Contents

• イントロダクション
• 主なターゲット
  • 影響を受ける業界
  • 地理的焦点
• 感染連鎖
• 初期の調査結果
  • おとり文書の調査
• テクニカル分析
  • ステージ1 – 初回配送
    • パスA：LNKベースの実行
    • パスB：実行可能ファイルベースの配信
  • ステージ2 – スクリプトベースのドロッパーチェーン
  • ステージ3 – RUSTCLOAK（ラストローダー）
  • ステージ4 – AZUREVEIL（Adaptix C2エージェント）
• インフラストラクチャとアトリビューション
• 結論
• SEQRITE 保護性能
• 侵害の兆候（IOC）
• MITRE ATT&CK マッピング
• 著者

イントロダクション

その Seqrite APTチームは、世界中の脅威を積極的に追跡しています。最近の分析において、チェコ共和国と台湾の政府関係者および市民を標的としたスピアフィッシング攻撃を特定しました。攻撃に使用されたのは、1つの誘引文書と複数の関連資料のみで、これらのファイルは公式文書に酷似しており、攻撃対象地域がこれらの地域に特化していることを強く示唆しています。

攻撃はZIPファイルによる添付ファイルから始まります。解凍すると、アーカイブには一見正規のファイルに見える複数のファイルが含まれていますが、これらは実際にはバックグラウンドで悪意のあるペイロードを実行するように設計された、構造化された感染チェーンの一部です。

このブログでは、感染プロセス全体を詳細に解説し、攻撃者がペイロードを実行するために使用する2つの異なる配信経路について説明します。また、Microsoft Azure Blob Storageなどの信頼できるサービスがコマンド＆コントロール通信に悪用される方法や、Adaptixエージェントがデータ漏洩やリモート制御に使用される方法についても検証します。

さらに、ペイロードを保護するために使用されている多層暗号化と、それが攻撃者の検出回避にどのように役立っているかを分析します。このブログでは、侵害の主要な指標（IOC）を紹介し、分析から得られた重要な発見を強調するとともに、観測された挙動をMITRE ATT&CKの手法にマッピングすることで、この攻撃キャンペーンが中国関連の脅威アクターによるものであることを裏付けます。

主なターゲット

影響を受ける業界

• 政府および公共部門
• 研究と学術
• テクノロジーとソフトウェア
• 金融

地理的焦点

• チェコ
• Taiwan

感染連鎖

初期の調査結果

継続的な脅威監視活動の一環として、 SEQRITE ラボチームは、疑わしいZIPアーカイブを特定しました。 threat intelライジェンスプラットフォーム VirusTotalの.

入手可能なテレメトリデータに基づくと、このファイルは2026年3月26日に台湾から最初に送信された。この最初の送信は、キャンペーンが最初に確認された、あるいは積極的に標的とされた地域を示す可能性のある重要な手がかりとなる。

抽出したZIPアーカイブの内容を分析した結果、疑わしいファイルをいくつか特定しました。その中には、という名前のフォルダも含まれています。 データ、PDF 文書を装ったショートカット ファイル 計スケート申請審查結果通知單.pdf.lnk、および正規のファイルを装った実行可能ファイル _計スケート申請審查結果通知單.exe です。ファイル名を翻訳すると、 「プロジェクト申請審査結果通知」 公式文書に見せかけようとする意図がうかがえる。ファイル名は台湾でよく使われる繁体字中国語で書かれており、このキャンペーンが台湾のユーザーをターゲットにしていることをさらに示唆している。

データフォルダの内容を分析した結果、暗号化されたペイロードコンテナ（1.datとCom.dat）、スクリプトファイル（Profile.ps1とempty.vbs）、サイドローディングに使用される悪意のあるDLL（UnityPlayer.dll）、被害者の注意をそらすために使用されるおとりPDFファイルなど、感染チェーンのさまざまな段階に関与する複数のファイルが見つかりました。

