<\/a>\u306f\u3058\u3081\u306b<\/h2>\n\u4eca\u56de\u306eGootLoader\u3084Brute Ratel C4\u3001PlugX\u306e\u3088\u3046\u306b\u3001\u8abf\u67fb\u306e\u306a\u304b\u3067\u8907\u6570\u306e\u30de\u30eb\u30a6\u30a7\u30a2\u30b5\u30f3\u30d7\u30eb\u304c\u898b\u3064\u304b\u308b\u3053\u3068\u306f\u73cd\u3057\u304f\u3042\u308a\u307e\u305b\u3093\u3002\u591a\u6570\u306e\u8105\u5a01\u30a2\u30af\u30bf\u30fc\u304c\u540c\u3058\u6a19\u7684\u3092\u4fb5\u5bb3\u3057\u3001\u88ab\u5bb3\u3092\u53d7\u3051\u305f\u30de\u30b7\u30f3\u4e0a\u306b\u5171\u5b58\u3059\u308b\u3053\u3068\u304c\u3042\u308a\u307e\u3059\u3002<\/p>\n
\u3053\u308c\u3089\u306e\u30de\u30eb\u30a6\u30a7\u30a2\u30b5\u30f3\u30d7\u30eb\u304c\u5358\u4e00\u30b0\u30eb\u30fc\u30d7\u306e\u6b8b\u3057\u305f\u3082\u306e\u304b\u8907\u6570\u306e\u30b0\u30eb\u30fc\u30d7\u304c\u6b8b\u3057\u305f\u3082\u306e\u304b\u306f\u65ad\u5b9a\u3067\u304d\u307e\u305b\u3093\u3002\u3057\u305f\u304c\u3063\u3066\u3053\u308c\u3089\u306e\u30c4\u30fc\u30eb\u3092Black Basta\u30e9\u30f3\u30b5\u30e0\u30a6\u30a7\u30a2\u30b0\u30eb\u30fc\u30d7\u306b\u5e30\u5c5e\u3055\u305b\u308b\u3053\u3068\u306f\u3044\u305f\u3057\u307e\u305b\u3093\u3002\u305f\u3060\u3057\u672c\u4e8b\u4f8b\u3067\u4f7f\u7528\u3055\u308c\u305fBrute Ratel C4\u306e\u30d0\u30fc\u30b8\u30e7\u30f3\u306fTrend Micro<\/a>\u304c\u5831\u3058\u305fBlack Basta\u30e9\u30f3\u30b5\u30e0\u30a6\u30a7\u30a2\u30b0\u30eb\u30fc\u30d7\u306e\u95a2\u4e0e\u3057\u305f\u4e8b\u4f8b\u3068\u540c\u3058\u30d0\u30fc\u30b8\u30e7\u30f3\u3067\u3057\u305f\u3002<\/p>\n<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u611f\u67d3<\/h2>\n\u6b74\u53f2\u7684\u306bPlugX\u306e\u611f\u67d3\u306f\u30c7\u30b8\u30bf\u30eb\u7f72\u540d\u3055\u308c\u3066\u3044\u308b\u65e2\u77e5\u306e\u4fe1\u983c\u3055\u308c\u305f\u30bd\u30d5\u30c8\u30a6\u30a7\u30a2 \u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u3092\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u3057\u3001\u30a2\u30af\u30bf\u30fc\u304c\u4f5c\u6210\u3057\u305f\u6697\u53f7\u5316\u6e08\u307f\u30da\u30a4\u30ed\u30fc\u30c9\u3092\u30ed\u30fc\u30c9\u3055\u305b\u308b\u3068\u3053\u308d\u304b\u3089\u59cb\u307e\u308a\u307e\u3059\u3002\u3053\u306e\u6280\u8853\u306f2010\u5e74\u304b\u3089\u4f7f\u7528\u3055\u308c\u3066\u304a\u308a\u3001MITRE ATT&CK\u306e\u6280\u8853\u306b\u306f\u300cHijack execution flow DLL-Side loading<\/a> ID: T1574.002 Sub-technique T1574<\/span>\u300d\u3068\u3057\u3066\u8a18\u8f09\u3055\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n\u672c\u4e8b\u4f8b\u3067\u30a2\u30af\u30bf\u30fc\u3089\u306f\u30de\u30eb\u30a6\u30a7\u30a2\u89e3\u6790\/\u30ea\u30d0\u30fc\u30b9 \u30a8\u30f3\u30b8\u30cb\u30a2\u30ea\u30f3\u30b0\u306e\u30b3\u30df\u30e5\u30cb\u30c6\u30a3\u304c\u4f7f\u3046\u300cx64dbg<\/a>\u300d\u3068\u547c\u3070\u308c\u308b\u30dd\u30d4\u30e5\u30e9\u30fc\u306aWindows\u7528\u7121\u6599\u30aa\u30fc\u30d7\u30f3\u30bd\u30fc\u30b9 \u30c7\u30d0\u30c3\u30b0 \u30c4\u30fc\u30eb\u3092\u4e57\u3063\u53d6\u308b\u3053\u3068\u306b\u3057\u305f\u3088\u3046\u3067\u3059\u3002X64dbg\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u306f\u30aa\u30fc\u30d7\u30f3\u30bd\u30fc\u30b9\u958b\u767a\u8005\u306eDuncan Ogilvie\u6c0f\u306b\u3088\u308a\u30c7\u30b8\u30bf\u30eb\u7f72\u540d\u3055\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n\u540c\u30c4\u30fc\u30eb\u306e\u958b\u767a\u8005\u306f\u300164-bit\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u7528\u306ex64\u306832-bit\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u7528\u306ex32\u3068\u3044\u30462\u7a2e\u985e\u306e\u30c7\u30d0\u30c3\u30ac\u30fc\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u3092\u63d0\u4f9b\u3057\u3066\u3044\u307e\u3059\u3002\u79c1\u305f\u3061\u306e\u4e8b\u4f8b\u3067\u306f\u3001x64dbg<\/span>\u306e32-bit\u7248\u30c7\u30d0\u30c3\u30ac\u30fc\u3067\u3042\u308bx32dbg.exe<\/span>\u304c\u4f7f\u308f\u308c\u3066\u3044\u307e\u3057\u305f\u3002<\/p>\nx32dbg.exe<\/span>\u3092\u5b9f\u884c\u3059\u308b\u3068\u3001Microsoft Windows\u306f\u3053\u306e\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u306e\u5b9f\u884c\u306b\u5fc5\u8981\u306a\u4f9d\u5b58\u30d5\u30a1\u30a4\u30eb\u3092\u89e3\u6c7a\u3057\u3088\u3046\u3068\u3057\u307e\u3059\u3002\u3053\u306e\u3055\u3044\u3001\u691c\u7d22\u306f\u305d\u306e\u5834\u6240(\u3064\u307e\u308a\u73fe\u5728\u306e\u4f5c\u696d\u30c7\u30a3\u30ec\u30af\u30c8\u30ea)\u304b\u3089\u59cb\u307e\u308a\u307e\u3059\u3002\u898b\u3064\u304b\u3063\u305f\u3068\u3053\u308d\u3067\u5fc5\u8981\u306a\u30d5\u30a1\u30a4\u30eb\u304c\u30ed\u30fc\u30c9\u30fb\u5b9f\u884c\u3055\u308c\u307e\u3059\u3002<\/p>\nX32bridge.dll<\/span>\u306f\u3001Windows\u306ex32dbg.exe<\/span>\u304c\u4f9d\u5b58\u3057\u3066\u3044\u308bDLL(\u30c0\u30a4\u30ca\u30df\u30c3\u30af\u30ea\u30f3\u30af\u30e9\u30a4\u30d6\u30e9\u30ea)\u30d5\u30a1\u30a4\u30eb\u3067\u3059\u3002\u6b63\u898f\u306ex32bridge.dll<\/span>\u3082\u540c\u3058\u30c7\u30b8\u30bf\u30eb\u7f72\u540d\u304c\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u672c\u4e8b\u4f8b\u3067\u306f\u3001\u3053\u306e\u30d5\u30a1\u30a4\u30eb\u304c\u7f72\u540d\u3055\u308c\u3066\u3044\u307e\u305b\u3093\u3002<\/p>\n\u30ed\u30fc\u30c9\u3055\u308c\u305f\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u30a2\u30af\u30bf\u30fc\u304c\u4f5c\u6210\u3057\u305f\u6697\u53f7\u5316\u30da\u30a4\u30ed\u30fc\u30c9\u30d5\u30a1\u30a4\u30eb\u306ex32bridge.dat (SHA256\uff1ae72e49dc1d95efabc2c12c46f3731f2e20dab715caf58b1be9ca41ec0e172<\/span>)\u3092\u305d\u306e\u5834\u304b\u3089\u691c\u7d22\u3057\u307e\u3059\u3002<\/p>\nX32bridge.dat<\/span>\u306f2021\u5e741\u670822\u65e5\u306bVirusTotal\u306b\u521d\u3081\u3066\u63d0\u51fa\u3055\u308c\u307e\u3057\u305f\u30022022\u5e7412\u670815\u65e5\u73fe\u5728\u306761\u793e\u3042\u308bAV\u30a8\u30f3\u30b8\u30f3\u306e\u3046\u30618\u793e\u306e\u691c\u51fa\u30b9\u30b3\u30a2\u304c\u5b58\u5728\u3057\u3066\u3044\u307e\u3059\u3002\u305f\u3060\u3057\u3069\u306eAV\u30a8\u30f3\u30b8\u30f3\u3082\u540c\u30d5\u30a1\u30a4\u30eb\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u3068\u306f\u8b58\u5225\u3057\u3066\u3044\u307e\u305b\u3093\u3002<\/p>\n\u30e1\u30e2\u30ea\u4e0a\u306b\u30ed\u30fc\u30c9\u30fb\u5fa9\u53f7\u3055\u308c\u305f\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u3001\u30db\u30b9\u30c8\u3068\u63a5\u7d9a\u3055\u308c\u305f\u30ea\u30e0\u30fc\u30d0\u30d6\u30ebUSB\u30c7\u30d0\u30a4\u30b9\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306b\u611f\u67d3\u3055\u305b\u307e\u3059\u3002\u56f31\u306f\u3001x64dbg\u306eDLL\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u3092\u5229\u7528\u3057\u305fPlugX DLL\u306e\u30b5\u30a4\u30c9\u30ed\u30fc\u30c7\u30a3\u30f3\u30b0\u306e\u69d8\u5b50\u3092\u793a\u3057\u3066\u3044\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf1\u306fPlugX]()
\u56f31. x64dbg\u3067PlugX\u306eDLL\u3092\u30b5\u30a4\u30c9\u30ed\u30fc\u30c7\u30a3\u30f3\u30b0\u3059\u308b<\/figcaption><\/figure>\n\u300cx64dbg\u306e\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u300d\u3001\u300c\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u6319\u52d5\u3068\u30de\u30eb\u30a6\u30a7\u30a2PlugX\u3068\u306e\u95a2\u9023\u6027\u300d\u3001\u3053\u308c\u3089\u306f\u3044\u305a\u308c\u30822020\u5e7411\u6708<\/a>\u306bSophos\u304c\u5831\u544a\u3057\u305f\u5185\u5bb9\u3067\u3059\u3002Sophos\u306e\u30d6\u30ed\u30b0\u3067\u306f\u3053\u306e\u30de\u30eb\u30a6\u30a7\u30a2\u3092KilllSomeOne<\/em><\/span>\u3068\u547c\u3093\u3067\u3044\u307e\u3059\u3002\u3053\u306e\u540d\u524d\u306f\u30d0\u30a4\u30ca\u30ea\u306b\u542b\u307e\u308c\u308b\u30d7\u30ed\u30b0\u30e9\u30e0 \u30c7\u30fc\u30bf\u30d9\u30fc\u30b9(PDB)\u306e\u6587\u5b57\u5217\u304b\u3089\u304d\u3066\u3044\u307e\u3059\u3002<\/p>\nSophos\u306f\u3059\u3070\u3089\u3057\u3044\u624b\u8155\u3067\u30b5\u30f3\u30d7\u30eb\u3092\u5206\u6790\u3057\u305f\u306e\u3061\u3001USB\u611f\u67d3\u306b\u3064\u3044\u3066\u3082\u3075\u308c\u3066\u3044\u307e\u3059\u3002\u79c1\u305f\u3061\u306f\u672c\u4e8b\u4f8b\u306e\u30b5\u30f3\u30d7\u30eb\u306e\u6319\u52d5\u304cSophos\u306e\u5831\u544a\u3067\u8aac\u660e\u3055\u308c\u3066\u3044\u308b\u6319\u52d5\u3068\u5408\u81f4\u3059\u308b\u3053\u3068\u3092\u78ba\u8a8d\u3057\u307e\u3057\u305f\u3002\u305d\u3053\u3067\u79c1\u305f\u3061\u306f\u3001USB\u611f\u67d3\u3001\u91ce\u751f(in the wild)\u306eUSB\u4e9c\u7a2e\u3001PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u3068\u306e\u95a2\u9023\u306b\u7126\u70b9\u3092\u5f53\u3066\u3066\u8abf\u67fb\u3092\u62e1\u5927\u3057\u305f\u3044\u3068\u8003\u3048\u307e\u3057\u305f\u3002<\/p>\n
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u6982\u8981<\/h2>\nPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u304cUSB\u30c7\u30d0\u30a4\u30b9\u306b\u30d5\u30a1\u30a4\u30eb\u3092\u96a0\u3059\u6280\u8853\u306b\u306f\u3001\u7279\u5b9a\u306eUnicode\u6587\u5b57\u304c\u4f7f\u308f\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306e\u6280\u8853\u306b\u3088\u3063\u3066Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3084\u30b3\u30de\u30f3\u30c9\u30b7\u30a7\u30eb(cmd.exe<\/span>)\u306bUSB\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u69cb\u9020\u3084\u30d5\u30a1\u30a4\u30eb\u304c\u8868\u793a\u3055\u308c\u306a\u304f\u306a\u308a\u3001\u88ab\u5bb3\u8005\u304b\u3089\u306f\u898b\u3048\u306a\u304f\u306a\u308a\u307e\u3059\u3002<\/p>\n\u3053\u306ePlugX\u30de\u30eb\u30a6\u30a7\u30a2\u304c\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u4f7f\u7528\u3059\u308bUnicode\u6587\u5b57\u306f00A0<\/span>(\u30ce\u30fc\u30d6\u30ec\u30fc\u30af\u30b9\u30da\u30fc\u30b9\u3068\u547c\u3070\u308c\u308b\u7a7a\u767d\u6587\u5b57)\u3067\u3059\u3002\u30ce\u30fc\u30d6\u30ec\u30fc\u30af\u30b9\u30da\u30fc\u30b9\u306f\u3001\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u5185\u306b\u540d\u524d\u306e\u306a\u3044\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3059\u308b\u304b\u308f\u308a\u306b\u3001Windows\u30aa\u30da\u30ec\u30fc\u30c6\u30a3\u30f3\u30b0 \u30b7\u30b9\u30c6\u30e0\u304c\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u540d\u3092\u753b\u9762\u306b\u63cf\u753b\u3059\u308b\u306e\u3092\u9632\u3050\u3053\u3068\u3067\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u96a0\u3057\u307e\u3059\u3002<\/p>\n\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304b\u3089\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u30b3\u30fc\u30c9\u5b9f\u884c\u3092\u5b9f\u73fe\u3059\u308b\u305f\u3081\u306b\u3001USB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u4e0a\u306b\u306fWindows\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8(.lnk<\/span>)\u30d5\u30a1\u30a4\u30eb\u304c\u4f5c\u6210\u3055\u308c\u307e\u3059\u3002\u3053\u306e\u30de\u30eb\u30a6\u30a7\u30a2\u3078\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d1\u30b9\u306b\u306fUnicode\u306e\u7a7a\u767d\u6587\u5b57(\u6539\u884c\u3055\u308c\u306a\u3044\u30b9\u30da\u30fc\u30b9)\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u304c\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u306f\u898b\u308b\u3053\u3068\u304c\u3067\u304d\u307e\u305b\u3093(\u56f32)\u3002<\/p>\n![\"\u753b\u50cf2\u306fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u753b\u9762\u3067\u3059\u3002USB\u30c9\u30e9\u30a4\u30d6\u306e\u30d7\u30ed\u30d1\u30c6\u30a3(TESTDRIVE\u3068\u3044\u3046\u540d\u524d)\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30bf\u30d6\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306e\u56f3\u306b\u306fTarget]()
\u56f32. \u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u30a2\u30af\u30bb\u30b9\u3059\u308bWindows\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u306e\u30d7\u30ed\u30d1\u30c6\u30a3<\/figcaption><\/figure>\n\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3092\u30d0\u30a4\u30ca\u30ea\u30a8\u30c7\u30a3\u30bf\u30fc\u3067\u8868\u793a\u3059\u308b\u3068\u3001\u3053\u306e\u6587\u5b57\u306e16\u9032\u6570\u8868\u8a18\u306f\u56f33\u3067\u30cf\u30a4\u30e9\u30a4\u30c8\u8868\u793a\u3057\u305f\u90e8\u5206\u306b\u306a\u308a\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf3\u306f\u62e1\u5f35ASCII\u6587\u5b57\u3092\u30cf\u30a4\u30e9\u30a4\u30c8\u8868\u793a\u3057\u305f\u30d0\u30a4\u30ca\u30ea\u30a8\u30c7\u30a3\u30bf\u30fc\u306e\u753b\u9762\u3067\u3059\u30022\u7b87\u6240\u3068\u3082\u300c00A0\u300d\u3067\u3059\u3002]()
\u56f33. Windows\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u306e\u30d7\u30ed\u30d1\u30c6\u30a3\u3092\u30d0\u30a4\u30ca\u30ea\u30a8\u30c7\u30a3\u30bf\u30fc\u3067\u8868\u793a\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\nPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306f.lnk<\/span>\u30d5\u30a1\u30a4\u30eb\u306e\u4f5c\u6210\u306bCOM (Component Object Model)\u30a4\u30f3\u30bf\u30fc\u30d5\u30a7\u30fc\u30b9\u3092\u4f7f\u3063\u3066Unicode\u6587\u5b5700A0<\/span>\u3092\u542b\u3081\u307e\u3059\u3002\u3053\u308c\u306f\u30b7\u30a7\u30eb \u30c7\u30b9\u30af\u30c8\u30c3\u30d7\u306e\u30a4\u30f3\u30b9\u30bf\u30f3\u30b9\u3092\u4f5c\u6210\u3057\u3066\u95a2\u9023\u3059\u308bWindows\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3092\u4f5c\u6210\u3059\u308b\u3053\u3068\u3067\u5b9f\u73fe\u3057\u3066\u3044\u307e\u3059\u3002ShellLink::SetArguments<\/span>\u30e1\u30bd\u30c3\u30c9\u3092\u4f7f\u3063\u3066Unicode\u306e\u30ce\u30fc\u30d6\u30ec\u30fc\u30af\u30b9\u30da\u30fc\u30b9\u6587\u5b57\u3092\u542b\u3080\u30b3\u30de\u30f3\u30c9\u30e9\u30a4\u30f3\u5f15\u6570\u3092\u8a2d\u5b9a\u3057\u307e\u3059(\u56f34)\u3002<\/p>\n![\"\u753b\u50cf4\u306fCOM\u306eShellLink\u306e\u30b3\u30de\u30f3\u30c9\u30e9\u30a4\u30f3\u5f15\u6570\u306e\u753b\u9762\u3067\u3059\u3002]()
\u56f34. COM\u306eShellLink::SetArguments<\/span><\/figcaption><\/figure>\n\u6700\u5f8c\u306bShellLink::Save<\/em><\/span>\u30e1\u30bd\u30c3\u30c9\u3067\u3059\u3079\u3066\u306e\u5909\u66f4\u3092\u542b\u3080\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8 \u30d5\u30a1\u30a4\u30eb\u3092\u4fdd\u5b58\u3057\u307e\u3059\u3002<\/p>\n<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u611f\u67d3<\/h2>\nPlugX\u30de\u30eb\u30a6\u30a7\u30a2x32bridge.dll<\/span>\u306fx32bridge.dat<\/span>\u3092\u30ed\u30fc\u30c9\u3057\u307e\u3059\u3002\u3053\u306ex32bridge.dat<\/span>\u304c\u30db\u30b9\u30c8\u306b\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u30a4\u30f3\u30d7\u30e9\u30f3\u30c8\u3092\u884c\u3044\u3001\u30d5\u30ed\u30c3\u30d4\u30fc\u3084\u30b5\u30e0\u30c9\u30e9\u30a4\u30d6\u3001\u30d5\u30e9\u30c3\u30b7\u30e5\u30c9\u30e9\u30a4\u30d6\u306a\u3069\u306e\u30ea\u30e0\u30fc\u30d0\u30d6\u30ebUSB\u30e1\u30c7\u30a3\u30a2\u30c7\u30d0\u30a4\u30b9\u306b\u611f\u67d3\u3055\u305b\u308b\u5f79\u5272\u3092\u62c5\u3044\u307e\u3059\u3002\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30e1\u30c7\u30a3\u30a2\u30c7\u30d0\u30a4\u30b9\u304c\u898b\u3064\u304b\u308b\u3068\u4ee5\u4e0b\u304c\u5b9f\u884c\u3055\u308c\u307e\u3059\u3002<\/p>\n\n- \u6b21\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u69cb\u9020\u3092\u4f5c\u6210\u3057\u307e\u3059\u3002
\n<usb volume><\/em>:\\u00A0\\u00A0\\RECYCLER.BIN\\files<\/span> (\u4f8b: F:\\ \\ \\RECYCLER.BIN\\files<\/em><\/span>)<\/li>\n- \u5404\u30d5\u30a9\u30eb\u30c0\u306bdesktop.ini\u3068\u3044\u3046\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u4f5c\u6210\u3057\u3001\u3053\u306e\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u304c\u30d5\u30a9\u30eb\u30c0\u306b\u30a2\u30a4\u30b3\u30f3\u3092\u6307\u5b9a\u3057\u307e\u3059\u3002\u3053\u306e\u30d5\u30a1\u30a4\u30eb\u306b\u306f\u6b21\u306e\u30c7\u30fc\u30bf\u304c\u542b\u307e\u308c\u307e\u3059\u3002<\/li>\n<\/ol>\n
[.ShellClassInfo]<\/span>IconResource=%systemroot%\\system32\\SHELL32.dll,7<\/span><\/p>\nWindows OS\u306f\u3001\u30c7\u30b9\u30af\u30c8\u30c3\u30d7\u306b\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u3068\u3057\u3066\u8868\u793a\u3059\u308b\u30a2\u30a4\u30b3\u30f3\u753b\u50cf\u3092\u3001\u30d5\u30a1\u30a4\u30eb\u3092\u4f7f\u3063\u3066\u53d6\u5f97\u3059\u308b\u304b\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30d5\u30a1\u30a4\u30eb\u3084\u30d5\u30a9\u30eb\u30c0\u304b\u3089\u53d6\u5f97\u3057\u307e\u3059\u3002Shell32.dll<\/span>\u30d5\u30a1\u30a4\u30eb\u306b\u306f\u30a2\u30a4\u30b3\u30f3\u306e\u30ea\u30b9\u30c8\u3068\u30e6\u30cb\u30fc\u30af\u306a\u756a\u53f7\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002\u4eca\u56de\u306e\u5834\u5408\u3001\u4ee5\u4e0b\u306e\u56f35\u306e\u3088\u3046\u306b\u3001\u30c9\u30e9\u30a4\u30d6\u306e\u30a2\u30a4\u30b3\u30f3\u3068\u6570\u5b57\u306e\u300c7\u300d\u304c\u4f7f\u308f\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf5\u306f\u3001\u30c9\u30e9\u30a4\u30d6\u306e\u30a2\u30a4\u30b3\u30f3\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3001\u9752\u3044\u80cc\u666f\u306b\u7dd1\u306e\u30e9\u30f3\u30d7\u304c\u5149\u3063\u3066\u3044\u308b\u30c9\u30e9\u30a4\u30d6\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u4e0b\u306b\u306f\u300c7\u300d\u3068\u3044\u3046\u6570\u5b57\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\"]()
\u56f35. \u30c9\u30e9\u30a4\u30d6\u30a2\u30a4\u30b3\u30f37<\/figcaption><\/figure>\n\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u6709\u52b9\u306b\u3057\u305f\u72b6\u614b\u3067Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u8868\u793a\u3057\u305f\u5834\u5408\u3001\u3053\u306e\u30c9\u30e9\u30a4\u30d6\u30a2\u30a4\u30b3\u30f3\u304c\u4f7f\u308f\u308c\u3066\u3044\u308b\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u30c9\u30e9\u30a4\u30d6\u3068\u3057\u3066\u8868\u793a\u3055\u308c\u307e\u3059\u3002\u524a\u9664\u3055\u308c\u305f\u5834\u5408\u3001\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u30d5\u30a9\u30eb\u30c0\u3068\u3057\u3066\u8868\u793a\u3055\u308c\u307e\u3059\u3002<\/p>\n
