[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/unit-42-title-gamaredon-group-toolset-evolution/) * [Japanese](https://unit42.paloaltonetworks.com/ja/unit-42-title-gamaredon-group-toolset-evolution/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/ "脅威アクター グループ") * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/ "マルウェア") [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) # Gamaredonグループのツールセットの進化 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 4 分で読めます * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Unit 42](https://unit42.paloaltonetworks.com/ja/author/unit42/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2017年2月27日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [Gamaredon](https://unit42.paloaltonetworks.com/ja/tag/gamaredon-ja/) * [Threat research](https://unit42.paloaltonetworks.com/ja/tag/threat-research-ja/) * [Toolset](https://unit42.paloaltonetworks.com/ja/tag/toolset-ja/) * [Trident Ursa](https://unit42.paloaltonetworks.com/ja/tag/trident-ursa-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/unit-42-title-gamaredon-group-toolset-evolution/?pdf=download&lg=ja&_wpnonce=0070e94fe3 "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/unit-42-title-gamaredon-group-toolset-evolution/?pdf=print&lg=ja&_wpnonce=0070e94fe3 "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=Gamaredonグループのツールセットの進化&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit-42-title-gamaredon-group-toolset-evolution%2F "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit-42-title-gamaredon-group-toolset-evolution%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit-42-title-gamaredon-group-toolset-evolution%2F&title=Gamaredonグループのツールセットの進化 "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit-42-title-gamaredon-group-toolset-evolution%2F&text=Gamaredonグループのツールセットの進化 "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit-42-title-gamaredon-group-toolset-evolution%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=Gamaredonグループのツールセットの進化%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit-42-title-gamaredon-group-toolset-evolution%2F "Share in Mastodon") ## 概要 先日、Palo Alto Networksの脅威インテリジェンスチームUnit 42の脅威リサーチャーは、脅威グループが特別仕様で開発された新型マルウェアを配信しているのに気付きました。私たちはこの脅威グループにGamaredonグループと名付けましたが、私たちのリサーチからGamaredonグループが少なくとも2013年以降活動していることが分かりました。 従来、Gamaredonグループは市販のツールに大きく頼っていましたが、私たちの新たなリサーチにより、Gamaredonグループが特別仕様で開発されたマルウェアへと移行したことが分かりました。この移行はGamaredonグループが自分たちの技術的な能力を向上させたことを示すものである、と私たちは信じています。特別仕様で開発されたマルウェアはフル機能であり、下記の機能を備えています。 * 自由に選んだ追加のペイロードをダウンロードし実行するメカニズム * システム ドライブをスキャンして特定のファイル タイプを探し出す機能 * スクリーンショットをキャプチャする機能 * ユーザーのセキュリティ コンテキストにおいて、システム上のコマンドをリモートから実行する機能 Gamaredonグループは、主として、侵害を受けたドメイン、ダイナミックDNSプロバイダ、ロシアおよびウクライナの国別コードトップレベルドメイン(ccTLD)、ロシアのホスティング プロバイダを利用して、特別仕様で作成されたマルウェアを配信します。 マルウェア対策技術は、このグループが開発したマルウェアの検出に関する実績が乏しいのですが、それはこのマルウェアのモジュール的な特質によるものである可能性が高いと私たちは信じています。モジュール的な特質とは、バッチ スクリプトを多用すること、および正規のアプリケーションやツール(wgetなど)を悪意のある目的で悪用することを指します。 以前、ある攻撃活動に関して[LookingGlassがレポートした](https://www.lookingglasscyber.com/operation-armageddon-registration/)際、この攻撃活動に"オペレーションArmageddon"と名付けましたが、これはウクライナの軍および国家安全保障・国防会議に関係のある個人を標的にしていました。本件のグループがその攻撃活動の背後にいたと確信しているため、私たちは本件のグループにGamaredonグループと命名しました。因みにGamaredonは"Armageddon"のアナグラムです。現時点では、このグループが配信している新型ペイロードがオペレーションArmageddonの続きなのか、それとも新たな攻撃活動なのか不明です。 ## Gamaredon: 過去から現在に至るツールの分析 この脅威グループが配信したサンプルで、発見された最も古いもの(コンパイル時刻とサンドボックス サブミット時刻に基づく)は、[Symantec](https://www.symantec.com/security_response/writeup.jsp?docid=2015-042917-4812-99&tabid=2)および[Trend Micro](https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/troj_gamaredon.a)がGamaredonについて解説していたものに類似しています。しかし、都合の悪いことに、この同一性を示す根拠は不十分です。それは、本件で脅威の攻撃者が使っているペイロードの最初の亜種を特定しているのに過ぎないように思えるためです。後発のペイロード亜種に関して、一部のサンプルにも一般的で不安定な名称の[TROJ\_RESETTER.BB](https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/troj_resetter.bb)および[TROJ\_FRAUDROP.EX](https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/troj_fraudrop.ex)が付けられています。 当初、この脅威グループが標的に配信したペイロードは、パスワードで保護された自己解凍型Zipアーカイブ(.SFX)ファイルで構成されていました。このSFXは、解凍時にバッチ スクリプトをディスクに書き込み、[Remote Manipulator System (リモート操作システム)](https://rmansys.ru/remote-access/)(図1)と呼ばれる正規のリモート管理ツールをインストールしました。脅威グループは、このRemote Manipulator Systemを悪意のある目的で悪用しようとしました。 ![図1 Remote Manipulator Systemのインターフェイス](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-01.png) 図1 Remote Manipulator Systemのインターフェイス そのような自己解凍型アーカイブの1つ(ca87eb1a21c6d4ffd782b225b178ba65463f73de6f4c736eb135be5864f556dc)が、2014年4月頃、初めて発見されました。それが自己解凍用に使ったパスワード(パスワード保護された多数のSFXペイロードで使い回しされている)は"1234567890\_\_"です。私たちがこのSFXファイルを確認した際、これに含まれていたファイルには"123.cmd"という名前のバッチ ファイルおよび"setting.exe"という名前の別のSFXが含まれていました。この2番目のSFXには、Remote Manipulator Systemをインストールする.MSIインストーラー パッケージ、および、このインストール作業を操作するバッチ スクリプトが含まれています。 後発のペイロードは、バッチ スクリプトをディスクに書き込むほか、wgetバイナリも書き込もうとしました。このバッチ スクリプトは、wgetバイナリを使って新たに実行可能ファイルをダウンロードし実行しようとしました。また、wgetを使ってPOSTリクエストをコマンド アンド コントロール(C2)サーバに送信しようとしました。その際、POSTリクエストには侵害を受けたシステムに関する情報が含まれていました。こうしたペイロードの一部には、マルウェアが実行された際に開かれるおとりのドキュメントが含まれていました。 この種のペイロードに関する3つのサンプルには、以下のものがあります。 * a6a44ee854c846f31d15b0ca2d6001fb0bdddc85f17e2e56abb2fa9373e8cfe7 * b5199a302f053e5e9cb7e82cc1e502b5edbf04699c2839acb514592f2eeabb13 * 3ef3a06605b462ea31b821eb76b1ea0fdf664e17d010c1d5e57284632f339d4b 2014年、私たちはこれらのサンプルがwgetを使っているのに初めて気付きました。これらのサンプルが使っていたファイル名とおとりのドキュメントは、個人を誘い込むのに、テーマとして、ウクライナ大統領の政権、ウクライナ国家安全保障・国防会議、ウクライナにおけるテロ対策オペレーション ゾーン、およびウクライナの愛国心を使っていました。