* 北米フリーダイヤル: 866.486.4842 (866.4.UNIT42)
* 欧州: +31.20.299.3130
* アジア太平洋: +65.6983.8730
* 日本: +81.50.1790.0200

パロアルトネットワークスはファイルサンプルや侵害の兆候などをふくむこれらの調査結果をCyber Threat Alliance (CTA サイバー脅威アライアンス) のメンバーと共有しました。CTA のメンバーはこのインテリジェンスを使用して、お客様に保護を迅速に提供し、悪意のあるサイバー攻撃者を体系的に阻害できます。詳細については[Cyber Threat Alliance](https://cyberthreatalliance.org/)にてご確認ください｡

## Unit 42 マネージド スレット ハンティング チームによるクエリ

// Detecting potential DLL side loading config case\_sensitive = false timeframe = 30d | dataset = xdr\_data | filter event\_type = ENUM.LOAD\_IMAGE and action\_module\_signature\_status = 3 and ((action\_module\_path contains "mpsvc.dll" and actor\_process\_image\_name = "aug.exe") or (action\_module\_path contains "dismcore.dll" and actor\_process\_image\_name = "aug.exe" ) or (action\_module\_path contains "\\hex.dll" and actor\_process\_image\_name = "SafeGuard.exe") or (action\_module\_path contains "x32bridge.dll" and actor\_process\_image\_name = "x32dbg.exe") or (action\_module\_path contains "x32bridge.dll" and actor\_process\_image\_name = "Mediae.exe")) | comp count() as counter by actor\_process\_image\_path , action\_module\_path , action\_module\_sha256

|-------------|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 2 3 4 5 6 | // Detecting potential DLL side loading config case\_sensitive = false timeframe = 30d | dataset = xdr\_data | filter event\_type = ENUM.LOAD\_IMAGE and action\_module\_signature\_status = 3 and ((action\_module\_path contains "mpsvc.dll" and actor\_process\_image\_name = "aug.exe") or (action\_module\_path contains "dismcore.dll" and actor\_process\_image\_name = "aug.exe" ) or (action\_module\_path contains "\\hex.dll" and actor\_process\_image\_name = "SafeGuard.exe") or (action\_module\_path contains "x32bridge.dll" and actor\_process\_image\_name = "x32dbg.exe") or (action\_module\_path contains "x32bridge.dll" and actor\_process\_image\_name = "Mediae.exe")) | comp count() as counter by actor\_process\_image\_path , action\_module\_path , action\_module\_sha256 |

// Adding registry persistence config case\_sensitive = false timeframe = 30d | dataset = xdr\_data | filter event\_type = ENUM.REGISTRY and event\_sub\_type = ENUM.REGISTRY\_SET\_VALUE and action\_registry\_key\_name contains "Microsoft\\Windows\\CurrentVersion\\Run" and (action\_registry\_data contains "x32dbg.exe" or action\_registry\_data contains "aug.exe" or action\_registry\_data contains "SafeGuard.exe") | fields action\_registry\_data , action\_registry\_file\_path , action\_registry\_key\_name , actor\_process\_command\_line , agent\_hostname

|-------------|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 2 3 4 5 6 | // Adding registry persistence config case\_sensitive = false timeframe = 30d | dataset = xdr\_data | filter event\_type = ENUM.REGISTRY and event\_sub\_type = ENUM.REGISTRY\_SET\_VALUE and action\_registry\_key\_name contains "Microsoft\\Windows\\CurrentVersion\\Run" and (action\_registry\_data contains "x32dbg.exe" or action\_registry\_data contains "aug.exe" or action\_registry\_data contains "SafeGuard.exe") | fields action\_registry\_data , action\_registry\_file\_path , action\_registry\_key\_name , actor\_process\_command\_line , agent\_hostname |