\n- 2\u3064\u3081\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306bRECYLER.BIN<\/span>\u3068\u3044\u3046\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u3092\u4f5c\u6210\u3057\u307e\u3059\u3002\u3053\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u3054\u307f\u7bb1\u3068\u3057\u3066\u6a5f\u80fd\u3057\u307e\u3059\u3002\u3053\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306e\u4e2d\u306b\u306f\u3001files<\/span>\u3068\u3044\u3046\u30b5\u30d6\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304c\u3042\u308a\u3001desktop.ini<\/span>\u3068\u3044\u3046\u30d5\u30a1\u30a4\u30eb\u304c\u96a0\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306edesktop.ini<\/span>\u30d5\u30a1\u30a4\u30eb\u306b\u306f\u3001\u6b21\u306e\u30c7\u30fc\u30bf\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002<\/li>\n<\/ol>\n
[.ShellClassInfo]<\/span><\/p>\nCLSID = {645FF040-5081-101B-9F08-00AA002F954E}<\/span><\/p>\n\u3053\u306eCLSID\u306f\u3001\u4f5c\u6210\u3055\u308c\u305fRECYCLER.BIN<\/span>\u30d5\u30a9\u30eb\u30c0\u306b\u3054\u307f\u7bb1\u306e\u30a2\u30a4\u30b3\u30f3\u3092\u4ed8\u4e0e\u3057\u3001\u3054\u307f\u7bb1\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3068\u3057\u3066\u8868\u793a\u3059\u308b\u3088\u3046\u306bWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306b\u6307\u793a\u3059\u308b\u3082\u306e\u3067\u3059\u3002\u305d\u306e\u69d8\u5b50\u3092\u30b5\u30f3\u30d7\u30eb\u3068\u3057\u3066\u56f311\u306b\u793a\u3057\u307e\u3059\u3002<\/p>\n\n- files<\/span>\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u306b\u306f\u3001PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306ex32dbg.exe<\/span>\u3001\u6697\u53f7\u5316\u3055\u308c\u305f\u30a2\u30af\u30bf\u30fc\u306e .dat<\/span>\u30d5\u30a1\u30a4\u30eb\u3001\u30a2\u30af\u30bf\u30fc\u306e\u60aa\u610f\u306e\u3042\u308bDLL\u306e\u30b3\u30d4\u30fc\u304c\u683c\u7d0d\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u305d\u306e\u4f8b\u3092\u4e0b\u306e\u56f36\u306b\u793a\u3057\u307e\u3059\u3002<\/li>\n<\/ol>\n
![\"\u753b\u50cf6\u306ffiles\u3068\u3044\u3046\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u5185\u3092WinHex\u3067\u95b2\u89a7\u3057\u305f\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002Name(\u540d\u524d)\u3001Extension(\u62e1\u5f35\u5b50)\u3001Size(\u30b5\u30a4\u30ba)\u3001Created(\u4f5c\u6210\u65e5\u6642)\u3001Modified(\u5909\u66f4\u65e5\u6642)\u3001Accessed(\u30a2\u30af\u30bb\u30b9\u65e5)\u3001Attribute(\u5c5e\u6027)\u30011st]()
\u56f36. \u611f\u67d3\u3057\u305fUBS\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092WinHex\u3067\u8868\u793a\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\n\u306a\u304aUSB\u30c7\u30d0\u30a4\u30b9\u3078\u306e\u611f\u67d3\u524d\u306b\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u306b\u3042\u308b\u65e2\u5b58\u306e\u30d5\u30a1\u30a4\u30eb\u3084\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u3001USB\u30c7\u30d0\u30a4\u30b9\u306e2\u756a\u76ee\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306b\u79fb\u52d5\u3055\u308c\u307e\u3059(\u56f37)\u3002<\/p>\n![\"\u753b\u50cf7\u306f\u611f\u67d3\u524d\u306eUSB\u30c7\u30d0\u30a4\u30b9(\u5de6)\u3068\u611f\u67d3\u5f8c\u306eUSB\u30c7\u30d0\u30a4\u30b9(\u53f3)\u306e\u30eb\u30fc\u30c8\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u5de6\u53f3\u306b\u4e26\u3079\u3066\u6bd4\u8f03\u3057\u305f\u3082\u306e\u3067\u3059\u3002]()
\u56f37 \u611f\u67d3\u524d\u306eUSB\u30c7\u30d0\u30a4\u30b9\u3068\u611f\u67d3\u5f8c\u306eUSB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u4e26\u3079\u3066\u6bd4\u8f03\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\n\n- \u611f\u67d3\u3057\u305fUSB\u30c7\u30d0\u30a4\u30b9\u304b\u3089\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u304c\u30af\u30ea\u30c3\u30af\u3055\u308c\u308b\u305f\u3073\u3001PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3092\u8d77\u52d5\u3057\u3001\u305d\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306e\u30d1\u30b9\u3092\u30d1\u30e9\u30e1\u30fc\u30bf\u3068\u3057\u3066\u6e21\u3057\u307e\u3059\u3002\u3053\u308c\u306b\u3088\u308a\u3001\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u5185\u306b\u3042\u308bUSB\u30c7\u30d0\u30a4\u30b9\u4e0a\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3057\u3001\u3055\u3089\u306b\u305d\u306e\u30db\u30b9\u30c8\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306b\u611f\u67d3\u3055\u305b\u307e\u3059\u3002\u88ab\u5bb3\u8005\u306b\u306f\u81ea\u5206\u306e\u30d5\u30a1\u30a4\u30eb\u304c\u898b\u3048\u308b\u306e\u3067\u3001\u3059\u3079\u3066\u4e88\u671f\u3057\u305f\u3068\u304a\u308a\u306b\u52d5\u3044\u3066\u3044\u308b\u3082\u306e\u3068\u601d\u3044\u8fbc\u3093\u3067\u3057\u307e\u3044\u307e\u3059\u3002<\/li>\n<\/ol>\n
\u56f38\u306f\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u304c\u30c7\u30d5\u30a9\u30eb\u30c8\u8a2d\u5b9a(\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3057\u306a\u3044\u8a2d\u5b9a)\u306e\u5834\u5408\u306b\u3001\u611f\u67d3\u3057\u305fUSB\u30e1\u30e2\u30ea\u304c\u88ab\u5bb3\u8005\u304b\u3089\u3069\u306e\u3088\u3046\u306b\u898b\u3048\u308b\u304b\u3092\u793a\u3057\u305f\u3082\u306e\u3067\u3059\u3002<\/p>\n
![\"\u753b\u50cf8\u306f\u611f\u67d3\u3057\u305fUSB\u30c9\u30e9\u30a4\u30d6\u3092\u8868\u793a\u3057\u3066\u3044\u308bWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002\u3053\u3053\u3067\u306f[\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3059\u308b]\u306e\u30aa\u30d7\u30b7\u30e7\u30f3\u304c\u7121\u52b9\u306b\u306a\u3063\u3066\u3044\u307e\u3059\u3002]()
\u56f38. Windows\u306e\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u304c\u611f\u67d3\u3057\u305fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092\u8868\u793a\u3057\u305f\u3068\u3053\u308d\u3002\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u306e\u8868\u793a\u304c\u7121\u52b9\u306e\u72b6\u614b\u3002<\/figcaption><\/figure>\u611f\u67d3\u3057\u305fPlugX USB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u306b\u306f\u30d5\u30a1\u30a4\u30eb\u3084\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u5b58\u5728\u305b\u305a\u3001.lnk<\/span>\u30d5\u30a1\u30a4\u30eb\u304c1\u3064\u3060\u3051\u5b58\u5728\u3057\u3066\u3044\u307e\u3059\u3002<\/p>\n\u56f39\u3067\u306f\u3001\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u304cTESTDRIVE<\/span>\u3068\u306a\u3063\u3066\u3044\u3066\u3001USB\u30c7\u30d0\u30a4\u30b9\u540d\u3068\u4e00\u81f4\u3057\u3066\u3044\u308b\u3053\u3068\u304c\u308f\u304b\u308a\u307e\u3059\u3002\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306e\u5f79\u5272\u306f\u3001\u30db\u30b9\u30c8\u306b\u611f\u67d3\u3057\u3001\u81ea\u8eab\u304c\u30af\u30ea\u30c3\u30af\u3055\u308c\u308b\u305f\u3073\u306bUSB\u30c7\u30d0\u30a4\u30b9\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u79fb\u52d5\u3059\u308b\u3053\u3068\u3067\u3059\u3002\u305f\u3068\u3048\u3070\u56f39\u3067\u53c2\u7167\u3057\u305f\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306b\u306f\u6b21\u306e\u30c7\u30fc\u30bf\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n%comspec% \/q \/c \" \\ \\RECYCLER.BIN\\files\\x32dbg.exe\"<\/span><\/p>\n\u88ab\u5bb3\u8005\u304c\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u3092\u30af\u30ea\u30c3\u30af\u3059\u308b\u3068\u3001USB\u30c7\u30d0\u30a4\u30b9\u4e0a\u306e\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304b\u3089cmd.exe<\/span>\u7d4c\u7531\u3067x32dbg.exe<\/span>\u304c\u8d77\u52d5\u3057\u307e\u3059\u3002\u3053\u308c\u3067\u3053\u306eUSB\u30c7\u30d0\u30a4\u30b9\u3092\u633f\u3057\u305f\u30db\u30b9\u30c8\u306fPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306b\u611f\u67d3\u3057\u305f\u72b6\u614b\u306b\u306a\u308a\u307e\u3059\u3002<\/p>\n[\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3059\u308b]\u3092\u6709\u52b9\u306b\u3057\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u611f\u67d3\u3057\u305fUSB\u30c7\u30d0\u30a4\u30b9\u306e\u5185\u5bb9\u3092\u8868\u793a\u3059\u308b\u3068\u3001\u88ab\u5bb3\u8005\u306b\u306f\u4ee5\u4e0b\u306e\u3088\u3046\u306b\u8868\u793a\u3055\u308c\u307e\u3059(\u56f39)\u3002<\/p>\n![\"\u753b\u50cf9\u306fUSB\u30c9\u30e9\u30a4\u30d6\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002]()
\u56f39 Windows\u306e\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u3067\u611f\u67d3\u3057\u305fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9(\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0)\u3092\u8868\u793a\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\n\u88ab\u5bb3\u8005\u304b\u3089\u898b\u3066\u3001\u6700\u521d\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306e\u4e2d\u8eab\u306f\u4ee5\u4e0b\u306e\u56f310\u306e\u3088\u3046\u306b\u8868\u793a\u3055\u308c\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf10\u306f\u3001\u611f\u67d3\u3057\u305fUSB\u30c9\u30e9\u30a4\u30d6\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3001\u6700\u521d\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u8868\u793a\u3057\u305f\u3068\u3053\u308d\u3067\u3059\u3002\"]()
\u56f310 \u611f\u67d3\u3057\u305fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u8868\u793a\u3057\u305f\u3068\u3053\u308d(1\u3064\u3081\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea)<\/figcaption><\/figure>\nWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306b\u306f\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306e\u307b\u304b\u306b\u3082\u30461\u3064\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304c\u8868\u793a\u3055\u308c\u307e\u3059(\u56f311)\u3002\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3082\u3084\u306f\u308ax32dbg.exe<\/span>\u3092\u8d77\u52d5\u3059\u308b\u3088\u3046\u306b\u306a\u3063\u3066\u304a\u308a\u3001\u5f53\u8a72USB\u30c7\u30d0\u30a4\u30b9\u3092\u633f\u5165\u3055\u308c\u305f\u30db\u30b9\u30c8\u306b\u611f\u67d3\u3057\u307e\u3059\u3002<\/p>\n2\u3064\u3081\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306e\u5185\u5bb9\u3092\u898b\u308b\u3068\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306f\u6b21\u306e\u3088\u3046\u306a\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u69cb\u6210\u3092\u8868\u793a\u3057\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf11\u306f\u611f\u67d3\u3057\u305fUSB\u30c9\u30e9\u30a4\u30d6\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3001\u30b4\u30df\u7bb1\u3092\u88c5\u3063\u305f\u30d5\u30a9\u30eb\u30c0\u304c\u5b58\u5728\u3059\u308b2\u3064\u3081\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u8868\u793a\u3057\u3066\u3044\u307e\u3059\u3002\"]()
\u56f311 \u611f\u67d3\u3057\u305fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u8868\u793a\u3057\u305f\u3068\u3053\u308d(2\u3064\u3081\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea)<\/figcaption><\/figure>\n\u3053\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u306fWindows\u306e\u3054\u307f\u7bb1\u3092\u88c5\u3063\u305fRECYLER.BIN<\/span>\u30d5\u30a9\u30eb\u30c0\u3068\u3001\u611f\u67d3\u6642\u306bUSB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u306b\u5b58\u5728\u3057\u3066\u3044\u305f\u30d5\u30a1\u30a4\u30eb\u3084\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002Windows\u306e\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067RECYLER.BIN<\/span>\u306e\u5185\u5bb9\u3092\u898b\u308b\u3068\u3001\u88ab\u5bb3\u8005\u306b\u306f\u56f312\u306e\u3088\u3046\u306b\u8868\u793a\u3055\u308c\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf12\u306fRECYCLER.BIN\u30d5\u30a9\u30eb\u30c0\u306e\u4e2d\u8eab\u3092\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u753b\u9762\u3067\u3059\u3002\u5c02\u7528\u30c4\u30fc\u30eb\u3092\u4f7f\u7528\u3057\u306a\u3044\u3068\u691c\u51fa\u3067\u304d\u306a\u3044\u96a0\u3057\u30de\u30eb\u30a6\u30a7\u30a2\u30d5\u30a1\u30a4\u30eb\u304c\u5b58\u5728\u3057\u3066\u3044\u307e\u3059\u3002\"]()
\u56f312. Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u611f\u67d3\u3057\u305fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9(RECYLER.BIN<\/span>\u30d5\u30a9\u30eb\u30c0)\u3092\u8868\u793a\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\nWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306e\u521d\u671f\u8a2d\u5b9a\u306f\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3057\u306a\u3044\u306e\u3067\u3001\u88ab\u5bb3\u8005\u304b\u3089\u306f\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3057\u304b\u898b\u3048\u307e\u305b\u3093(\u56f38)\u3002\u307e\u305f\u3001\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u306e\u8868\u793a\u3092\u6709\u52b9\u306b\u3057\u3066\u3044\u3066\u3082\u3001Windows Explorer\u3084cmd.exe<\/span>\u3067\u306ffiles<\/span>\u30b5\u30d6\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u5b58\u5728\u3059\u308b\u30de\u30eb\u30a6\u30a7\u30a2\u30d5\u30a1\u30a4\u30eb\u306f\u8868\u793a\u3067\u304d\u307e\u305b\u3093\u3002<\/p>\n\u3053\u306e\u60aa\u610f\u306e\u3042\u308b\u30d5\u30a1\u30a4\u30eb\u306f\u3001Unix\u7cfb(*nix)\u306eOS\u4e0a\u304b\u3001\u30d5\u30a9\u30ec\u30f3\u30b8\u30c3\u30af\u30c4\u30fc\u30eb\u3067USB\u30c7\u30d0\u30a4\u30b9\u3092\u30de\u30a6\u30f3\u30c8\u3057\u305f\u5834\u5408\u306b\u306e\u307f\u95b2\u89a7\u3067\u304d\u307e\u3059\u3002\u56f313\u306f\u3001Ubuntu\u3067\u3053\u306eUSB\u30c7\u30d0\u30a4\u30b9\u3092\u30de\u30a6\u30f3\u30c8\u3057\u3066\u30d5\u30a1\u30a4\u30eb\u30de\u30cd\u30fc\u30b8\u30e3\u30fc\u3067\u30d6\u30e9\u30a6\u30ba\u3057\u305f\u3068\u304d\u306e\u69d8\u5b50\u3067\u3059\u3002<\/p>\n![\"\u753b\u50cf13\u306fUbuntu\u306e\u30d5\u30a1\u30a4\u30eb\u30de\u30cd\u30fc\u30b8\u30e3\u30fc\u3067USB\u30c9\u30e9\u30a4\u30d6\u306e\u4e2d\u8eab\u3092\u95b2\u89a7\u3057\u305f\u5834\u5408\u306e\u898b\u3048\u304b\u305f\u3092\u793a\u3057\u305f\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002\"]()
\u56f313. \u611f\u67d3\u3057\u305fUSB\u30c7\u30d0\u30a4\u30b9\u3092Ubuntu\u306e\u30d5\u30a1\u30a4\u30eb\u30de\u30cd\u30fc\u30b8\u30e3\u30fc\u3067\u8868\u793a\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\n<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u611f\u67d3\u5f8c<\/h2>\n\u540cPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306b\u30db\u30b9\u30c8\u304c\u611f\u67d3\u3059\u308b\u3068\u3001\u30de\u30eb\u30a6\u30a7\u30a2\u306fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092\u7d99\u7d9a\u7684\u306b\u76e3\u8996\u3059\u308b\u3088\u3046\u306b\u306a\u308a\u307e\u3059\u3002\u3079\u3064\u306eUSB\u30c7\u30d0\u30a4\u30b9\u304c\u898b\u3064\u304b\u308c\u3070\u3001\u305d\u306e\u30c7\u30d0\u30a4\u30b9\u306b\u611f\u67d3\u3057\u3001\u611f\u67d3\u5f8c\u306f\u305d\u306eUSB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u306b\u66f8\u304d\u8fbc\u307e\u308c\u3066\u3044\u308b\u65b0\u3057\u3044\u30d5\u30a1\u30a4\u30eb\u3092\u5f53\u8a72USB\u30c7\u30d0\u30a4\u30b9\u5185\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306b\u79fb\u52d5\u3057\u307e\u3059\u3002\u3053\u306eWindows\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306fUSB\u30c7\u30d0\u30a4\u30b9\u306b\u4f3c\u305b\u3066\u3042\u308a\u3001\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u88ab\u5bb3\u8005\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3059\u308b\u306e\u3067\u3001\u88ab\u5bb3\u8005\u306f\u77e5\u3089\u306a\u3044\u3046\u3061\u306b\u30de\u30eb\u30a6\u30a7\u30a2PlugX\u3092\u62e1\u6563\u3057\u7d9a\u3051\u308b\u3053\u3068\u306b\u306a\u308a\u307e\u3059\u3002<\/p>\n
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u4e9c\u7a2e2<\/h2>\n\u3053\u308c\u307e\u3067\u306b\u5f97\u305f\u77e5\u8b58\u304b\u3089\u3001\u91ce\u751f\u3067\u3082\u3053\u308c\u3068\u540c\u69d8\u306ePlugX USB\u611f\u67d3\u30de\u30eb\u30a6\u30a7\u30a2\u304c\u898b\u3089\u308c\u308b\u304b\u3069\u3046\u304b\u304c\u77e5\u308a\u305f\u304f\u306a\u308a\u307e\u3057\u305f\u3002VirusTotal\u306e\u30d5\u30a1\u30a4\u30ebSHA256: 5b496972a86cea66aeecaac6e3f67a92e22f35cd5d2a98d54a2f1218fcd5dfc5<\/span>\u306f\u3001x32bridge.dat<\/span>\u306e\u6319\u52d5(\u5177\u4f53\u7684\u306b\u306f\u3001Sophos\u30d6\u30ed\u30b0\u3067\u8a00\u53ca\u3055\u308c\u3066\u3044\u308bWindows\u30bf\u30b9\u30af \u30b9\u30b1\u30b8\u30e5\u30fc\u30e9\u306e\u30bf\u30b9\u30af\u4f5c\u6210\u3068PDB\u6587\u5b57\u5217\u306e\u4f5c\u6210)\u304c\u4e00\u81f4\u3057\u307e\u3059\u3002<\/p>\n\u3053\u306e\u30d5\u30a1\u30a4\u30eb\u306fWindows x86\u306ePE\u30d5\u30a1\u30a4\u30eb(DLL)\u3067\u3001x32bridge.dat<\/span>\u306e\u30a4\u30f3\u30e1\u30e2\u30ea\u7248\u306b\u76f8\u5f53\u3057\u307e\u3059\u3002\u79c1\u305f\u3061\u306e\u5206\u6790\u3060\u3068\u3001\u30a4\u30f3\u30e1\u30e2\u30ea\u7248\u306e\u5b9f\u884c\u6642\u306e\u6319\u52d5\u306f\u524d\u8ff0\u306ex32bridge.dat<\/span>\u306eUSB\u611f\u67d3\u306e\u3082\u306e\u3068\u540c\u3058\u3067\u3059\u304c\u3001\u3053\u3061\u3089\u306b\u306f\u6a5f\u80fd\u304c1\u3064\u8ffd\u52a0\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u30db\u30b9\u30c8\u30de\u30b7\u30f3\u304b\u3089da520e5<\/span>\u3068\u3044\u3046\u540d\u524d\u306e\u65b0\u3057\u3044\u96a0\u3057USB\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u306b\u30c9\u30ad\u30e5\u30e1\u30f3\u30c8\u3092\u30b3\u30d4\u30fc\u3059\u308b\u6a5f\u80fd\u3067\u3059\u3002<\/p>\n\u5177\u4f53\u7684\u306b\u306f\u3001\u30a4\u30f3\u30e1\u30e2\u30ea\u7248\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u30db\u30b9\u30c8\u30de\u30b7\u30f3\u304b\u3089\u3059\u3079\u3066\u306eAdobe PDF\u30fbMicrosoft Word\u6587\u66f8\u3092\u3053\u306e\u96a0\u3057USB\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u306b\u30b3\u30d4\u30fc\u3057\u307e\u3059\u3002\u4ee5\u4e0b\u306e\u56f314\u306f\u30db\u30b9\u30c8\u304b\u3089\u30b3\u30d4\u30fc\u3055\u308c\u305f\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3068\u30d5\u30a1\u30a4\u30eb\u306e\u30b5\u30f3\u30d7\u30eb\u3067\u3059\u3002<\/p>\n![\"\u753b\u50cf14\u306fF\u30c9\u30e9\u30a4\u30d6\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u4e9c\u7a2e\u304c\u6f0f\u51fa\u3055\u305b\u305f2\u3064\u306e\u30d5\u30a1\u30a4\u30eb\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306e\u753b\u50cf\u306b\u306fName(\u540d\u524d)\u3001Extension(\u62e1\u5f35\u5b50)\u3001Size(\u30b5\u30a4\u30ba)\u3001Created(\u4f5c\u6210\u65e5\u6642)\u3001Modified(\u5909\u66f4\u65e5\u6642)\u3001Accessed(\u30a2\u30af\u30bb\u30b9\u65e5)\u3001Attribute(\u5c5e\u6027)\u30011st]()