そのようなおとりドキュメントの1つにある文面を画像化して、以下に示します。 ![図2 Gamaredonグループが使用したウクライナのおとりドキュメント](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-02.png) 図2 Gamaredonグループが使用したウクライナのおとりドキュメント 他に観察されたペイロードも、やはり、SFXファイルを使ってバッチ スクリプトと実行可能ファイルを配信しようとしましたが、この実行可能ファイルはVNCプロトコルを使ってリモート アクセスを可能にするものでした。これらのVNC実行可能ファイルは、SFXファイルの中に含まれているか、あるいはバッチ スクリプトによってダウンロードされました。私たちは、VNC実行可能ファイルを提供していたURL(今では閉鎖)を1つ発見しましたが、このVNC実行可能ファイルをマルウェアがダウンロードし、実行しようとしました。私たちが発見したURLはhxxp://prestigeclub.frantov.com\[.\]ua/press-center/press/chrome-xvnc-v5517.exeでした。 バッチ スクリプトは、引き続き、VNCプログラムをコマンド アンド コントロール(C2)サーバに接続させて、侵害を受けたシステムをサーバが制御できるようにしようとしました。侵害を受けたシステム上にインストールされたVNCを私たちが確認した際、いずれにも同じ設定ファイル、RC4キー ファイル、およびパスワードが使われていました。 そのようなサンプルの1つ、cfb8216be1a50aa3d425072942ff70f92102d4f4b155ab2cf1e7059244b99d31は、2015年1月頃、初めて姿を現しました。このサンプルで使われていたバッチ スクリプトは、確実にVNC接続が利用できるようにするものでした。 ![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-03.png) VNCを使っているインプラントすべてにわたるVNC設定ファイル(UltraVNC.ini)の中で設定されているパスは、"Y:\\ПРОБА\\Создание троянов\\создание RMS\\vnc"です。これは、ハードコード化されたキリル文字のファイル パスをインプラントが使っている唯一の場所ではありません。バッチ スクリプトの多くも、ハードコード化されたパスを使っています。例えば、"Главное меню\\Программы\\Автозагрузка"などがあります。多くのペイロードには、ダイアログ ボックスをユーザーに提示してマルウェアの起動を促すVBSスクリプトも、やはり含まれています。そこにはこう書いてあります。"Ошибка при инициализации приложения (0xc0000005).Повторить попытку открытия файла?"(ロシア語からの翻訳: アプリケーションの初期化に失敗(0xc0000005)。ファイルをもう一度オープンしますか。) 一部のSFXファイルにも、[ChkFlsh.exe](https://mikelab.kiev.ua/index.php?page=PROGRAMS/chkflsh) (8c9d690e765c7656152ad980edd2200b81d2afceef882ed81287fe212249f845)と呼ばれる、別の正規のアプリケーションが含まれています。このアプリケーションはウクライナのプログラマーによって書かれたものであり、USBフラッシュ ドライブのパフォーマンスを確認するのに使われます。攻撃者にとってのこれの価値は不明ですが、1つの可能性として、何らかの方法でUSBデバイス上のファイルを盗む、または監視するのにこれを利用する、ということが挙げられます。私たちのリサーチにおいて、このアプリケーションがVNCプログラムと共に内部に存在するSFXファイルもあれば、VNCプログラムが内部に含まれていないSFXファイルもあることが分かりました。 ## 特別仕様のインプラント 確認済みのごく最近のサンプルは今もバッチ スクリプトとSFXファイルを使っていますが、Gamaredonグループはwget、Remote Manipulator Tool、VNCおよびChkFlsh.exeのようなアプリケーションから離れてしまいました。wgetを使う代わりに、攻撃者は特別仕様で開発されたダウンローダーを、Remote ManipulatorまたはVNCの代わりに、マルウェアは特別仕様で開発されたリモート アクセス インプラントを使っています。 2015年6月、多くの新型サンプルが使っていた特別仕様のダウンローダーが初めてネット上で確認されました。そして、このダウンローダーは"LocalSMS.dll"という名前のSFXインプラントの中に含まれていることがよくあり、adobe.update-service\[.\]net (サンプル内でハードコード化済み)に対するリクエストを作成しますが、詳しい説明については付録Aを参照してください。 2016年2月、SFXインプラントに含まれている別の特別仕様のツールがネット上で確認されました。このSFXファイル(3773ddd462b01f9272656f3150f2c3de19e77199cf5fac1f44287d11593614f9)には、"Pteranodon"と私たちが呼んでいる新型のトロイの木馬(598c55b89e819b23eac34547ad02e5cd59e1b8fcb23b5063a251d8e8fae8b824)が含まれています。Pteranodonは特別使用のバックドアで以下のタスクを行うことができます。 * 設定可能な間隔でスクリーンショットをキャプチャし、このスクリーンショットを攻撃者にアップロードする * 追加のファイルをダウンロードし実行する * システム上で任意のコマンドを実行する Pteranodonの最初期のバージョンは、ハードコード化されたURLをコマンド アンド コントロール用に使っています。POSTリクエストを"msrestore\[.\]ru/post.php"に送信しますが、その際、静的なマルチパート境界として次を使います。 \------------870978B0uNd4Ry\_$ 新バージョンのツールも、ハードコード化されたドメインおよびマルチパート境界を使います。類似のpdb文字列も、新旧バージョンで共有しています。他のPteranodonサンプルは、[Pteranodon](https://autofocus.paloaltonetworks.com/#/tag/Unit42.Pteranodon)タグを使うことでAutoFocusにて発見することができます。ごく最近のPteranodonの亜種に関する分析は、付録Aを参照してください。 今までのところ、新しいインプラントに関する配信経路を1つ特定することしかできていません。2016年12月に始めて確認されたJavascriptファイル(f2355a66af99db5f856ebfcfeb2b9e67e5e83fff9b04cdc09ac0fabb4af556bd)は、リソースをhttp://samotsvety.com\[.\]ua/files/index.pht (ステージング ペイロード用に使われた、侵害を受けたサイトの可能性が高い)からダウンロードします。これは、従来、Gamaredonの2つの特別仕様ツールを含んだSFXファイル(b2fb7d2977f42698ea92d1576fdd4da7ad7bb34f52a63e4066f158a4b1ffb875)でした。 関連サンプル(e24715900aa5c9de807b0c8f6ba8015683af26c42c66f94bee38e50a34e034c4)は、同じ特異なミューテックスを使っていました。また、分析用ツール一揃いを従来よりも多数含んでいます。ファイルの元の名前は"AdapterTroubleshooter.exe"であり、下図のように、OpenVPNが使用しているアイコンに類似のアイコンを使っています。 ![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-04.png) AutoFocus内におけるこのサンプルのファイルの活動を調査すると、このサンプルが自己解凍型の実行可能ファイルであることが、すぐに分かりました。 ![図3 AutoFocusで示される、自己解凍型の実行可能ファイルの挙動](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-05.png) 図3 AutoFocusで示される、自己解凍型の実行可能ファイルの挙動 サンプルを7zipでvirtual machine (仮想マシン - VM)内で開くことで、すべてのファイルの内容を調査できます。下の表に、SHA256値、ファイル名、コンパイル時刻、およびSFXファイルの内容に関するpdbパスがまとめてあります。 |------------------------------------------------------------------|-------------------------|--------------------------|--------------------------------------------------------------------------------------------------| | **SHA256** | **ファイル名** | **コンパイル時刻** | **PDBパス** | | 400f53a89d08d47f608e1288d9873bf8d421fc7cd642c5e821674f38e07a1501 | LocalSMS.dll | Wed Apr 29 08:10:30 2015 | c:\\users\\viber\\documents\\visual studio 2013\\projects\\contextmenu\\release\\contextmenu.pdb | | d01df47b6187631c9a93bdad1298439ab1a1c5529b3319f3614b6ec2455e5726 | MpClients.dll | Thu Sep 08 05:01:00 2016 | c:\\users\\user\\documents\\visual studio 2015\\projects\\updaterv1\\release\\updaterv1.pdb | | f2296bcb6be68dfb330baec2091fb11a42a51928ba057164213580e6ff0e1126 | OfficeUpdate.dll | Wed Dec 07 09:25:57 2016 | -- | | 2ded2f3b5b5b6155ce818893c67887cbfa8b539be6c983e314ccf2177552da20 | SmartArtGraphicsLog.lnk | -- | -- | | 46a39da996b01e26ddd71d51c9704de2aa641cd3443f6fe0e5c485f1cd9fa65d | UsrClass.lnk | -- | -- | | a972ad0ddc00d5c04d9fe26f1748e12008efdd6524c9d2ea4e6c2d3e42d82b7b | condirs.cmd | -- | -- | | 37c78ee7826d63bb9219de594ed6693f18da5db60e3cbc86795bd10b296f12ac | winrestore.dll | Mon Jan 09 03:12:39 2017 | c:\\develop\\ready\\winrestore -- proxy\\release\\winrestore.pdb | | 90ba0f95896736b799f8651ef0600d4fa85c6c3e056e54eab5bb216327912edd | wmphost.exe | Thu Dec 01 08:23:32 2016 | c:\\develop\\ready\\mouse-move\\mouse-move\\release\\mouse-move.pdb | サンプルのブートストラップのロジックは、"condirs.cmd"の内容に依拠しています。