// Payload execution with rundll32.exe config case\_sensitive = false timeframe = 30d | dataset = xdr\_data | filter event\_type = ENUM.PROCESS and action\_process\_image\_path contains "rundll32" and (action\_process\_image\_command\_line contains "\\akm.dat" or action\_process\_image\_command\_line contains "\\precious.dat") | fields action\_process\_image\_command\_line , actor\_process\_image\_command\_line , agent\_hostname

|-------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 2 3 4 5 6 | // Payload execution with rundll32.exe config case\_sensitive = false timeframe = 30d | dataset = xdr\_data | filter event\_type = ENUM.PROCESS and action\_process\_image\_path contains "rundll32" and (action\_process\_image\_command\_line contains "\\akm.dat" or action\_process\_image\_command\_line contains "\\precious.dat") | fields action\_process\_image\_command\_line , actor\_process\_image\_command\_line , agent\_hostname |

## IoC

### 既知のPlugXサンプル:

8ec37dac2beaa494dcefec62f0bf4ae30a6ce44b27a588169d8f0476bbc94115  
e72e49dc1d95efabc2c12c46df373173f2e20dab715caf58b1be9ca41ec0e172  
0e9071714a4af0be1f96cffc3b0e58520b827d9e58297cb0e02d97551eca3799  
39280139735145ba6f0918b684ab664a3de7f93b1e3ebcdd071a5300486b8d20  
41a0407371124bcad7cab56227078ccd635ba6e6b4374b973754af96b7f58119  
02aa5b52137410de7cc26747f26e07b65c936d019ee2e1afae268a00e78a1f7f  
2a07877cb53404888e1b6f81bb07a35bc804daa1439317bccde9c498a521644c  
5d98d1193fcbb2479668a24697023829fc9dc1f7d31833c3c42b8380ef859ff1

### 既知のファイルディレクトリ

C:\\ProgramData\\UsersDate\\Windows\_NT\\Windows\\user\\Desktop\\  
C:\\Users\\Public\\Public Mediae\\  
\<usb volume\>:\\u00A0\\u00A0\\RECYCLER.BIN\\files  
\<usb volume\>:\\u00A0\\u00A0\\RECYCLER.BIN\\files\\da520e5

### 既知のWindowsミューテックス名

LKU\_Test\_0.1  
LKU\_Test\_0.2  
TCP\_0.1

### 既知のPlugXの暗号化されたペイロードファイル名

akm.dat  
precious.dat  
x32bridge.dat  
Groza\_1.dat

### 既知のWindowsスケジュールタスク名

LKUFORYOU\_1  
PRECIOUS\_0.1

### 既知のWindowsプロセス名(観測済みの悪用された良性ファイル)

x32dbg.exe  
x32dbge.exe  
Mediae.exe  
Aug.exe  
Precious.exe  
SafeGuard.exe  
Dism.exe

### MITRE ATT\&CKの技術

[ATOM PlugXマルウェア](https://unit42.paloaltonetworks.com/atoms/plugx-malware/)

## 追加リソース

* [THOR: PKPLUG攻撃グループによるMicrosoft Exchange Server攻撃で展開された未知のPlugX亜種](https://unit42.paloaltonetworks.jp/thor-plugx-variant/)
* [ペンテストツールBrute Ratel C4: 脅威アクターによるレッドチームツール悪用](https://unit42.paloaltonetworks.jp/brute-ratel-c4-tool/)
* [NJCCIC Alert Gootloader Malware Platform Uses Sophisticated Techniques to Deliver Malware](https://www.cyber.nj.gov/alerts-advisories/gootloader-malware-platform-uses-sophisticated-techniques-to-deliver-malware)
* [A new APT uses DLL side-loads to "KilllSomeOne" -- Sophos News](https://news.sophos.com/en-us/2020/11/04/a-new-apt-uses-dll-side-loads-to-killlsomeone/)
* [Black Basta Ransomware Gang Infiltrates Networks via QAKBOT, Brute Ratel, and Cobalt Strike (trendmicro.com)](https://www.trendmicro.com/en_ca/research/22/j/black-basta-infiltrates-networks-via-qakbot-brute-ratel-and-coba.html)
* [Inside the OPM Hack, The Cyberattack that Shocked the US Government | WIRED](https://www.wired.com/2016/10/inside-cyberattack-shocked-us-government/)
* [ASCII Codes](https://cplusplus.com/doc/ascii/)
* [ASCII Table](https://www.asciitable.com/)
  トップに戻る