\u56f314 \u540cPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u304c\u6f0f\u51fa\u3055\u305b\u305f\u30d5\u30a1\u30a4\u30eb\u304c2\u3064\u8868\u793a\u3055\u308c\u3066\u3044\u308b<\/figcaption><\/figure>\n\u3053\u3061\u3089\u306ePlugX USB\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306f\u3001\u88ab\u5bb3\u8005\u304b\u3089\u7279\u5b9a\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u6f0f\u51fa\u3055\u305b\u3001\u305d\u308c\u3089\u3092\u5f8c\u3067\u53d6\u308a\u51fa\u305b\u308b\u3088\u3046\u306b\u8a2d\u8a08\u3057\u3066\u3042\u308a\u307e\u3059\u3002\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u3053\u308c\u3089\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3068\u30d5\u30a1\u30a4\u30eb\u3092\u4f7f\u3063\u3066\u304a\u3089\u305a\u3001\u3053\u308c\u3089\u304c\u88ab\u5bb3\u8005\u306b\u8868\u793a\u3055\u308c\u308b\u3053\u3068\u3082\u3042\u308a\u307e\u305b\u3093\u3002<\/p>\n
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u3068\u306e\u95a2\u9023\u6027<\/h2>\nUSB\u306e\u611f\u67d3\u306b\u52a0\u3048\u3001x32bridge.dat<\/span>\u3068VirusTotal\u3067\u898b\u3064\u304b\u3063\u305f2\u3064\u3081\u306ePlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306f\u3069\u3061\u3089\u3082\u3001\u30bf\u30fc\u30b2\u30c3\u30c8\u4e0a\u306e\u7279\u5b9a\u306e\u5b9f\u884c\u4e2d\u30d7\u30ed\u30bb\u30b9\u3092\u30c1\u30a7\u30c3\u30af\u3057\u307e\u3059\u3002\u305d\u308c\u3089\u304c\u898b\u3064\u304b\u308c\u3070\u7d42\u4e86\u3055\u305b\u3001\u305d\u308c\u3089\u306e\u5b9f\u884c\u5143\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3082\u524a\u9664\u3057\u307e\u3059\u3002<\/p>\nX32bridge.dat<\/span>\u306fAAM<\/span>\u304b\u3089\u59cb\u307e\u308b\u30d7\u30ed\u30bb\u30b9\u540d\u3092\u63a2\u3057\u51fa\u3057\u3001\u898b\u3064\u304b\u308c\u3070\u305d\u306e\u30d7\u30ed\u30bb\u30b9\u3092\u7d42\u4e86\u3055\u305b\u3001\u540c\u30d7\u30ed\u30bb\u30b9\u306b\u95a2\u9023\u3059\u308b\u7279\u5b9a\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u524a\u9664\u3057\u307e\u3059\u3002Sophos\u306e\u30d6\u30ed\u30b0\u3067\u306f\u300c\u3053\u308c\u306f\u53e4\u3044PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u4e9c\u7a2e\u3092\u524a\u9664\u3059\u308b\u52d5\u4f5c\u3067\u306f\u306a\u3044\u304b\u300d\u3068\u63a8\u6e2c\u3057\u3066\u3044\u307e\u3059\u3002PlugX\u306b\u5e30\u5c5e\u6e08\u307f\u306e\u4ee5\u524d\u306e\u4e9c\u7a2e\u306f\u30d5\u30a1\u30a4\u30eb\u540d\u304cAAM<\/span> (AAM Updates.exe<\/span>\u306a\u3069)\u3067\u59cb\u307e\u3063\u3066\u3044\u307e\u3057\u305f\u3002<\/p>\n\u79c1\u305f\u3061\u304cVirusTotal\u3067\u898b\u3064\u3051\u305f2\u3064\u3081\u306e\u4e9c\u7a2e\u3082\u3053\u306e\u30c1\u30a7\u30c3\u30af\u3092\u884c\u3063\u3066\u3044\u3066\u3001\u3084\u306f\u308aAAM Updates.exe<\/span>\u3092\u542b\u3080\u7279\u5b9a\u30d7\u30ed\u30bb\u30b9\u3092\u30c1\u30a7\u30c3\u30af\u3057\u3066\u3044\u307e\u3057\u305f\u3002\u3055\u3089\u306b\u3001AAM Updates.exe<\/span>\u304c\u898b\u3064\u304b\u3063\u305f\u5834\u5408\u3001AAM UpdatesikB<\/span>\u3068\u3044\u3046\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u524a\u9664\u3057\u307e\u3059\u3002\u3053\u306e\u30d5\u30a9\u30eb\u30c0\u3082\u3084\u306f\u308aPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u30d5\u30a1\u30df\u30ea\u30fc\u3068\u95a2\u9023\u4ed8\u3051\u3089\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\nx32bridge.dat<\/span>\u3068VirusTotal\u3067\u898b\u3064\u304b\u3063\u305f2\u3064\u3081\u306ePlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306f\u3001\u307b\u304b\u306e\u5b9f\u884c\u6642\u306e\u6319\u52d5\u306b\u304f\u308f\u3048\u3066USB\u306e\u611f\u67d3\u65b9\u6cd5\u304c\u540c\u3058\u3067\u3042\u308b\u3053\u3068\u304b\u3089\u3001\u5b9f\u969b\u306bPlugX\u3068\u95a2\u9023\u3057\u3066\u3044\u308b\u3082\u306e\u3068\u7d50\u8ad6\u3067\u304d\u307e\u3059\u3002<\/p>\n<\/a>\u7d50\u8ad6<\/h2>\nPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306f10\u5e74\u4ee5\u4e0a\u524d\u304b\u3089\u4f7f\u308f\u308c\u3066\u304a\u308a\u3001\u6b74\u53f2\u7684\u306b\u306f\u4e2d\u56fd\u306e\u56fd\u5bb6\u652f\u63f4\u578bAPT\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u3068\u5e83\u304f\u95a2\u9023\u3057\u3066\u3044\u307e\u3057\u305f\u3002\u5e74\u304c\u7d4c\u3064\u306b\u3064\u308c\u3001\u540c\u30c4\u30fc\u30eb\u306f\u56fd\u5bb6\u652f\u63f4\u578b\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u304b\u3089\u30e9\u30f3\u30b5\u30e0\u30a6\u30a7\u30a2\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u306b\u81f3\u308b\u3055\u307e\u3056\u307e\u306a\u8105\u5a01\u30b0\u30eb\u30fc\u30d7\u306b\u63a1\u7528\u30fb\u5229\u7528\u3055\u308c\u308b\u3088\u3046\u306b\u306a\u308a\u307e\u3057\u305f\u3002<\/p>\n
PlugX\u306e\u5178\u578b\u7684\u306a\u624b\u53e3\u306f\u3001\u826f\u6027\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u4f7f\u3063\u3066DLL\u30b5\u30a4\u30c9\u30ed\u30fc\u30c7\u30a3\u30f3\u30b0\u3068\u3082\u547c\u3070\u308c\u308b\u30b3\u30fc\u30c9\u5b9f\u884c\u3092\u5b9f\u73fe\u3059\u308b\u3082\u306e\u3067\u3001\u3044\u307e\u3067\u306f\u591a\u304f\u306e\u30bb\u30ad\u30e5\u30ea\u30c6\u30a3\u30d9\u30f3\u30c0\u30fc\u304c\u3053\u306e\u624b\u53e3\u3092\u691c\u51fa\u30fb\u9632\u6b62\u3057\u307e\u3059\u3002\u30a2\u30af\u30bf\u30fc\u304c\u30d5\u30ed\u30c3\u30d4\u30fc\u30c7\u30a3\u30b9\u30af\u3084\u30e1\u30e2\u30ea\u30fc\u30b9\u30c6\u30a3\u30c3\u30af\u3001\u30d5\u30e9\u30c3\u30b7\u30e5\u30c9\u30e9\u30a4\u30d6\u306a\u3069\u306e\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30e1\u30c7\u30a3\u30a2\u306b\u63a5\u7d9a\u3055\u308c\u305fUSB\u30c7\u30d0\u30a4\u30b9\u3001\u305d\u306eUSB\u30c7\u30d0\u30a4\u30b9\u304c\u63a5\u7d9a\u3055\u308c\u305f\u307b\u304b\u306e\u30b7\u30b9\u30c6\u30e0\u306b\u611f\u67d3\u3092\u5e83\u3052\u308b\u6a5f\u80fd\u3092\u8ffd\u52a0\u3057\u305f\u7406\u7531\u306e\u4e00\u90e8\u306f\u3001\u3053\u3046\u3057\u305f\u4e8b\u60c5\u306b\u3042\u3063\u305f\u3068\u8003\u3048\u3089\u308c\u307e\u3059\u3002<\/p>\n
\u540c\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306b\u611f\u67d3\u3057\u305f\u30db\u30b9\u30c8\u306f\u3001\u65b0\u305f\u306a\u611f\u67d3\u5148USB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092\u7d99\u7d9a\u7684\u306b\u76e3\u8996\u3057\u3066\u3044\u307e\u3059\u3002\u307e\u305f\u540cPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u3001\u65ac\u65b0\u306a\u624b\u53e3\u3067\u30a2\u30af\u30bf\u30fc\u306e\u30d5\u30a1\u30a4\u30eb\u3092USB\u30c7\u30d0\u30a4\u30b9\u306b\u96a0\u3057\u3001*nix OS\u4e0a\u304b\u3001\u30d5\u30a9\u30ec\u30f3\u30b8\u30c3\u30af\u30c4\u30fc\u30eb\u3067USB\u30c7\u30d0\u30a4\u30b9\u3092\u30de\u30a6\u30f3\u30c8\u3057\u305f\u5834\u5408\u306b\u306e\u307f\u4e0d\u6b63\u306a\u30d5\u30a1\u30a4\u30eb\u3092\u95b2\u89a7\u3067\u304d\u308b\u3088\u3046\u306b\u3057\u307e\u3059\u3002\u3053\u3046\u3057\u305f\u691c\u51fa\u56de\u907f\u6a5f\u80fd\u306e\u304a\u304b\u3052\u3067\u3001PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u62e1\u6563\u306f\u7d9a\u304d\u3001\u30a8\u30a2\u30ae\u30e3\u30c3\u30d7\u3055\u308c\u305f\u30cd\u30c3\u30c8\u30ef\u30fc\u30af\u306b\u3082\u98db\u3073\u706b\u3059\u308b\u53ef\u80fd\u6027\u304c\u3042\u308a\u307e\u3059\u3002<\/p>\n
\u3055\u3089\u306bVirusTotal\u3067\u306f\u3001\u611f\u67d3\u3057\u305f\u30db\u30b9\u30c8\u306e\u3059\u3079\u3066\u306eAdobe PDF\u30fbMicrosoft Word\u30c9\u30ad\u30e5\u30e1\u30f3\u30c8\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u304c\u4f5c\u6210\u3057\u305fUSB\u30c7\u30d0\u30a4\u30b9\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306b\u30b3\u30d4\u30fc\u3059\u308b\u6a5f\u80fd\u304c\u8ffd\u52a0\u3055\u308c\u305f\u985e\u4f3c\u4e9c\u7a2e\u3082\u898b\u3064\u304b\u3063\u3066\u3044\u307e\u3059\u3002\u3053\u308c\u3089\u30b5\u30f3\u30d7\u30eb\u306e\u767a\u898b\u306f\u3001\u5c11\u306a\u304f\u3068\u3082\u9ad8\u3044\u6280\u8853\u30b9\u30ad\u30eb\u3092\u3082\u3064\u4e00\u90e8\u306e\u653b\u6483\u8005\u306e\u9593\u3067\u306fPlugX\u306e\u958b\u767a\u304c\u7d9a\u3044\u3066\u304a\u308a\u3001\u3053\u308c\u304c\u3044\u307e\u3082\u73fe\u5f79\u306e\u8105\u5a01\u3067\u3042\u308b\u3053\u3068\u3092\u7269\u8a9e\u3063\u3066\u3044\u307e\u3059\u3002<\/p>\n
\u30d1\u30ed\u30a2\u30eb\u30c8\u30cd\u30c3\u30c8\u30ef\u30fc\u30af\u30b9\u88fd\u54c1\u3092\u3054\u5229\u7528\u306e\u304a\u5ba2\u69d8\u306f\u3001\u5f0a\u793e\u306e\u88fd\u54c1\u30fb\u30b5\u30fc\u30d3\u30b9\u306b\u3088\u308a\u672c\u30ad\u30e3\u30f3\u30da\u30fc\u30f3\u306b\u95a2\u9023\u3059\u308b\u4ee5\u4e0b\u306e\u5bfe\u7b56\u304c\u63d0\u4f9b\u3055\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n
\n- Cortex XDR<\/a>\u3092\u304a\u4f7f\u3044\u306e\u304a\u5ba2\u69d8\u306f\u3001\u672c\u7a3f\u3067\u53d6\u308a\u4e0a\u3052\u305f\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u6280\u8853\u304b\u3089\u30a8\u30f3\u30c9\u30dd\u30a4\u30f3\u30c8\u4e0a\u3067\u4fdd\u8b77\u3092\u53d7\u3051\u3066\u3044\u307e\u3059\u3002<\/li>\n
- \u30af\u30e9\u30a6\u30c9\u30d9\u30fc\u30b9\u306e\u8105\u5a01\u5206\u6790\u30b5\u30fc\u30d3\u30b9\u3067\u3042\u308bWildFire<\/a>\u306f\u3001\u672c\u7a3f\u3067\u53d6\u308a\u4e0a\u3052\u305f\u30de\u30eb\u30a6\u30a7\u30a2\u3092\u300c\u60aa\u610f\u306e\u3042\u308b\u3082\u306e(malicious)\u300d\u3068\u3057\u3066\u6b63\u78ba\u306b\u8b58\u5225\u3057\u307e\u3059\u3002<\/li>\n<\/ul>\n
\u4fb5\u5bb3\u306e\u61f8\u5ff5\u304c\u3042\u308a\u5f0a\u793e\u306b\u30a4\u30f3\u30b7\u30c7\u30f3\u30c8\u30ec\u30b9\u30dd\u30f3\u30b9\u306b\u95a2\u3059\u308b\u3054\u76f8\u8ac7\u3092\u306a\u3055\u308a\u305f\u3044\u5834\u5408\u306f\u3001\u3053\u3061\u3089<\/a>\u306e\u554f\u3044\u5408\u308f\u305b\u30d5\u30a9\u30fc\u30e0\u304b\u3089\u3054\u9023\u7d61\u3044\u305f\u3060\u304f\u304b\u3001infojapan@paloaltonetworks.com\u307e\u3067\u96fb\u5b50\u30e1\u30fc\u30eb\u306b\u3066\u3054\u9023\u7d61\u3044\u305f\u3060\u304f\u304b\u3001\u4e0b\u8a18\u306e\u96fb\u8a71\u756a\u53f7\u307e\u3067\u304a\u554f\u3044\u5408\u308f\u305b\u304f\u3060\u3055\u3044(\u3054\u76f8\u8ac7\u306f\u5f0a\u793e\u88fd\u54c1\u306e\u304a\u5ba2\u69d8\u306b\u306f\u9650\u5b9a\u3055\u308c\u307e\u305b\u3093)\u3002<\/p>\n\n- \u5317\u7c73\u30d5\u30ea\u30fc\u30c0\u30a4\u30e4\u30eb: 866.486.4842 (866.4.UNIT42)<\/span><\/li>\n
- \u6b27\u5dde: +31.20.299.3130<\/span><\/li>\n
- \u30a2\u30b8\u30a2\u592a\u5e73\u6d0b: +65.6983.8730<\/span><\/li>\n
- \u65e5\u672c: +81.50.1790.0200<\/span><\/li>\n<\/ul>\n
\u30d1\u30ed\u30a2\u30eb\u30c8\u30cd\u30c3\u30c8\u30ef\u30fc\u30af\u30b9\u306f\u30d5\u30a1\u30a4\u30eb\u30b5\u30f3\u30d7\u30eb\u3084\u4fb5\u5bb3\u306e\u5146\u5019\u306a\u3069\u3092\u3075\u304f\u3080\u3053\u308c\u3089\u306e\u8abf\u67fb\u7d50\u679c\u3092Cyber Threat Alliance (CTA \u30b5\u30a4\u30d0\u30fc\u8105\u5a01\u30a2\u30e9\u30a4\u30a2\u30f3\u30b9) \u306e\u30e1\u30f3\u30d0\u30fc\u3068\u5171\u6709\u3057\u307e\u3057\u305f\u3002CTA \u306e\u30e1\u30f3\u30d0\u30fc\u306f\u3053\u306e\u30a4\u30f3\u30c6\u30ea\u30b8\u30a7\u30f3\u30b9\u3092\u4f7f\u7528\u3057\u3066\u3001\u304a\u5ba2\u69d8\u306b\u4fdd\u8b77\u3092\u8fc5\u901f\u306b\u63d0\u4f9b\u3057\u3001\u60aa\u610f\u306e\u3042\u308b\u30b5\u30a4\u30d0\u30fc\u653b\u6483\u8005\u3092\u4f53\u7cfb\u7684\u306b\u963b\u5bb3\u3067\u304d\u307e\u3059\u3002\u8a73\u7d30\u306b\u3064\u3044\u3066\u306fCyber Threat Alliance<\/a>\u306b\u3066\u3054\u78ba\u8a8d\u304f\u3060\u3055\u3044\uff61<\/p>\n<\/a>Unit 42 \u30de\u30cd\u30fc\u30b8\u30c9 \u30b9\u30ec\u30c3\u30c8 \u30cf\u30f3\u30c6\u30a3\u30f3\u30b0 \u30c1\u30fc\u30e0\u306b\u3088\u308b\u30af\u30a8\u30ea<\/h2>\n<\/p>\n
\/\/ Detecting potential DLL side loading \r\n\r\nconfig case_sensitive = false timeframe = 30d\r\n| dataset = xdr_data \r\n| filter event_type = ENUM.LOAD_IMAGE and action_module_signature_status = 3 and ((action_module_path contains \"mpsvc.dll\" and actor_process_image_name = \"aug.exe\") or (action_module_path contains \"dismcore.dll\" and actor_process_image_name = \"aug.exe\" ) or (action_module_path contains \"\\hex.dll\" and actor_process_image_name = \"SafeGuard.exe\") or (action_module_path contains \"x32bridge.dll\" and actor_process_image_name = \"x32dbg.exe\") or (action_module_path contains \"x32bridge.dll\" and actor_process_image_name = \"Mediae.exe\"))\r\n| comp count() as counter by actor_process_image_path , action_module_path , action_module_sha256 \r\n<\/pre>\n\/\/ Adding registry persistence \r\n\r\nconfig case_sensitive = false timeframe = 30d\r\n| dataset = xdr_data \r\n| filter event_type = ENUM.REGISTRY and event_sub_type = ENUM.REGISTRY_SET_VALUE and action_registry_key_name contains \"Microsoft\\Windows\\CurrentVersion\\Run\" and (action_registry_data contains \"x32dbg.exe\" or action_registry_data contains \"aug.exe\" or action_registry_data contains \"SafeGuard.exe\")\r\n| fields action_registry_data , action_registry_file_path , action_registry_key_name , actor_process_command_line , agent_hostname<\/pre>\n<\/p>\n
<\/p>\n
\/\/ Payload execution with rundll32.exe\r\n\r\nconfig case_sensitive = false timeframe = 30d\r\n| dataset = xdr_data\r\n| filter event_type = ENUM.PROCESS and action_process_image_path contains \"rundll32\" and (action_process_image_command_line contains \"\\akm.dat\" or action_process_image_command_line contains \"\\precious.dat\")\r\n| fields action_process_image_command_line , actor_process_image_command_line , agent_hostname<\/pre>\n<\/p>\n
<\/a>IoC<\/h2>\n<\/a>\u65e2\u77e5\u306ePlugX\u30b5\u30f3\u30d7\u30eb:<\/h3>\n8ec37dac2beaa494dcefec62f0bf4ae30a6ce44b27a588169d8f0476bbc94115
\n<\/span>e72e49dc1d95efabc2c12c46df373173f2e20dab715caf58b1be9ca41ec0e172
\n<\/span>0e9071714a4af0be1f96cffc3b0e58520b827d9e58297cb0e02d97551eca3799
\n<\/span>39280139735145ba6f0918b684ab664a3de7f93b1e3ebcdd071a5300486b8d20
\n<\/span>41a0407371124bcad7cab56227078ccd635ba6e6b4374b973754af96b7f58119
\n<\/span>02aa5b52137410de7cc26747f26e07b65c936d019ee2e1afae268a00e78a1f7f
\n<\/span>2a07877cb53404888e1b6f81bb07a35bc804daa1439317bccde9c498a521644c
\n<\/span>5d98d1193fcbb2479668a24697023829fc9dc1f7d31833c3c42b8380ef859ff1<\/span><\/p>\n<\/a>\u65e2\u77e5\u306e\u30d5\u30a1\u30a4\u30eb\u30c7\u30a3\u30ec\u30af\u30c8\u30ea<\/h3>\nC:\\ProgramData\\UsersDate\\Windows_NT\\Windows\\user\\Desktop\\
\n<\/span>C:\\Users\\Public\\Public Mediae\\
\n<\/span><usb volume>:\\u00A0\\u00A0\\RECYCLER.BIN\\files
\n<\/span><usb volume>:\\u00A0\\u00A0\\RECYCLER.BIN\\files\\da520e5<\/span><\/p>\n<\/a>\u65e2\u77e5\u306eWindows\u30df\u30e5\u30fc\u30c6\u30c3\u30af\u30b9\u540d<\/h3>\nLKU_Test_0.1
\n<\/span>LKU_Test_0.2
\n<\/span>TCP_0.1<\/span><\/p>\n<\/a>\u65e2\u77e5\u306ePlugX\u306e\u6697\u53f7\u5316\u3055\u308c\u305f\u30da\u30a4\u30ed\u30fc\u30c9\u30d5\u30a1\u30a4\u30eb\u540d<\/h3>\nakm.dat
\n<\/span>precious.dat
\n<\/span>x32bridge.dat
\n<\/span>Groza_1.dat<\/span><\/p>\n<\/a>\u65e2\u77e5\u306eWindows\u30b9\u30b1\u30b8\u30e5\u30fc\u30eb\u30bf\u30b9\u30af\u540d<\/h3>\nLKUFORYOU_1
\n<\/span>PRECIOUS_0.1<\/span><\/p>\n<\/a>\u65e2\u77e5\u306eWindows\u30d7\u30ed\u30bb\u30b9\u540d(\u89b3\u6e2c\u6e08\u307f\u306e\u60aa\u7528\u3055\u308c\u305f\u826f\u6027\u30d5\u30a1\u30a4\u30eb)<\/h3>\nx32dbg.exe
\n<\/span>x32dbge.exe
\n<\/span>Mediae.exe
\n<\/span>Aug.exe
\n<\/span>Precious.exe
\n<\/span>SafeGuard.exe
\n<\/span>Dism.exe<\/span><\/p>\n<\/a>MITRE ATT&CK\u306e\u6280\u8853<\/h3>\nATOM PlugX\u30de\u30eb\u30a6\u30a7\u30a2<\/a><\/p>\n<\/a>\u8ffd\u52a0\u30ea\u30bd\u30fc\u30b9<\/h2>\n\n- THOR: PKPLUG\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u306b\u3088\u308bMicrosoft Exchange Server\u653b\u6483\u3067\u5c55\u958b\u3055\u308c\u305f\u672a\u77e5\u306ePlugX\u4e9c\u7a2e<\/a><\/li>\n
- \u30da\u30f3\u30c6\u30b9\u30c8\u30c4\u30fc\u30ebBrute Ratel C4: \u8105\u5a01\u30a2\u30af\u30bf\u30fc\u306b\u3088\u308b\u30ec\u30c3\u30c9\u30c1\u30fc\u30e0\u30c4\u30fc\u30eb\u60aa\u7528<\/a><\/li>\n