簡単に言えば、"condirs.cmd"内のロジックは次のとおりです。 1\."%LOCALAPPDATA%\\Microsoft\\Windows\\"が存在することを確認する 2\.サンプルの実行の邪魔になる可能性のあるプロセス、ファイル、およびスケジュール化されたタスクをkillし削除する 3\."winrestore.dll"を"%LOCALAPPDATA%\\Microsoft\\Windows\\UsrClass.dat{4f6fe187-7034-11de-b675-001d09fa5win}.dll"にコピーする 4\."OfficeUpdate.dll"を"%LOCALAPPDATA%\\Microsoft\\Windows\\UsrClass.dat{4f6fe187-7034-11de-b675-001d09fa5off}.dll"にコピーする 5\.オペレーティング システムがWindows XPなのかWindows 7なのか、判定する 6\.オペレーティング システムがWindows XPの場合、 a. ファイルのコピー先となるディレクトリを"%WINDIR%\\Setup\\State\\Office"として設定する b. "UsrClass.lnk"を"%USERPROFILE%\\Главное меню\\Программы\\Автозагрузка\\"にコピーする c. "SmartArtGraphicsLog.lnk"を"%USERPROFILE%\\Главное меню\\Программы\\Автозагрузка\\"にコピーする 7\.オペレーティング システムがWindows 7の場合、 a. ファイルのコピー先となるディレクトリを"%APPDATA%\\Microsoft\\Office"として設定する b. "UsrClass.lnk"を"%APPDATA%\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\"にコピーする c. "SmartArtGraphicsLog.lnk"を"%APPDATA%\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\"にコピーする ![図4 “condirs.cmd”内のWindows XPおよびWindows 7 のロジック](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-06.png) 図4 "condirs.cmd"内のWindows XPおよびWindows 7 のロジック 8\."winrestore.dll"を、ステップ6または7aで設定したディレクトリに"MSO1234.win"というファイル名でコピーする 9. "LocalSMS.dll"を、ステップ6または7aで設定したディレクトリに"MSO1567.dls"というファイル名でコピーする 10. "OfficeUpdate.dll"を、ステップ6または7aで設定したディレクトリに"MSO5678.usb"というファイル名でコピーする 11. "MpClients.dll"を、ステップ6または7aで設定したディレクトリに"MSO8734.obn"というファイル名でコピーする 12\."MSO1234.win"内のエクスポートされた関数"updater"を、rundll32.exeにより実行する 13\."MSO1567.dls"内のエクスポートされた関数"EntryPoint"を、rundll32.exeにより実行する ここで注意する必要があるのは、"UsrClass.lnk"が"%WINDIR%\\system32\\rundll32.exe UsrClass.dat{4f6fe187-7034-11de-b675-001d09fa5win}.dll,updater"へのリンクであること、および"SmartArtGraphicsLog.lnk"が"C:\\WINDOWS\\system32\\rundll32.exe UsrClass.dat{4f6fe187-7034-11de-b675-001d09fa5off}.dll,StartBackup"へのリンクであることです。これらは、"winrestore.dll"および"OfficeUpdate.dll"の、それぞれステップ3と4でコピー先となった位置です。 "condirs.cmd"スクリプトは、次に、引き続き以下の処理を行います。 1\.以下のタスクをスケジュールします。 a. タスク名"UpdatesWinRes"、これは"MSO1234.win,updater"を起動する b. タスク名"UpdatesWinDLL"、これは"MSO1567.dls,EntryPoint"を起動する c. タスク名"UpdatesWinUSBOOK"、これは"MSO5678.usb,StartBackup"を起動する d. タスク名"UpdatesWinOBN"、これは"MSO8734.obn,bitDefender"を起動する 2\.ディレクトリ"%Temp%\\reports\\ProfileSkype\\"が存在することを確認する 3\."skype.exe"という名のプロセスをkillする 4\."%AppData%\\Skype"の内容を"%Temp%\\reports\\ProfileSkype\\"にコピーする 5\."%Temp%\\reports\\%COMPUTERNAME\\"の下に次の名前でサブディレクトリを作成する: Z W P S V Q N M L K I J F H E GおよびD (これらはドライブ レターである) 6\.上記ドライブ レターに由来するファイルで拡張子が"doc"、"docx"、"xls"、"xlsx"、"rtf"、"odt"および"txt"のものを、すべて"%TEMP%\\reports\\%COMPUTERNAME%\\%%d\\"にコピーする。ただし、%%dはドライブ レターである。 7\.上記拡張子の全ファイルを、全ユーザーの"Desktop"、"Documents"および"Downloads"フォルダーから、それぞれ"%TEMP%\\reports\\%COMPUTERNAME%\\Desktop\\"、"%TEMP%\\reports\\%COMPUTERNAME%\\Documents\\"および"%TEMP%\\reports\\%COMPUTERNAME%\\Downloads\\"にコピーする ![図5 ドキュメントを盗み出す“condirs.cmd”の内部ロジック](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-07.png) 図5 ドキュメントを盗み出す"condirs.cmd"の内部ロジック 8\."MSO5678.usb"内のエクスポートされた関数"StartBackup"を、rundll32.exeにより実行する 9\."MSO8734.obn"内のエクスポートされた関数"bitDefender"を、rundll32.exeにより実行する 10\.一時ファイルをクリーンアップし、スリープし、自身を削除する このスクリプトが作業を完了すると、一連のインプラントがシステム上に導入され、これらのインプラントにより、攻撃者はファイルの盗み出し、スクリーンショットのキャプチャ、および検出の回避を行うことができます。個々のインプラントに関する詳細な分析については、付録Aを参照してください。 ## インプラント間のトレンド 侵害されたシステムの制御に使用されるペイロードが時間の経過とともに進化するにつれ、サンプル間で多くの類似点が見られるようになりました。このブログでは、このグループによって分散されるサンプルのすべてが説明されていないとはいえ、既知のサンプルのハッシュは、セキュリティ侵害の痕跡セクションに含まれています。関連するサンプルに関する興味深い動作は次のとおりです。 * バッチ スクリプトの多くには、一般的な英単語のスペルミスが含まれます。そのような例の1つは、ファイル名「cmd」です。別の例「domen」はバッチ スクリプトの変数名で、これは「ドメイン」を意味する名前のようです。 * すべてのサンプルのほとんどのバッチ スクリプトは、スリープの手段としてlocalhostをpingします。 * バッチ スクリプトの多くは「cmd」という名前で、一部には「Trons\_ups」と「Treams」という文字列が含まれます。 * バッチ スクリプトの多くは、オペレーティング システムのバージョンを特定するときと同じコマンドを使用しています。 * 以前のサンプルの多くは、wget、UltraVNC、ChkFlashなどのアプリケーションを使用していました。これらのユーティリティは、最新サンプルのカスタム ツールに置き換えられました。 * VNCを採用するサンプルは、同じ設定とパスワードを使用しています。 また、このグループが使用するインフラストラクチャは、過去3年間ほとんど変化していません。サンプルの多くは、インプラント通信用に同じドメインを再使用していました。さらに、カスタム開発ツールの多くは、ハードコーディングされたネットワーク ロケーションを使用します。 ファイル名で使用されるMoniker、エクスポートされたDLL関数、ドメイン、スクリプト内の変数名は、テーマがあって一貫性のあるものです。AutoFocus内のSFXインプラントの1つでその兆候から割り出すと、これらの矛盾の重複から追加サンプルを簡単に識別できます。ほとんどのサンプルは、同様の方法で提供されています。つまり、SFXがリソースを削除した後、バッチやVBSスクリプトでステージングとロードが行われます。IPv4アドレス間のSSL証明書、ドメイン名の間のIPv4アドレスの再使用は、以下のとおり、この活動に関係するエンティティを表示する際に明確になります。 ![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-08.png) 最も新しいサンプルの1つ(付録Aで分析)に重点を置くと、ファイル名とSFXコンテンツ ファイルが再使用されていることが明らかになります。 ![図6 Gamaredon Groupが使用するサンプルとネットワーク インフラストラクチャ間の関係の概要](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-09.png) 図6 Gamaredon Groupが使用するサンプルとネットワーク インフラストラクチャ間の関係の概要 ## 最後に 特定されたインプラントでは、一般的で限定された、矛盾することの多いVirusTotalが検出されています。これらのインプラントを使用する脅威グループは、少なくとも2014年からアクティブであり、ウクライナ政府の活動に関与している個人を標的としてきました。一部のサンプルは、Gamaredonなどの複数のアンチウイルス ベンダーで検出される配信メカニズムとインフラストラクチャを共有します。ただし、より新しい変種では、より高度な無名のマルウェアを配信します。 パロアルトネットワークスのリサーチャーは、WildFire実行レポートを探索し、タグ付けされていないサンプルのアーチファクトを特定するために、AutoFocusを使用して、これまでに検出されていないマルウェア ファミリー、動作、および活動を特定します。 このブログには、AutoFocusを使用して上記プロセスの脅威グループを特定します。アラートによる優先順位付けを待機するのではなく、悪意のある活動とファイルを積極的に探索することで、新しい脅威が社内ネットワークやエンドポイントに侵入する前に、保護を識別して構築できます。この脅威グループの詳細は、AutoFocusタグ [GamaredonGroup](https://autofocus.paloaltonetworks.com/#/tag/Unit42.GamaredonGroup).をご覧ください。 Palo Alto Networksのお客様は、次の方法で脅威から保護されています。 * WildFireは、このレポートに記載されているマルウェアを悪意があるものとして特定します。 * Trapsは、このレポートで説明されているマルウェアの実行を阻止します。 * このグループで使用するC2ドメインは、脅威防御を通じてブロックされています。 この調査における支援とその魅力的な容貌に対し、Tom Lancasterに深く感謝します。 ## 付録A: カスタム インプラント分析 ### USBStealer: MSO5678.usb / OfficeUpdate.dll このファイルは、その内部名「USBgrabber.dll」でも類推できるように、USBファイル搾取マルウェアです。ただし、その実装はずさんなため、システム上で新たに接続された論理ボリュームにおけるファイル搾取マルウェアになります。これは、コンピュータでWM\_COMMANDとWM\_DEVICECHANGEメッセージを監視するもの、USBドライブが接続されたかどうかを確認できないために発生します。 このマルウェアでは、"**Wsnusb73**"および"**Wsnusbtt73**"という2つのミューテックスを作成します。次に、ローカル ユーザーの一時パスに、次のフォルダが作成されます。 "C:\\Users\\\\AppData\\Local\\Temp\\reports" このフォルダは、新たに接続された論理ドライブからすべてのファイルをコピーし、C2サーバーにアップロードするための一時的な場所として使用されます。このファイルは、HTTP POSTメソッドを通じて、ハードコーディングされたC2サーバ"195.62.52.93"に1つずつ転送されます。次の要求が使用されますが、被害者、転送するファイル、およびソース ドライブに関する情報も含まれます。 ![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-10.png) このマルウェアでは、ローカル ユーザーの一時フォルダにSQLiteデータベース"asha.dat"も作成します。その後、ファイル名のMD5ハッシュを計算して、ファイルの長さを追加することで、盗難にあったファイルを追跡します。つまり、ドライブから元のファイル パスのUnicode文字列を作成し、ファイル サイズをバイト単位で連結します。最後に、API関数MD5Init()、MD5Update()、MD5Final()を使用してハッシュを計算し、データベースに保存します。 ![図7 マルウェアによって作成されたデータベースの構造](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-11.png) 図7 マルウェアによって作成されたデータベースの構造 データベースに追加されるのは、次の拡張子を持たないファイルのハッシュのみです。 * DLL * BIN * CAB * EXE * ISO ## ダウンローダー: MSO1567.dls / LocalSMS.dll このファイルは本質的に、C2サーバに接続してユーザー データを送信するための単純なダウンローダーです。また、そのレスポンスとして実行可能ファイルを取得し、実行します。C++で作成されているDLLは、すべての機能を含んでおり、エクスポート関数"EntryPoint"になります。このファイルは、コンパイラまたはリンカーの最適化なしでコンパイルされたものであるため、ファイル サイズが大きく、PDBパス文字列が残っています。 最初に、マルウェアはローカル ユーザーの一時パス("C:\\Users\\\\AppData\\Local\\Temp\\")、コンピュータ名("WIN-MLABCSUOVJB"など)、ハードウェア プロファイルGUID ("{826ee360-7139-11de-8d20-808e6f6e6263}"など)、およびC:\\ドライブのボリューム シリアル番号("1956047236")を検出します。その後、次のハードコーディングされた文字列を取得します。 http://adobe.update-service\[.\]net/index.php?comp= C2サーバに接続するために、被害者情報を含んだURL文字列を作成するには: * http://adobe.update-service\[.\]net/index.php?comp=WIN-MLABCSUOVJB\&id=WIN-MLABCSUOVJB\_{826ee360-7139-11de-8d20-808e6f6e6263}1956047236 ダウンロードしたファイルの保存先のファイル名を作成するために、10文字のランダム文字列が作成されます。ただし、実装エラーが原因で、常に"frAQBc8Wsa"という同じ文字列になります。この文字列は、検出されたローカル ユーザーの一時パスから次のファイル パスに連結されます。 * C:\\Users\\\\AppData\\Local\\Temp\\frAQBc8Wsa その後、API関数URLDownloadToFileA()を使用して、ペイロードをディスクにダウンロードし、CreateProcess()を介して実行します。最後に、60秒間スリープした後でペイロードを停止し、DLLを終了させます。 ## ダウンローダー: MSO8734.obn / MpClients.dll このファイルは、LocalSMS.dllダウンローダーを少し高度化したものです。ペイロードをディスクに直接ダウンロードする代わりに、このファイルは、C2サーバからのダウンロード コマンドを要求します。このファイルには、実際に使用されるペイロードURLが含まれます。つまり、Winsock関数に基づいた基本的なネットワーク実装を使用します。このDLLのすべての機能は、"bitDefender"という名前のエクスポート関数に組み込まれます。 これは、ソケットを作成し、ハードコーディングされたC2サーバ"win-restore.ru"のアドレスをgethostbyname()を介してリクエストして、それに接続します。その後、C:\\ドライブのボリューム シリアル番号、コンピュータ名、ハードウェア プロファイルGUIDも収集します。この情報に基づいて、後続のsend()関数呼び出しで使用される次の文字列を作成します。 "GET /css.php?id=WIN-MLABCSUOVJB\_{826ee360-7139-11de-8d20-808e6f6e6263}1956047236 HTTP/1.1 Host: win-restore.ru Connection: close" そのレスポンスは、recv()を介してメモリ バッファに保存され、文字列"urltoload={"のスキャンが行われます。その名前が示すとおり、受信したデータには、実際のURLのペイロードが波かっこで囲まれて格納されています。文字列からURLがプル アウトされ、API関数URLDownloadToFile()の入力として再度使用されます。ここでも、ディスクにペイロードを格納して実行するために、次の同じファイル パスが使用されます。 "C:\\Users\\\\AppData\\Local\\Temp\\frAQBc8Wsa" ## Pteranodon: MSO1234.win / winrestore.dll Pteranodonはバックドアであり、ディスク上に作成された構成ファイルに基づいてスクリーンショットも取得できます。さらに、暗号化されていない状態でスクリーンショットをC2サーバにアップロードします。このDLLのすべての機能は、"updater"という名前のエクスポート関数に組み込まれます。 最初に、ローカル ユーザーの%APPDATA%フォルダを検出し、次のファイル パスを作成します。 "C:\\Users\\\\AppData\\Roaming\\Microsoft\\desktop.ini" その後、ファイルがすでに存在するかどうかを確認し、その場合は実行を継続します。存在しない場合は、アンチサンドボックス テクニックとしてのマウス操作がないかどうかを確認するルーチンを実行します。マウス操作がない場合は、マルウェアは無限ループを実行して、マウス操作を探します。 "desktop.ini"ファイルが存在しない場合は、マルウェアはそれを作成し、次の情報を追加します。 " interval={60} msfolder={10} status={0}" この情報は、スクリーンショットを作成するための構成データとして使用されます。さらに、C2サーバから検出できるその他のコマンドもあります。以下のコマンドを使用できます。 **exec=**{ このコマンドは、波かっこで囲まれたURLからペイロードをダウンロードして実行するために使用されます。これは、一時フォルダにランダム ファイル パスを作成し、URLDownloadToFile()およびCreateProcess()を呼び出して、ペイロードを実行します。次に、30秒間待機した後、ペイロードを終了します。 **interval={** このコマンドは、2つ以上のスクリーンショットを作成する間に、その間隔を秒数で定義するために使用されます。 **msfolder={** このコマンドは、作成するスクリーンショットの数を定義します。 **command={ / command\_c={** このコマンドは、波かっこで囲まれた文字列として存在するファイルの実行に使用されます。"c"の亜種は、ShellExecute()を実行することで、Windowsツールのcmd.exeを使用します。 **status={** このコマンドにはフラグが含まれており、これにより、スクリーンショットを("1")または("0")にするかどうかを定義できます。 次に、ミューテックス"asassin1dj"をチェックして、システムがすでに感染しているかどうかを確認し、そうでない場合はそれを作成します。 ![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-12.png) ***図8 ミューテックスのチェックと作成ルーチン*** 次に、すでに存在しない場合は、次のフォルダを作成します。 "C:\\Users\\\\AppData\\Roaming\\Microsoft\\store" その後、"desktop.ini"の構成データに従って、24ビットのカラー深度JPEGスクリーンショット(拡張子なし)を常に格納フォルダに作成します。その際には、GDI32関数とgdiplus API関数を実行します。スクリーンショットでは、次の名前スキームが使用されます。 \_ 最後のスクリーンショットが作成された後、"store"フォルダのすべてのファイルをC2サーバ"win-restore\[.\]ru"にアップロードします。その後、フォルダに存在するすべてのファイルが削除された後、新しいスクリーンショット作成サイクルが開始されます。どのファイルがアップロードされたかを確認する方法はないことに注意してください。ファイルはPOST HTTPメソッドを介して、スクリプト"vvd.php"にアップロードされます。このため、被害者だけでなくJPEGファイルのデータを含む、次のHTTPリクエストが使用されます。 ![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/81715/gamaredon-group-toolset-evolution-13.png) 最後に、C2サーバに新しいコマンド情報があるかどうかを確認し、それに応じて"desktop.ini"ファイルを更新します。機能、コンパイル タイムスタンプ、バイナリの違いから鑑みると、このマルウェアは、598c55b89e819b23eac34547ad02e5cd59e1b8fcb23b5063a251d8e8fae8b824のアップデート版である可能性が高いといえます。 wmphost.exe このファイルは、マウス動作が検出されるまで無限ループを実行してから、終了します。このファイルは、マウス動作をシミュレートしないサンドボックスの回避に使用できます。サンドボックス内部で実行されているかどうかを検出するには、別のファイルで実行プロセスのリストをスキャンして、"wmphost.exe"が存在するかどうかを確認してください。 ## 付録B: セキュリティ侵害の兆候 **ドメイン名** admin-ru\[.\]ru adobe.update-service\[.\]net apploadapp.webhop\[.\]me brokbridge\[.