標的型攻撃の実態と対策アプローチ
第6版

日本を狙うサイバーエスピオナージの動向2021年度

2022年6月15日

株式会社マクニカ
TeamT52022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

本資料に記載されている情報は、株式会社マクニカが信頼できると判断したソースを活用して記述されていますが、そのソースを株式会社マクニカが保証しているわけではありません。この資料に、著者の意見が含まれる場合がありますが、その意見は変更されることがあります。この資料は、株式マクニカが著作権を有しています。この資料を、全体または一部を問わず、ハードコピー形式か、電子的か、またはそれ以外の方式かに関係なく、株式会社マクニカの事前の同意なしに複製または再配布することは禁止いたします。

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

目次
はじめに ��������������������������������������������������������������������������� 3
攻撃のタイムラインと攻撃が観測された業種����������������������������� 4
攻撃の概要������������������������������������������������������������������������� 6
2021年4月(製造)������������������������������������������������������������������������ 6
2021年6月(金融サービス)�������������������������������������������������������������� 6
2021年7月(ITサービス)����������������������������������������������������������������� 7
2021年10月(複数の製造)��������������������������������������������������������������� 7
2021年11月(不明)����������������������������������������������������������������������� 8
2021年12月(不明)���������������������������������������������������������������������� 9
2022年3月(不明)������������������������������������������������������������������������ 9

新しいTTPsやRATなど����������������������������������������������������� 11
APT10(SodaMaster/Jackpot)���������������������������������������������������� 11
LODEINFOを使う攻撃キャンペーン��������������������������������������������������� 1５
BlackTech 中国拠点を狙った攻撃キャンペーン�������������������������������������� １９

攻撃グループについて������������������������������������������������������� 2６
攻撃グループごとのTTPs(戦術、技術、手順)������������������������ 2７
TTPsより考察する脅威の検出と緩和策������������������������������� 3０
マルウェアの配送・攻撃について�������������������������������������������������������� 3０
インストールされるRAT、遠隔操作(C2サーバについて)����������������������������� 3０
侵入拡大・目的実行���������������������������������������������������������������������� 31
Pyramid of Pain���������������������������������������������������������������������� 3１

検知のインディケータ��������������������������������������������������������� 3３

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

はじめにマクニカでは、セキュリティ研究センターを中心に、2014年から、日本に着弾する標的型攻撃（サイバーエ
スピオナージ）を分析してきました。情 報窃取を目的とした、この種のサイバー攻撃は、ランサムウェアによる攻撃と違い、長 期間に渡って侵害に気づかない組 織が多く、表面化するケースも比 較的少ないため、情 報共有がされにくいと言えます。

しかし、国内外のサイバーセキュリティ業 界の長年の努力によって今日までに収 集された攻撃痕 跡（マルウェア、攻撃 インフラ、ログ）を分析していくと、各攻撃グループのT TPs、目的や意図、スキルレベルなどが、徐々に浮き彫りになってきています。このような取り組みは、組 織を超えた戦 略的な情 報共有とインテリジ
ェンスへの昇華によって成り立ちます。今回で第6版となる「標的型攻撃の実態と対 策アプローチ」ですが、第４版から、台湾のTeamT5社と共同で分析と執 筆を行っています。標的型攻撃（サイバーエスピオナー
ジ）は地 政学リスクや国家間の緊張関係に大きく依存するため、そのような意味でも、台湾のTeamT5社との協業には大きな意味と意 義があります。

本レポートでは、2021年度(2021年4月から2022年3月)に観測された、日本の組 織から機 密情 報(
個人情 報、政 策関連情 報、製 造データなど)を窃取しようとする攻撃キャンペーンに関する分析内容を、注
意喚 起を目的として記 載しています。ステルス性の高い遠隔操作マルウェア(R AT)を用いた事 案を中心に、新しい攻撃手法やその脅威の検出について記 載しています。レポートの最後には、本文中で紹介した攻撃
キャンペーンで使われたインディケータを掲載しています。
日本企業の産 業競 争力を徐々に蝕 んでいく標的型攻撃に対して、今後も粘り強い分析と啓 蒙活動に取り組 んでいく所存です。