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u611f\u67d3<\/h2>\n\u6b74\u53f2\u7684\u306bPlugX\u306e\u611f\u67d3\u306f\u30c7\u30b8\u30bf\u30eb\u7f72\u540d\u3055\u308c\u3066\u3044\u308b\u65e2\u77e5\u306e\u4fe1\u983c\u3055\u308c\u305f\u30bd\u30d5\u30c8\u30a6\u30a7\u30a2 \u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u3092\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u3057\u3001\u30a2\u30af\u30bf\u30fc\u304c\u4f5c\u6210\u3057\u305f\u6697\u53f7\u5316\u6e08\u307f\u30da\u30a4\u30ed\u30fc\u30c9\u3092\u30ed\u30fc\u30c9\u3055\u305b\u308b\u3068\u3053\u308d\u304b\u3089\u59cb\u307e\u308a\u307e\u3059\u3002\u3053\u306e\u6280\u8853\u306f2010\u5e74\u304b\u3089\u4f7f\u7528\u3055\u308c\u3066\u304a\u308a\u3001MITRE ATT&CK\u306e\u6280\u8853\u306b\u306f\u300cHijack execution flow DLL-Side loading<\/a> ID: T1574.002 Sub-technique T1574<\/span>\u300d\u3068\u3057\u3066\u8a18\u8f09\u3055\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n\u672c\u4e8b\u4f8b\u3067\u30a2\u30af\u30bf\u30fc\u3089\u306f\u30de\u30eb\u30a6\u30a7\u30a2\u89e3\u6790\/\u30ea\u30d0\u30fc\u30b9 \u30a8\u30f3\u30b8\u30cb\u30a2\u30ea\u30f3\u30b0\u306e\u30b3\u30df\u30e5\u30cb\u30c6\u30a3\u304c\u4f7f\u3046\u300cx64dbg<\/a>\u300d\u3068\u547c\u3070\u308c\u308b\u30dd\u30d4\u30e5\u30e9\u30fc\u306aWindows\u7528\u7121\u6599\u30aa\u30fc\u30d7\u30f3\u30bd\u30fc\u30b9 \u30c7\u30d0\u30c3\u30b0 \u30c4\u30fc\u30eb\u3092\u4e57\u3063\u53d6\u308b\u3053\u3068\u306b\u3057\u305f\u3088\u3046\u3067\u3059\u3002X64dbg\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u306f\u30aa\u30fc\u30d7\u30f3\u30bd\u30fc\u30b9\u958b\u767a\u8005\u306eDuncan Ogilvie\u6c0f\u306b\u3088\u308a\u30c7\u30b8\u30bf\u30eb\u7f72\u540d\u3055\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n\u540c\u30c4\u30fc\u30eb\u306e\u958b\u767a\u8005\u306f\u300164-bit\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u7528\u306ex64\u306832-bit\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u7528\u306ex32\u3068\u3044\u30462\u7a2e\u985e\u306e\u30c7\u30d0\u30c3\u30ac\u30fc\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u3092\u63d0\u4f9b\u3057\u3066\u3044\u307e\u3059\u3002\u79c1\u305f\u3061\u306e\u4e8b\u4f8b\u3067\u306f\u3001x64dbg<\/span>\u306e32-bit\u7248\u30c7\u30d0\u30c3\u30ac\u30fc\u3067\u3042\u308bx32dbg.exe<\/span>\u304c\u4f7f\u308f\u308c\u3066\u3044\u307e\u3057\u305f\u3002<\/p>\nx32dbg.exe<\/span>\u3092\u5b9f\u884c\u3059\u308b\u3068\u3001Microsoft Windows\u306f\u3053\u306e\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u306e\u5b9f\u884c\u306b\u5fc5\u8981\u306a\u4f9d\u5b58\u30d5\u30a1\u30a4\u30eb\u3092\u89e3\u6c7a\u3057\u3088\u3046\u3068\u3057\u307e\u3059\u3002\u3053\u306e\u3055\u3044\u3001\u691c\u7d22\u306f\u305d\u306e\u5834\u6240(\u3064\u307e\u308a\u73fe\u5728\u306e\u4f5c\u696d\u30c7\u30a3\u30ec\u30af\u30c8\u30ea)\u304b\u3089\u59cb\u307e\u308a\u307e\u3059\u3002\u898b\u3064\u304b\u3063\u305f\u3068\u3053\u308d\u3067\u5fc5\u8981\u306a\u30d5\u30a1\u30a4\u30eb\u304c\u30ed\u30fc\u30c9\u30fb\u5b9f\u884c\u3055\u308c\u307e\u3059\u3002<\/p>\nX32bridge.dll<\/span>\u306f\u3001Windows\u306ex32dbg.exe<\/span>\u304c\u4f9d\u5b58\u3057\u3066\u3044\u308bDLL(\u30c0\u30a4\u30ca\u30df\u30c3\u30af\u30ea\u30f3\u30af\u30e9\u30a4\u30d6\u30e9\u30ea)\u30d5\u30a1\u30a4\u30eb\u3067\u3059\u3002\u6b63\u898f\u306ex32bridge.dll<\/span>\u3082\u540c\u3058\u30c7\u30b8\u30bf\u30eb\u7f72\u540d\u304c\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u672c\u4e8b\u4f8b\u3067\u306f\u3001\u3053\u306e\u30d5\u30a1\u30a4\u30eb\u304c\u7f72\u540d\u3055\u308c\u3066\u3044\u307e\u305b\u3093\u3002<\/p>\n\u30ed\u30fc\u30c9\u3055\u308c\u305f\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u30a2\u30af\u30bf\u30fc\u304c\u4f5c\u6210\u3057\u305f\u6697\u53f7\u5316\u30da\u30a4\u30ed\u30fc\u30c9\u30d5\u30a1\u30a4\u30eb\u306ex32bridge.dat (SHA256\uff1ae72e49dc1d95efabc2c12c46f3731f2e20dab715caf58b1be9ca41ec0e172<\/span>)\u3092\u305d\u306e\u5834\u304b\u3089\u691c\u7d22\u3057\u307e\u3059\u3002<\/p>\nX32bridge.dat<\/span>\u306f2021\u5e741\u670822\u65e5\u306bVirusTotal\u306b\u521d\u3081\u3066\u63d0\u51fa\u3055\u308c\u307e\u3057\u305f\u30022022\u5e7412\u670815\u65e5\u73fe\u5728\u306761\u793e\u3042\u308bAV\u30a8\u30f3\u30b8\u30f3\u306e\u3046\u30618\u793e\u306e\u691c\u51fa\u30b9\u30b3\u30a2\u304c\u5b58\u5728\u3057\u3066\u3044\u307e\u3059\u3002\u305f\u3060\u3057\u3069\u306eAV\u30a8\u30f3\u30b8\u30f3\u3082\u540c\u30d5\u30a1\u30a4\u30eb\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u3068\u306f\u8b58\u5225\u3057\u3066\u3044\u307e\u305b\u3093\u3002<\/p>\n\u30e1\u30e2\u30ea\u4e0a\u306b\u30ed\u30fc\u30c9\u30fb\u5fa9\u53f7\u3055\u308c\u305f\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u3001\u30db\u30b9\u30c8\u3068\u63a5\u7d9a\u3055\u308c\u305f\u30ea\u30e0\u30fc\u30d0\u30d6\u30ebUSB\u30c7\u30d0\u30a4\u30b9\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306b\u611f\u67d3\u3055\u305b\u307e\u3059\u3002\u56f31\u306f\u3001x64dbg\u306eDLL\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u3092\u5229\u7528\u3057\u305fPlugX DLL\u306e\u30b5\u30a4\u30c9\u30ed\u30fc\u30c7\u30a3\u30f3\u30b0\u306e\u69d8\u5b50\u3092\u793a\u3057\u3066\u3044\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf1\u306fPlugX]()
\u56f31. x64dbg\u3067PlugX\u306eDLL\u3092\u30b5\u30a4\u30c9\u30ed\u30fc\u30c7\u30a3\u30f3\u30b0\u3059\u308b<\/figcaption><\/figure>\n\u300cx64dbg\u306e\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u300d\u3001\u300c\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u6319\u52d5\u3068\u30de\u30eb\u30a6\u30a7\u30a2PlugX\u3068\u306e\u95a2\u9023\u6027\u300d\u3001\u3053\u308c\u3089\u306f\u3044\u305a\u308c\u30822020\u5e7411\u6708<\/a>\u306bSophos\u304c\u5831\u544a\u3057\u305f\u5185\u5bb9\u3067\u3059\u3002Sophos\u306e\u30d6\u30ed\u30b0\u3067\u306f\u3053\u306e\u30de\u30eb\u30a6\u30a7\u30a2\u3092KilllSomeOne<\/em><\/span>\u3068\u547c\u3093\u3067\u3044\u307e\u3059\u3002\u3053\u306e\u540d\u524d\u306f\u30d0\u30a4\u30ca\u30ea\u306b\u542b\u307e\u308c\u308b\u30d7\u30ed\u30b0\u30e9\u30e0 \u30c7\u30fc\u30bf\u30d9\u30fc\u30b9(PDB)\u306e\u6587\u5b57\u5217\u304b\u3089\u304d\u3066\u3044\u307e\u3059\u3002<\/p>\nSophos\u306f\u3059\u3070\u3089\u3057\u3044\u624b\u8155\u3067\u30b5\u30f3\u30d7\u30eb\u3092\u5206\u6790\u3057\u305f\u306e\u3061\u3001USB\u611f\u67d3\u306b\u3064\u3044\u3066\u3082\u3075\u308c\u3066\u3044\u307e\u3059\u3002\u79c1\u305f\u3061\u306f\u672c\u4e8b\u4f8b\u306e\u30b5\u30f3\u30d7\u30eb\u306e\u6319\u52d5\u304cSophos\u306e\u5831\u544a\u3067\u8aac\u660e\u3055\u308c\u3066\u3044\u308b\u6319\u52d5\u3068\u5408\u81f4\u3059\u308b\u3053\u3068\u3092\u78ba\u8a8d\u3057\u307e\u3057\u305f\u3002\u305d\u3053\u3067\u79c1\u305f\u3061\u306f\u3001USB\u611f\u67d3\u3001\u91ce\u751f(in the wild)\u306eUSB\u4e9c\u7a2e\u3001PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u3068\u306e\u95a2\u9023\u306b\u7126\u70b9\u3092\u5f53\u3066\u3066\u8abf\u67fb\u3092\u62e1\u5927\u3057\u305f\u3044\u3068\u8003\u3048\u307e\u3057\u305f\u3002<\/p>\n
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u6982\u8981<\/h2>\nPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u304cUSB\u30c7\u30d0\u30a4\u30b9\u306b\u30d5\u30a1\u30a4\u30eb\u3092\u96a0\u3059\u6280\u8853\u306b\u306f\u3001\u7279\u5b9a\u306eUnicode\u6587\u5b57\u304c\u4f7f\u308f\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306e\u6280\u8853\u306b\u3088\u3063\u3066Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3084\u30b3\u30de\u30f3\u30c9\u30b7\u30a7\u30eb(cmd.exe<\/span>)\u306bUSB\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u69cb\u9020\u3084\u30d5\u30a1\u30a4\u30eb\u304c\u8868\u793a\u3055\u308c\u306a\u304f\u306a\u308a\u3001\u88ab\u5bb3\u8005\u304b\u3089\u306f\u898b\u3048\u306a\u304f\u306a\u308a\u307e\u3059\u3002<\/p>\n\u3053\u306ePlugX\u30de\u30eb\u30a6\u30a7\u30a2\u304c\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u4f7f\u7528\u3059\u308bUnicode\u6587\u5b57\u306f00A0<\/span>(\u30ce\u30fc\u30d6\u30ec\u30fc\u30af\u30b9\u30da\u30fc\u30b9\u3068\u547c\u3070\u308c\u308b\u7a7a\u767d\u6587\u5b57)\u3067\u3059\u3002\u30ce\u30fc\u30d6\u30ec\u30fc\u30af\u30b9\u30da\u30fc\u30b9\u306f\u3001\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u5185\u306b\u540d\u524d\u306e\u306a\u3044\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3059\u308b\u304b\u308f\u308a\u306b\u3001Windows\u30aa\u30da\u30ec\u30fc\u30c6\u30a3\u30f3\u30b0 \u30b7\u30b9\u30c6\u30e0\u304c\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u540d\u3092\u753b\u9762\u306b\u63cf\u753b\u3059\u308b\u306e\u3092\u9632\u3050\u3053\u3068\u3067\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u96a0\u3057\u307e\u3059\u3002<\/p>\n\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304b\u3089\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u30b3\u30fc\u30c9\u5b9f\u884c\u3092\u5b9f\u73fe\u3059\u308b\u305f\u3081\u306b\u3001USB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u4e0a\u306b\u306fWindows\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8(.lnk<\/span>)\u30d5\u30a1\u30a4\u30eb\u304c\u4f5c\u6210\u3055\u308c\u307e\u3059\u3002\u3053\u306e\u30de\u30eb\u30a6\u30a7\u30a2\u3078\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d1\u30b9\u306b\u306fUnicode\u306e\u7a7a\u767d\u6587\u5b57(\u6539\u884c\u3055\u308c\u306a\u3044\u30b9\u30da\u30fc\u30b9)\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u304c\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u306f\u898b\u308b\u3053\u3068\u304c\u3067\u304d\u307e\u305b\u3093(\u56f32)\u3002<\/p>\n![\"\u753b\u50cf2\u306fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u753b\u9762\u3067\u3059\u3002USB\u30c9\u30e9\u30a4\u30d6\u306e\u30d7\u30ed\u30d1\u30c6\u30a3(TESTDRIVE\u3068\u3044\u3046\u540d\u524d)\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30bf\u30d6\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306e\u56f3\u306b\u306fTarget]()
\u56f32. \u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u30a2\u30af\u30bb\u30b9\u3059\u308bWindows\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u306e\u30d7\u30ed\u30d1\u30c6\u30a3<\/figcaption><\/figure>\n\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3092\u30d0\u30a4\u30ca\u30ea\u30a8\u30c7\u30a3\u30bf\u30fc\u3067\u8868\u793a\u3059\u308b\u3068\u3001\u3053\u306e\u6587\u5b57\u306e16\u9032\u6570\u8868\u8a18\u306f\u56f33\u3067\u30cf\u30a4\u30e9\u30a4\u30c8\u8868\u793a\u3057\u305f\u90e8\u5206\u306b\u306a\u308a\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf3\u306f\u62e1\u5f35ASCII\u6587\u5b57\u3092\u30cf\u30a4\u30e9\u30a4\u30c8\u8868\u793a\u3057\u305f\u30d0\u30a4\u30ca\u30ea\u30a8\u30c7\u30a3\u30bf\u30fc\u306e\u753b\u9762\u3067\u3059\u30022\u7b87\u6240\u3068\u3082\u300c00A0\u300d\u3067\u3059\u3002]()
\u56f33. Windows\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u306e\u30d7\u30ed\u30d1\u30c6\u30a3\u3092\u30d0\u30a4\u30ca\u30ea\u30a8\u30c7\u30a3\u30bf\u30fc\u3067\u8868\u793a\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\nPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306f.lnk<\/span>\u30d5\u30a1\u30a4\u30eb\u306e\u4f5c\u6210\u306bCOM (Component Object Model)\u30a4\u30f3\u30bf\u30fc\u30d5\u30a7\u30fc\u30b9\u3092\u4f7f\u3063\u3066Unicode\u6587\u5b5700A0<\/span>\u3092\u542b\u3081\u307e\u3059\u3002\u3053\u308c\u306f\u30b7\u30a7\u30eb \u30c7\u30b9\u30af\u30c8\u30c3\u30d7\u306e\u30a4\u30f3\u30b9\u30bf\u30f3\u30b9\u3092\u4f5c\u6210\u3057\u3066\u95a2\u9023\u3059\u308bWindows\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3092\u4f5c\u6210\u3059\u308b\u3053\u3068\u3067\u5b9f\u73fe\u3057\u3066\u3044\u307e\u3059\u3002ShellLink::SetArguments<\/span>\u30e1\u30bd\u30c3\u30c9\u3092\u4f7f\u3063\u3066Unicode\u306e\u30ce\u30fc\u30d6\u30ec\u30fc\u30af\u30b9\u30da\u30fc\u30b9\u6587\u5b57\u3092\u542b\u3080\u30b3\u30de\u30f3\u30c9\u30e9\u30a4\u30f3\u5f15\u6570\u3092\u8a2d\u5b9a\u3057\u307e\u3059(\u56f34)\u3002<\/p>\n![\"\u753b\u50cf4\u306fCOM\u306eShellLink\u306e\u30b3\u30de\u30f3\u30c9\u30e9\u30a4\u30f3\u5f15\u6570\u306e\u753b\u9762\u3067\u3059\u3002]()
\u56f34. COM\u306eShellLink::SetArguments<\/span><\/figcaption><\/figure>\n\u6700\u5f8c\u306bShellLink::Save<\/em><\/span>\u30e1\u30bd\u30c3\u30c9\u3067\u3059\u3079\u3066\u306e\u5909\u66f4\u3092\u542b\u3080\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8 \u30d5\u30a1\u30a4\u30eb\u3092\u4fdd\u5b58\u3057\u307e\u3059\u3002<\/p>\n<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u611f\u67d3<\/h2>\nPlugX\u30de\u30eb\u30a6\u30a7\u30a2x32bridge.dll<\/span>\u306fx32bridge.dat<\/span>\u3092\u30ed\u30fc\u30c9\u3057\u307e\u3059\u3002\u3053\u306ex32bridge.dat<\/span>\u304c\u30db\u30b9\u30c8\u306b\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u30a4\u30f3\u30d7\u30e9\u30f3\u30c8\u3092\u884c\u3044\u3001\u30d5\u30ed\u30c3\u30d4\u30fc\u3084\u30b5\u30e0\u30c9\u30e9\u30a4\u30d6\u3001\u30d5\u30e9\u30c3\u30b7\u30e5\u30c9\u30e9\u30a4\u30d6\u306a\u3069\u306e\u30ea\u30e0\u30fc\u30d0\u30d6\u30ebUSB\u30e1\u30c7\u30a3\u30a2\u30c7\u30d0\u30a4\u30b9\u306b\u611f\u67d3\u3055\u305b\u308b\u5f79\u5272\u3092\u62c5\u3044\u307e\u3059\u3002\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30e1\u30c7\u30a3\u30a2\u30c7\u30d0\u30a4\u30b9\u304c\u898b\u3064\u304b\u308b\u3068\u4ee5\u4e0b\u304c\u5b9f\u884c\u3055\u308c\u307e\u3059\u3002<\/p>\n\n- \u6b21\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u69cb\u9020\u3092\u4f5c\u6210\u3057\u307e\u3059\u3002
\n<usb volume><\/em>:\\u00A0\\u00A0\\RECYCLER.BIN\\files<\/span> (\u4f8b: F:\\ \\ \\RECYCLER.BIN\\files<\/em><\/span>)<\/li>\n- \u5404\u30d5\u30a9\u30eb\u30c0\u306bdesktop.ini\u3068\u3044\u3046\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u4f5c\u6210\u3057\u3001\u3053\u306e\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u304c\u30d5\u30a9\u30eb\u30c0\u306b\u30a2\u30a4\u30b3\u30f3\u3092\u6307\u5b9a\u3057\u307e\u3059\u3002\u3053\u306e\u30d5\u30a1\u30a4\u30eb\u306b\u306f\u6b21\u306e\u30c7\u30fc\u30bf\u304c\u542b\u307e\u308c\u307e\u3059\u3002<\/li>\n<\/ol>\n
[.ShellClassInfo]<\/span>IconResource=%systemroot%\\system32\\SHELL32.dll,7<\/span><\/p>\nWindows OS\u306f\u3001\u30c7\u30b9\u30af\u30c8\u30c3\u30d7\u306b\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u3068\u3057\u3066\u8868\u793a\u3059\u308b\u30a2\u30a4\u30b3\u30f3\u753b\u50cf\u3092\u3001\u30d5\u30a1\u30a4\u30eb\u3092\u4f7f\u3063\u3066\u53d6\u5f97\u3059\u308b\u304b\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30d5\u30a1\u30a4\u30eb\u3084\u30d5\u30a9\u30eb\u30c0\u304b\u3089\u53d6\u5f97\u3057\u307e\u3059\u3002Shell32.dll<\/span>\u30d5\u30a1\u30a4\u30eb\u306b\u306f\u30a2\u30a4\u30b3\u30f3\u306e\u30ea\u30b9\u30c8\u3068\u30e6\u30cb\u30fc\u30af\u306a\u756a\u53f7\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002\u4eca\u56de\u306e\u5834\u5408\u3001\u4ee5\u4e0b\u306e\u56f35\u306e\u3088\u3046\u306b\u3001\u30c9\u30e9\u30a4\u30d6\u306e\u30a2\u30a4\u30b3\u30f3\u3068\u6570\u5b57\u306e\u300c7\u300d\u304c\u4f7f\u308f\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf5\u306f\u3001\u30c9\u30e9\u30a4\u30d6\u306e\u30a2\u30a4\u30b3\u30f3\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3001\u9752\u3044\u80cc\u666f\u306b\u7dd1\u306e\u30e9\u30f3\u30d7\u304c\u5149\u3063\u3066\u3044\u308b\u30c9\u30e9\u30a4\u30d6\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u4e0b\u306b\u306f\u300c7\u300d\u3068\u3044\u3046\u6570\u5b57\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\"]()
\u56f35. \u30c9\u30e9\u30a4\u30d6\u30a2\u30a4\u30b3\u30f37<\/figcaption><\/figure>\n\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u6709\u52b9\u306b\u3057\u305f\u72b6\u614b\u3067Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u8868\u793a\u3057\u305f\u5834\u5408\u3001\u3053\u306e\u30c9\u30e9\u30a4\u30d6\u30a2\u30a4\u30b3\u30f3\u304c\u4f7f\u308f\u308c\u3066\u3044\u308b\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u30c9\u30e9\u30a4\u30d6\u3068\u3057\u3066\u8868\u793a\u3055\u308c\u307e\u3059\u3002\u524a\u9664\u3055\u308c\u305f\u5834\u5408\u3001\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u30d5\u30a9\u30eb\u30c0\u3068\u3057\u3066\u8868\u793a\u3055\u308c\u307e\u3059\u3002<\/p>\n
\n- 2\u3064\u3081\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306bRECYLER.BIN<\/span>\u3068\u3044\u3046\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u3092\u4f5c\u6210\u3057\u307e\u3059\u3002\u3053\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u3054\u307f\u7bb1\u3068\u3057\u3066\u6a5f\u80fd\u3057\u307e\u3059\u3002\u3053\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306e\u4e2d\u306b\u306f\u3001files<\/span>\u3068\u3044\u3046\u30b5\u30d6\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304c\u3042\u308a\u3001desktop.ini<\/span>\u3068\u3044\u3046\u30d5\u30a1\u30a4\u30eb\u304c\u96a0\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306edesktop.ini<\/span>\u30d5\u30a1\u30a4\u30eb\u306b\u306f\u3001\u6b21\u306e\u30c7\u30fc\u30bf\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002<\/li>\n<\/ol>\n
[.ShellClassInfo]<\/span><\/p>\nCLSID = {645FF040-5081-101B-9F08-00AA002F954E}<\/span><\/p>\n\u3053\u306eCLSID\u306f\u3001\u4f5c\u6210\u3055\u308c\u305fRECYCLER.BIN<\/span>\u30d5\u30a9\u30eb\u30c0\u306b\u3054\u307f\u7bb1\u306e\u30a2\u30a4\u30b3\u30f3\u3092\u4ed8\u4e0e\u3057\u3001\u3054\u307f\u7bb1\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3068\u3057\u3066\u8868\u793a\u3059\u308b\u3088\u3046\u306bWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306b\u6307\u793a\u3059\u308b\u3082\u306e\u3067\u3059\u3002\u305d\u306e\u69d8\u5b50\u3092\u30b5\u30f3\u30d7\u30eb\u3068\u3057\u3066\u56f311\u306b\u793a\u3057\u307e\u3059\u3002<\/p>\n\n- files<\/span>\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u306b\u306f\u3001PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306ex32dbg.exe<\/span>\u3001\u6697\u53f7\u5316\u3055\u308c\u305f\u30a2\u30af\u30bf\u30fc\u306e .dat<\/span>\u30d5\u30a1\u30a4\u30eb\u3001\u30a2\u30af\u30bf\u30fc\u306e\u60aa\u610f\u306e\u3042\u308bDLL\u306e\u30b3\u30d4\u30fc\u304c\u683c\u7d0d\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u305d\u306e\u4f8b\u3092\u4e0b\u306e\u56f36\u306b\u793a\u3057\u307e\u3059\u3002<\/li>\n<\/ol>\n
![\"\u753b\u50cf6\u306ffiles\u3068\u3044\u3046\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u5185\u3092WinHex\u3067\u95b2\u89a7\u3057\u305f\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002Name(\u540d\u524d)\u3001Extension(\u62e1\u5f35\u5b50)\u3001Size(\u30b5\u30a4\u30ba)\u3001Created(\u4f5c\u6210\u65e5\u6642)\u3001Modified(\u5909\u66f4\u65e5\u6642)\u3001Accessed(\u30a2\u30af\u30bb\u30b9\u65e5)\u3001Attribute(\u5c5e\u6027)\u30011st]()
\u56f36. \u611f\u67d3\u3057\u305fUBS\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092WinHex\u3067\u8868\u793a\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\n\u306a\u304aUSB\u30c7\u30d0\u30a4\u30b9\u3078\u306e\u611f\u67d3\u524d\u306b\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u306b\u3042\u308b\u65e2\u5b58\u306e\u30d5\u30a1\u30a4\u30eb\u3084\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u3001USB\u30c7\u30d0\u30a4\u30b9\u306e2\u756a\u76ee\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306b\u79fb\u52d5\u3055\u308c\u307e\u3059(\u56f37)\u3002<\/p>\n![\"\u753b\u50cf7\u306f\u611f\u67d3\u524d\u306eUSB\u30c7\u30d0\u30a4\u30b9(\u5de6)\u3068\u611f\u67d3\u5f8c\u306eUSB\u30c7\u30d0\u30a4\u30b9(\u53f3)\u306e\u30eb\u30fc\u30c8\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u5de6\u53f3\u306b\u4e26\u3079\u3066\u6bd4\u8f03\u3057\u305f\u3082\u306e\u3067\u3059\u3002]()
\u56f37 \u611f\u67d3\u524d\u306eUSB\u30c7\u30d0\u30a4\u30b9\u3068\u611f\u67d3\u5f8c\u306eUSB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u4e26\u3079\u3066\u6bd4\u8f03\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\n\n- \u611f\u67d3\u3057\u305fUSB\u30c7\u30d0\u30a4\u30b9\u304b\u3089\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u304c\u30af\u30ea\u30c3\u30af\u3055\u308c\u308b\u305f\u3073\u3001PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3092\u8d77\u52d5\u3057\u3001\u305d\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306e\u30d1\u30b9\u3092\u30d1\u30e9\u30e1\u30fc\u30bf\u3068\u3057\u3066\u6e21\u3057\u307e\u3059\u3002\u3053\u308c\u306b\u3088\u308a\u3001\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u5185\u306b\u3042\u308bUSB\u30c7\u30d0\u30a4\u30b9\u4e0a\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3057\u3001\u3055\u3089\u306b\u305d\u306e\u30db\u30b9\u30c8\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306b\u611f\u67d3\u3055\u305b\u307e\u3059\u3002\u88ab\u5bb3\u8005\u306b\u306f\u81ea\u5206\u306e\u30d5\u30a1\u30a4\u30eb\u304c\u898b\u3048\u308b\u306e\u3067\u3001\u3059\u3079\u3066\u4e88\u671f\u3057\u305f\u3068\u304a\u308a\u306b\u52d5\u3044\u3066\u3044\u308b\u3082\u306e\u3068\u601d\u3044\u8fbc\u3093\u3067\u3057\u307e\u3044\u307e\u3059\u3002<\/li>\n<\/ol>\n