\]com cat.gotdns\[.\]ch check-update\[.\]ru childrights.in\[.\]ua conhost.myftp\[.\]org docdownload.ddns\[.\]net downloads.email-attachments\[.\]ru downloads.file-attachments\[.\]ru dyndownload.serveirc\[.\]com e.muravej\[.\]ua email-attachments\[.\]ru file-attachments\[.\]ru freefiles.myftp\[.\]biz getmyfile.webhop\[.\]me googlefiles.serveftp\[.\]com grom56.ddns\[.\]net grom90.ddns\[.\]net hrome-update\[.\]ru hrome-updater\[.\]ru loaderskypetm.webhop\[.\]me loadsoulip.serveftp\[.\]com mail.file-attachments\[.\]ru mails.redirectme\[.\]net mars-ru\[.\]ru msrestore\[.\]ru oficialsite.webhop\[.\]me parkingdoma.webhop\[.\]me poligjong.webhop\[.\]me polistar.ddns\[.\]net proxy-spread\[.\]ru rms.admin-ru\[.\]ru samotsvety.com\[.\]ua skypeemocache\[.\]ru skypeupdate\[.\]ru spbpool.ddns\[.\]net spread-service\[.\]ru spread-ss\[.\]ru spread-updates\[.\]ru stor.tainfo.com\[.\]ua tortilla.sytes\[.\]net ukrnet.serveftp\[.\]com ukrway.galaktion\[.\]ru umachka\[.\]ua update-service\[.\]net updatesp.ddns\[.\]net updateviber.sytes\[.\]net webclidie.webhop\[.\]me win-restore\[.\]ru winloaded.sytes\[.\]net winupdateloader\[.\]ru www.file-attachments\[.\]ru www.win-restore\[.\]ru yfperoliz.webhop\[.\]me **URL:** http://childrights.in\[.\]ua/public/manager/img/scrdll.ini http://prestigeclub.frantov\[.\]com.ua/press-center/press/chrome-xvnc-v5517.exe http://umachka\[.\]ua/screen/dk.tmp http://umachka\[.\]ua/screen/screen.tmp http://viberload.ddns\[.\]net/viber.nls #### ハッシュ: ### **カスタム開発ツールを使用するサンプル:** 002aff376ec452ec35ae2930dfbb51bd40229c258611d19b86863c3b0d156705 08e69f21c3c60a4a9b78f580c3a55d4cfb74729705b5b7d01c1aecfd58fc49e6 0c47cf984afe87a14d0d4c94557864ed19b4cb52783e49ce96ebf9c2f8b52d27 0dc1010c3d3766158e2347d10fc78d9223c6e0e3a44aa8a76622aeff7d429ab9 0f745512940e0efd8f09c6d862571cba2b98fac9a9f7cf30dedcc08ace43a494 145dab86a43835bb37734c16756d6d64d8e5ac6b87c491c57385e27b564136b8 222e85e6d07bdc3a2141cdd582d3f2ed4b1ce5285731cc3f54e6202a13737f8d 2f2b26f2f7d164ea1f529edbc3cb8a1063b39121dad4dd19d8ee4bbbaf25ed37 3242183b1f0176a2e3cfb6bfef96b9d55c5a59ea9614dbde4ef89979336b5a5d 3773ddd462b01f9272656f3150f2c3de19e77199cf5fac1f44287d11593614f9 37c78ee7826d63bb9219de594ed6693f18da5db60e3cbc86795bd10b296f12ac 3e5b1116b2dfd99652a001968a05fc962974931a0596153ab0dea8e4a9982f89 400f53a89d08d47f608e1288d9873bf8d421fc7cd642c5e821674f38e07a1501 598c55b89e819b23eac34547ad02e5cd59e1b8fcb23b5063a251d8e8fae8b824 5b22ace98b57ed19d815c49983c96a3c6ff0b2701e8167d4422c6990982abcf9 5ec8b7ca4461720bd69fb49b3f6cae637d8ac3bbd675da938bc5a84e9b73b395 840b3d4cc95dbf311f792a9f50137056deb66bfdbb55eb9f54ff381a0df65656 90ba0f95896736b799f8651ef0600d4fa85c6c3e056e54eab5bb216327912edd 97ebd7bfad63b36b4572132f6ece359ff9991f269048c0b145411699bfe3dc34 9a1fd88970da3809f45cef00360d1e54ea11a70035c277c130404a67371e142d 9cb64d3242d2b591bd2ff13b1aadef2e6b4bf9147f4a0926613b7c9343feb312 a46508ec9e48c256261b2d1914532a36ac7da093253320135d77581051751b75 a7e27ff0695a4bdf58c584f48664acd3a385ccebf3a542fdd6d7383f414aa83a a804beddd22bb76ea207a9607ed5c888f2f640cbd9ed9a32942fcd0b8a25c4d5 ae5ab2e887a9b46ea7819b7ebbb8163028e66882c97e75b0698dc3a69a69d7da b2fb7d2977f42698ea92d1576fdd4da7ad7bb34f52a63e4066f158a4b1ffb875 b9434e5a14159c49af2d1a5a11d570f195797d6b17aa560c3dde4a5b3486bf2a be2be662cc821a924d5641422dd1116e99188c6923da092ca3f0f8f862bd2d2d d01df47b6187631c9a93bdad1298439ab1a1c5529b3319f3614b6ec2455e5726 d1ba365e93ff0a4f3a2cb1d657568e583e3fbd7dbb1c2c52e28f16480324e3bb ddfc6bb4819527b2424d6e1a84f04b67adad79401e39efbffba5b7d727e732f0 df434f54802a6814628f30cae335c302bae7085c4e8314d71a41a47d9c410c39 e24715900aa5c9de807b0c8f6ba8015683af26c42c66f94bee38e50a34e034c4 f2296bcb6be68dfb330baec2091fb11a42a51928ba057164213580e6ff0e1126 **バンドルされた商用ツールを使用するサンプル:** 026be8a873560f1496c6961f6e36c312bdda01beacb17c4b744f35ee1923d061 03c943f5cba11b09b9c3afa0705d4a027e5a9d81b299711740cc5aedfe4b4aa1 03e5e99cc8280de4663c4b65bfd26782d4975258808a63a4b20bc068008df7f5 059e40ba91b2b2d827c200476fcbd0fad0d43ab198d0c206c996777d27e6de65 0669e61e51cf43daa431d52b5461c90bdce1b1bee03b087e4406c30264dcb9a4 068b9a9194efacc16cf142814e79b7041b6ab3d671a95bb508dbd30061c324aa 0b4a90b823a581311c4acb59f35e32f81f70ca16a2538f54f4dbe03db93350df 0b5316d723d1ebbec9aba0c9ff6761050305d644c3eeb5291b4e2c4de9e5fa15 0b8d59312699739b6e6cb7aeb0f22a2eaebbb0fd898a97ef9b83e8d8e9ce67a0 0dd13d2d0edbcf9d1825c2bfc165876ada2e4d04e2981a0003cb6503fad2287b 0ddb7867e31f3f30cd1cfe74393f8ac5bbdc61538278de9219a49345f0d3af7f 13fed3accac4f38f28e606b110a3b7924d9c7a1a911f8c0613d0bb791e715267 151cf4c83722ba171ae42640e5e13af67ca06ee0a06a74afa53931acf6ac1506 17006d77cc1459aa3d70e4e9377edb2547a7446647aa9872c9dd9ad860ed7e39 1ec7e595677038145991c6d84dc7808602142f258c1f90e9486cca0fe531d74f 208dc592111a8221a9c633efc120b890585f9a67ed340cbb5ec9db4cd5e164e4 2124adbee89f2c1cb65896bed26e7ffa8bf0fcbdfeb99a9e751fea9cca7a896b 22e97292671ada8deef4329eb115c52f6f1bc598bcf01a3961f1c35a2230a013 259a78122ef51ae503059143bf36941fc6090be83213d196ba3051ba36a0b2a1 26564c23530dd14e0042e074f4178a5b2ad6fc8f51f10138fc39941a6303bff9 29453fa1772b6d7d33842d6abbe0cb55c4a4b66a00f43284c8724d7c16749a7d 2a072d9ce63a94d2530cf9f18a232c6a09f6c7bdff9dbe27faceef53604145ea 2c02d3d3fadd76f9d21f5c093459ddc0045c94f17679269eb7a2990a1a88cb42 2d55000bb5cb9e3e1f137810c2e1eb899f68c40e4a6f6307f226c7b8af208abd 2ded2f3b5b5b6155ce818893c67887cbfa8b539be6c983e314ccf2177552da20 2e89436b355550ceb361fac1b03b78b71eda11d25f26223ac5c8c34ed8972a05 