実行ファイルを分析した結果、チェコ共和国の公式文書に似せた偽の文書が生成されることが分かりました。この文書については後ほどブログで詳しく分析しますが、その存在は、今回のキャンペーンがチェコの政府関係者も標的にしていることを示唆しています。

おとり文書の調査

ZIPアーカイブの内容を調べたところ、data/フォルダ内に000b67d70f3876965bb09fd37164b7.pdfという名前の偽装文書を発見しました。さらに、メイン実行ファイル_計畫申請審查結果通知單.exeを解析したところ、バイナリ自体の中に別の偽装文書が埋め込まれていることが判明しました。一見すると、両方の文書は名前が似ているように見えますが、内容は異なります。

文書1：データフォルダ内に誘引物が見つかりました

ファイル「000b67d70f3876965bb09fd37164b7.pdf」はdata/フォルダ内で検出され、キー0xBEを用いた1バイトXOR演算で暗号化されています。復号化の結果、この文書は中国語で書かれており、WPS PDFソフトウェアの広告に関する内容が含まれていることが判明しました。実行ファイルに埋め込まれたおとり文書と類似した命名パターンを持っていますが、このファイルは感染経路のどの段階でも参照または使用されていません。

これは、この文書が攻撃者によって意図せず含まれた可能性があり、おそらく別の攻撃キャンペーンの残骸として、おとりとして利用された可能性があることを示唆している。

文書 2: _計究申請審查結果通知單.exe 内に埋め込まれたおとり

偽ファイルは実行ファイル_計畫申請審查結果通知單.exe内に埋め込まれており、実行中に被害者に表示される文書です。文書名は000b67d70f3876965bb09fd37164b7ccrezervaci.pdfで、ハッシュのような文字列とチェコ語の単語（「rezervaci」）を組み合わせたものです。この文書はチェコ語で書かれており、チェコ社会保障局（ČSSZ）からの予約通知のように見えます。おそらく公式ウェブサイトcssz.czから取得されたものと思われます。文書には、特定の人物の予約などの詳細が含まれています。 ズザナ・コシュコヴァ 2026年3月16日に、本物の政府発行文書のように見せかける。

文書の最終セクションでは、受取人に対し、オフィス到着後の手順に関する追加の指示が記載されています。提供された識別コードを使用して整理番号を取得する方法、および通常の予約手続きと同様に順番を待つよう指示されています。

この文書には、予約の管理やキャンセルを行うためのチェコ社会保障庁（ČSSZ）の公式ウェブサイトへのリンクも含まれています。これは、元のウェブサイトをPDFとして保存または印刷して作成されたものと思われます。

次のセクションでは、このキャンペーンの技術的な側面について詳しく見ていきます。

テクニカル分析

ZIPファイルの内容を調べているうちに、興味深いことに気づいた。 二つの方法 感染経路は最終的に、被害者が最初にどのファイルにアクセスしたかに応じて、ペイロードを含む悪意のあるDLLファイルをサイドロードすることになる。

パスAでは感染は、被害者が悪意のある LNK ファイル「計畫申請審查結果通知單.pdf.lnk」をクリックしたときに始まります。この操作により、VBScript (empty.vbs) が静かにトリガーされ、次に PowerShell スクリプト (Profile.ps1) が起動されます。PowerShell スクリプトは、 1.dat復号化されたコンテンツをRuntimeBroker_update.exeとして書き込み、それを実行します。

パスBでは被害者は直接 _計畫申請審查結果通知單.exe を実行します。この実行ファイルは自己完結型の Rust ベースのドロッパーとして機能し、必要なコンポーネントをすべて独自に抽出した後、同じ RuntimeBroker_update.exe を起動します。

最初のステップは異なりますが、どちらの経路も最終的には同じ段階に到達します。RuntimeBroker_update.exe は DLL サイドローディングを使用して悪意のある UnityPlayer.dll をロードし、その結果、Rust ベースのローダーが実行されます。 ラストクロークこのローダーは、最終的なペイロードを復号化して実行します。 アズールヴェイルAdaptix C2エージェント。