### タグ

* [Black Basta ransomware](https://unit42.paloaltonetworks.com/ja/tag/black-basta-ransomware-ja/ "Black Basta ransomware")
* [Brute ratel c4](https://unit42.paloaltonetworks.com/ja/tag/brute-ratel-c4-ja/ "brute ratel c4")
* [Dark Scorpius](https://unit42.paloaltonetworks.com/ja/tag/dark-scorpius-ja/ "Dark Scorpius")
* [GootLoader](https://unit42.paloaltonetworks.com/ja/tag/gootloader-ja/ "GootLoader")  
  [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:一般的なKubernetesプラットフォームでのRBACにもとづく特権エスカレーション緩和](https://unit42.paloaltonetworks.com/ja/kubernetes-privilege-escalation/ "一般的なKubernetesプラットフォームでのRBACにもとづく特権エスカレーション緩和")

### 目次

* 

### 関連記事

* [ランサムウェア振り返り: 2024 年上半期](https://unit42.paloaltonetworks.com/ja/unit-42-ransomware-leak-site-data-analysis/ "article - table of contents")
* [パロアルトネットワークス Unit 42 が追跡している脅威アクター グループの一覧](https://unit42.paloaltonetworks.com/ja/threat-actor-groups-tracked-by-palo-alto-networks-unit-42/ "article - table of contents")
* [Visual Studio Code Node.js デバッグによる GootLoader 分析](https://unit42.paloaltonetworks.com/ja/javascript-malware-gootloader/ "article - table of contents")

## 関連項目 ランサムウェア リソース

![Pictorial representation of Iran cyber attacks. Close-up of a person wearing glasses, with computer code reflected in the lenses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/12_Security-Technology_Category_1920x900-786x368.jpg)  
[![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月17日 [#### 脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/)

* [APK](https://unit42.paloaltonetworks.com/ja/tag/apk-ja/ "APK")

* [DDoS attacks](https://unit42.paloaltonetworks.com/ja/tag/ddos-attacks-ja/ "DDoS attacks")

* [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)")  
  ![Pictorial representation of RaaS RansomHouse. Digital representation of cybersecurity concept with a padlock superimposed over computer circuit boards, symbolizing data protection and encryption technologies.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/06_Ransomware_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2025年12月17日 [#### 直線的なものからの複雑化:RansomHouse暗号化のアップグレード](https://unit42.paloaltonetworks.com/ja/ransomhouse-encryption-upgrade/)

* [ESXi](https://unit42.paloaltonetworks.com/ja/tag/esxi-ja/ "ESXi")

* [Jolly Scorpius](https://unit42.paloaltonetworks.com/ja/tag/jolly-scorpius-ja/ "Jolly Scorpius")

* [RansomHouse](https://unit42.paloaltonetworks.com/ja/tag/ransomhouse-ja/ "RansomHouse")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/ransomhouse-encryption-upgrade/ "直線的なものからの複雑化:RansomHouse暗号化のアップグレード")  
  ![Pictorial representation of 01flip ransomware written in Rust. Digital artwork of a pixelated U.S. dollar bill disintegrating into small blocks against a blue data matrix background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/05_Ransomware_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年12月10日 [#### 01flip:Rustで書かれたマルチプラットフォーム ランサムウェア](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/)

* [Bitcoin](https://unit42.paloaltonetworks.com/ja/tag/bitcoin-ja/ "Bitcoin")

* [CL-CRI-103](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-103-ja/ "CL-CRI-103")

* [Cryptocurrency](https://unit42.paloaltonetworks.com/ja/tag/cryptocurrency-ja/ "Cryptocurrency")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/ "01flip:Rustで書かれたマルチプラットフォーム ランサムウェア")  
  ![Pictorial representation of malicious LLMs. Close-up view of a digital wall displaying various glowing icons, representing a high-tech network interface.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/AdobeStock_1270203474-786x440.jpeg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月25日 [#### AIのデュアルユースのジレンマ：悪意あるLLM](https://unit42.paloaltonetworks.com/ja/dilemma-of-ai-malicious-llm/)

* [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting")

* [Data exfiltration](https://unit42.paloaltonetworks.com/ja/tag/data-exfiltration-ja/ "data exfiltration")