3

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

攻撃のタイムラインと攻撃が観測された業種
2021年度の攻撃動向は、2020年度の観測 1から継 続してAPT10攻撃グループのLODEINFOマルウ
ェア2 を使った攻撃とSodaMasterマルウェア3 4を使ったA41APT 攻撃キャンペーン 5 6 が継 続して活 発に観測されました。A41APT 攻撃キャンペーンでは、攻撃に利用される主なペイロードがSodaMasterと新たに観測されたJackpotの2種 類となりました。また、昨年度の観測では活動が低下していましたが、​BlackTech攻撃グループの攻撃が観測されました。ただし、BlackTech攻撃グループの標的は、国内企業ならびにその中国拠点を最初の標的にしていたと思われます。BlackTech攻撃グループは、これまで国内ではPLEADやTsCookieマルウェアによる攻撃観測が多く見られましたが、Flagpro 7 やSpide​rR ATといったマルウェアが観測されています。また、APT38攻撃グループのバックドア8 を使った攻撃が国内で発生していたと思われます。全体的に、攻撃グループ数が6グループから4グループへ、攻撃キャンペーンもこれまで10程 度のキャンペーン数から7と攻撃は減少 傾向です。

表 1. タイムチャート
21/04
APT10
(LODEINFO)

21/05

21/06

21/07

21/08

21/09

1.

21/12

22/01

不明

22/02

22/03

不明

製造

ITサービスBlackTech(Spider RAT)APT38
(XorDNS
Downloader)

21/11

製造

APT10
(SodaMaster/
Jackpot)
BlackTech(Flagpro)

21/10

不明

金融サービスhttps://www.macnica.co.jp/business/security/manufacturers/files/mpressioncss_ta_report_2020_5.pdf

2. https://blogs.jpcert.or.jp/ja/tags/lodeinfo/
3. https://blog.kaspersky.co.jp/apt10-sophisticated-multi-layered-loader-ecipekac-discovered-in-a41apt-campaign/30393/
4. https://blog.trendmicro.co.jp/archives/29842
5. https://jsac.jpcert.or.jp/archive/2021/pdf/JSAC2021_202_niwa-yanagishita_jp.pdf
6. https://jsac.jpcert.or.jp/archive/2022/pdf/JSAC2022_9_yanagishita-tamada-nakatsuru-ishimaru_jp.pdf
7. https://insight-jp.nttsecurity.com/post/102h7vx/blacktechflagpro
8. https://securelist.com/the-bluenoroff-cryptocurrency-hunt-is-still-on/105488/

42022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

不明

金融サービス

製造
ITサービス
図1. 標的組織の割合 (2021年度)

年間を通して、APT10のSodaMasterを使った攻撃が製 造 業で観測されました。また、これまで主にメディアを標的としてきたLODEINFOを使った攻撃が製 造 業でも観測されたため、製 造 業での標的型攻撃の観測割合が顕著に大きくなっています。それ以外の業 種では、ITサービス、金融サービスがほぼ同じ割合を占めています。また、検体としては入手したものの、APT10のLODEINFOなどで標的がはっきりしないものもあり、不明の割合が増えています。SodaMasterを使った攻撃キャンペーンでは、マルウェアが設置されたホストは、すべて海 外 拠点のWindowsサーバでした。BlackTech攻撃グループは、ITサービス関連などへの攻撃が見られましたが、これは中国拠点への感 染を狙った活動が活 発であったと思われます。そのため、国内企業の海 外 拠点からの侵入が増加傾向です。攻撃手法については、以降のセクションで記 載しますが、感 染を狙ったスピ アフィッシングメールに添 付されたOfficeのマクロファイル、遠隔 操作マ
ルウェアとして利用されるペイロードがC2と通信して任意のコマンドや操作を行うといった本質的なところでの手法の変化や目新しさはなく、現在のセキュリティ技 術では既に検出は難しくないと思われます。しかしながら、攻撃者はその検出技 術が適 用されていない守りの手薄な 海 外などの拠点を攻撃して国内企業の知財・情 報の窃取を試みていると思われます。

ここに記 載した業 種では、できれば関連会 社や海 外含む各 拠点で、本書の後半で記 載する検出手法を参考に確認や対 策の検 討を行って頂ければと思います。本書の統計は氷山の一角ととらえ、ここで記 載する
攻撃手法も参 考にして頂き、注意 警戒を怠らないようにして頂ければと思います。