ステージ1 – 初回配送

パスA：LNKベースの実行

1 つ目の配信方法は、計究申請審查結果通知單.pdf.lnk という名前の悪意のある Windows ショートカット ファイルで始まり、これは「プロジェクト申請審査結果通知.pdf」に変換されます。二重拡張子の使用 (.pdf.lnk) は意図的なもので、ファイルを通常の PDF 文書のように見せるためのものです。

LNKファイルは、Windowsシステムディレクトリからwscript.exeを実行するように設定されており、引数として.\data\empty.vbsを渡します。ショートカットはPDFを開く代わりに、バックグラウンドでこのVBScriptファイルを静かに実行します。同時に、Microsoft Edgeのアイコンを使用して、通常のドキュメントのように表示します。

パスB：実行可能ファイルベースの配信

2つ目の配信方法は、_計畫申請審查結果通知單.exe という名前の Rust コンパイル済み実行ファイルを使用します。このファイルは完全なドロッパーとして機能し、必要なコンポーネントがすべて内部に組み込まれているため、ZIP アーカイブ内の外部ファイルに依存しません。

動的解析の結果、このバイナリは複数の動作を独自に実行していることが判明しました。まず、%LOCALAPPDATA%\WebViewFixUtility にディレクトリを作成し、そこにファイルを保存しています。次に、BrowserViewUtility.exe（サイドローディングに使用される正規の実行ファイル）、悪意のある UnityPlayer.dll（RUSTCLOAK）、暗号化された設定ファイル、偽のドキュメント（000b67d70f3876965bb09fd37164b7ccrezervaci.pdf）、RuntimeBroker_update.exe など、複数のコンポーネントをドロップします。

ステージ2 – スクリプトベースのドロッパーチェーン

パスB 内部で全てを処理するので、ここからは パスAこれは、empty.vbs、Profile.ps1、および1.datという3つの追加コンポーネントを介して実行されるスクリプトベースのチェーンです。これらの各コンポーネントは、最終的なバイナリであるRuntimeBroker_update.exeの準備と実行において役割を果たし、このバイナリは後でDLLのサイドローディングに使用されます。

被害者がLNKファイルをクリックすると、 empty.vbs が実行されると、スクリプトベースの処理チェーンが開始されます。この処理フローはバックグラウンドで静かに実行され、ユーザーに不審な動作を一切表示することなく、あるコンポーネントから次のコンポーネントへと制御が渡されます。

VBスクリプトを分析した結果、これはPowerShellを使用してProfile.ps1を起動するという単一の目的を持つ非常に小さなVBスクリプトであることがわかりました。実行ポリシーバイパスを有効にした状態で、非表示ウィンドウでPowerShellを実行するため、ユーザーには何も表示されません。スクリプト自体には実際のロジックは含まれておらず、単に次の段階への橋渡しとして機能します。

感染チェーンの主要なロジックはProfile.ps1によって処理されます。このスクリプトは次のように記述します。 1.dat データ/ フォルダをハードコードされたキー P@ssw0rd_am_2026 との単純な XOR 演算を使用して復号します。復号後、ファイルは次のようになります。 RuntimeBroker_update.exeそして、それはディスクに書き込まれる。

このスクリプトは、UnityPlayer.dllとCom.datを%TEMP%ディレクトリに移動して、必要なコンポーネントがすべて同じ場所に配置されるようにします。準備が整うと、バックグラウンドでRuntimeBroker_update.exeを実行し、ユーザーの注意をそらすためのダミー文書を開きます。

ファイル1.datは通常の実行ファイルではありません。これはRuntimeBroker_update.exeを格納するXOR暗号化コンテナです。暗号化は単純で短いキーを使用しており、おそらく基本的な検出を回避するためでしょう。Profile.ps1によって復号化されると、実際の実行ファイルRuntimeBroker_update.exeがドロップされ、実行されます。