* [LLM](https://unit42.paloaltonetworks.com/ja/tag/llm-ja/ "LLM")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/dilemma-of-ai-malicious-llm/ "AIのデュアルユースのジレンマ：悪意あるLLM")  
  ![Pictorial representation of Unit 42 threat attribution system. Illustration featuring a white triangle centered within an abstract cosmic background of purple and blue swirls and stars.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/Generic-A-1920x900-1-786x368.png)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2025年7月31日 [#### Unit 42のアトリビューション フレームワークの紹介](https://unit42.paloaltonetworks.com/ja/unit-42-attribution-framework/)

* [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat")

* [Bookworm](https://unit42.paloaltonetworks.com/ja/tag/bookworm-ja/ "Bookworm")

* [Nomenclature](https://unit42.paloaltonetworks.com/ja/tag/nomenclature-ja/ "nomenclature")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/unit-42-attribution-framework/ "Unit 42のアトリビューション フレームワークの紹介")  
  ![Pictorial representation of the ransomware landscape. Digital artwork of a disintegrating U.S. dollar bill with pixelated effects on a cyber-inspired background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/05_Ransomware_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-report-white-1.svg)トレンド レポート](https://unit42.paloaltonetworks.com/ja/category/trend-reports-ja/) 2025年5月22日 [#### 恐喝とランサムウェアの動向 2025年1月～3月](https://unit42.paloaltonetworks.com/ja/2025-ransomware-extortion-trends/)

* [AI](https://unit42.paloaltonetworks.com/ja/tag/ai-ja/ "AI")

* [Akira ransomware](https://unit42.paloaltonetworks.com/ja/tag/akira-ransomware-ja/ "Akira ransomware")

* [BianLian](https://unit42.paloaltonetworks.com/ja/tag/bianlian-ja/ "BianLian")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/2025-ransomware-extortion-trends/ "恐喝とランサムウェアの動向 2025年1月～3月")  
  ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/03_Ransomware_Category_1505x922-718x440.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2024年8月9日 [#### ランサムウェア振り返り: 2024 年上半期](https://unit42.paloaltonetworks.com/ja/unit-42-ransomware-leak-site-data-analysis/)

* [Healthcare](https://unit42.paloaltonetworks.com/ja/tag/healthcare-ja/ "Healthcare")

* [LockBit](https://unit42.paloaltonetworks.com/ja/tag/lockbit-ja/ "LockBit")

* [RansomHub](https://unit42.paloaltonetworks.com/ja/tag/ransomhub-ja/ "RansomHub")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/unit-42-ransomware-leak-site-data-analysis/ "ランサムウェア振り返り: 2024 年上半期")  
  ![Constellation image representing the constellation schema used by Palo Alto Networks Unit 42 to track nation-state and](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/Generic-B-1920x900-1-786x368.png)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2024年8月4日 [#### パロアルトネットワークス Unit 42 が追跡している脅威アクター グループの一覧](https://unit42.paloaltonetworks.com/ja/threat-actor-groups-tracked-by-palo-alto-networks-unit-42/)

* [Agent Serpens](https://unit42.paloaltonetworks.com/ja/tag/agent-serpens-ja/ "Agent Serpens")

* [Agonizing Serpens](https://unit42.paloaltonetworks.com/ja/tag/agonizing-serpens-ja/ "Agonizing Serpens")

* [Alloy Taurus](https://unit42.paloaltonetworks.com/ja/tag/alloy-taurus-ja/ "Alloy Taurus")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/threat-actor-groups-tracked-by-palo-alto-networks-unit-42/ "パロアルトネットワークス Unit 42 が追跡している脅威アクター グループの一覧")  
  ![A pictorial representation of RA World ransomware group. A digital graphic of a U.S. dollar bill disintegrating into pixels, symbolizing digital transformation or the concept of cryptocurrency against a backdrop of a dark, tech-inspired visual theme.](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/05_Ransomware_Category_1505x922-718x440.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2024年7月22日 [#### RA Group から RA World へ: ランサムウェア グループの進化](https://unit42.paloaltonetworks.com/ja/ra-world-ransomware-group-updates-tool-set/)