52022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

攻撃の概要
以下は、 2021 年 4 月から 2022 年 3 月までの月ごとに観測された攻撃の概要を記 載しています。

2021 年 4 月 ( 製 造 )APT10 LODEINFOAPT10 攻撃グループの LODEINFO マルウェアに感 染させる事を目的としたスピ アフィッシング
メールが、 製 造 業で観測されました。 スピ アフィッシングメールに添 付された Microsoft WORD
ファイルは、 メール本文に記 載のパスワードで保護されたものでした。 WORD ファイルのマクロを有効にする事で、 正 規の実 行ファイルと LODEINFO マルウェアを含むサイドローディング DLLの 2 つのファイルが 書き込まれて実 行されます。 観測されたバージョンは、 v0.4.9(SHA256:f142eecf2defc53a310b3b00ae39ffecc1c345527fdfbfea8ccccd0d69276b41)
で、 バージョン情 報が更新されているものの、 遠隔 操作コマンドの追 加などはありませんでした。

図 2. LODEINFO v0.4.9の感染を狙ったパスワード保護されたドキュメントファイル

2021年6月(金融サービス)
APT38 XorDNS Downloader
パブリックマルウェアリポジトリで検出されたvpsps.dll(SHA256: 546e8bbaf15a81369af11
138f933900dfbda8a8fc2c1e6821dbfbcb6498e280d) は、APT38攻撃グループが金融サービス機 関への攻撃で利用したダウンローダです。設 定ファイルに記 載されたドメインの名前解決から得たIPアドレスを固定の4バイト値でXORしたアドレスを真のC2として使う特徴があります。この攻撃グ
ループのこれまでの標的とこのツールの特 性から国内の金融サービス関連の組 織が 攻撃を受けたと思われます。

62022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

図 3. 検体に含まれている特徴的な文字列

2021年7月(ITサービス)
BlackTech Flagpro
BlackTech攻撃グループによるFlagproダウンローダーへの感 染を目的としたスピ アフィッシングメールが国内企業の中国拠点で観測されました。メールには、线路信息.xlsm(SHA256: ba27ae12e6
f3c2c87fd2478072dfa2747d368a507c69cd90b653c9e707254a1d)が添 付され、パスワードによる保護がなされていました。これを解除してマクロを有効化する事で、Flagproマルウェア(SHA256: e197c583f57e6c560b576278233e3ab050e38aa9424a5d95b172de
66f9cfe970 / C2: http[:]//139.162.87[.]180/index.html)がディスクに書き込まれ実 行されます。Flagproは、COMインターフェース経由でiexploer.exe(Internet Explorer)を使ってダウ
ンロードの通信を行う特徴があります。

図 4. FlagproマルウェアのCOMインターフェースの利用

2021年10月(複数の製 造)
APT10 SodaMaster/Jackpot
2021年10月から12月にかけて、APT10攻撃グループのA41APT 攻撃キャンペーンの攻撃が国内

7

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

企業の海 外 拠点を中心に活 発に観測されました。この攻撃キャンペーンの侵入には、昨年度同様に主に
SSL-VPN装置の脆弱性が悪用され、遠隔 操作で利用されるペイロードSodaMasterは、これまで観測されていたdflsのコマンド識 別子が アップデートされ、cからxまでのコマンドが実 装されていました。また、WindowsのIISサーバでは、遠隔 操作のコマンドが成 功した際にJackpotの文字 列を返す特徴のあるJackpotと名づけられたウェブシェルのように動作するペイロードも観測されました。

図 5. SodaMasterマルウェアに追加されたコマンド識別子

2021年11月(不明)BlackTech Spider R AT
BlackTech攻撃グループによるSpider R ATへの感 染を目的としたスピ アフィッシングメールが観測されました。メールには、2021-10工资中公积金问题咨询.xlsm(SHA256: 0911e5d1ec48430f
f9a863f5c4a38f0c71872d8bd6c89f07d6ae16d78eca162f)が添 付され、マクロを有効化する事で、Spider R ATマルウェア(SHA256: 8c3df0e4d7ff0578d143785342a8033f
b6e76ce9f61c2ea14c402f45a76ab118 / C2: centos.onthewifi[.]com)がディスクに書き込まれ実 行されます。Spider R ATは、HT TPSで外部サーバと通信を行い、リモートからの任意のコマンドとファイルダウンロードなどの操作が 可能なR ATです。検体にはデバッグを目的としたメッセージ
出力が残されています。