前述のとおり、このキャンペーンでは、被害者がアーカイブとどのようにやり取りするかによって、2つの異なる侵入経路が使用されます。どちらの経路も最終的には同じペイロードであるRuntimeBroker_update.exeを配信しますが、その方法は異なります。経路Aは、被害者がLNKファイルをクリックしたときに開始される、複数ステップのスクリプトベースのチェーンに従いますが、経路Bは自己完結型であり、被害者は実行ファイルを実行するだけで済みます。

ステージ3 – RUSTCLOAK（ラストローダー）

両方のパスはここで合流し、RuntimeBroker_update.exeが実行されます。Windowsはまず、同じフォルダ内でUnityPlayer.dllを探します。攻撃者はこの仕組みを利用し、同じフォルダに悪意のあるUnityPlayer.dllを配置します。そのため、Windowsは正規のDLLではなく、攻撃者のDLLを読み込んでしまいます。

このDLLはRUSTCLOAKと呼ばれ、実行チェーンを継続し、最終ペイロードを準備する役割を担うRustベースのローダーです。

開発者向け成果物

分析中に得られた重要な発見の1つは、 ラストクローク これは、攻撃者による運用上のセキュリティミスでした。RustのビルドパスC:\Users\dell2\.cargo\registry\src\index.crates.io-1949cf8c6b5b557f\src\decrypt_SM4.rsがバイナリ内に平文で残されており、開発者のシステムの詳細が漏洩していました。

これにより、開発者のWindowsユーザー名がdell2であること、およびSM4暗号化用のlibsm-0.5.1やBase64演算用のbase64-0.21.7など、使用されている特定のライブラリバージョンが明らかになります。

アンチ解析：サンドボックス検出

悪意のある活動を行う前に、 ラストクローク サンドボックス環境または分析環境で実行されているかどうかを確認します。システムのコンピュータ名を取得し、100種類以上の既知のサンドボックスおよび分析マシン名をハードコードしたリストと比較します。

一致するものが見つかった場合、ローダーはペイロードを実行せずに直ちに終了します。リストには、次のような一般的に使用される名前が含まれます。 デスクトップ-NAKFFMT, JULIA-PC, アーチボルドPCこれは、自動分析の設定でよく見られるものです。このチェックにより、マルウェアは分析中に検出されるのを回避できます。

三層復号チェーン

Once ラストクローク ロードされると、ディスクから暗号化されたペイロード（Com.dat）を読み込み、実行する前に複数の復号化レイヤーを通して処理します。

レイヤー1：カスタムRC4復号化 – 最初の段階では、修正されたRC4アルゴリズムを使用します。このステップで使用されるキーは次のとおりです：F8 83 40 17 1D 66 AA C2 B0 25 A8 6C A0 DD C4 5A

レイヤー2：Base64デコード – RC4処理後も、出力はそのままでは使用できません。Base64形式でエンコードされているため、ローダーがデコードして、次のステージで使用する実際のバイナリデータを取得します。

レイヤー3：SM4-CBC復号化 – 最終ステップでは、SM4のCBCモードを使用してデータが復号化されます。使用される鍵と初期化ベクトルは次のとおりです。

キー: CD CE 4F DB 3E 6A F2 44 AC 62 8C F4 96 1F 6B FB
IV: FA 70 B1 81 A0 BA 5D 46 7A 5D 40 DD 99 B6 9B 42

Windowsファイバーによるインメモリ実行

復号化プロセスが完了すると、 ラストクローク VirtualAllocを使用してメモリを割り当て、復号化されたシェルコードをそこにコピーします。その後、VirtualProtectを使用してメモリのパーミッションを実行可能に変更してから、ペイロードを実行します。

セキュリティツールによって監視されることが多い新しいスレッドを作成する代わりに、Windowsファイバーを使用して実行します。ローダーはCreateFiberExを呼び出し、次にSwitchToFiberを呼び出してシェルコードに制御を渡します。