\u56f38\u306f\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u304c\u30c7\u30d5\u30a9\u30eb\u30c8\u8a2d\u5b9a(\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3057\u306a\u3044\u8a2d\u5b9a)\u306e\u5834\u5408\u306b\u3001\u611f\u67d3\u3057\u305fUSB\u30e1\u30e2\u30ea\u304c\u88ab\u5bb3\u8005\u304b\u3089\u3069\u306e\u3088\u3046\u306b\u898b\u3048\u308b\u304b\u3092\u793a\u3057\u305f\u3082\u306e\u3067\u3059\u3002<\/p>\n
![\"\u753b\u50cf8\u306f\u611f\u67d3\u3057\u305fUSB\u30c9\u30e9\u30a4\u30d6\u3092\u8868\u793a\u3057\u3066\u3044\u308bWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002\u3053\u3053\u3067\u306f[\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3059\u308b]\u306e\u30aa\u30d7\u30b7\u30e7\u30f3\u304c\u7121\u52b9\u306b\u306a\u3063\u3066\u3044\u307e\u3059\u3002]()
\u56f38. Windows\u306e\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u304c\u611f\u67d3\u3057\u305fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092\u8868\u793a\u3057\u305f\u3068\u3053\u308d\u3002\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u306e\u8868\u793a\u304c\u7121\u52b9\u306e\u72b6\u614b\u3002<\/figcaption><\/figure>\u611f\u67d3\u3057\u305fPlugX USB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u306b\u306f\u30d5\u30a1\u30a4\u30eb\u3084\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u5b58\u5728\u305b\u305a\u3001.lnk<\/span>\u30d5\u30a1\u30a4\u30eb\u304c1\u3064\u3060\u3051\u5b58\u5728\u3057\u3066\u3044\u307e\u3059\u3002<\/p>\n\u56f39\u3067\u306f\u3001\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u304cTESTDRIVE<\/span>\u3068\u306a\u3063\u3066\u3044\u3066\u3001USB\u30c7\u30d0\u30a4\u30b9\u540d\u3068\u4e00\u81f4\u3057\u3066\u3044\u308b\u3053\u3068\u304c\u308f\u304b\u308a\u307e\u3059\u3002\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306e\u5f79\u5272\u306f\u3001\u30db\u30b9\u30c8\u306b\u611f\u67d3\u3057\u3001\u81ea\u8eab\u304c\u30af\u30ea\u30c3\u30af\u3055\u308c\u308b\u305f\u3073\u306bUSB\u30c7\u30d0\u30a4\u30b9\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u79fb\u52d5\u3059\u308b\u3053\u3068\u3067\u3059\u3002\u305f\u3068\u3048\u3070\u56f39\u3067\u53c2\u7167\u3057\u305f\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306b\u306f\u6b21\u306e\u30c7\u30fc\u30bf\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n%comspec% \/q \/c \" \\ \\RECYCLER.BIN\\files\\x32dbg.exe\"<\/span><\/p>\n\u88ab\u5bb3\u8005\u304c\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u3092\u30af\u30ea\u30c3\u30af\u3059\u308b\u3068\u3001USB\u30c7\u30d0\u30a4\u30b9\u4e0a\u306e\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304b\u3089cmd.exe<\/span>\u7d4c\u7531\u3067x32dbg.exe<\/span>\u304c\u8d77\u52d5\u3057\u307e\u3059\u3002\u3053\u308c\u3067\u3053\u306eUSB\u30c7\u30d0\u30a4\u30b9\u3092\u633f\u3057\u305f\u30db\u30b9\u30c8\u306fPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306b\u611f\u67d3\u3057\u305f\u72b6\u614b\u306b\u306a\u308a\u307e\u3059\u3002<\/p>\n[\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3059\u308b]\u3092\u6709\u52b9\u306b\u3057\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u611f\u67d3\u3057\u305fUSB\u30c7\u30d0\u30a4\u30b9\u306e\u5185\u5bb9\u3092\u8868\u793a\u3059\u308b\u3068\u3001\u88ab\u5bb3\u8005\u306b\u306f\u4ee5\u4e0b\u306e\u3088\u3046\u306b\u8868\u793a\u3055\u308c\u307e\u3059(\u56f39)\u3002<\/p>\n![\"\u753b\u50cf9\u306fUSB\u30c9\u30e9\u30a4\u30d6\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002]()
\u56f39 Windows\u306e\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u3067\u611f\u67d3\u3057\u305fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9(\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0)\u3092\u8868\u793a\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\n\u88ab\u5bb3\u8005\u304b\u3089\u898b\u3066\u3001\u6700\u521d\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306e\u4e2d\u8eab\u306f\u4ee5\u4e0b\u306e\u56f310\u306e\u3088\u3046\u306b\u8868\u793a\u3055\u308c\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf10\u306f\u3001\u611f\u67d3\u3057\u305fUSB\u30c9\u30e9\u30a4\u30d6\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3001\u6700\u521d\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u8868\u793a\u3057\u305f\u3068\u3053\u308d\u3067\u3059\u3002\"]()
\u56f310 \u611f\u67d3\u3057\u305fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u8868\u793a\u3057\u305f\u3068\u3053\u308d(1\u3064\u3081\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea)<\/figcaption><\/figure>\nWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306b\u306f\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306e\u307b\u304b\u306b\u3082\u30461\u3064\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304c\u8868\u793a\u3055\u308c\u307e\u3059(\u56f311)\u3002\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3082\u3084\u306f\u308ax32dbg.exe<\/span>\u3092\u8d77\u52d5\u3059\u308b\u3088\u3046\u306b\u306a\u3063\u3066\u304a\u308a\u3001\u5f53\u8a72USB\u30c7\u30d0\u30a4\u30b9\u3092\u633f\u5165\u3055\u308c\u305f\u30db\u30b9\u30c8\u306b\u611f\u67d3\u3057\u307e\u3059\u3002<\/p>\n2\u3064\u3081\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306e\u5185\u5bb9\u3092\u898b\u308b\u3068\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306f\u6b21\u306e\u3088\u3046\u306a\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u69cb\u6210\u3092\u8868\u793a\u3057\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf11\u306f\u611f\u67d3\u3057\u305fUSB\u30c9\u30e9\u30a4\u30d6\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3001\u30b4\u30df\u7bb1\u3092\u88c5\u3063\u305f\u30d5\u30a9\u30eb\u30c0\u304c\u5b58\u5728\u3059\u308b2\u3064\u3081\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u8868\u793a\u3057\u3066\u3044\u307e\u3059\u3002\"]()
\u56f311 \u611f\u67d3\u3057\u305fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u8868\u793a\u3057\u305f\u3068\u3053\u308d(2\u3064\u3081\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea)<\/figcaption><\/figure>\n\u3053\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u306fWindows\u306e\u3054\u307f\u7bb1\u3092\u88c5\u3063\u305fRECYLER.BIN<\/span>\u30d5\u30a9\u30eb\u30c0\u3068\u3001\u611f\u67d3\u6642\u306bUSB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u306b\u5b58\u5728\u3057\u3066\u3044\u305f\u30d5\u30a1\u30a4\u30eb\u3084\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002Windows\u306e\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067RECYLER.BIN<\/span>\u306e\u5185\u5bb9\u3092\u898b\u308b\u3068\u3001\u88ab\u5bb3\u8005\u306b\u306f\u56f312\u306e\u3088\u3046\u306b\u8868\u793a\u3055\u308c\u307e\u3059\u3002<\/p>\n![\"\u753b\u50cf12\u306fRECYCLER.BIN\u30d5\u30a9\u30eb\u30c0\u306e\u4e2d\u8eab\u3092\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u753b\u9762\u3067\u3059\u3002\u5c02\u7528\u30c4\u30fc\u30eb\u3092\u4f7f\u7528\u3057\u306a\u3044\u3068\u691c\u51fa\u3067\u304d\u306a\u3044\u96a0\u3057\u30de\u30eb\u30a6\u30a7\u30a2\u30d5\u30a1\u30a4\u30eb\u304c\u5b58\u5728\u3057\u3066\u3044\u307e\u3059\u3002\"]()
\u56f312. Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u611f\u67d3\u3057\u305fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9(RECYLER.BIN<\/span>\u30d5\u30a9\u30eb\u30c0)\u3092\u8868\u793a\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\nWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306e\u521d\u671f\u8a2d\u5b9a\u306f\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3057\u306a\u3044\u306e\u3067\u3001\u88ab\u5bb3\u8005\u304b\u3089\u306f\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3057\u304b\u898b\u3048\u307e\u305b\u3093(\u56f38)\u3002\u307e\u305f\u3001\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u306e\u8868\u793a\u3092\u6709\u52b9\u306b\u3057\u3066\u3044\u3066\u3082\u3001Windows Explorer\u3084cmd.exe<\/span>\u3067\u306ffiles<\/span>\u30b5\u30d6\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u5b58\u5728\u3059\u308b\u30de\u30eb\u30a6\u30a7\u30a2\u30d5\u30a1\u30a4\u30eb\u306f\u8868\u793a\u3067\u304d\u307e\u305b\u3093\u3002<\/p>\n\u3053\u306e\u60aa\u610f\u306e\u3042\u308b\u30d5\u30a1\u30a4\u30eb\u306f\u3001Unix\u7cfb(*nix)\u306eOS\u4e0a\u304b\u3001\u30d5\u30a9\u30ec\u30f3\u30b8\u30c3\u30af\u30c4\u30fc\u30eb\u3067USB\u30c7\u30d0\u30a4\u30b9\u3092\u30de\u30a6\u30f3\u30c8\u3057\u305f\u5834\u5408\u306b\u306e\u307f\u95b2\u89a7\u3067\u304d\u307e\u3059\u3002\u56f313\u306f\u3001Ubuntu\u3067\u3053\u306eUSB\u30c7\u30d0\u30a4\u30b9\u3092\u30de\u30a6\u30f3\u30c8\u3057\u3066\u30d5\u30a1\u30a4\u30eb\u30de\u30cd\u30fc\u30b8\u30e3\u30fc\u3067\u30d6\u30e9\u30a6\u30ba\u3057\u305f\u3068\u304d\u306e\u69d8\u5b50\u3067\u3059\u3002<\/p>\n![\"\u753b\u50cf13\u306fUbuntu\u306e\u30d5\u30a1\u30a4\u30eb\u30de\u30cd\u30fc\u30b8\u30e3\u30fc\u3067USB\u30c9\u30e9\u30a4\u30d6\u306e\u4e2d\u8eab\u3092\u95b2\u89a7\u3057\u305f\u5834\u5408\u306e\u898b\u3048\u304b\u305f\u3092\u793a\u3057\u305f\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002\"]()
\u56f313. \u611f\u67d3\u3057\u305fUSB\u30c7\u30d0\u30a4\u30b9\u3092Ubuntu\u306e\u30d5\u30a1\u30a4\u30eb\u30de\u30cd\u30fc\u30b8\u30e3\u30fc\u3067\u8868\u793a\u3057\u305f\u3068\u3053\u308d<\/figcaption><\/figure>\n<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u611f\u67d3\u5f8c<\/h2>\n\u540cPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306b\u30db\u30b9\u30c8\u304c\u611f\u67d3\u3059\u308b\u3068\u3001\u30de\u30eb\u30a6\u30a7\u30a2\u306fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092\u7d99\u7d9a\u7684\u306b\u76e3\u8996\u3059\u308b\u3088\u3046\u306b\u306a\u308a\u307e\u3059\u3002\u3079\u3064\u306eUSB\u30c7\u30d0\u30a4\u30b9\u304c\u898b\u3064\u304b\u308c\u3070\u3001\u305d\u306e\u30c7\u30d0\u30a4\u30b9\u306b\u611f\u67d3\u3057\u3001\u611f\u67d3\u5f8c\u306f\u305d\u306eUSB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u306b\u66f8\u304d\u8fbc\u307e\u308c\u3066\u3044\u308b\u65b0\u3057\u3044\u30d5\u30a1\u30a4\u30eb\u3092\u5f53\u8a72USB\u30c7\u30d0\u30a4\u30b9\u5185\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306b\u79fb\u52d5\u3057\u307e\u3059\u3002\u3053\u306eWindows\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306fUSB\u30c7\u30d0\u30a4\u30b9\u306b\u4f3c\u305b\u3066\u3042\u308a\u3001\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u88ab\u5bb3\u8005\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3059\u308b\u306e\u3067\u3001\u88ab\u5bb3\u8005\u306f\u77e5\u3089\u306a\u3044\u3046\u3061\u306b\u30de\u30eb\u30a6\u30a7\u30a2PlugX\u3092\u62e1\u6563\u3057\u7d9a\u3051\u308b\u3053\u3068\u306b\u306a\u308a\u307e\u3059\u3002<\/p>\n
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u4e9c\u7a2e2<\/h2>\n\u3053\u308c\u307e\u3067\u306b\u5f97\u305f\u77e5\u8b58\u304b\u3089\u3001\u91ce\u751f\u3067\u3082\u3053\u308c\u3068\u540c\u69d8\u306ePlugX USB\u611f\u67d3\u30de\u30eb\u30a6\u30a7\u30a2\u304c\u898b\u3089\u308c\u308b\u304b\u3069\u3046\u304b\u304c\u77e5\u308a\u305f\u304f\u306a\u308a\u307e\u3057\u305f\u3002VirusTotal\u306e\u30d5\u30a1\u30a4\u30ebSHA256: 5b496972a86cea66aeecaac6e3f67a92e22f35cd5d2a98d54a2f1218fcd5dfc5<\/span>\u306f\u3001x32bridge.dat<\/span>\u306e\u6319\u52d5(\u5177\u4f53\u7684\u306b\u306f\u3001Sophos\u30d6\u30ed\u30b0\u3067\u8a00\u53ca\u3055\u308c\u3066\u3044\u308bWindows\u30bf\u30b9\u30af \u30b9\u30b1\u30b8\u30e5\u30fc\u30e9\u306e\u30bf\u30b9\u30af\u4f5c\u6210\u3068PDB\u6587\u5b57\u5217\u306e\u4f5c\u6210)\u304c\u4e00\u81f4\u3057\u307e\u3059\u3002<\/p>\n\u3053\u306e\u30d5\u30a1\u30a4\u30eb\u306fWindows x86\u306ePE\u30d5\u30a1\u30a4\u30eb(DLL)\u3067\u3001x32bridge.dat<\/span>\u306e\u30a4\u30f3\u30e1\u30e2\u30ea\u7248\u306b\u76f8\u5f53\u3057\u307e\u3059\u3002\u79c1\u305f\u3061\u306e\u5206\u6790\u3060\u3068\u3001\u30a4\u30f3\u30e1\u30e2\u30ea\u7248\u306e\u5b9f\u884c\u6642\u306e\u6319\u52d5\u306f\u524d\u8ff0\u306ex32bridge.dat<\/span>\u306eUSB\u611f\u67d3\u306e\u3082\u306e\u3068\u540c\u3058\u3067\u3059\u304c\u3001\u3053\u3061\u3089\u306b\u306f\u6a5f\u80fd\u304c1\u3064\u8ffd\u52a0\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u30db\u30b9\u30c8\u30de\u30b7\u30f3\u304b\u3089da520e5<\/span>\u3068\u3044\u3046\u540d\u524d\u306e\u65b0\u3057\u3044\u96a0\u3057USB\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u306b\u30c9\u30ad\u30e5\u30e1\u30f3\u30c8\u3092\u30b3\u30d4\u30fc\u3059\u308b\u6a5f\u80fd\u3067\u3059\u3002<\/p>\n\u5177\u4f53\u7684\u306b\u306f\u3001\u30a4\u30f3\u30e1\u30e2\u30ea\u7248\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u30db\u30b9\u30c8\u30de\u30b7\u30f3\u304b\u3089\u3059\u3079\u3066\u306eAdobe PDF\u30fbMicrosoft Word\u6587\u66f8\u3092\u3053\u306e\u96a0\u3057USB\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u306b\u30b3\u30d4\u30fc\u3057\u307e\u3059\u3002\u4ee5\u4e0b\u306e\u56f314\u306f\u30db\u30b9\u30c8\u304b\u3089\u30b3\u30d4\u30fc\u3055\u308c\u305f\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3068\u30d5\u30a1\u30a4\u30eb\u306e\u30b5\u30f3\u30d7\u30eb\u3067\u3059\u3002<\/p>\n![\"\u753b\u50cf14\u306fF\u30c9\u30e9\u30a4\u30d6\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u4e9c\u7a2e\u304c\u6f0f\u51fa\u3055\u305b\u305f2\u3064\u306e\u30d5\u30a1\u30a4\u30eb\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306e\u753b\u50cf\u306b\u306fName(\u540d\u524d)\u3001Extension(\u62e1\u5f35\u5b50)\u3001Size(\u30b5\u30a4\u30ba)\u3001Created(\u4f5c\u6210\u65e5\u6642)\u3001Modified(\u5909\u66f4\u65e5\u6642)\u3001Accessed(\u30a2\u30af\u30bb\u30b9\u65e5)\u3001Attribute(\u5c5e\u6027)\u30011st]()
\u56f314 \u540cPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u304c\u6f0f\u51fa\u3055\u305b\u305f\u30d5\u30a1\u30a4\u30eb\u304c2\u3064\u8868\u793a\u3055\u308c\u3066\u3044\u308b<\/figcaption><\/figure>\n\u3053\u3061\u3089\u306ePlugX USB\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306f\u3001\u88ab\u5bb3\u8005\u304b\u3089\u7279\u5b9a\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u6f0f\u51fa\u3055\u305b\u3001\u305d\u308c\u3089\u3092\u5f8c\u3067\u53d6\u308a\u51fa\u305b\u308b\u3088\u3046\u306b\u8a2d\u8a08\u3057\u3066\u3042\u308a\u307e\u3059\u3002\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u3053\u308c\u3089\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3068\u30d5\u30a1\u30a4\u30eb\u3092\u4f7f\u3063\u3066\u304a\u3089\u305a\u3001\u3053\u308c\u3089\u304c\u88ab\u5bb3\u8005\u306b\u8868\u793a\u3055\u308c\u308b\u3053\u3068\u3082\u3042\u308a\u307e\u305b\u3093\u3002<\/p>\n
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u3068\u306e\u95a2\u9023\u6027<\/h2>\nUSB\u306e\u611f\u67d3\u306b\u52a0\u3048\u3001x32bridge.dat<\/span>\u3068VirusTotal\u3067\u898b\u3064\u304b\u3063\u305f2\u3064\u3081\u306ePlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306f\u3069\u3061\u3089\u3082\u3001\u30bf\u30fc\u30b2\u30c3\u30c8\u4e0a\u306e\u7279\u5b9a\u306e\u5b9f\u884c\u4e2d\u30d7\u30ed\u30bb\u30b9\u3092\u30c1\u30a7\u30c3\u30af\u3057\u307e\u3059\u3002\u305d\u308c\u3089\u304c\u898b\u3064\u304b\u308c\u3070\u7d42\u4e86\u3055\u305b\u3001\u305d\u308c\u3089\u306e\u5b9f\u884c\u5143\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3082\u524a\u9664\u3057\u307e\u3059\u3002<\/p>\nX32bridge.dat<\/span>\u306fAAM<\/span>\u304b\u3089\u59cb\u307e\u308b\u30d7\u30ed\u30bb\u30b9\u540d\u3092\u63a2\u3057\u51fa\u3057\u3001\u898b\u3064\u304b\u308c\u3070\u305d\u306e\u30d7\u30ed\u30bb\u30b9\u3092\u7d42\u4e86\u3055\u305b\u3001\u540c\u30d7\u30ed\u30bb\u30b9\u306b\u95a2\u9023\u3059\u308b\u7279\u5b9a\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u524a\u9664\u3057\u307e\u3059\u3002Sophos\u306e\u30d6\u30ed\u30b0\u3067\u306f\u300c\u3053\u308c\u306f\u53e4\u3044PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u4e9c\u7a2e\u3092\u524a\u9664\u3059\u308b\u52d5\u4f5c\u3067\u306f\u306a\u3044\u304b\u300d\u3068\u63a8\u6e2c\u3057\u3066\u3044\u307e\u3059\u3002PlugX\u306b\u5e30\u5c5e\u6e08\u307f\u306e\u4ee5\u524d\u306e\u4e9c\u7a2e\u306f\u30d5\u30a1\u30a4\u30eb\u540d\u304cAAM<\/span> (AAM Updates.exe<\/span>\u306a\u3069)\u3067\u59cb\u307e\u3063\u3066\u3044\u307e\u3057\u305f\u3002<\/p>\n\u79c1\u305f\u3061\u304cVirusTotal\u3067\u898b\u3064\u3051\u305f2\u3064\u3081\u306e\u4e9c\u7a2e\u3082\u3053\u306e\u30c1\u30a7\u30c3\u30af\u3092\u884c\u3063\u3066\u3044\u3066\u3001\u3084\u306f\u308aAAM Updates.exe<\/span>\u3092\u542b\u3080\u7279\u5b9a\u30d7\u30ed\u30bb\u30b9\u3092\u30c1\u30a7\u30c3\u30af\u3057\u3066\u3044\u307e\u3057\u305f\u3002\u3055\u3089\u306b\u3001AAM Updates.exe<\/span>\u304c\u898b\u3064\u304b\u3063\u305f\u5834\u5408\u3001AAM UpdatesikB<\/span>\u3068\u3044\u3046\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u524a\u9664\u3057\u307e\u3059\u3002\u3053\u306e\u30d5\u30a9\u30eb\u30c0\u3082\u3084\u306f\u308aPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u30d5\u30a1\u30df\u30ea\u30fc\u3068\u95a2\u9023\u4ed8\u3051\u3089\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\nx32bridge.dat<\/span>\u3068VirusTotal\u3067\u898b\u3064\u304b\u3063\u305f2\u3064\u3081\u306ePlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306f\u3001\u307b\u304b\u306e\u5b9f\u884c\u6642\u306e\u6319\u52d5\u306b\u304f\u308f\u3048\u3066USB\u306e\u611f\u67d3\u65b9\u6cd5\u304c\u540c\u3058\u3067\u3042\u308b\u3053\u3068\u304b\u3089\u3001\u5b9f\u969b\u306bPlugX\u3068\u95a2\u9023\u3057\u3066\u3044\u308b\u3082\u306e\u3068\u7d50\u8ad6\u3067\u304d\u307e\u3059\u3002<\/p>\n<\/a>\u7d50\u8ad6<\/h2>\nPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306f10\u5e74\u4ee5\u4e0a\u524d\u304b\u3089\u4f7f\u308f\u308c\u3066\u304a\u308a\u3001\u6b74\u53f2\u7684\u306b\u306f\u4e2d\u56fd\u306e\u56fd\u5bb6\u652f\u63f4\u578bAPT\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u3068\u5e83\u304f\u95a2\u9023\u3057\u3066\u3044\u307e\u3057\u305f\u3002\u5e74\u304c\u7d4c\u3064\u306b\u3064\u308c\u3001\u540c\u30c4\u30fc\u30eb\u306f\u56fd\u5bb6\u652f\u63f4\u578b\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u304b\u3089\u30e9\u30f3\u30b5\u30e0\u30a6\u30a7\u30a2\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u306b\u81f3\u308b\u3055\u307e\u3056\u307e\u306a\u8105\u5a01\u30b0\u30eb\u30fc\u30d7\u306b\u63a1\u7528\u30fb\u5229\u7528\u3055\u308c\u308b\u3088\u3046\u306b\u306a\u308a\u307e\u3057\u305f\u3002<\/p>\n