8

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

図 6. Spider RATに特徴的なデバッグ文字列

2021年12月(不明)
APT10 LODEINFOAPT10攻撃グループのLODEINFOマルウェアに感 染させる事を目的としたスピ アフィッシングメールが観測されました。スピ アフィッシングメールに添 付されたMicrosoft WORDファイルのマクロ機能を有効にする事で、正 規の実 行ファイルとLODEINFOマルウェアを含むサイドローディングDLLの2つのファイルが 書き込まれて実 行されます。観測されたバージョンは、v0.5.6で、3つのコマンドが追 加され、遠隔 操作コマンドの識 別文字 列(command, ls)などがxorでエンコードされるなど、解 析を阻害するようになりました。

図 7. LODEINFOマルウェアv0.5.6でサポートするリモートコマンド

2022年3月(不明)
APT10 LODEINFOLODEINFOのバージョン0.5.9に感 染させるドキュメントファイルが観測されました。対 解 析手法、遠隔操作コマンドという点では、v0.5.6から変化はみられませんが、DLL Side-Loadingで悪用される正 規
92022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

ファイルの変更やC2サーバ接 続失敗時にFirefoxに設 定されたプロキシ情 報を使う処理の追 加がされています。

図 8. LODEINFOマルウェア v0.5.9に感染させるドキュメントファイル

102022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

新しいTTPsやRATなど
ここでは、先に引用させて頂いた公開されている調査報告ではまだ触れられていない観測や分析を中心に、少し詳しく紹介します。

APT10(SodaMaster/Jackpot)
攻撃の全体像
観測されている攻撃のケースでは、管理体制の脆弱な 海 外 拠点のSSL-VPN装置の脆弱性を攻撃して侵入します。組 織のネットワークに侵入した後は、RDPとSMBのポートスキャンを行い、ポートの開いているPCのRDPやSMBに対して、窃取したクレデンシャルを使ってログオンを試みます(SSL-VPN装置の脆弱性によっては、SSL-VPN装置からクレデンシャルが窃取できるものがあります)。窃取したクレデンシャ
ルでログオンできない場合は、パスワードを変えながら総当りでSMBの接 続を試みます。ここで、RDP接続可能なシステムはWindowsサーバが多く接 続に成 功した場合には、このサーバを攻撃の長 期の足場とするために、正 規実 行ファイルとDLLサイドローディングのローダーDLL(SigLoader)、ならびに暗 号されたペイロードが含まれたファイルを同じディレクトリに保 存し、タスクスケジューラーで正 規実 行ファイル
が起 動するように設 定して永 続化を図ります。これらのファイルは、4個から5個のファイルからなり、C:\
Windows\(サブフォルダ含む)配下に設置される特徴があります。C:\Windows\配下にマルウェア
をインストールする特徴は、2022年1月までの観測では、A41APT 攻撃キャンペーンで一貫していると思われます。

図9. A41APT攻撃キャンペーンの全体像
SigLoaderから起 動されるメモリ上のペイロードは、2021年の観測ではSodaMasterと呼ばれるペイロードが主になっています。2020年までの観測では、それ以外にxR AT、Cobalt Strike Stager
Shellcode、P8R ATが観測されています。足場となるマルウェアをインストールするサーバOSの台数は

11

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

各 拠点で1-2台程 度と台数が少なく、侵入の痕 跡を消去するためにイベントログを削除する特長があります。また、この拠点のシステムから更に侵入を拡大するために、Mimikatzを使ったクレデンシャルダンプやWinR ARでWindows上のOfficeやテキストといったファイルを窃取して持ち去り、更なる侵入拡大のクレデンシャル 情 報を入手します。攻撃が観測された組 織では、ヨーロッパの異なる複 数の国、東南 アジアの複 数の国で攻撃が観測されており、初期侵入の地 域性はなく標的とした日本組 織の侵入可能な拠点は標的にしていると思われます。各 拠点で足場を構 築した後、csvdeツールでドメインの情 報を収 集し、日本の本社地 域のサーバに同様に窃取したクレデンシャルでRDP接 続を試みます。日本 本社のサーバにRDP
での接 続に成 功した場合、日本 本社のサーバには、SigLoaderやSodaMasterといったマルウェアは設置しない傾向があります。攻撃者は、WMIを使ってリモートシステムにインストールされているセキュリティ
ソフトウェアを把握していると思われ、近年EDR等でセキュリティが強化された日本のシステムにはマルウ
ェアの設置を避けている節があると思われます。日本の本社セグメントのWindowsサーバOSから参照
可能なファイルやファイルサーバーへ接 続を行い、現在のところ無作為にファイルを収 集してR ARで暗 号圧縮して窃取していると思われます。
SigLoaderの概要と検出
正 規実 行ファイルから、Side-LoadingされるDLLファイルです。同じフォルダに設置されたDLLファイ
ルからデジタル 署名の末尾に追 加された暗 号データを読み、これを独自に実 装されたAES、DESとXORのアルゴリズムの組み合わせで復号します。復号には、3つのアルゴリズムのすべてが使われるケースはまれで、DESとXORやXORとAESの組み合わせが多く、様々に実 装されています。SigLoaderは、読み込 ん
だファイルの暗 号データを復号してシェルコードとメモリ上のSigLoaderとして展開し、展開されたメモリ
上のSigLoaderがまた別のファイルの暗 号データを読 んで復号し、ペイロードをロードするシェルコード
とペイロードに展開されます。また、2021年の観測では、検体のコンパイル時間の改ざん、AESのモード変更、2020年の検体に比 較的多く見られたOutputDebugString()の多用がなくなるなどコードにアップデートがありました。