ローダーのデバッグ中に、ローダーが大きなメモリ領域を割り当て、復号化されたペイロードをそこにコピーしていることを確認しました。メモリ領域を詳しく調べたところ、有効なPEヘッダー（MZ）が見つかり、シェルコード内に完全な実行ファイルが埋め込まれていることが確認できました。このメモリ内ペイロードのサイズは約103KBでした。

デバッグ中にメモリ内のPEファイルを抽出したところ、それが最終的なペイロードであることが判明しました。 アズールヴェイル。 This shows thatこれは、 ラストクローク これは単に生のシェルコードを直接実行するのではなく、完全な実行可能ファイルを復号化してメモリにロードし、その後実行をその実行可能ファイルに移します。

ステージ4 – AZUREVEIL（Adaptix C2エージェント）

AZUREVEILは最終ペイロードであり、このキャンペーンの中で最も技術的に興味深い部分である。

DIEを使用してファイルを分析した結果、 アズールヴェイル これは、MinGW C++を使用して64ビットDLLとしてコンパイルされた、フル機能のAdaptix C2エージェントです。

VirusTotalでの分析において、このサンプルは複数のベンダーによって悪意のあるものとしてフラグ付けされ、検出結果はAdaptixマルウェアファミリーに関連する組み込み構成を示していました。

我々は以下のことを観察した。 アズールヴェイル 実行時に djb2 ベースのハッシュ法を使用して約 87 個の Windows API を解決します。これらの API は、次のようなコアライブラリからロードされます。 WININET.DLL, Ws2_32.dll, Advapi32.dll, Iphlpapi.dll, msvcrt.dll.

Azure Blob Storage C2通信

分析中に、以下のことが観察されました。 アズールヴェイル このマルウェアは、コマンド＆コントロール通信にMicrosoft Azure Blob Storageを使用しています。興味深いのはC2メカニズムで、従来のC2サーバーは一切存在しません。マルウェアは、世界中の何千もの正規企業が利用しているのと同じサービスであるAzure Blob Storageと直接通信します。

C2エンドポイント: note1ggbbhggdwa1[.]blob[.]core[.]windows[.]net

従来のプル型C2モデルを使用する代わりに、 アズールヴェイル デッドドロップ方式を採用している。攻撃者と感染したシステムは直接通信することはなく、両者は同じAzureストレージコンテナを使用してデータを交換します。

エージェントは、自身がアクティブであることを示すために、定期的に小さな暗号化されたビーコン（約124バイト）をアップロードします。攻撃者は、同じコンテナ内にコマンドを配置します。 アズールヴェイル これらのコマンドを取得し、復号化して実行し、結果を暗号化されたデータとしてアップロードします。

AZUREVEILの指揮能力

静的および動的分析中に、サポートされている 36 個のコマンドを特定しました。 アズールヴェイルこれは、攻撃後の様々な活動を網羅しています。これらの機能により、攻撃者は感染したシステムを完全に制御し、データを盗み出し、ネットワーク内を横断的に移動することが可能になります。

ファイルシステム操作

• ディレクトリの内容と論理ドライブを一覧表示します。
• ファイルの読み取り、移動、名前変更、削除
• ファイルをAzure Blob Storageにエクスポートする
• C2から被害者システムにファイルをドロップする
• ファイルのダウンロードをキューに追加します

プロセスおよびシェル制御

• シェルコマンドを実行する
• 実行中のプロセスと名前付きパイプの一覧を表示します。
• プロセスの設定と終了
• プロセスを強制終了するか、パイプを閉じる

ネットワークとピボット

• ポートフォワーディングとSOCKSプロキシ制御
• TCPおよびUDPピボット接続
• 名前付きパイプ通信
• ネットワークアダプタの列挙（MACアドレス、IPアドレス、タイプ）