* [Extortion](https://unit42.paloaltonetworks.com/ja/tag/extortion-ja/ "Extortion")

* [Leak site](https://unit42.paloaltonetworks.com/ja/tag/leak-site-ja/ "Leak site")

* [Babuk](https://unit42.paloaltonetworks.com/ja/tag/babuk-ja/ "babuk")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/ra-world-ransomware-group-updates-tool-set/ "RA Group から RA World へ: ランサムウェア グループの進化")  
  ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/02/02_Ransomware_Category_1505x922-718x440.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2024年2月6日 [#### 2024 年 ランサムウェア振り返り: Unit 42 によるリーク サイト分析](https://unit42.paloaltonetworks.com/ja/unit-42-ransomware-leak-site-data-analysis-all-2023/)

* [Ambitious Scorpius](https://unit42.paloaltonetworks.com/ja/tag/ambitious-scorpius-ja/ "Ambitious Scorpius")

* [Ignoble Scorpius](https://unit42.paloaltonetworks.com/ja/tag/ignoble-scorpius-ja/ "Ignoble Scorpius")

* [Leak site](https://unit42.paloaltonetworks.com/ja/tag/leak-site-ja/ "Leak site")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/unit-42-ransomware-leak-site-data-analysis-all-2023/ "2024 年 ランサムウェア振り返り: Unit 42 によるリーク サイト分析")

* ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg)

* ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg)  
  ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]()  
  ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png)  
  ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得

## 進化する脅威の状況を常に先取り

メール アドレス

本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。

本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。

Invalid captcha!
サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg)  
{#footer} 製品とサービス

* [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security)

* [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design)

* [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security)

* [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security)

* [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions)

* [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention)

* [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering)

* [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire)

* [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security)

* [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention)

* [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security)

* [Medical IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/medical-iot-security)

* [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security)

* [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security)

* [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall)

* [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations)

* [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls)

* [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager)

* [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription)

* [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os)

* [Panorama](https://www.paloaltonetworks.jp/network-security/panorama)

* [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase)

* [Prisma SASE](https://www.paloaltonetworks.jp/sase)

* [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration)

* [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem)

* [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention)

* [Prisma Access](https://www.paloaltonetworks.jp/sase/access)

* [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser)

* [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan)

* [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation)

* [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security)

* [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex)

* [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud)

* [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud)

* [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security)

* [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security)

* [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security)

* [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud)

* [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex)

* [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam)

* [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)

* [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar)

* [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse)

* [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response)

* [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam)

* [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira)

* [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management)

* [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management)

* [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager)

* [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance)

* [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management)

* [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic)

* [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management)

* [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance)

* [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery)

* [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access)

* [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42)

* [予防評価](https://www.paloaltonetworks.jp/unit42/assess)

* [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond)

* [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform)

* [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners)  
  会社名

* [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us)

* [採用情報](https://jobs.paloaltonetworks.com/en/)

* [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales)

* [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility)

* [お客様向け](https://www.paloaltonetworks.jp/customers)

* [IR](https://investors.paloaltonetworks.com/)

* [拠点](https://www.paloaltonetworks.com/about-us/locations)

* [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom)  
  人気のあるリンク

* [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja)

* [コミュニティ](https://www.paloaltonetworks.com/communities)

* [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources)

* [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia)

* [イベントセンター](https://events.paloaltonetworks.com/)

* [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center)

* [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z)

* [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance)

* [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure)

* [サイトマップ](https://www.paloaltonetworks.jp/sitemap)

* [テクニカル ドキュメント](https://docs.paloaltonetworks.com/)

* [Unit 42](https://unit42.paloaltonetworks.jp/)

* [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd)
  ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg)

* [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy)

* [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center)

* [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)

* [ドキュメント](https://www.paloaltonetworks.jp/legal-notices)

Copyright © 2026 Palo Alto Networks. All Rights Reserved

* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks)
* [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/)
* JP  
  Select your language  
  ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg)

### Default Heading

Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg)  
Seekbar

![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg)  
![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg)  
Volume
![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)