図10. SigLoaderのペイロード展開フロー122022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

2020年にパブリックリポジトリにアップロードされたSigLoaderの検知率は2ヶ月に渡りほぼ未検出となっていましたが、2021年に観測されたSigLoaderはアップロードされた時点から検出できるベンダーがあり、検知率は低いものの脅威としては2020年に多く攻撃観測されたときより低下していると思われます。

図11. SigLoaderの検出率

SigLoaderは、C:\Windows\(サブフォルダ含む)配下にタスクスケジューラーで起 動するように設定された3rd Par tyの正 規実 行ファイルからロードされる特徴があります。このフォルダでかつタスクスケ
ジュール起 動する3rd Par tyのプログラムはまれなため、主に対 策の手薄な拠点などは次のコマンドを各
Windowsサーバで実 行し、起 動するプログラムがないかどうか確認する事も検出に有効です。
>schtasks /quer y /fo list /v | findstr C:\Windows\

図12. SigLoaderをロードする正規実行プログラムの検出132022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

SodaMasterの概要と検出
SodaMsterは、SigLoaderからメモリに展開されるペイロードの1つです。バージョンによって異なりますが、ds、dfls、c-xと、dとsの命令を持つ事が特徴のペイロードです。主にメモリ上にダウンロード
したDLLを実 行するd、メモリ上にダウンロードしたシェルコードを実 行するsの命令で遠隔 操作をしていると思われます。SodaMasterは、2021年にHUI Loaderと名づけられたSigLoaderとは別のローダーからメモリに展開して実 行された事が観測されており、APT10のSigLoaderとセットで使われるケースの他に、中国を拠点とした別の攻撃グループが 攻撃ツールとして利用を開始したと思われます。SodaMasterがペイロードとして観測された攻撃のケースでは、SodaMasterが 動作するプロセスの引数にMimikatzのコマンド引数が観測されたケースがあり、SodaMasterがメモリにダウンロー
ドするモジュールとして、Mimikatzをファイルとして保 存せずに攻撃に利用するケースがあると思われます。EDRのようなコマンド引数も含めて監視の行えるセキュリティツールでは、Mimikatzの特徴的なコマ
ンドライン sekurlsa::logonpasswords などを監視 対 象の文字 列として攻撃のモニタリングを行う
事で攻撃の検出が行えます。
Jackpotの概要と検出
Jackpotは、SigLoaderからメモリに展開される2021年に初めて観測されたペイロードです。1から10までの遠隔 操作のコマンドを持ち、遠隔 操作の命令に成 功した際にJackpotの文字 列を返す特徴があります。観測された環 境ではWindowsのIISサーバで動作していました。Jackpotは、ウェブシェルのように動作しますが、小さなシェルプログラムではなく、C/C++で開発されたサイズのあるプログラムです。その他に、ウェブシェルと違い、ウェブサーバー上でウェブページのファイルなしでリスニングして攻撃者からの命令通信を待ちます。また、IISのサーバで動作する場合、IISと同じポートで待ち受けする別のウェブサー
ビスプログラムとなります。この場合、Jackpotの待ち受けURLページへのアクセスは、IISのアクセスロ
グに残らず、ウェブシェルの様に待ちうけのウェブページのファイルも存 在しないため、通常のウェブ侵害の調査アプローチでは検出が 難しいかもしれません。一方で、ウェブシェルとしての任意の操作が行われるた
め、SodaMasterと同様にプロセスの実 行コマンドを監視する、SigLoaderの検出やタスクスケジューラーからハンティングするといったアプローチでの検出が 有効だと思われます。