C2管理

• 実行時にC2設定を再構成する
• 制御ファイル転送状態
• システムの稼働時間を取得する

インメモリコード実行

• ビーコンオブジェクトファイル（BOF）を完全に実行する
  ディスクに書き込まずにメモリに保持する

BOF実行エンジン

静的解析中に、コマンド0x32が私たちの目に留まりました。最初は一般的なインジェクションルーチンに見えましたが、再配置コードを解析した結果、それ以上の複雑なものであることが分かりました。

この関数は、セクション数についてはオフセット+2、シンボル数についてはオフセット+12のデータを読み取ります。これは、標準のCOFFファイル形式で定義されているオフセットと全く同じです。これを検証するため、解析マシン上で実際のAMD64 COFFオブジェクトファイルをコンパイルし、その構造をパーサーと比較しました。

BOFを受信すると、AZUREVEILはまずメモリを割り当て、オブジェクトファイルの各セクションをそこにロードします。次に、必要な再配置処理を行い、内部のハッシュベースのルックアップを使用して関数参照を解決します。すべての設定が完了すると、ローダーはエージェントプロセス内でBOFエントリポイントを直接実行します。

実行中に生成された出力はすべて名前付きパイプを使用してキャプチャされ、Azure Blob Storage を介して攻撃者に送り返されます。これにより、攻撃者はシステム上で追加の関数を実行し、その結果を取得できます。しかも、すべてメモリ上に保持された状態で行われます。

インフラストラクチャとアトリビューション

分析中に、以下のことが観察されました。 アズールヴェイル Microsoft Azure Blob Storage を介して通信を行い、正規のクラウドインフラストラクチャをコマンド＆コントロールに悪用します。従来の C2 サーバーを使用する代わりに、攻撃者は専用の Azure ストレージ アカウント note1ggbbhggdwa1[.]blob[.]core[.]windows[.]net を利用します。

さらなる分析の結果、ストレージ構成に関して以下の詳細が明らかになった。

コンテナ: /note/ats/
Blob形式: {agent_id}/{timestamp1}_{timestamp2}.bin
エージェントID: 345831bc
ポート：443（HTTPS）

すべての通信はポート443のHTTPS経由で行われるため、トラフィックは通常のAzureアクティビティに紛れ込みます。blob.core.windows.netは正規のアプリケーションで広く使用されているため、この手法は攻撃者がネットワークレベルの検出を回避するのに役立ちます。

また、_計畫申請審查結果通知單.exe実行ファイルによってドロップされる、暗号化されたblob内にハードコードされた共有アクセス署名（SAS）トークンも特定しました。このトークンは、ストレージアカウント上のすべての操作を認証するために使用されます。

sv=2024-11-04&ss=b&srt=sco&sp=rwdlaciytfx&st=2026-03-19T09:20:44Z&se=2027-03-19T17:35:44Z&spr=https&sig=ECJjJIIE9Ou75dwiHhliC4fWccdBpLX9u580AX9TGwY=

このトークンは2026年3月19日から2027年3月19日までの1年間有効です。この長い有効期間は、攻撃者が長期間にわたって永続的なアクセスを維持することを意図していたことを示唆しています。このトークンに関連付けられた権限により、読み取り、書き込み、削除、アップロード操作など、ストレージコンテナとの完全なやり取りが可能になります。

今回の攻撃キャンペーンで観察された戦術、技術、ツール、および標的設定に基づき、我々は中程度の確信度で、これが中国を拠点とする脅威アクターに関連していると判断します。しかしながら、今回のキャンペーンには、これまで公に知られている中国のAPT活動で記録されていない手法が含まれているため、特定の既知のグループに帰属させることはできません。