32b0e6394b110860371da5541946a6dcc85358a3951eddc86fdaf5794527c150 33934fcfae5760316b3f40e013cbb03d8086f8c30f9a4ba9bed3f9486a530796 34d86602882e86f8aaaeb7513126c8579a4489f2be31c279188e2f2ca8a0e141 390162dae62a0347e35cf5dad093cfc2f7d4ded62fba9d2df7af6133feb41ee0 3ef8602579c6b145fbaafc8970b4c9a6e7bebd11eb5e37eecaa67b4572c6038b 420acd7e8598fe994b59bf5d30f89e1c11b36cbef464a4786694cf9eada8dd4c 42b4c39179f76ea9eb5835b55a3cf4d8dbb29d42ee0622ad2e89ca48d01e8988 42eed03907c9dfa0e566fbe5968cdb5a1b7b5e18521f7327185ed2208c6c29b4 46a39da996b01e26ddd71d51c9704de2aa641cd3443f6fe0e5c485f1cd9fa65d 47d929c69bfd8d8efb9c280eabec2f73d4bddf1c3c30120c3fb6334623469888 505ef8cbc1271ce32f0c473468d75a1aba5073c37b2e6b49293ddc9efcb4ac96 5230453eeb98c5a183129ed8b918b429e96020887302ba30941c408108a1ab84 5363220b532d7da378b338e839a501ae5c006cc03c8b2d3627c480d64deb1221 558f33d478091993e5b5921604f8c3873efc87f551fddf61612b5c64d5b610f6 55c76f4f93f9e155fbb6a28447f97c1ccda0081061dc3cb9973d42c1686964b7 56c8246819f7de5cba91001793831441d4ce998ccb8237cb96c9f52e88ea384b 59bddb5ccdc1c37c838c8a3d96a865a28c75b5807415fd931eaff0af931d1820 5ac627f8964d3b9cad69f21e3b8f27305f1f68f49e4f4fae2c73949a04b32692 5ccc76ae1cdf668ba7f89c6cbd0bad44f148cbee736320ead237262ba170ffba 5cd4401c1dae9b9ecd75c96ab29dc64ce40bef3acc6faf7c001ff98ebd3b3413 5cd72eaf555813f1ee187def594584f5cfc6a5e83086f35e281327b5210adffb 5f8293eda9fb40684caddf576eba6c81f3a06911ca9e4ecf84ede3b2891cff5e 6c258151c593268c13c252d8f275192a6f7a74d5de5754f2cf20fb94be7ee6ea 0458e168baa4fa5942892065925ac82b12245551b539d54c2884b3a21c2699d8 877f1de209eb9d8b2a20a76f8773d12e5a1fcde4148868c7b73added392f62f6 29c728a169c5d18298e77db161dd5d2f6396ceca9ee7849b63ff8a8bc11f911e 98e092b7bfc3bbdaeb82e05de14ba5835c6ac626c17de9eef2049796a031dd10 27e08fb90ada2fd8ce6b6149786edd3b814dd0324257ebd919ed66ada0334b21 9f651ae6ea538238748614a7f86fe2b0f76e881d6c38da581f284e4b6f79b0ca f47115ea58615781e56dcac673c19edf7ce00defd7ada709ae97b0708d3eac1e b80719854f8744ba62e9f0e774c09e2e2ed79dd37f9f94ba3ed05ec8507d55e6 467f04914a1e6093bdaf5c28884bf95ec738234033b3292d289a0799de196d49 5c47d18b3f0e0274c6a66b2eab27d47c73a0105c263d41c6473aba9a28d0a4ba 01c5729ac1ae3928053c085fd616323a3715863ab3d7e9b8106c09e24df34183 5b6a691cf8faf238b27861941a1b667d889889cc9711a3e561403d6a6ed292c9 e2688f72cc7ae836be19e765e39318873554ee194a09945eb3f3805d04f256ca 9f0228e3d1577ffb2533584c2b1d87ebee0c0d490f981e61d18bb27ab02e52cb 2617f9301869304b88d8a3a4f7b2eab6b0edf264cc1a28b99f5685959242ec39 f3107a5a00f36e12be7cc2e37c35903ef855b8043492af374ea918385821443c 63fcfab8e9b97d9aec3d6f243003ea3e2bf955523f08e6f1c0d1e28c839ee3d5 05cbe01b1125897e0e982c587a10a72f4df795b844a4a2c4cec44aee7f30ce94 5a7da102c11960b9651650143a4a08ae4ce97d68dff999961f1ffc792531afeb df6112e6bad4125b80b8829c13a2ca523bb82cf303cf531389d8795e7512c7e6 cfb8216be1a50aa3d425072942ff70f92102d4f4b155ab2cf1e7059244b99d31 e79dbcc8b60da280e53d9cf818eee1de34251e0551b9947bb2b79a31b131417e a73eac15797130c381b5b4a65c3fb1cfc723b1586a1882c981211787bba285a6 3ef3a06605b462ea31b821eb76b1ea0fdf664e17d010c1d5e57284632f339d4b f2355a66af99db5f856ebfcfeb2b9e67e5e83fff9b04cdc09ac0fabb4af556bd ca87eb1a21c6d4ffd782b225b178ba65463f73de6f4c736eb135be5864f556dc 550ee89d5df17f90ba7689d957cd067dcdbe3d957c5369ea28d925e02ccc8ce6 f77d7940c51c2a1eab849dbd77e59c683ebf7820799ef349e7da2583e1aa11ae 2c5d55619d2f56dc5824a4845334e7804d6d306daac1c23bec6f078f30f1c825 7231177a115656041ba4e5b3cf0bf7a547b074f03592351484267e25cda7c899 d5405f99cec0166857274b6c02a7ef52b36274fedb805a17d2089fd24ed133cf 81921b6a7eba39a3f73895a57892ed3a46ab6365ac97d550ca3b9bff46c7a1c2 1eef9f8d7d3099b87be7ac25121f9d2ccacfb5ccf02b508fb2036b6e059c525f 5255061c3600df1a94b376fca40f3ccb69d1cb6dd42aa744b20a643c7292d20c b5199a302f053e5e9cb7e82cc1e502b5edbf04699c2839acb514592f2eeabb13 5fb7f6f953be3b65d88bd86d1391ebc9f88fc10b0ef23541463ebf5b157f695c 6016cf9898d74e2e9030be7c987964d817ba28ad2253d1da54c81a1bf49db836 621e55421dffae981e3e933c65626314d5610c7c08f76f83a3d07f0ec6c36e2d 6ccc24971073d24d90c4cbaf83dfbae2969cbf527e319c7ee9a4babcbe88e456 6f8da9180eebe02ba35317cb8aee5c8df6ac29795af70eb9430c3588d457aad6 71c5b899a5187baeb8f605ca39ca56bf05a63025a8f9f84c45590d8345e5d349 725b7d92ed66be160f2e04395008a65c72814d5ddf842d9778396f6c6679d85e 72d4b780a90ede7ea152f5da0973965cab31d2813fa8c2fe0e1cb611f5ca257e 73670d06851f588c7df44dc478f49883406697c48c618438e0f249b7a916552e 74e017853fbc85ee77ca7476cd25423815602aaaa02b29e0003c95c9551b8890 75d2367dc79d9f8aed165729df90ed5d28fefe267778dbe4d3d74aafa75d66e0 7a5a1c6ea0c2f017df9f06975c93a356cac20b19031fcde96136fa5881e5ef3a 7adb049e0b49312aea904c70e16d0e7f03d01aae4bf8ac867e8219ced4e6e057 7bfa85bec239b6c4419b2d57149c5960263c80e493f888d03ceaaa3f945b1b25 7f324b658f587b3b27921ebeba5ac25aebd669b33e6801fa9581de8c2eb0df2e 7fee970748eb83045e36911dafdaee0d4069ebe72c059cc7de3d65539012c2e9 823793a37d748ffe708864c16c853c67a5db812712481da1d24790b455163940 8512aabfa0175684bdbb77481d6b272b63dbc4249b04a44e1003b7d8fdea0a89 86c81f03cf7d8f8af38c2559dbf506cccdc25579f3b29fb574f823a67f99a0a3 88ae7e60b9dd57fc6b2d667ce33fb29c0f75d37eb7c837ccf56cb7994386d5ef 8b50e3ca06a22d0be6a71232b320137c776f80ac3f2c81b7440b43854b8a3bf0 8bd40e7fe6bbd4d5810db2c142186bb58da445a132fb6f9ff01c46947a532244 8c9d690e765c7656152ad980edd2200b81d2afceef882ed81287fe212249f845 8d38726d674279705fe06b4b45bbbaef10756c547d560cea6998e23dba09f80c 8db47439685edc683765abb5e6d7d0d05479bf9ee164992db9e8ce97fe43ee2f 