図13. Jackpotの待ちうけコードとコマンド識別子

142022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

LODEINFOを使う攻撃キャンペーン
2019年末からLODEINFOと呼ばれるバックドアを使った攻撃活動が観測されていますが、攻撃グループは2021年度もLODEINFOを改良し新しいバージョンの投入を続けました。弊社で観測したバージ
ョンは、0.4.9、0.5.6、0.5.9ですが、本レポート執 筆時点で最 新バージョンの0.6.2の観測情 報も公開されています9 。過去 観測した標的業 種は日本の研究機 関やメディアでしたが、2021年は 製 造 業への攻撃も観測しました。このことから攻撃グループの目的に安 全保障関連だけでなく製 造 業の知財窃取も含まれるようになった可能性があると考えています。

図 14. LODEIFNOのタイムライン

旧バージョンからの変更
v0.4.9では旧バージョンからの大きな違いは見られませんでしたが、v0.5.6では”comc”、”autorun”、”config”のコマンドが追 加されました。
表 2. LODEINFO リモートコマンド一覧(v0.5.6時点)
コマンド名

機能

commandLODEINFOがサポートしているコマンド表示rm

ファイル削除ls

ファイル一覧

mv

ファイル移動cp

ファイルコピーcat

ファイルの内容表示

send

感染機器へファイルをアップロード

mkdir

フォルダ作成recv

感染機器からファイルをダウンロード

memoryシェルコードを他プロセスへインジェクト

cd

指定フォルダへ移動

kill

プロセス終了ver

LODEINFOバージョン情報表示

ransom

ファイル暗号化

print

スクリーンキャプチャ

keylog

キーロギングps

プロセス一覧の表示

9. https://twitter.com/jpcert_ac/status/1515940912173502464

152022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

pkill

プロセス名指定でのプロセス終了

comc

任意のコマンド実行(WMIを使用)

autorun

自動起動の設定(レジストリ、
スタートアップファルダ)

configv0.5.6時点で未実装(設定情報の表示機能とみられる)

また耐 解 析が目的とみられますが、コードで使われる文字 列の多くがXORでエンコードされるようになりました。C2サーバ間の通信プロトコルでは、v0.5.6以降LODEINFOからC２サーバへデータをアップロードする際に新たにヘッダー部を暗 号 化するステップが追 加されています。

図 15. アップロード通信暗号化手順

図 16. 追加された暗号化処理

162022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

初期アクセス(Initial Access)から永続化(Persistence)までのT TPは、スピ アフィッシングメール、
マクロの悪用、RUNレジストリキー追 加と変化は見られていません。
LODEINFO v0.5.9に感 染させるドキュメントファイル(SHA256: fde82dcccd471b63f511c6f76dc04e12334818cda8b38f5048b8ad85c9357089)

では、ドキュメントファイルのマクロは、マクロとは別のUserForm1に主要な文字列が設定されており、マクロを有効にすると正規の実行ファイルとLODEINFOのローダであるDLLファイルがドロップ・実行されます。
ドロップされる場所: C:\Users\Public¥TMWJPA

図 17. LODEINFOを使った攻撃フロー

図 18. v0.5.6とv0.5.9マクロ本文
172022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

図 19. 主要な文字列が設定されているユーザフォーム

v0.5.9では、以前DLL Side-LoadingテクニックでベースとしていたSfsDll32.dllではなく新たにセキュリティベンダーK7Computing社の正 規実 行ファイルがロードするDLL ”K7SysMn1.dll”をベースにローダーを開発しています。また、v0.5.9ではC２サーバとの接 続が失敗した時にブラウザFirefoxに設 定されたプロキシの情 報を利用する処理が追 加されていました。その読み取りを試みるFirefoxのプロファイルファイルのパスは、ビルトイン アカウントのAdministratorのものが固定で検体に埋め込まれています。このことからプロキシ情 報を使う処理がまだ試 験的なものであるか、もしくは標的組 織ではAdministratorアカウントが 有効で、かつFirefoxがデフォルトでインストールされた環 境であるのではないかとみています。