PlugX\u306e\u5178\u578b\u7684\u306a\u624b\u53e3\u306f\u3001\u826f\u6027\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u4f7f\u3063\u3066DLL\u30b5\u30a4\u30c9\u30ed\u30fc\u30c7\u30a3\u30f3\u30b0\u3068\u3082\u547c\u3070\u308c\u308b\u30b3\u30fc\u30c9\u5b9f\u884c\u3092\u5b9f\u73fe\u3059\u308b\u3082\u306e\u3067\u3001\u3044\u307e\u3067\u306f\u591a\u304f\u306e\u30bb\u30ad\u30e5\u30ea\u30c6\u30a3\u30d9\u30f3\u30c0\u30fc\u304c\u3053\u306e\u624b\u53e3\u3092\u691c\u51fa\u30fb\u9632\u6b62\u3057\u307e\u3059\u3002\u30a2\u30af\u30bf\u30fc\u304c\u30d5\u30ed\u30c3\u30d4\u30fc\u30c7\u30a3\u30b9\u30af\u3084\u30e1\u30e2\u30ea\u30fc\u30b9\u30c6\u30a3\u30c3\u30af\u3001\u30d5\u30e9\u30c3\u30b7\u30e5\u30c9\u30e9\u30a4\u30d6\u306a\u3069\u306e\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30e1\u30c7\u30a3\u30a2\u306b\u63a5\u7d9a\u3055\u308c\u305fUSB\u30c7\u30d0\u30a4\u30b9\u3001\u305d\u306eUSB\u30c7\u30d0\u30a4\u30b9\u304c\u63a5\u7d9a\u3055\u308c\u305f\u307b\u304b\u306e\u30b7\u30b9\u30c6\u30e0\u306b\u611f\u67d3\u3092\u5e83\u3052\u308b\u6a5f\u80fd\u3092\u8ffd\u52a0\u3057\u305f\u7406\u7531\u306e\u4e00\u90e8\u306f\u3001\u3053\u3046\u3057\u305f\u4e8b\u60c5\u306b\u3042\u3063\u305f\u3068\u8003\u3048\u3089\u308c\u307e\u3059\u3002<\/p>\n
\u540c\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306b\u611f\u67d3\u3057\u305f\u30db\u30b9\u30c8\u306f\u3001\u65b0\u305f\u306a\u611f\u67d3\u5148USB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092\u7d99\u7d9a\u7684\u306b\u76e3\u8996\u3057\u3066\u3044\u307e\u3059\u3002\u307e\u305f\u540cPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u3001\u65ac\u65b0\u306a\u624b\u53e3\u3067\u30a2\u30af\u30bf\u30fc\u306e\u30d5\u30a1\u30a4\u30eb\u3092USB\u30c7\u30d0\u30a4\u30b9\u306b\u96a0\u3057\u3001*nix OS\u4e0a\u304b\u3001\u30d5\u30a9\u30ec\u30f3\u30b8\u30c3\u30af\u30c4\u30fc\u30eb\u3067USB\u30c7\u30d0\u30a4\u30b9\u3092\u30de\u30a6\u30f3\u30c8\u3057\u305f\u5834\u5408\u306b\u306e\u307f\u4e0d\u6b63\u306a\u30d5\u30a1\u30a4\u30eb\u3092\u95b2\u89a7\u3067\u304d\u308b\u3088\u3046\u306b\u3057\u307e\u3059\u3002\u3053\u3046\u3057\u305f\u691c\u51fa\u56de\u907f\u6a5f\u80fd\u306e\u304a\u304b\u3052\u3067\u3001PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u62e1\u6563\u306f\u7d9a\u304d\u3001\u30a8\u30a2\u30ae\u30e3\u30c3\u30d7\u3055\u308c\u305f\u30cd\u30c3\u30c8\u30ef\u30fc\u30af\u306b\u3082\u98db\u3073\u706b\u3059\u308b\u53ef\u80fd\u6027\u304c\u3042\u308a\u307e\u3059\u3002<\/p>\n
\u3055\u3089\u306bVirusTotal\u3067\u306f\u3001\u611f\u67d3\u3057\u305f\u30db\u30b9\u30c8\u306e\u3059\u3079\u3066\u306eAdobe PDF\u30fbMicrosoft Word\u30c9\u30ad\u30e5\u30e1\u30f3\u30c8\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u304c\u4f5c\u6210\u3057\u305fUSB\u30c7\u30d0\u30a4\u30b9\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306b\u30b3\u30d4\u30fc\u3059\u308b\u6a5f\u80fd\u304c\u8ffd\u52a0\u3055\u308c\u305f\u985e\u4f3c\u4e9c\u7a2e\u3082\u898b\u3064\u304b\u3063\u3066\u3044\u307e\u3059\u3002\u3053\u308c\u3089\u30b5\u30f3\u30d7\u30eb\u306e\u767a\u898b\u306f\u3001\u5c11\u306a\u304f\u3068\u3082\u9ad8\u3044\u6280\u8853\u30b9\u30ad\u30eb\u3092\u3082\u3064\u4e00\u90e8\u306e\u653b\u6483\u8005\u306e\u9593\u3067\u306fPlugX\u306e\u958b\u767a\u304c\u7d9a\u3044\u3066\u304a\u308a\u3001\u3053\u308c\u304c\u3044\u307e\u3082\u73fe\u5f79\u306e\u8105\u5a01\u3067\u3042\u308b\u3053\u3068\u3092\u7269\u8a9e\u3063\u3066\u3044\u307e\u3059\u3002<\/p>\n
\u30d1\u30ed\u30a2\u30eb\u30c8\u30cd\u30c3\u30c8\u30ef\u30fc\u30af\u30b9\u88fd\u54c1\u3092\u3054\u5229\u7528\u306e\u304a\u5ba2\u69d8\u306f\u3001\u5f0a\u793e\u306e\u88fd\u54c1\u30fb\u30b5\u30fc\u30d3\u30b9\u306b\u3088\u308a\u672c\u30ad\u30e3\u30f3\u30da\u30fc\u30f3\u306b\u95a2\u9023\u3059\u308b\u4ee5\u4e0b\u306e\u5bfe\u7b56\u304c\u63d0\u4f9b\u3055\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n
\n- Cortex XDR<\/a>\u3092\u304a\u4f7f\u3044\u306e\u304a\u5ba2\u69d8\u306f\u3001\u672c\u7a3f\u3067\u53d6\u308a\u4e0a\u3052\u305f\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u6280\u8853\u304b\u3089\u30a8\u30f3\u30c9\u30dd\u30a4\u30f3\u30c8\u4e0a\u3067\u4fdd\u8b77\u3092\u53d7\u3051\u3066\u3044\u307e\u3059\u3002<\/li>\n
- \u30af\u30e9\u30a6\u30c9\u30d9\u30fc\u30b9\u306e\u8105\u5a01\u5206\u6790\u30b5\u30fc\u30d3\u30b9\u3067\u3042\u308bWildFire<\/a>\u306f\u3001\u672c\u7a3f\u3067\u53d6\u308a\u4e0a\u3052\u305f\u30de\u30eb\u30a6\u30a7\u30a2\u3092\u300c\u60aa\u610f\u306e\u3042\u308b\u3082\u306e(malicious)\u300d\u3068\u3057\u3066\u6b63\u78ba\u306b\u8b58\u5225\u3057\u307e\u3059\u3002<\/li>\n<\/ul>\n
\u4fb5\u5bb3\u306e\u61f8\u5ff5\u304c\u3042\u308a\u5f0a\u793e\u306b\u30a4\u30f3\u30b7\u30c7\u30f3\u30c8\u30ec\u30b9\u30dd\u30f3\u30b9\u306b\u95a2\u3059\u308b\u3054\u76f8\u8ac7\u3092\u306a\u3055\u308a\u305f\u3044\u5834\u5408\u306f\u3001\u3053\u3061\u3089<\/a>\u306e\u554f\u3044\u5408\u308f\u305b\u30d5\u30a9\u30fc\u30e0\u304b\u3089\u3054\u9023\u7d61\u3044\u305f\u3060\u304f\u304b\u3001infojapan@paloaltonetworks.com\u307e\u3067\u96fb\u5b50\u30e1\u30fc\u30eb\u306b\u3066\u3054\u9023\u7d61\u3044\u305f\u3060\u304f\u304b\u3001\u4e0b\u8a18\u306e\u96fb\u8a71\u756a\u53f7\u307e\u3067\u304a\u554f\u3044\u5408\u308f\u305b\u304f\u3060\u3055\u3044(\u3054\u76f8\u8ac7\u306f\u5f0a\u793e\u88fd\u54c1\u306e\u304a\u5ba2\u69d8\u306b\u306f\u9650\u5b9a\u3055\u308c\u307e\u305b\u3093)\u3002<\/p>\n\n- \u5317\u7c73\u30d5\u30ea\u30fc\u30c0\u30a4\u30e4\u30eb: 866.486.4842 (866.4.UNIT42)<\/span><\/li>\n
- \u6b27\u5dde: +31.20.299.3130<\/span><\/li>\n
- \u30a2\u30b8\u30a2\u592a\u5e73\u6d0b: +65.6983.8730<\/span><\/li>\n
- \u65e5\u672c: +81.50.1790.0200<\/span><\/li>\n<\/ul>\n
\u30d1\u30ed\u30a2\u30eb\u30c8\u30cd\u30c3\u30c8\u30ef\u30fc\u30af\u30b9\u306f\u30d5\u30a1\u30a4\u30eb\u30b5\u30f3\u30d7\u30eb\u3084\u4fb5\u5bb3\u306e\u5146\u5019\u306a\u3069\u3092\u3075\u304f\u3080\u3053\u308c\u3089\u306e\u8abf\u67fb\u7d50\u679c\u3092Cyber Threat Alliance (CTA \u30b5\u30a4\u30d0\u30fc\u8105\u5a01\u30a2\u30e9\u30a4\u30a2\u30f3\u30b9) \u306e\u30e1\u30f3\u30d0\u30fc\u3068\u5171\u6709\u3057\u307e\u3057\u305f\u3002CTA \u306e\u30e1\u30f3\u30d0\u30fc\u306f\u3053\u306e\u30a4\u30f3\u30c6\u30ea\u30b8\u30a7\u30f3\u30b9\u3092\u4f7f\u7528\u3057\u3066\u3001\u304a\u5ba2\u69d8\u306b\u4fdd\u8b77\u3092\u8fc5\u901f\u306b\u63d0\u4f9b\u3057\u3001\u60aa\u610f\u306e\u3042\u308b\u30b5\u30a4\u30d0\u30fc\u653b\u6483\u8005\u3092\u4f53\u7cfb\u7684\u306b\u963b\u5bb3\u3067\u304d\u307e\u3059\u3002\u8a73\u7d30\u306b\u3064\u3044\u3066\u306fCyber Threat Alliance<\/a>\u306b\u3066\u3054\u78ba\u8a8d\u304f\u3060\u3055\u3044\uff61<\/p>\n<\/a>Unit 42 \u30de\u30cd\u30fc\u30b8\u30c9 \u30b9\u30ec\u30c3\u30c8 \u30cf\u30f3\u30c6\u30a3\u30f3\u30b0 \u30c1\u30fc\u30e0\u306b\u3088\u308b\u30af\u30a8\u30ea<\/h2>\n<\/p>\n
\/\/ Detecting potential DLL side loading \r\n\r\nconfig case_sensitive = false timeframe = 30d\r\n| dataset = xdr_data \r\n| filter event_type = ENUM.LOAD_IMAGE and action_module_signature_status = 3 and ((action_module_path contains \"mpsvc.dll\" and actor_process_image_name = \"aug.exe\") or (action_module_path contains \"dismcore.dll\" and actor_process_image_name = \"aug.exe\" ) or (action_module_path contains \"\\hex.dll\" and actor_process_image_name = \"SafeGuard.exe\") or (action_module_path contains \"x32bridge.dll\" and actor_process_image_name = \"x32dbg.exe\") or (action_module_path contains \"x32bridge.dll\" and actor_process_image_name = \"Mediae.exe\"))\r\n| comp count() as counter by actor_process_image_path , action_module_path , action_module_sha256 \r\n<\/pre>\n\/\/ Adding registry persistence \r\n\r\nconfig case_sensitive = false timeframe = 30d\r\n| dataset = xdr_data \r\n| filter event_type = ENUM.REGISTRY and event_sub_type = ENUM.REGISTRY_SET_VALUE and action_registry_key_name contains \"Microsoft\\Windows\\CurrentVersion\\Run\" and (action_registry_data contains \"x32dbg.exe\" or action_registry_data contains \"aug.exe\" or action_registry_data contains \"SafeGuard.exe\")\r\n| fields action_registry_data , action_registry_file_path , action_registry_key_name , actor_process_command_line , agent_hostname<\/pre>\n<\/p>\n
<\/p>\n
\/\/ Payload execution with rundll32.exe\r\n\r\nconfig case_sensitive = false timeframe = 30d\r\n| dataset = xdr_data\r\n| filter event_type = ENUM.PROCESS and action_process_image_path contains \"rundll32\" and (action_process_image_command_line contains \"\\akm.dat\" or action_process_image_command_line contains \"\\precious.dat\")\r\n| fields action_process_image_command_line , actor_process_image_command_line , agent_hostname<\/pre>\n<\/p>\n
<\/a>IoC<\/h2>\n<\/a>\u65e2\u77e5\u306ePlugX\u30b5\u30f3\u30d7\u30eb:<\/h3>\n8ec37dac2beaa494dcefec62f0bf4ae30a6ce44b27a588169d8f0476bbc94115
\n<\/span>e72e49dc1d95efabc2c12c46df373173f2e20dab715caf58b1be9ca41ec0e172
\n<\/span>0e9071714a4af0be1f96cffc3b0e58520b827d9e58297cb0e02d97551eca3799
\n<\/span>39280139735145ba6f0918b684ab664a3de7f93b1e3ebcdd071a5300486b8d20
\n<\/span>41a0407371124bcad7cab56227078ccd635ba6e6b4374b973754af96b7f58119
\n<\/span>02aa5b52137410de7cc26747f26e07b65c936d019ee2e1afae268a00e78a1f7f
\n<\/span>2a07877cb53404888e1b6f81bb07a35bc804daa1439317bccde9c498a521644c
\n<\/span>5d98d1193fcbb2479668a24697023829fc9dc1f7d31833c3c42b8380ef859ff1<\/span><\/p>\n<\/a>\u65e2\u77e5\u306e\u30d5\u30a1\u30a4\u30eb\u30c7\u30a3\u30ec\u30af\u30c8\u30ea<\/h3>\nC:\\ProgramData\\UsersDate\\Windows_NT\\Windows\\user\\Desktop\\
\n<\/span>C:\\Users\\Public\\Public Mediae\\
\n<\/span><usb volume>:\\u00A0\\u00A0\\RECYCLER.BIN\\files
\n<\/span><usb volume>:\\u00A0\\u00A0\\RECYCLER.BIN\\files\\da520e5<\/span><\/p>\n<\/a>\u65e2\u77e5\u306eWindows\u30df\u30e5\u30fc\u30c6\u30c3\u30af\u30b9\u540d<\/h3>\nLKU_Test_0.1
\n<\/span>LKU_Test_0.2
\n<\/span>TCP_0.1<\/span><\/p>\n<\/a>\u65e2\u77e5\u306ePlugX\u306e\u6697\u53f7\u5316\u3055\u308c\u305f\u30da\u30a4\u30ed\u30fc\u30c9\u30d5\u30a1\u30a4\u30eb\u540d<\/h3>\nakm.dat
\n<\/span>precious.dat
\n<\/span>x32bridge.dat
\n<\/span>Groza_1.dat<\/span><\/p>\n<\/a>\u65e2\u77e5\u306eWindows\u30b9\u30b1\u30b8\u30e5\u30fc\u30eb\u30bf\u30b9\u30af\u540d<\/h3>\nLKUFORYOU_1
\n<\/span>PRECIOUS_0.1<\/span><\/p>\n<\/a>\u65e2\u77e5\u306eWindows\u30d7\u30ed\u30bb\u30b9\u540d(\u89b3\u6e2c\u6e08\u307f\u306e\u60aa\u7528\u3055\u308c\u305f\u826f\u6027\u30d5\u30a1\u30a4\u30eb)<\/h3>\nx32dbg.exe
\n<\/span>x32dbge.exe
\n<\/span>Mediae.exe
\n<\/span>Aug.exe
\n<\/span>Precious.exe
\n<\/span>SafeGuard.exe
\n<\/span>Dism.exe<\/span><\/p>\n<\/a>MITRE ATT&CK\u306e\u6280\u8853<\/h3>\nATOM PlugX\u30de\u30eb\u30a6\u30a7\u30a2<\/a><\/p>\n<\/a>\u8ffd\u52a0\u30ea\u30bd\u30fc\u30b9<\/h2>\n\n- THOR: PKPLUG\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u306b\u3088\u308bMicrosoft Exchange Server\u653b\u6483\u3067\u5c55\u958b\u3055\u308c\u305f\u672a\u77e5\u306ePlugX\u4e9c\u7a2e<\/a><\/li>\n
- \u30da\u30f3\u30c6\u30b9\u30c8\u30c4\u30fc\u30ebBrute Ratel C4: \u8105\u5a01\u30a2\u30af\u30bf\u30fc\u306b\u3088\u308b\u30ec\u30c3\u30c9\u30c1\u30fc\u30e0\u30c4\u30fc\u30eb\u60aa\u7528<\/a><\/li>\n
\u672c\u4e8b\u4f8b\u3067\u30a2\u30af\u30bf\u30fc\u3089\u306f\u30de\u30eb\u30a6\u30a7\u30a2\u89e3\u6790\/\u30ea\u30d0\u30fc\u30b9 \u30a8\u30f3\u30b8\u30cb\u30a2\u30ea\u30f3\u30b0\u306e\u30b3\u30df\u30e5\u30cb\u30c6\u30a3\u304c\u4f7f\u3046\u300cx64dbg<\/a>\u300d\u3068\u547c\u3070\u308c\u308b\u30dd\u30d4\u30e5\u30e9\u30fc\u306aWindows\u7528\u7121\u6599\u30aa\u30fc\u30d7\u30f3\u30bd\u30fc\u30b9 \u30c7\u30d0\u30c3\u30b0 \u30c4\u30fc\u30eb\u3092\u4e57\u3063\u53d6\u308b\u3053\u3068\u306b\u3057\u305f\u3088\u3046\u3067\u3059\u3002X64dbg\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u306f\u30aa\u30fc\u30d7\u30f3\u30bd\u30fc\u30b9\u958b\u767a\u8005\u306eDuncan Ogilvie\u6c0f\u306b\u3088\u308a\u30c7\u30b8\u30bf\u30eb\u7f72\u540d\u3055\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n \u540c\u30c4\u30fc\u30eb\u306e\u958b\u767a\u8005\u306f\u300164-bit\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u7528\u306ex64\u306832-bit\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u7528\u306ex32\u3068\u3044\u30462\u7a2e\u985e\u306e\u30c7\u30d0\u30c3\u30ac\u30fc\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u3092\u63d0\u4f9b\u3057\u3066\u3044\u307e\u3059\u3002\u79c1\u305f\u3061\u306e\u4e8b\u4f8b\u3067\u306f\u3001x64dbg<\/span>\u306e32-bit\u7248\u30c7\u30d0\u30c3\u30ac\u30fc\u3067\u3042\u308bx32dbg.exe<\/span>\u304c\u4f7f\u308f\u308c\u3066\u3044\u307e\u3057\u305f\u3002<\/p>\n x32dbg.exe<\/span>\u3092\u5b9f\u884c\u3059\u308b\u3068\u3001Microsoft Windows\u306f\u3053\u306e\u30a2\u30d7\u30ea\u30b1\u30fc\u30b7\u30e7\u30f3\u306e\u5b9f\u884c\u306b\u5fc5\u8981\u306a\u4f9d\u5b58\u30d5\u30a1\u30a4\u30eb\u3092\u89e3\u6c7a\u3057\u3088\u3046\u3068\u3057\u307e\u3059\u3002\u3053\u306e\u3055\u3044\u3001\u691c\u7d22\u306f\u305d\u306e\u5834\u6240(\u3064\u307e\u308a\u73fe\u5728\u306e\u4f5c\u696d\u30c7\u30a3\u30ec\u30af\u30c8\u30ea)\u304b\u3089\u59cb\u307e\u308a\u307e\u3059\u3002\u898b\u3064\u304b\u3063\u305f\u3068\u3053\u308d\u3067\u5fc5\u8981\u306a\u30d5\u30a1\u30a4\u30eb\u304c\u30ed\u30fc\u30c9\u30fb\u5b9f\u884c\u3055\u308c\u307e\u3059\u3002<\/p>\n X32bridge.dll<\/span>\u306f\u3001Windows\u306ex32dbg.exe<\/span>\u304c\u4f9d\u5b58\u3057\u3066\u3044\u308bDLL(\u30c0\u30a4\u30ca\u30df\u30c3\u30af\u30ea\u30f3\u30af\u30e9\u30a4\u30d6\u30e9\u30ea)\u30d5\u30a1\u30a4\u30eb\u3067\u3059\u3002\u6b63\u898f\u306ex32bridge.dll<\/span>\u3082\u540c\u3058\u30c7\u30b8\u30bf\u30eb\u7f72\u540d\u304c\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u672c\u4e8b\u4f8b\u3067\u306f\u3001\u3053\u306e\u30d5\u30a1\u30a4\u30eb\u304c\u7f72\u540d\u3055\u308c\u3066\u3044\u307e\u305b\u3093\u3002<\/p>\n \u30ed\u30fc\u30c9\u3055\u308c\u305f\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u30a2\u30af\u30bf\u30fc\u304c\u4f5c\u6210\u3057\u305f\u6697\u53f7\u5316\u30da\u30a4\u30ed\u30fc\u30c9\u30d5\u30a1\u30a4\u30eb\u306ex32bridge.dat (SHA256\uff1ae72e49dc1d95efabc2c12c46f3731f2e20dab715caf58b1be9ca41ec0e172<\/span>)\u3092\u305d\u306e\u5834\u304b\u3089\u691c\u7d22\u3057\u307e\u3059\u3002<\/p>\n X32bridge.dat<\/span>\u306f2021\u5e741\u670822\u65e5\u306bVirusTotal\u306b\u521d\u3081\u3066\u63d0\u51fa\u3055\u308c\u307e\u3057\u305f\u30022022\u5e7412\u670815\u65e5\u73fe\u5728\u306761\u793e\u3042\u308bAV\u30a8\u30f3\u30b8\u30f3\u306e\u3046\u30618\u793e\u306e\u691c\u51fa\u30b9\u30b3\u30a2\u304c\u5b58\u5728\u3057\u3066\u3044\u307e\u3059\u3002\u305f\u3060\u3057\u3069\u306eAV\u30a8\u30f3\u30b8\u30f3\u3082\u540c\u30d5\u30a1\u30a4\u30eb\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u3068\u306f\u8b58\u5225\u3057\u3066\u3044\u307e\u305b\u3093\u3002<\/p>\n \u30e1\u30e2\u30ea\u4e0a\u306b\u30ed\u30fc\u30c9\u30fb\u5fa9\u53f7\u3055\u308c\u305f\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u3001\u30db\u30b9\u30c8\u3068\u63a5\u7d9a\u3055\u308c\u305f\u30ea\u30e0\u30fc\u30d0\u30d6\u30ebUSB\u30c7\u30d0\u30a4\u30b9\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306b\u611f\u67d3\u3055\u305b\u307e\u3059\u3002\u56f31\u306f\u3001x64dbg\u306eDLL\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u3092\u5229\u7528\u3057\u305fPlugX DLL\u306e\u30b5\u30a4\u30c9\u30ed\u30fc\u30c7\u30a3\u30f3\u30b0\u306e\u69d8\u5b50\u3092\u793a\u3057\u3066\u3044\u307e\u3059\u3002<\/p>\n \u300cx64dbg\u306e\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u300d\u3001\u300c\u30cf\u30a4\u30b8\u30e3\u30c3\u30af\u6319\u52d5\u3068\u30de\u30eb\u30a6\u30a7\u30a2PlugX\u3068\u306e\u95a2\u9023\u6027\u300d\u3001\u3053\u308c\u3089\u306f\u3044\u305a\u308c\u30822020\u5e7411\u6708<\/a>\u306bSophos\u304c\u5831\u544a\u3057\u305f\u5185\u5bb9\u3067\u3059\u3002Sophos\u306e\u30d6\u30ed\u30b0\u3067\u306f\u3053\u306e\u30de\u30eb\u30a6\u30a7\u30a2\u3092KilllSomeOne<\/em><\/span>\u3068\u547c\u3093\u3067\u3044\u307e\u3059\u3002\u3053\u306e\u540d\u524d\u306f\u30d0\u30a4\u30ca\u30ea\u306b\u542b\u307e\u308c\u308b\u30d7\u30ed\u30b0\u30e9\u30e0 \u30c7\u30fc\u30bf\u30d9\u30fc\u30b9(PDB)\u306e\u6587\u5b57\u5217\u304b\u3089\u304d\u3066\u3044\u307e\u3059\u3002<\/p>\n Sophos\u306f\u3059\u3070\u3089\u3057\u3044\u624b\u8155\u3067\u30b5\u30f3\u30d7\u30eb\u3092\u5206\u6790\u3057\u305f\u306e\u3061\u3001USB\u611f\u67d3\u306b\u3064\u3044\u3066\u3082\u3075\u308c\u3066\u3044\u307e\u3059\u3002\u79c1\u305f\u3061\u306f\u672c\u4e8b\u4f8b\u306e\u30b5\u30f3\u30d7\u30eb\u306e\u6319\u52d5\u304cSophos\u306e\u5831\u544a\u3067\u8aac\u660e\u3055\u308c\u3066\u3044\u308b\u6319\u52d5\u3068\u5408\u81f4\u3059\u308b\u3053\u3068\u3092\u78ba\u8a8d\u3057\u307e\u3057\u305f\u3002\u305d\u3053\u3067\u79c1\u305f\u3061\u306f\u3001USB\u611f\u67d3\u3001\u91ce\u751f(in the wild)\u306eUSB\u4e9c\u7a2e\u3001PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u3068\u306e\u95a2\u9023\u306b\u7126\u70b9\u3092\u5f53\u3066\u3066\u8abf\u67fb\u3092\u62e1\u5927\u3057\u305f\u3044\u3068\u8003\u3048\u307e\u3057\u305f\u3002<\/p>\n PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u304cUSB\u30c7\u30d0\u30a4\u30b9\u306b\u30d5\u30a1\u30a4\u30eb\u3092\u96a0\u3059\u6280\u8853\u306b\u306f\u3001\u7279\u5b9a\u306eUnicode\u6587\u5b57\u304c\u4f7f\u308f\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306e\u6280\u8853\u306b\u3088\u3063\u3066Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3084\u30b3\u30de\u30f3\u30c9\u30b7\u30a7\u30eb(cmd.exe<\/span>)\u306bUSB\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u69cb\u9020\u3084\u30d5\u30a1\u30a4\u30eb\u304c\u8868\u793a\u3055\u308c\u306a\u304f\u306a\u308a\u3001\u88ab\u5bb3\u8005\u304b\u3089\u306f\u898b\u3048\u306a\u304f\u306a\u308a\u307e\u3059\u3002<\/p>\n \u3053\u306ePlugX\u30de\u30eb\u30a6\u30a7\u30a2\u304c\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u4f7f\u7528\u3059\u308bUnicode\u6587\u5b57\u306f00A0<\/span>(\u30ce\u30fc\u30d6\u30ec\u30fc\u30af\u30b9\u30da\u30fc\u30b9\u3068\u547c\u3070\u308c\u308b\u7a7a\u767d\u6587\u5b57)\u3067\u3059\u3002\u30ce\u30fc\u30d6\u30ec\u30fc\u30af\u30b9\u30da\u30fc\u30b9\u306f\u3001\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u5185\u306b\u540d\u524d\u306e\u306a\u3044\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3059\u308b\u304b\u308f\u308a\u306b\u3001Windows\u30aa\u30da\u30ec\u30fc\u30c6\u30a3\u30f3\u30b0 \u30b7\u30b9\u30c6\u30e0\u304c\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u540d\u3092\u753b\u9762\u306b\u63cf\u753b\u3059\u308b\u306e\u3092\u9632\u3050\u3053\u3068\u3067\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u96a0\u3057\u307e\u3059\u3002<\/p>\n \u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304b\u3089\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u30b3\u30fc\u30c9\u5b9f\u884c\u3092\u5b9f\u73fe\u3059\u308b\u305f\u3081\u306b\u3001USB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u4e0a\u306b\u306fWindows\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8(.lnk<\/span>)\u30d5\u30a1\u30a4\u30eb\u304c\u4f5c\u6210\u3055\u308c\u307e\u3059\u3002\u3053\u306e\u30de\u30eb\u30a6\u30a7\u30a2\u3078\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d1\u30b9\u306b\u306fUnicode\u306e\u7a7a\u767d\u6587\u5b57(\u6539\u884c\u3055\u308c\u306a\u3044\u30b9\u30da\u30fc\u30b9)\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u304c\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u306f\u898b\u308b\u3053\u3068\u304c\u3067\u304d\u307e\u305b\u3093(\u56f32)\u3002<\/p>\n \u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3092\u30d0\u30a4\u30ca\u30ea\u30a8\u30c7\u30a3\u30bf\u30fc\u3067\u8868\u793a\u3059\u308b\u3068\u3001\u3053\u306e\u6587\u5b57\u306e16\u9032\u6570\u8868\u8a18\u306f\u56f33\u3067\u30cf\u30a4\u30e9\u30a4\u30c8\u8868\u793a\u3057\u305f\u90e8\u5206\u306b\u306a\u308a\u307e\u3059\u3002<\/p>\n PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306f.lnk<\/span>\u30d5\u30a1\u30a4\u30eb\u306e\u4f5c\u6210\u306bCOM (Component Object Model)\u30a4\u30f3\u30bf\u30fc\u30d5\u30a7\u30fc\u30b9\u3092\u4f7f\u3063\u3066Unicode\u6587\u5b5700A0<\/span>\u3092\u542b\u3081\u307e\u3059\u3002\u3053\u308c\u306f\u30b7\u30a7\u30eb \u30c7\u30b9\u30af\u30c8\u30c3\u30d7\u306e\u30a4\u30f3\u30b9\u30bf\u30f3\u30b9\u3092\u4f5c\u6210\u3057\u3066\u95a2\u9023\u3059\u308bWindows\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3092\u4f5c\u6210\u3059\u308b\u3053\u3068\u3067\u5b9f\u73fe\u3057\u3066\u3044\u307e\u3059\u3002ShellLink::SetArguments<\/span>\u30e1\u30bd\u30c3\u30c9\u3092\u4f7f\u3063\u3066Unicode\u306e\u30ce\u30fc\u30d6\u30ec\u30fc\u30af\u30b9\u30da\u30fc\u30b9\u6587\u5b57\u3092\u542b\u3080\u30b3\u30de\u30f3\u30c9\u30e9\u30a4\u30f3\u5f15\u6570\u3092\u8a2d\u5b9a\u3057\u307e\u3059(\u56f34)\u3002<\/p>\n \u6700\u5f8c\u306bShellLink::Save<\/em><\/span>\u30e1\u30bd\u30c3\u30c9\u3067\u3059\u3079\u3066\u306e\u5909\u66f4\u3092\u542b\u3080\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8 \u30d5\u30a1\u30a4\u30eb\u3092\u4fdd\u5b58\u3057\u307e\u3059\u3002<\/p>\n PlugX\u30de\u30eb\u30a6\u30a7\u30a2x32bridge.dll<\/span>\u306fx32bridge.dat<\/span>\u3092\u30ed\u30fc\u30c9\u3057\u307e\u3059\u3002\u3053\u306ex32bridge.dat<\/span>\u304c\u30db\u30b9\u30c8\u306b\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u30a4\u30f3\u30d7\u30e9\u30f3\u30c8\u3092\u884c\u3044\u3001\u30d5\u30ed\u30c3\u30d4\u30fc\u3084\u30b5\u30e0\u30c9\u30e9\u30a4\u30d6\u3001\u30d5\u30e9\u30c3\u30b7\u30e5\u30c9\u30e9\u30a4\u30d6\u306a\u3069\u306e\u30ea\u30e0\u30fc\u30d0\u30d6\u30ebUSB\u30e1\u30c7\u30a3\u30a2\u30c7\u30d0\u30a4\u30b9\u306b\u611f\u67d3\u3055\u305b\u308b\u5f79\u5272\u3092\u62c5\u3044\u307e\u3059\u3002\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30e1\u30c7\u30a3\u30a2\u30c7\u30d0\u30a4\u30b9\u304c\u898b\u3064\u304b\u308b\u3068\u4ee5\u4e0b\u304c\u5b9f\u884c\u3055\u308c\u307e\u3059\u3002<\/p>\n [.ShellClassInfo]<\/span>IconResource=%systemroot%\\system32\\SHELL32.dll,7<\/span><\/p>\n Windows OS\u306f\u3001\u30c7\u30b9\u30af\u30c8\u30c3\u30d7\u306b\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u3068\u3057\u3066\u8868\u793a\u3059\u308b\u30a2\u30a4\u30b3\u30f3\u753b\u50cf\u3092\u3001\u30d5\u30a1\u30a4\u30eb\u3092\u4f7f\u3063\u3066\u53d6\u5f97\u3059\u308b\u304b\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30d5\u30a1\u30a4\u30eb\u3084\u30d5\u30a9\u30eb\u30c0\u304b\u3089\u53d6\u5f97\u3057\u307e\u3059\u3002Shell32.dll<\/span>\u30d5\u30a1\u30a4\u30eb\u306b\u306f\u30a2\u30a4\u30b3\u30f3\u306e\u30ea\u30b9\u30c8\u3068\u30e6\u30cb\u30fc\u30af\u306a\u756a\u53f7\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002\u4eca\u56de\u306e\u5834\u5408\u3001\u4ee5\u4e0b\u306e\u56f35\u306e\u3088\u3046\u306b\u3001\u30c9\u30e9\u30a4\u30d6\u306e\u30a2\u30a4\u30b3\u30f3\u3068\u6570\u5b57\u306e\u300c7\u300d\u304c\u4f7f\u308f\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n \u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u6709\u52b9\u306b\u3057\u305f\u72b6\u614b\u3067Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u8868\u793a\u3057\u305f\u5834\u5408\u3001\u3053\u306e\u30c9\u30e9\u30a4\u30d6\u30a2\u30a4\u30b3\u30f3\u304c\u4f7f\u308f\u308c\u3066\u3044\u308b\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u30c9\u30e9\u30a4\u30d6\u3068\u3057\u3066\u8868\u793a\u3055\u308c\u307e\u3059\u3002\u524a\u9664\u3055\u308c\u305f\u5834\u5408\u3001\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u30d5\u30a9\u30eb\u30c0\u3068\u3057\u3066\u8868\u793a\u3055\u308c\u307e\u3059\u3002<\/p>\n [.ShellClassInfo]<\/span><\/p>\n CLSID = {645FF040-5081-101B-9F08-00AA002F954E}<\/span><\/p>\n \u3053\u306eCLSID\u306f\u3001\u4f5c\u6210\u3055\u308c\u305fRECYCLER.BIN<\/span>\u30d5\u30a9\u30eb\u30c0\u306b\u3054\u307f\u7bb1\u306e\u30a2\u30a4\u30b3\u30f3\u3092\u4ed8\u4e0e\u3057\u3001\u3054\u307f\u7bb1\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3068\u3057\u3066\u8868\u793a\u3059\u308b\u3088\u3046\u306bWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306b\u6307\u793a\u3059\u308b\u3082\u306e\u3067\u3059\u3002\u305d\u306e\u69d8\u5b50\u3092\u30b5\u30f3\u30d7\u30eb\u3068\u3057\u3066\u56f311\u306b\u793a\u3057\u307e\u3059\u3002<\/p>\n \u306a\u304aUSB\u30c7\u30d0\u30a4\u30b9\u3078\u306e\u611f\u67d3\u524d\u306b\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u306b\u3042\u308b\u65e2\u5b58\u306e\u30d5\u30a1\u30a4\u30eb\u3084\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306f\u3001USB\u30c7\u30d0\u30a4\u30b9\u306e2\u756a\u76ee\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306b\u79fb\u52d5\u3055\u308c\u307e\u3059(\u56f37)\u3002<\/p>\n \u56f38\u306f\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u304c\u30c7\u30d5\u30a9\u30eb\u30c8\u8a2d\u5b9a(\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3057\u306a\u3044\u8a2d\u5b9a)\u306e\u5834\u5408\u306b\u3001\u611f\u67d3\u3057\u305fUSB\u30e1\u30e2\u30ea\u304c\u88ab\u5bb3\u8005\u304b\u3089\u3069\u306e\u3088\u3046\u306b\u898b\u3048\u308b\u304b\u3092\u793a\u3057\u305f\u3082\u306e\u3067\u3059\u3002<\/p>\n \u56f39\u3067\u306f\u3001\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u304cTESTDRIVE<\/span>\u3068\u306a\u3063\u3066\u3044\u3066\u3001USB\u30c7\u30d0\u30a4\u30b9\u540d\u3068\u4e00\u81f4\u3057\u3066\u3044\u308b\u3053\u3068\u304c\u308f\u304b\u308a\u307e\u3059\u3002\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306e\u5f79\u5272\u306f\u3001\u30db\u30b9\u30c8\u306b\u611f\u67d3\u3057\u3001\u81ea\u8eab\u304c\u30af\u30ea\u30c3\u30af\u3055\u308c\u308b\u305f\u3073\u306bUSB\u30c7\u30d0\u30a4\u30b9\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u79fb\u52d5\u3059\u308b\u3053\u3068\u3067\u3059\u3002\u305f\u3068\u3048\u3070\u56f39\u3067\u53c2\u7167\u3057\u305f\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306b\u306f\u6b21\u306e\u30c7\u30fc\u30bf\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n %comspec% \/q \/c \" \\ \\RECYCLER.BIN\\files\\x32dbg.exe\"<\/span><\/p>\n \u88ab\u5bb3\u8005\u304c\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u3092\u30af\u30ea\u30c3\u30af\u3059\u308b\u3068\u3001USB\u30c7\u30d0\u30a4\u30b9\u4e0a\u306e\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304b\u3089cmd.exe<\/span>\u7d4c\u7531\u3067x32dbg.exe<\/span>\u304c\u8d77\u52d5\u3057\u307e\u3059\u3002\u3053\u308c\u3067\u3053\u306eUSB\u30c7\u30d0\u30a4\u30b9\u3092\u633f\u3057\u305f\u30db\u30b9\u30c8\u306fPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306b\u611f\u67d3\u3057\u305f\u72b6\u614b\u306b\u306a\u308a\u307e\u3059\u3002<\/p>\n [\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3059\u308b]\u3092\u6709\u52b9\u306b\u3057\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067\u611f\u67d3\u3057\u305fUSB\u30c7\u30d0\u30a4\u30b9\u306e\u5185\u5bb9\u3092\u8868\u793a\u3059\u308b\u3068\u3001\u88ab\u5bb3\u8005\u306b\u306f\u4ee5\u4e0b\u306e\u3088\u3046\u306b\u8868\u793a\u3055\u308c\u307e\u3059(\u56f39)\u3002<\/p>\n \u88ab\u5bb3\u8005\u304b\u3089\u898b\u3066\u3001\u6700\u521d\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306e\u4e2d\u8eab\u306f\u4ee5\u4e0b\u306e\u56f310\u306e\u3088\u3046\u306b\u8868\u793a\u3055\u308c\u307e\u3059\u3002<\/p>\n Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306b\u306f\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306e\u307b\u304b\u306b\u3082\u30461\u3064\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304c\u8868\u793a\u3055\u308c\u307e\u3059(\u56f311)\u3002\u3053\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3082\u3084\u306f\u308ax32dbg.exe<\/span>\u3092\u8d77\u52d5\u3059\u308b\u3088\u3046\u306b\u306a\u3063\u3066\u304a\u308a\u3001\u5f53\u8a72USB\u30c7\u30d0\u30a4\u30b9\u3092\u633f\u5165\u3055\u308c\u305f\u30db\u30b9\u30c8\u306b\u611f\u67d3\u3057\u307e\u3059\u3002<\/p>\n 2\u3064\u3081\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306e\u5185\u5bb9\u3092\u898b\u308b\u3068\u3001Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306f\u6b21\u306e\u3088\u3046\u306a\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u69cb\u6210\u3092\u8868\u793a\u3057\u307e\u3059\u3002<\/p>\n \u3053\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u306fWindows\u306e\u3054\u307f\u7bb1\u3092\u88c5\u3063\u305fRECYLER.BIN<\/span>\u30d5\u30a9\u30eb\u30c0\u3068\u3001\u611f\u67d3\u6642\u306bUSB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u306b\u5b58\u5728\u3057\u3066\u3044\u305f\u30d5\u30a1\u30a4\u30eb\u3084\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u304c\u542b\u307e\u308c\u3066\u3044\u307e\u3059\u3002Windows\u306e\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u3067RECYLER.BIN<\/span>\u306e\u5185\u5bb9\u3092\u898b\u308b\u3068\u3001\u88ab\u5bb3\u8005\u306b\u306f\u56f312\u306e\u3088\u3046\u306b\u8868\u793a\u3055\u308c\u307e\u3059\u3002<\/p>\n Windows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u306e\u521d\u671f\u8a2d\u5b9a\u306f\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3057\u306a\u3044\u306e\u3067\u3001\u88ab\u5bb3\u8005\u304b\u3089\u306f\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u3057\u304b\u898b\u3048\u307e\u305b\u3093(\u56f38)\u3002\u307e\u305f\u3001\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u306e\u8868\u793a\u3092\u6709\u52b9\u306b\u3057\u3066\u3044\u3066\u3082\u3001Windows Explorer\u3084cmd.exe<\/span>\u3067\u306ffiles<\/span>\u30b5\u30d6\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u306b\u5b58\u5728\u3059\u308b\u30de\u30eb\u30a6\u30a7\u30a2\u30d5\u30a1\u30a4\u30eb\u306f\u8868\u793a\u3067\u304d\u307e\u305b\u3093\u3002<\/p>\n \u3053\u306e\u60aa\u610f\u306e\u3042\u308b\u30d5\u30a1\u30a4\u30eb\u306f\u3001Unix\u7cfb(*nix)\u306eOS\u4e0a\u304b\u3001\u30d5\u30a9\u30ec\u30f3\u30b8\u30c3\u30af\u30c4\u30fc\u30eb\u3067USB\u30c7\u30d0\u30a4\u30b9\u3092\u30de\u30a6\u30f3\u30c8\u3057\u305f\u5834\u5408\u306b\u306e\u307f\u95b2\u89a7\u3067\u304d\u307e\u3059\u3002\u56f313\u306f\u3001Ubuntu\u3067\u3053\u306eUSB\u30c7\u30d0\u30a4\u30b9\u3092\u30de\u30a6\u30f3\u30c8\u3057\u3066\u30d5\u30a1\u30a4\u30eb\u30de\u30cd\u30fc\u30b8\u30e3\u30fc\u3067\u30d6\u30e9\u30a6\u30ba\u3057\u305f\u3068\u304d\u306e\u69d8\u5b50\u3067\u3059\u3002<\/p>\n \u540cPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306b\u30db\u30b9\u30c8\u304c\u611f\u67d3\u3059\u308b\u3068\u3001\u30de\u30eb\u30a6\u30a7\u30a2\u306fUSB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092\u7d99\u7d9a\u7684\u306b\u76e3\u8996\u3059\u308b\u3088\u3046\u306b\u306a\u308a\u307e\u3059\u3002\u3079\u3064\u306eUSB\u30c7\u30d0\u30a4\u30b9\u304c\u898b\u3064\u304b\u308c\u3070\u3001\u305d\u306e\u30c7\u30d0\u30a4\u30b9\u306b\u611f\u67d3\u3057\u3001\u611f\u67d3\u5f8c\u306f\u305d\u306eUSB\u30c7\u30d0\u30a4\u30b9\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u306b\u66f8\u304d\u8fbc\u307e\u308c\u3066\u3044\u308b\u65b0\u3057\u3044\u30d5\u30a1\u30a4\u30eb\u3092\u5f53\u8a72USB\u30c7\u30d0\u30a4\u30b9\u5185\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306b\u79fb\u52d5\u3057\u307e\u3059\u3002\u3053\u306eWindows\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30d5\u30a1\u30a4\u30eb\u306fUSB\u30c7\u30d0\u30a4\u30b9\u306b\u4f3c\u305b\u3066\u3042\u308a\u3001\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u88ab\u5bb3\u8005\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3059\u308b\u306e\u3067\u3001\u88ab\u5bb3\u8005\u306f\u77e5\u3089\u306a\u3044\u3046\u3061\u306b\u30de\u30eb\u30a6\u30a7\u30a2PlugX\u3092\u62e1\u6563\u3057\u7d9a\u3051\u308b\u3053\u3068\u306b\u306a\u308a\u307e\u3059\u3002<\/p>\n \u3053\u308c\u307e\u3067\u306b\u5f97\u305f\u77e5\u8b58\u304b\u3089\u3001\u91ce\u751f\u3067\u3082\u3053\u308c\u3068\u540c\u69d8\u306ePlugX USB\u611f\u67d3\u30de\u30eb\u30a6\u30a7\u30a2\u304c\u898b\u3089\u308c\u308b\u304b\u3069\u3046\u304b\u304c\u77e5\u308a\u305f\u304f\u306a\u308a\u307e\u3057\u305f\u3002VirusTotal\u306e\u30d5\u30a1\u30a4\u30ebSHA256: 5b496972a86cea66aeecaac6e3f67a92e22f35cd5d2a98d54a2f1218fcd5dfc5<\/span>\u306f\u3001x32bridge.dat<\/span>\u306e\u6319\u52d5(\u5177\u4f53\u7684\u306b\u306f\u3001Sophos\u30d6\u30ed\u30b0\u3067\u8a00\u53ca\u3055\u308c\u3066\u3044\u308bWindows\u30bf\u30b9\u30af \u30b9\u30b1\u30b8\u30e5\u30fc\u30e9\u306e\u30bf\u30b9\u30af\u4f5c\u6210\u3068PDB\u6587\u5b57\u5217\u306e\u4f5c\u6210)\u304c\u4e00\u81f4\u3057\u307e\u3059\u3002<\/p>\n \u3053\u306e\u30d5\u30a1\u30a4\u30eb\u306fWindows x86\u306ePE\u30d5\u30a1\u30a4\u30eb(DLL)\u3067\u3001x32bridge.dat<\/span>\u306e\u30a4\u30f3\u30e1\u30e2\u30ea\u7248\u306b\u76f8\u5f53\u3057\u307e\u3059\u3002\u79c1\u305f\u3061\u306e\u5206\u6790\u3060\u3068\u3001\u30a4\u30f3\u30e1\u30e2\u30ea\u7248\u306e\u5b9f\u884c\u6642\u306e\u6319\u52d5\u306f\u524d\u8ff0\u306ex32bridge.dat<\/span>\u306eUSB\u611f\u67d3\u306e\u3082\u306e\u3068\u540c\u3058\u3067\u3059\u304c\u3001\u3053\u3061\u3089\u306b\u306f\u6a5f\u80fd\u304c1\u3064\u8ffd\u52a0\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u30db\u30b9\u30c8\u30de\u30b7\u30f3\u304b\u3089da520e5<\/span>\u3068\u3044\u3046\u540d\u524d\u306e\u65b0\u3057\u3044\u96a0\u3057USB\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u306b\u30c9\u30ad\u30e5\u30e1\u30f3\u30c8\u3092\u30b3\u30d4\u30fc\u3059\u308b\u6a5f\u80fd\u3067\u3059\u3002<\/p>\n \u5177\u4f53\u7684\u306b\u306f\u3001\u30a4\u30f3\u30e1\u30e2\u30ea\u7248\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u30db\u30b9\u30c8\u30de\u30b7\u30f3\u304b\u3089\u3059\u3079\u3066\u306eAdobe PDF\u30fbMicrosoft Word\u6587\u66f8\u3092\u3053\u306e\u96a0\u3057USB\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u306b\u30b3\u30d4\u30fc\u3057\u307e\u3059\u3002\u4ee5\u4e0b\u306e\u56f314\u306f\u30db\u30b9\u30c8\u304b\u3089\u30b3\u30d4\u30fc\u3055\u308c\u305f\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3068\u30d5\u30a1\u30a4\u30eb\u306e\u30b5\u30f3\u30d7\u30eb\u3067\u3059\u3002<\/p>\n \u3053\u3061\u3089\u306ePlugX USB\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306f\u3001\u88ab\u5bb3\u8005\u304b\u3089\u7279\u5b9a\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u6f0f\u51fa\u3055\u305b\u3001\u305d\u308c\u3089\u3092\u5f8c\u3067\u53d6\u308a\u51fa\u305b\u308b\u3088\u3046\u306b\u8a2d\u8a08\u3057\u3066\u3042\u308a\u307e\u3059\u3002\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u3053\u308c\u3089\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3068\u30d5\u30a1\u30a4\u30eb\u3092\u4f7f\u3063\u3066\u304a\u3089\u305a\u3001\u3053\u308c\u3089\u304c\u88ab\u5bb3\u8005\u306b\u8868\u793a\u3055\u308c\u308b\u3053\u3068\u3082\u3042\u308a\u307e\u305b\u3093\u3002<\/p>\n USB\u306e\u611f\u67d3\u306b\u52a0\u3048\u3001x32bridge.dat<\/span>\u3068VirusTotal\u3067\u898b\u3064\u304b\u3063\u305f2\u3064\u3081\u306ePlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306f\u3069\u3061\u3089\u3082\u3001\u30bf\u30fc\u30b2\u30c3\u30c8\u4e0a\u306e\u7279\u5b9a\u306e\u5b9f\u884c\u4e2d\u30d7\u30ed\u30bb\u30b9\u3092\u30c1\u30a7\u30c3\u30af\u3057\u307e\u3059\u3002\u305d\u308c\u3089\u304c\u898b\u3064\u304b\u308c\u3070\u7d42\u4e86\u3055\u305b\u3001\u305d\u308c\u3089\u306e\u5b9f\u884c\u5143\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3082\u524a\u9664\u3057\u307e\u3059\u3002<\/p>\n X32bridge.dat<\/span>\u306fAAM<\/span>\u304b\u3089\u59cb\u307e\u308b\u30d7\u30ed\u30bb\u30b9\u540d\u3092\u63a2\u3057\u51fa\u3057\u3001\u898b\u3064\u304b\u308c\u3070\u305d\u306e\u30d7\u30ed\u30bb\u30b9\u3092\u7d42\u4e86\u3055\u305b\u3001\u540c\u30d7\u30ed\u30bb\u30b9\u306b\u95a2\u9023\u3059\u308b\u7279\u5b9a\u306e\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u524a\u9664\u3057\u307e\u3059\u3002Sophos\u306e\u30d6\u30ed\u30b0\u3067\u306f\u300c\u3053\u308c\u306f\u53e4\u3044PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u4e9c\u7a2e\u3092\u524a\u9664\u3059\u308b\u52d5\u4f5c\u3067\u306f\u306a\u3044\u304b\u300d\u3068\u63a8\u6e2c\u3057\u3066\u3044\u307e\u3059\u3002PlugX\u306b\u5e30\u5c5e\u6e08\u307f\u306e\u4ee5\u524d\u306e\u4e9c\u7a2e\u306f\u30d5\u30a1\u30a4\u30eb\u540d\u304cAAM<\/span> (AAM