95de2e16f1b05d1b45b1d182c1503568c2e5fd4a81ac52fe1bc9e881d1a272b1 95e3204228341852b7c97f357f799e7ec9688abe1262436b569e56397f1fd864 98caf00760d772598386eb8d4f26caf92fb891915ac08da6bf830be5e45278d3 99c9440a84cdc428ce140de901452eb334faec49f1f6258acdde1ddcbb34376e 9a8776e4ae38cf529bab28947b31ade84301262b7996dc37ec47afa4fb4cf6e1 9beb1d2a03ff2d4c15913de0f87b72074155b44df791bd967dac8155e97a0e06 9c8d518fbbc8cbb25fa309f5396efa5749e57a3b0158779404c8d3e92baf6596 a064a28e5e7409a96bba93fc57f44cadc3492bb0f49792c89c973e30b0f5d498 a194b47043356fa365d98a5f7c582b6f87fac90acf0f469ed3651cfe2fd7b2c9 a21dfb8e8b7c8dfbeeb4d72e6ef1f22c667b8968b3a3b1dcce99f44faab05903 a2e0fe2d385dabcdfb024100216d259ddd1fa9907e982d297846fd29b8d4d415 a48ad33695a44de887bba8f2f3174fd8fb01a46a19e3ec9078b0118647ccf599 a595da9a2fa58d4f8be0bfbcf7f4c950435ff5289dd1ccf2c65eec73a0afe97f a972ad0ddc00d5c04d9fe26f1748e12008efdd6524c9d2ea4e6c2d3e42d82b7b aa860d405746401ae4155485326fdeb39718832c77c73540d48f4fbb8e596215 ab6832a4432b4bdaec0706f7b00a369c48175eac9abc3e537032b1f5d26a993b ada2f0703614b3447d427827777af5d4ee9ffe9179498970326926751a4f8d65 b16d317c11228bd3573126a0e1bc0bbf35d84a4a1f47dfb06b70634a21fd9823 b3665548cc0f2fce3593fb7139f49588faa1d327b6d23feb564ca4194053ae8a b5578c48a11533871ae91e6d5632aafc25d3976c0626d62abab306663566d024 b67a6f87fc3fd7c5c3666acac5918c8c08a53ab6a966f4d1daf38105a566ede1 b6abc8ab631dcf52e028ab26dbe3bb94022d69193c0acc8642cbd6329cbb23ef b7e117eb342b0d450095805073326989c792bf5ccbbdcd5f4a9ace50e517412e bb14abc9b0798c7756a6ed887308a3e6210cc08a5149dc1360fdd1f5bca27cca bdadb319f071f02462d107380102b669e407bb2a0b20e77a9a8a5726b4cbbc4b bf2383cfbee4cbb0bda2614839454ab1724c9bbfff8b4b48e0f48579ae220c10 bf52b44168de1855d83186163a2d5f29e488ddafdfd5447e211aec4a769cf74a c0d5cf7a0035deda5646aaf520b3ff632aa6be76ddbc88f38ddc11e77ffb40b4 c1a82a788df7418712664138c0fdb05232036a27ab0998479d60c656998849f1 c63a523834ab59ab5621a0acb156a9b901befe806044642fe5fec8a0ba545e70 d05d3f3582e13eaf5f39d7143ca1a4b1367cc5267bf9958a15e27cf53e059518 d0e456cff03c2483ded9a0f8c1b99f9fefb6ba47dcaf949dae27abe940ee20e6 d8a01f69840c07ace6ae33e2f76e832c22d4513c07e252b6730b6de51c2e4385 dada74663e3e29ee26bfd03a888f0bda9fc81e148511fa98f73f8e8a915933cc db3ffcbf136e0268ec66f28b30fa8ba350f74e02e8e737e61cc6ef8d8258027e dd26b85b6568595b1d2bbc47ce47d071ede75665fbd779d637b74663ead5539e df9038660164623a827a8119d4cb3d71d0a5288b12bdfdd32c72769bf90a9ea0 dfed16e9184a86e6fcd17a98f127410840d058db667e9975b43add100c33122e e0063d2524a89159cf5da12661225fbb27725bbd72acd9497b7207ecf2f3aeb6 e00c55ddda9cbb82fb47924fafdf40c3394dc1127d9901c71a69ef3ef664b817 e14a51d69211948163ab20b0cc68adf410bb821f2890f55d2d202c745f4ec1b8 e2e3f243bbcad666852e64202d35f6dd88c58f5d24435d92975697b0efa8a775 e37e25739e8bc4620d9d37d8f6b400cd82c85b89d206436ba35930ed96db6eb0 e55b5ede808b6d491f18737d6a1cf34b5178f02e9ea01d7cff31a449888dbd73 ed28d9207acac2afff817eaa56d1599422e23946dffa4f8bade376d52a6af7d4 eda0853e814ee31a66c3b42af45cd66019ffd61eac30e97bd34c27d79253a1bb f1b3e58d060803b0ff6008386bab47fb8099ac75ee74f385ac34340a28bf716e f2091f71227180d74ba1ba4607635e623553b1826314dca91cb31839eb00c4ea f214d55ccb5db5edbaafe7d40b240c79f04c70d441adee01ef438f776eb37037 f571ddc894915dee136cf24731ff3d79fe4f811b112d122a34a128628cb43c4a f7676d2a28992a382475af2ae0abca4794e1397ef3327f30f7d4cbdbc2ca0a68 f8e20894c8c18d79e80b431008aa8bef46cc10a355a4934f9cc40ffd637b8890 fa1bf7565352099b74624c8beeff6620411e1efe00e54f8b4190f69e243d5811 fa784f69265ebe5e150cf5956a40d86335d1a5edc57fffcc7ce6eedc591c2751 トップに戻る ### タグ * [Gamaredon](https://unit42.paloaltonetworks.com/ja/tag/gamaredon-ja/ "Gamaredon") * [Threat research](https://unit42.paloaltonetworks.com/ja/tag/threat-research-ja/ "threat research") * [Toolset](https://unit42.paloaltonetworks.com/ja/tag/toolset-ja/ "Toolset") * [Trident Ursa](https://unit42.paloaltonetworks.com/ja/tag/trident-ursa-ja/ "Trident Ursa") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:日本の学術研究者と 組織を狙った新たな攻撃](https://unit42.paloaltonetworks.com/ja/unit42-menupass-returns-new-malware-new-attacks-japanese-academics-organizations/ "日本の学術研究者と 組織を狙った新たな攻撃") ### 目次 * ### 関連記事 * [パロアルトネットワークス Unit 42 が追跡している脅威アクター グループの一覧](https://unit42.paloaltonetworks.com/ja/threat-actor-groups-tracked-by-palo-alto-networks-unit-42/ "article - table of contents") * [ウクライナ侵攻後も揺るがぬロシアAPT攻撃グループTrident Ursa (Gamaredon)のサイバー紛争工作](https://unit42.paloaltonetworks.com/ja/trident-ursa/ "article - table of contents") * [\[2022-04-01 19:15 JST フィッシング・詐欺・サイバースクワッティングなどの分析結果を追加\] DDoS、HermicWiper、Gamaredon、Webサイト改ざんなどロシア・ウクライナ関連のサイバー攻撃へ備えを](https://unit42.paloaltonetworks.com/ja/preparing-for-cyber-impact-russia-ukraine-crisis/ "article - table of contents") ## 関連項目 マルウェア リソース ![Pictorial representation of ChainDrop, a self-propagating npm worm. An artistic depiction of a digital workspace featuring an open laptop with a red virus on the screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/08/03_Malware_Category_1920x900-7-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年8月6日 [#### ChainDropの脅威の概要:自己増殖型npmワームの内部](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/) * [Blockchain](https://unit42.paloaltonetworks.com/ja/tag/blockchain-ja/ "blockchain") * [ChainDrop](https://unit42.paloaltonetworks.com/ja/tag/chaindrop/ "ChainDrop") * [Claude code](https://unit42.paloaltonetworks.com/ja/tag/claude-code/ "Claude code") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/ "ChainDropの脅威の概要:自己増殖型npmワームの内部") ![Pictorial representation of the npm packages supply chain attack. Screen displaying code with a prominent alert symbol and the words 'VIRUS DETECTED' highlighted in red.