図20. LODEINFO検体に埋め込まれているFirefoxのファイルパス

18

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

BlackTech 中国拠点を狙った攻撃キャンペーン
2021年度に観測されたBlackTechの攻撃の一つは、日本のITサービス事業者の関連会社へのスピ ア
フィッシングメールです。メールに添付されているドキュメントファイルのマクロを有効にすると“Flagpro”と呼ばれるマルウェアに感 染し、新たなマルウェアをダウンロードします。また、標的組 織は定かではありませ
んが、BlackTechが使うマルウェアに感 染させる中国語ファイル名のドキュメントファイルが複数存 在しており、日本企業の中国拠点または関連会社への侵入を試みる傾向があったのがみられています。

図21. Flagproに感染させるスピアフィシングメール

図22. BlackTechが使うマルウェアに感染させる中国語ファイル名のドキュメントファイル

2021年度の活動では、新しいツールセットFlagpro、BTSWindowsR AT、Spider R AT、SelfMakeが使われており積極的に独自ツールを開発・導入しているのが窺われます。

19

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

侵入経路
主な手口は、取引先を装ったスピアフィッシングメール、公開サーバ・ネットワーク機器の侵害です。2021年に攻撃者のミスにより外部公開されていたとみられるサーバでCisco、Citrixなどの外部へ公開されるネットワーク製品の脆弱性を悪用するツールが見つかっています10 11。また、Exchange Serverの脆弱性ProxyLogonを悪用した情報も公開されています。BlackTechは過去から外部公開機器からの侵入を得意とする攻撃グループで現在も積極的に取り組んでいると考えています。
2020年初頭には、ITサービスプロバイダへの攻撃に使われたとみられるマルウェアとツールを確認しています12。
このことから組織ネットワークにアクセスする事が可能な業務委託者を侵害し、そこから標的組織に侵入するのもTTPの一つと考えています。
新たな攻撃ツールセット
Flagpro外部から新たなファイルをダウンロードするダウンローダーです。WindowsのCOM(Common
Object Model)を使いInternet Explorerのインターフェース系由で通信を行う特徴があります。
HT TPで外部サーバーにアクセスし、サーバからはbase64エンコードされたレスポンスが返ります。
レスポンスには、ファイルダウンロードの指示や実 行コマンドが含まれています。

図23. Flagproの通信

10. https://vblocalhost.com/uploads/VB2021-50.pdf
11. https://blogs.jpcert.or.jp/ja/2021/09/gh0sttimes.html
12. https://www.macnica.co.jp/business/security/manufacturers/files/mpressioncss_ta_report_2019_4.pdf

202022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

Flagproが情 報をサーバにアップロードした場合などに、サーバからは特徴的な文字 列”Hello Boy!”を返す特徴がみられました。

図24. Flagproが通信する外部サーバからのレスポンス

攻撃者が アップロードされた情 報から感 染 機器が標的であると判断した場合にURLのパス(/robots.
tx t)を指定し、新たなマルウェアをダウンロードするように指示を出しました。

図25. 新たなファイ ルダウンロー ドの通信

ダウンロードしたファイルは、サーバからのレスポンスと同様にbase64エンコードされていました。コード分析の結果、このファイルは、BTSWindows R ATと呼ばれるバックドアであることが分かりました。
SHA256: 8fe30890f359b8d6e61738265cb5b6d992fc2dc64089d598e8bead3779208887

C2サーバ: w w w.update.com.live-symantec[.]com

212022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

BTSWindows RAT(別名: BTSDoor)
このRATは、2018年に台湾の組織を攻撃するのに使われたのが観測されています。検体に残されていた下記デバッグ情報のパスから”BTSWindows RAT”と呼称しています。C2サーバとは独自プロトコルで通信を行います。

C:\Users\Tsai\Desktop\20180522windows_tro\BTSWindows\Serverx86.pdb
C:\Users\Tsai\Desktop\20180522windows_tro\BTSWindows\Serverx64.pdb

BTSWindows RAT x86
SHA256: ee6ed35568c43fbb5fd510bc863742216bba54146c6ab5f17d9bfd6eacd0f796
ファイル名: ChtIME.exe
C2サーバ: pullnews.postserv.zzux[.]com

BTSWindows RAT x64
SHA256: ae684ffdcd999fd62dcdeb511d0d597a98e0836d57edaa59901da067a7f41576
ファイル名: sesvc.exe
C2サーバ: update.helps.zyns[.]com