結論

ドラゴンウィーブ作戦 これは標的型スパイ活動キャンペーンです。このキャンペーンのユニークな点の1つは、Microsoft Azure Blob StorageをデッドドロップC2チャネルとして使用していることです。通常のC2サーバーと通信する代わりに、マルウェアはトラフィックを通常のクラウドアクティビティに紛れ込ませることで、検知を非常に困難にしています。最終ペイロードであるAZUREVEILは、36個のポストエクスプロイトコマンドを備えたフル機能のAdaptix C2エージェントです。メモリ内BOF実行機能と相まって、攻撃者はディスク上にほとんど痕跡を残さずに、追加のコードを実行してシステムを制御するための高い柔軟性を得られます。

また、このキャンペーンはチェコ共和国と台湾の両方を標的としており、地域特有の誘引文書を使用していることも確認しました。これは、この作戦が無作為ではなく、計画的かつ標的を絞ったものであることを示しています。使用されているツールや手法が独特であることから、このキャンペーンは中国を拠点とする脅威アクターと関連していると判断されます。

SEQRITE 保護性能

リンク.トロイの木馬.50646.GC

トロイの木馬エージェントS38943638

Script.Trojan.50655.SL

Script.Trojan.50650.SL

侵害の兆候（IOC）

SHA-256ファイル名

096372d19b4787e989f44e04c5ecc29885aa927c34ae8666628d6c0eb20bb447	計審査申請審查結果通知單.pdf.lnk
1c56228cbd1bdebb9e5ea55c2749150fee06c865ede4a3754e8bd6843e51d2d4	計審査申請審查結果通知單.exe
080ab9bc2893ba7bad354551604a667af40ed2ae2d042d2323c2bd9ad3122192	UnityPlayer.dll
5ed14c2b7f7433a1a72dd6b668413f935a217ba10b69d89b774a82990fa12fe1	BrowserViewUtility.exe
61f7d9cd2d8ce7df950639b23ce90085b300b0c6dd0d8d934bba8fdecb670f15	RuntimeBroker_update.exe
24aa4e780ccd66cef13da9ef98c32954105cf2a32ec643efab0ba1aa2d6352f4	Com.dat
02542a49b3bd6bd2795afb67840acb4557b17e017f7503dd03ebe3aeeb28720e	000b67d70f3876965bb09fd37164b7ccrezervaci.pdf
8ae7c82a3e4f742777e590b25a1c563d19bd9bcba2a387d004aae72c4b2828f9	000b67d70f3876965bb09fd37164b7.pdf
047687548605734348792e2a9d771b6cba42facd0d0d7d44d778290a25848574	1.dat
a4e9f9919d62589b57cfa08c9ccb89e386b09f683271373413cd8e8c8c7d1c5a	empty.vbs
823d5969db3f3b72ebbdce1b78752717ea849884a0fb40d86146416c38e128de	プロフィール.ps1
783661d0f7edb338d2d50be087764d82dbbc9ee7989ddc57db1801e4ec9045b0	azureveil.exe

ネットワーク指標

インジケータ 詳細説明

note1ggbbhggdwa1[.]blob[.]core[.]windows[.]net	Azure Blob Storage C2

MITRE ATT&CK マッピング

戦略	テクニックID	技名
初期アクセス	T1566.001	スピアフィッシング添付ファイル
実行	T1204.002	悪意のあるファイル - ユーザーによる実行
	T1059.001	PowerShellの
	T1059.005	ビジュアルベーシック
防御回避	T1574.002	DLL サイドローディング
	T1027	難読化されたファイルまたは情報
	T1055	プロセスインジェクション
	T1497.001	仮想化／サンドボックス回避
	T1620	反射型コードローディング
プーケットの魅力	T1083	ファイルとディレクトリの検出
	T1057	プロセスディスカバリー
	T1016	システムネットワーク構成の検出
	T1082	システム情報の検出
コマンド＆コントロール	T1102.001	ウェブサービス – デッドドロップリゾルバー
	T1573	暗号化されたチャネル
	T1090	プロキシ
	T1105	Ingressツールの転送
exfiltration	T1041	C2チャネルを介した漏出

著者

プリヤ・パテル

カルティックマル・ジヴァニ