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/05_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年6月2日 [#### npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/) * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Npm packages](https://unit42.paloaltonetworks.com/ja/tag/npm-packages/ "npm packages") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/ "npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)") ![Pictorial representation of Screening Serpens. An illustrated blue snake is highlighted by a red circle against a night sky. The constellation serpens.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/Serpens-Iran-A-1920x900-2-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年5月22日 [#### イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/) * [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat") * [AppDomainManager](https://unit42.paloaltonetworks.com/ja/tag/appdomainmanager/ "AppDomainManager") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/ "イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡") ![Pictorial representation of Iran cyber attacks. Close-up of a person wearing glasses, with computer code reflected in the lenses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/12_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月17日 [#### 脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/) * [APK](https://unit42.paloaltonetworks.com/ja/tag/apk-ja/ "APK") * [DDoS attacks](https://unit42.paloaltonetworks.com/ja/tag/ddos-attacks-ja/ "DDoS attacks") * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)") ![Pictorial representation of the supply chain attack compromising Axios. A giant eye made of glowing binary code.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/02_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月1日 [#### 脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/) * [API attacks](https://unit42.paloaltonetworks.com/ja/tag/api-attacks-ja/ "API attacks") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/ "脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響") ![Pictorial representation of TeamPCP. Glowing code on a screen where several word such as Crime, Hackers, and Security are highlighted in a contrasting color.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/03_Cybercrime_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年3月31日 [#### プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/) * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/ "プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃") ![Pictorial representation of phishing campaign. A blurred image focusing on a person typing on a laptop with lines of code visible on the screen, illuminated in blue and red lights, suggestive of intense coding or cyber activities.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/06_Malware_Category_1920x900-3-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年3月24日 [#### 脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/) * [Email scam](https://unit42.paloaltonetworks.com/ja/tag/email-scam/ "email scam") * [Lure](https://unit42.paloaltonetworks.com/ja/tag/lure/ "lure") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/ "脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム") ![Pictorial representation of Notepad++ supply chain compromise. A digital rendering of Earth from space, focusing on North and South America. The continents are illuminated in blue, with red lines and dots indicating data connections across various locations. Dark background highlights the vibrant network representation.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/11_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月11日 [#### 国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/) * [Backdoor](https://unit42.paloaltonetworks.com/ja/tag/backdoor-ja/ "backdoor") * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/ "国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用") ![Pictorial representation of runtime assembly attacks. Digital artwork of a glowing, futuristic shield disintegrating into small particles, set against a dark blue, bokeh-effect background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/09_Business_email_compromise_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月22日 [#### ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/ "ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成") ![Pictorial representation of SLOW#TEMPEST campaign. Digital artwork depicting a malware alert symbol on a computer screen, with background of blurred programming code in blue and red colors.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/07_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月2日 [#### Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer](https://unit42.paloaltonetworks.com/ja/vvs-stealer/) * [Discord](https://unit42.paloaltonetworks.com/ja/tag/discord/ "Discord") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") * [Python](https://unit42.paloaltonetworks.com/ja/tag/python-ja/ "Python") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/vvs-stealer/ "Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)