Updates.exe<\/span>\u306a\u3069)\u3067\u59cb\u307e\u3063\u3066\u3044\u307e\u3057\u305f\u3002<\/p>\n \u79c1\u305f\u3061\u304cVirusTotal\u3067\u898b\u3064\u3051\u305f2\u3064\u3081\u306e\u4e9c\u7a2e\u3082\u3053\u306e\u30c1\u30a7\u30c3\u30af\u3092\u884c\u3063\u3066\u3044\u3066\u3001\u3084\u306f\u308aAAM Updates.exe<\/span>\u3092\u542b\u3080\u7279\u5b9a\u30d7\u30ed\u30bb\u30b9\u3092\u30c1\u30a7\u30c3\u30af\u3057\u3066\u3044\u307e\u3057\u305f\u3002\u3055\u3089\u306b\u3001AAM Updates.exe<\/span>\u304c\u898b\u3064\u304b\u3063\u305f\u5834\u5408\u3001AAM UpdatesikB<\/span>\u3068\u3044\u3046\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u524a\u9664\u3057\u307e\u3059\u3002\u3053\u306e\u30d5\u30a9\u30eb\u30c0\u3082\u3084\u306f\u308aPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u30d5\u30a1\u30df\u30ea\u30fc\u3068\u95a2\u9023\u4ed8\u3051\u3089\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n x32bridge.dat<\/span>\u3068VirusTotal\u3067\u898b\u3064\u304b\u3063\u305f2\u3064\u3081\u306ePlugX\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306f\u3001\u307b\u304b\u306e\u5b9f\u884c\u6642\u306e\u6319\u52d5\u306b\u304f\u308f\u3048\u3066USB\u306e\u611f\u67d3\u65b9\u6cd5\u304c\u540c\u3058\u3067\u3042\u308b\u3053\u3068\u304b\u3089\u3001\u5b9f\u969b\u306bPlugX\u3068\u95a2\u9023\u3057\u3066\u3044\u308b\u3082\u306e\u3068\u7d50\u8ad6\u3067\u304d\u307e\u3059\u3002<\/p>\n PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306f10\u5e74\u4ee5\u4e0a\u524d\u304b\u3089\u4f7f\u308f\u308c\u3066\u304a\u308a\u3001\u6b74\u53f2\u7684\u306b\u306f\u4e2d\u56fd\u306e\u56fd\u5bb6\u652f\u63f4\u578bAPT\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u3068\u5e83\u304f\u95a2\u9023\u3057\u3066\u3044\u307e\u3057\u305f\u3002\u5e74\u304c\u7d4c\u3064\u306b\u3064\u308c\u3001\u540c\u30c4\u30fc\u30eb\u306f\u56fd\u5bb6\u652f\u63f4\u578b\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u304b\u3089\u30e9\u30f3\u30b5\u30e0\u30a6\u30a7\u30a2\u653b\u6483\u30b0\u30eb\u30fc\u30d7\u306b\u81f3\u308b\u3055\u307e\u3056\u307e\u306a\u8105\u5a01\u30b0\u30eb\u30fc\u30d7\u306b\u63a1\u7528\u30fb\u5229\u7528\u3055\u308c\u308b\u3088\u3046\u306b\u306a\u308a\u307e\u3057\u305f\u3002<\/p>\n PlugX\u306e\u5178\u578b\u7684\u306a\u624b\u53e3\u306f\u3001\u826f\u6027\u306e\u30d5\u30a1\u30a4\u30eb\u3092\u4f7f\u3063\u3066DLL\u30b5\u30a4\u30c9\u30ed\u30fc\u30c7\u30a3\u30f3\u30b0\u3068\u3082\u547c\u3070\u308c\u308b\u30b3\u30fc\u30c9\u5b9f\u884c\u3092\u5b9f\u73fe\u3059\u308b\u3082\u306e\u3067\u3001\u3044\u307e\u3067\u306f\u591a\u304f\u306e\u30bb\u30ad\u30e5\u30ea\u30c6\u30a3\u30d9\u30f3\u30c0\u30fc\u304c\u3053\u306e\u624b\u53e3\u3092\u691c\u51fa\u30fb\u9632\u6b62\u3057\u307e\u3059\u3002\u30a2\u30af\u30bf\u30fc\u304c\u30d5\u30ed\u30c3\u30d4\u30fc\u30c7\u30a3\u30b9\u30af\u3084\u30e1\u30e2\u30ea\u30fc\u30b9\u30c6\u30a3\u30c3\u30af\u3001\u30d5\u30e9\u30c3\u30b7\u30e5\u30c9\u30e9\u30a4\u30d6\u306a\u3069\u306e\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30e1\u30c7\u30a3\u30a2\u306b\u63a5\u7d9a\u3055\u308c\u305fUSB\u30c7\u30d0\u30a4\u30b9\u3001\u305d\u306eUSB\u30c7\u30d0\u30a4\u30b9\u304c\u63a5\u7d9a\u3055\u308c\u305f\u307b\u304b\u306e\u30b7\u30b9\u30c6\u30e0\u306b\u611f\u67d3\u3092\u5e83\u3052\u308b\u6a5f\u80fd\u3092\u8ffd\u52a0\u3057\u305f\u7406\u7531\u306e\u4e00\u90e8\u306f\u3001\u3053\u3046\u3057\u305f\u4e8b\u60c5\u306b\u3042\u3063\u305f\u3068\u8003\u3048\u3089\u308c\u307e\u3059\u3002<\/p>\n \u540c\u30de\u30eb\u30a6\u30a7\u30a2\u4e9c\u7a2e\u306b\u611f\u67d3\u3057\u305f\u30db\u30b9\u30c8\u306f\u3001\u65b0\u305f\u306a\u611f\u67d3\u5148USB\u30ea\u30e0\u30fc\u30d0\u30d6\u30eb\u30c7\u30d0\u30a4\u30b9\u3092\u7d99\u7d9a\u7684\u306b\u76e3\u8996\u3057\u3066\u3044\u307e\u3059\u3002\u307e\u305f\u540cPlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306f\u3001\u65ac\u65b0\u306a\u624b\u53e3\u3067\u30a2\u30af\u30bf\u30fc\u306e\u30d5\u30a1\u30a4\u30eb\u3092USB\u30c7\u30d0\u30a4\u30b9\u306b\u96a0\u3057\u3001*nix OS\u4e0a\u304b\u3001\u30d5\u30a9\u30ec\u30f3\u30b8\u30c3\u30af\u30c4\u30fc\u30eb\u3067USB\u30c7\u30d0\u30a4\u30b9\u3092\u30de\u30a6\u30f3\u30c8\u3057\u305f\u5834\u5408\u306b\u306e\u307f\u4e0d\u6b63\u306a\u30d5\u30a1\u30a4\u30eb\u3092\u95b2\u89a7\u3067\u304d\u308b\u3088\u3046\u306b\u3057\u307e\u3059\u3002\u3053\u3046\u3057\u305f\u691c\u51fa\u56de\u907f\u6a5f\u80fd\u306e\u304a\u304b\u3052\u3067\u3001PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u62e1\u6563\u306f\u7d9a\u304d\u3001\u30a8\u30a2\u30ae\u30e3\u30c3\u30d7\u3055\u308c\u305f\u30cd\u30c3\u30c8\u30ef\u30fc\u30af\u306b\u3082\u98db\u3073\u706b\u3059\u308b\u53ef\u80fd\u6027\u304c\u3042\u308a\u307e\u3059\u3002<\/p>\n \u3055\u3089\u306bVirusTotal\u3067\u306f\u3001\u611f\u67d3\u3057\u305f\u30db\u30b9\u30c8\u306e\u3059\u3079\u3066\u306eAdobe PDF\u30fbMicrosoft Word\u30c9\u30ad\u30e5\u30e1\u30f3\u30c8\u3092PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u304c\u4f5c\u6210\u3057\u305fUSB\u30c7\u30d0\u30a4\u30b9\u306e\u96a0\u3057\u30d5\u30a9\u30eb\u30c0\u306b\u30b3\u30d4\u30fc\u3059\u308b\u6a5f\u80fd\u304c\u8ffd\u52a0\u3055\u308c\u305f\u985e\u4f3c\u4e9c\u7a2e\u3082\u898b\u3064\u304b\u3063\u3066\u3044\u307e\u3059\u3002\u3053\u308c\u3089\u30b5\u30f3\u30d7\u30eb\u306e\u767a\u898b\u306f\u3001\u5c11\u306a\u304f\u3068\u3082\u9ad8\u3044\u6280\u8853\u30b9\u30ad\u30eb\u3092\u3082\u3064\u4e00\u90e8\u306e\u653b\u6483\u8005\u306e\u9593\u3067\u306fPlugX\u306e\u958b\u767a\u304c\u7d9a\u3044\u3066\u304a\u308a\u3001\u3053\u308c\u304c\u3044\u307e\u3082\u73fe\u5f79\u306e\u8105\u5a01\u3067\u3042\u308b\u3053\u3068\u3092\u7269\u8a9e\u3063\u3066\u3044\u307e\u3059\u3002<\/p>\n \u30d1\u30ed\u30a2\u30eb\u30c8\u30cd\u30c3\u30c8\u30ef\u30fc\u30af\u30b9\u88fd\u54c1\u3092\u3054\u5229\u7528\u306e\u304a\u5ba2\u69d8\u306f\u3001\u5f0a\u793e\u306e\u88fd\u54c1\u30fb\u30b5\u30fc\u30d3\u30b9\u306b\u3088\u308a\u672c\u30ad\u30e3\u30f3\u30da\u30fc\u30f3\u306b\u95a2\u9023\u3059\u308b\u4ee5\u4e0b\u306e\u5bfe\u7b56\u304c\u63d0\u4f9b\u3055\u308c\u3066\u3044\u307e\u3059\u3002<\/p>\n \u4fb5\u5bb3\u306e\u61f8\u5ff5\u304c\u3042\u308a\u5f0a\u793e\u306b\u30a4\u30f3\u30b7\u30c7\u30f3\u30c8\u30ec\u30b9\u30dd\u30f3\u30b9\u306b\u95a2\u3059\u308b\u3054\u76f8\u8ac7\u3092\u306a\u3055\u308a\u305f\u3044\u5834\u5408\u306f\u3001\u3053\u3061\u3089<\/a>\u306e\u554f\u3044\u5408\u308f\u305b\u30d5\u30a9\u30fc\u30e0\u304b\u3089\u3054\u9023\u7d61\u3044\u305f\u3060\u304f\u304b\u3001infojapan@paloaltonetworks.com\u307e\u3067\u96fb\u5b50\u30e1\u30fc\u30eb\u306b\u3066\u3054\u9023\u7d61\u3044\u305f\u3060\u304f\u304b\u3001\u4e0b\u8a18\u306e\u96fb\u8a71\u756a\u53f7\u307e\u3067\u304a\u554f\u3044\u5408\u308f\u305b\u304f\u3060\u3055\u3044(\u3054\u76f8\u8ac7\u306f\u5f0a\u793e\u88fd\u54c1\u306e\u304a\u5ba2\u69d8\u306b\u306f\u9650\u5b9a\u3055\u308c\u307e\u305b\u3093)\u3002<\/p>\n \u30d1\u30ed\u30a2\u30eb\u30c8\u30cd\u30c3\u30c8\u30ef\u30fc\u30af\u30b9\u306f\u30d5\u30a1\u30a4\u30eb\u30b5\u30f3\u30d7\u30eb\u3084\u4fb5\u5bb3\u306e\u5146\u5019\u306a\u3069\u3092\u3075\u304f\u3080\u3053\u308c\u3089\u306e\u8abf\u67fb\u7d50\u679c\u3092Cyber Threat Alliance (CTA \u30b5\u30a4\u30d0\u30fc\u8105\u5a01\u30a2\u30e9\u30a4\u30a2\u30f3\u30b9) \u306e\u30e1\u30f3\u30d0\u30fc\u3068\u5171\u6709\u3057\u307e\u3057\u305f\u3002CTA \u306e\u30e1\u30f3\u30d0\u30fc\u306f\u3053\u306e\u30a4\u30f3\u30c6\u30ea\u30b8\u30a7\u30f3\u30b9\u3092\u4f7f\u7528\u3057\u3066\u3001\u304a\u5ba2\u69d8\u306b\u4fdd\u8b77\u3092\u8fc5\u901f\u306b\u63d0\u4f9b\u3057\u3001\u60aa\u610f\u306e\u3042\u308b\u30b5\u30a4\u30d0\u30fc\u653b\u6483\u8005\u3092\u4f53\u7cfb\u7684\u306b\u963b\u5bb3\u3067\u304d\u307e\u3059\u3002\u8a73\u7d30\u306b\u3064\u3044\u3066\u306fCyber Threat Alliance<\/a>\u306b\u3066\u3054\u78ba\u8a8d\u304f\u3060\u3055\u3044\uff61<\/p>\n <\/p>\n <\/p>\n <\/p>\n <\/p>\n 8ec37dac2beaa494dcefec62f0bf4ae30a6ce44b27a588169d8f0476bbc94115 C:\\ProgramData\\UsersDate\\Windows_NT\\Windows\\user\\Desktop\\ LKU_Test_0.1 akm.dat LKUFORYOU_1 x32dbg.exe ATOM PlugX\u30de\u30eb\u30a6\u30a7\u30a2<\/a><\/p>\n![\"\u753b\u50cf1\u306fPlugX](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-1.png\")
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u6982\u8981<\/h2>\n
![\"\u753b\u50cf2\u306fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u753b\u9762\u3067\u3059\u3002USB\u30c9\u30e9\u30a4\u30d6\u306e\u30d7\u30ed\u30d1\u30c6\u30a3(TESTDRIVE\u3068\u3044\u3046\u540d\u524d)\u306e\u30b7\u30e7\u30fc\u30c8\u30ab\u30c3\u30c8\u30bf\u30d6\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306e\u56f3\u306b\u306fTarget](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-2.png\")
![\"\u753b\u50cf3\u306f\u62e1\u5f35ASCII\u6587\u5b57\u3092\u30cf\u30a4\u30e9\u30a4\u30c8\u8868\u793a\u3057\u305f\u30d0\u30a4\u30ca\u30ea\u30a8\u30c7\u30a3\u30bf\u30fc\u306e\u753b\u9762\u3067\u3059\u30022\u7b87\u6240\u3068\u3082\u300c00A0\u300d\u3067\u3059\u3002](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-3.png\")
![\"\u753b\u50cf4\u306fCOM\u306eShellLink\u306e\u30b3\u30de\u30f3\u30c9\u30e9\u30a4\u30f3\u5f15\u6570\u306e\u753b\u9762\u3067\u3059\u3002](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-4.png\")
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u611f\u67d3<\/h2>\n
\n
\n<usb volume><\/em>:\\u00A0\\u00A0\\RECYCLER.BIN\\files<\/span> (\u4f8b: F:\\ \\ \\RECYCLER.BIN\\files<\/em><\/span>)<\/li>\n![\"\u753b\u50cf5\u306f\u3001\u30c9\u30e9\u30a4\u30d6\u306e\u30a2\u30a4\u30b3\u30f3\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3001\u9752\u3044\u80cc\u666f\u306b\u7dd1\u306e\u30e9\u30f3\u30d7\u304c\u5149\u3063\u3066\u3044\u308b\u30c9\u30e9\u30a4\u30d6\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u4e0b\u306b\u306f\u300c7\u300d\u3068\u3044\u3046\u6570\u5b57\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\"](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-5.png\")
\n
\n
![\"\u753b\u50cf6\u306ffiles\u3068\u3044\u3046\u30b5\u30d6\u30d5\u30a9\u30eb\u30c0\u5185\u3092WinHex\u3067\u95b2\u89a7\u3057\u305f\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002Name(\u540d\u524d)\u3001Extension(\u62e1\u5f35\u5b50)\u3001Size(\u30b5\u30a4\u30ba)\u3001Created(\u4f5c\u6210\u65e5\u6642)\u3001Modified(\u5909\u66f4\u65e5\u6642)\u3001Accessed(\u30a2\u30af\u30bb\u30b9\u65e5)\u3001Attribute(\u5c5e\u6027)\u30011st](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-6.png\")
![\"\u753b\u50cf7\u306f\u611f\u67d3\u524d\u306eUSB\u30c7\u30d0\u30a4\u30b9(\u5de6)\u3068\u611f\u67d3\u5f8c\u306eUSB\u30c7\u30d0\u30a4\u30b9(\u53f3)\u306e\u30eb\u30fc\u30c8\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u5de6\u53f3\u306b\u4e26\u3079\u3066\u6bd4\u8f03\u3057\u305f\u3082\u306e\u3067\u3059\u3002](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-7-ja.png\")
\n
![\"\u753b\u50cf8\u306f\u611f\u67d3\u3057\u305fUSB\u30c9\u30e9\u30a4\u30d6\u3092\u8868\u793a\u3057\u3066\u3044\u308bWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002\u3053\u3053\u3067\u306f[\u96a0\u3057\u30d5\u30a1\u30a4\u30eb\u3092\u8868\u793a\u3059\u308b]\u306e\u30aa\u30d7\u30b7\u30e7\u30f3\u304c\u7121\u52b9\u306b\u306a\u3063\u3066\u3044\u307e\u3059\u3002](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-8.png\")
![\"\u753b\u50cf9\u306fUSB\u30c9\u30e9\u30a4\u30d6\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-9.png\")
![\"\u753b\u50cf10\u306f\u3001\u611f\u67d3\u3057\u305fUSB\u30c9\u30e9\u30a4\u30d6\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3001\u6700\u521d\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u8868\u793a\u3057\u305f\u3068\u3053\u308d\u3067\u3059\u3002\"](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-10.png\")
![\"\u753b\u50cf11\u306f\u611f\u67d3\u3057\u305fUSB\u30c9\u30e9\u30a4\u30d6\u306e\u30eb\u30fc\u30c8\u30d5\u30a9\u30eb\u30c0\u3092\u8868\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3001\u30b4\u30df\u7bb1\u3092\u88c5\u3063\u305f\u30d5\u30a9\u30eb\u30c0\u304c\u5b58\u5728\u3059\u308b2\u3064\u3081\u306e\u96a0\u3057\u30c7\u30a3\u30ec\u30af\u30c8\u30ea\u3092\u8868\u793a\u3057\u3066\u3044\u307e\u3059\u3002\"](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-11.png\")
![\"\u753b\u50cf12\u306fRECYCLER.BIN\u30d5\u30a9\u30eb\u30c0\u306e\u4e2d\u8eab\u3092\u793a\u3057\u305fWindows\u30a8\u30af\u30b9\u30d7\u30ed\u30fc\u30e9\u30fc\u306e\u753b\u9762\u3067\u3059\u3002\u5c02\u7528\u30c4\u30fc\u30eb\u3092\u4f7f\u7528\u3057\u306a\u3044\u3068\u691c\u51fa\u3067\u304d\u306a\u3044\u96a0\u3057\u30de\u30eb\u30a6\u30a7\u30a2\u30d5\u30a1\u30a4\u30eb\u304c\u5b58\u5728\u3057\u3066\u3044\u307e\u3059\u3002\"](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-12.png\")
![\"\u753b\u50cf13\u306fUbuntu\u306e\u30d5\u30a1\u30a4\u30eb\u30de\u30cd\u30fc\u30b8\u30e3\u30fc\u3067USB\u30c9\u30e9\u30a4\u30d6\u306e\u4e2d\u8eab\u3092\u95b2\u89a7\u3057\u305f\u5834\u5408\u306e\u898b\u3048\u304b\u305f\u3092\u793a\u3057\u305f\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002\"](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-13.png\")
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u611f\u67d3\u5f8c<\/h2>\n
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2USB\u306e\u4e9c\u7a2e2<\/h2>\n
![\"\u753b\u50cf14\u306fF\u30c9\u30e9\u30a4\u30d6\u306e\u30b9\u30af\u30ea\u30fc\u30f3\u30b7\u30e7\u30c3\u30c8\u3067\u3059\u3002PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u306e\u4e9c\u7a2e\u304c\u6f0f\u51fa\u3055\u305b\u305f2\u3064\u306e\u30d5\u30a1\u30a4\u30eb\u304c\u8868\u793a\u3055\u308c\u3066\u3044\u307e\u3059\u3002\u3053\u306e\u753b\u50cf\u306b\u306fName(\u540d\u524d)\u3001Extension(\u62e1\u5f35\u5b50)\u3001Size(\u30b5\u30a4\u30ba)\u3001Created(\u4f5c\u6210\u65e5\u6642)\u3001Modified(\u5909\u66f4\u65e5\u6642)\u3001Accessed(\u30a2\u30af\u30bb\u30b9\u65e5)\u3001Attribute(\u5c5e\u6027)\u30011st](\"https:\/\/unit42.paloaltonetworks.com\/wp-content\/uploads\/2023\/01\/word-image-126789-14.png\")
<\/a>PlugX\u30de\u30eb\u30a6\u30a7\u30a2\u3068\u306e\u95a2\u9023\u6027<\/h2>\n
<\/a>\u7d50\u8ad6<\/h2>\n
\n
\n
<\/a>Unit 42 \u30de\u30cd\u30fc\u30b8\u30c9 \u30b9\u30ec\u30c3\u30c8 \u30cf\u30f3\u30c6\u30a3\u30f3\u30b0 \u30c1\u30fc\u30e0\u306b\u3088\u308b\u30af\u30a8\u30ea<\/h2>\n
\/\/ Detecting potential DLL side loading \r\n\r\nconfig case_sensitive = false timeframe = 30d\r\n| dataset = xdr_data \r\n| filter event_type = ENUM.LOAD_IMAGE and action_module_signature_status = 3 and ((action_module_path contains \"mpsvc.dll\" and actor_process_image_name = \"aug.exe\") or (action_module_path contains \"dismcore.dll\" and actor_process_image_name = \"aug.exe\" ) or (action_module_path contains \"\\hex.dll\" and actor_process_image_name = \"SafeGuard.exe\") or (action_module_path contains \"x32bridge.dll\" and actor_process_image_name = \"x32dbg.exe\") or (action_module_path contains \"x32bridge.dll\" and actor_process_image_name = \"Mediae.exe\"))\r\n| comp count() as counter by actor_process_image_path , action_module_path , action_module_sha256 \r\n<\/pre>\n
\/\/ Adding registry persistence \r\n\r\nconfig case_sensitive = false timeframe = 30d\r\n| dataset = xdr_data \r\n| filter event_type = ENUM.REGISTRY and event_sub_type = ENUM.REGISTRY_SET_VALUE and action_registry_key_name contains \"Microsoft\\Windows\\CurrentVersion\\Run\" and (action_registry_data contains \"x32dbg.exe\" or action_registry_data contains \"aug.exe\" or action_registry_data contains \"SafeGuard.exe\")\r\n| fields action_registry_data , action_registry_file_path , action_registry_key_name , actor_process_command_line , agent_hostname<\/pre>\n
\/\/ Payload execution with rundll32.exe\r\n\r\nconfig case_sensitive = false timeframe = 30d\r\n| dataset = xdr_data\r\n| filter event_type = ENUM.PROCESS and action_process_image_path contains \"rundll32\" and (action_process_image_command_line contains \"\\akm.dat\" or action_process_image_command_line contains \"\\precious.dat\")\r\n| fields action_process_image_command_line , actor_process_image_command_line , agent_hostname<\/pre>\n
<\/a>IoC<\/h2>\n
<\/a>\u65e2\u77e5\u306ePlugX\u30b5\u30f3\u30d7\u30eb:<\/h3>\n
\n<\/span>e72e49dc1d95efabc2c12c46df373173f2e20dab715caf58b1be9ca41ec0e172
\n<\/span>0e9071714a4af0be1f96cffc3b0e58520b827d9e58297cb0e02d97551eca3799
\n<\/span>39280139735145ba6f0918b684ab664a3de7f93b1e3ebcdd071a5300486b8d20
\n<\/span>41a0407371124bcad7cab56227078ccd635ba6e6b4374b973754af96b7f58119
\n<\/span>02aa5b52137410de7cc26747f26e07b65c936d019ee2e1afae268a00e78a1f7f
\n<\/span>2a07877cb53404888e1b6f81bb07a35bc804daa1439317bccde9c498a521644c
\n<\/span>5d98d1193fcbb2479668a24697023829fc9dc1f7d31833c3c42b8380ef859ff1<\/span><\/p>\n<\/a>\u65e2\u77e5\u306e\u30d5\u30a1\u30a4\u30eb\u30c7\u30a3\u30ec\u30af\u30c8\u30ea<\/h3>\n
\n<\/span>C:\\Users\\Public\\Public Mediae\\
\n<\/span><usb volume>:\\u00A0\\u00A0\\RECYCLER.BIN\\files
\n<\/span><usb volume>:\\u00A0\\u00A0\\RECYCLER.BIN\\files\\da520e5<\/span><\/p>\n<\/a>\u65e2\u77e5\u306eWindows\u30df\u30e5\u30fc\u30c6\u30c3\u30af\u30b9\u540d<\/h3>\n
\n<\/span>LKU_Test_0.2
\n<\/span>TCP_0.1<\/span><\/p>\n<\/a>\u65e2\u77e5\u306ePlugX\u306e\u6697\u53f7\u5316\u3055\u308c\u305f\u30da\u30a4\u30ed\u30fc\u30c9\u30d5\u30a1\u30a4\u30eb\u540d<\/h3>\n
\n<\/span>precious.dat
\n<\/span>x32bridge.dat
\n<\/span>Groza_1.dat<\/span><\/p>\n<\/a>\u65e2\u77e5\u306eWindows\u30b9\u30b1\u30b8\u30e5\u30fc\u30eb\u30bf\u30b9\u30af\u540d<\/h3>\n
\n<\/span>PRECIOUS_0.1<\/span><\/p>\n<\/a>\u65e2\u77e5\u306eWindows\u30d7\u30ed\u30bb\u30b9\u540d(\u89b3\u6e2c\u6e08\u307f\u306e\u60aa\u7528\u3055\u308c\u305f\u826f\u6027\u30d5\u30a1\u30a4\u30eb)<\/h3>\n
\n<\/span>x32dbge.exe
\n<\/span>Mediae.exe
\n<\/span>Aug.exe
\n<\/span>Precious.exe
\n<\/span>SafeGuard.exe
\n<\/span>Dism.exe<\/span><\/p>\n<\/a>MITRE ATT&CK\u306e\u6280\u8853<\/h3>\n
<\/a>\u8ffd\u52a0\u30ea\u30bd\u30fc\u30b9<\/h2>\n
\n