Spider RAT
2021年11月にBlackTechのツールの1つであるSpider RATに感染させるオフィスファイルを確認しました。
SHA-256: 0911e5d1ec48430ff9a863f5c4a38f0c71872d8bd6c89f07d6ae16d78eca162f
ファイル名: 2021-10工资中公积金问题咨询.xlsm
C2サーバ: centos.onthewifi[.]com

Spider RATは、HTTPSで外部サーバと通信を行い、リモートからの任意のコマンドとファイルダウンロードなどの操作が可能なRATです。特徴としてはC2への接続、受信命令処理などの主機能毎にスレッドを作成している点です。検体にはデバッグを目的としたメッセージ出力が残されています。

図26. Spider RATの検体に残されているデバッグメッセージ

22

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

Spider R ATが使うUser-Agentは、固定で検体に埋め込まれています。
Mozilla/5.0(Windows NT 6.1; Win64; x64)AppleWebKit/537.36(KHTML, like
Gecko)Chrome/88.0.4324.146 Safari/537.36

C２サーバのドメイン centos.onthewifi[.]comと紐づいていたIPアドレス 172.104.109[.]217のレスポンスにFlagproのC2サーバが返すコンテンツ(Hello Boy!)と同一のものが存 在し、この点もSpider R ATがBlackTechのツールであることを示唆する一つの情 報であると考えています。

図27. Spider RAT C２ IPアドレスを持つサーバが過去返したレスポンス内容

他に以下２つの関連 検体も見つかっており、これらの検体にはデバッグ情 報ファイルのパスが残されていました。この情 報からこれらのバックドアを”Spider R AT”と呼称しています。

SHA256: 733b4d5174669caab2bbcc9bfe51606a13346b70af59fccea4f479d1fde7b5d7Compile Timestamp: 2021-03-19 08:23:25
C2: client.dnsiskinky[.]com

SHA256: d196969b35966462fa03ef857e375e9d6172b34053b115df04cefa3d673b9d85

Compile Timestamp: 2021-03-20 04:56:16
C2: client.dnsiskinky[.]com

232022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

・検体に残されていたデバッグ情 報ファイルのパス
c:\users\amiko\desktop\Spider-Rat\client\sample1\x64\release\sample1.pdb

また、セキュリティベンダー Blue Hexagonのブログ13 によれば、Microsoft Exchange Ser verの脆弱性 ProxyLogon を悪用した攻撃でSpider R AT
(SHA-256: 733b4d5174669caab2bbcc9bfe51606a13346b70af59fccea4f479d1fde7b5d7)が見つかっています。このことからBlackTechは、ProxyLogonも標的組 織に侵入する手口の一つとして使っていた可能性が高いとみています。

SelfMake Downloader
Spier R ATが暗 号 化されたファイルを外部からダウンロードし、メモリ上で復号・実 行するダウンローダ
を確認しています。その内部に残されていたクラス名の情 報から我々は、"SelfMake Downloader"と呼称しています。HT TPユーザエージェントは、固定でファイルに埋め込まれておりSpider R ATと同じ文字 列が使われていました。
感 染 経 路の一つは、偽装された正 規プログラムのインストーラーでの配布です。
SelfMake Loaderをプライバシー保護の高さを売りにしているウェブブラウザ Brave Browserのインストーラーに潜めて感 染させるものを確認しています。
SHA256: be5dc0d38251a54350c462a7f4a6c70028ee05c01bde5c1974342893bf12ba5e
ファイル名: Anonymity network tool Setup.msi

ドロップされるSelfMake Downloader
SHA256: 90406d0fc975f342f0e20b49e7946e891392eb06bfc8cc5f3b9b8c86b7c1b17a
ファイル名: browser-up.exe
C2: https[:]//45.77.227[.]248/pfxg.bin

ダウンロードしてくるpfxg.binは、メモリ上で復号されてSpider R AT の32bit版が 動作します。

SHA256: c604f7be88bff6fb3d88e53121fb0e247be1e6297eb43cf3bf731c2cdee90594
ファイル名: pfxg.bin

このインストーラーがどのような意図・方法で配布されたかについては特定ができていません。

13. https://bluehexagon.ai/threat-advisory-microsoft-exchange-server/

24

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

また、他のSelfMake Downloaderでは下記を確認しています。

SHA256: 1e25116f33f7248e4549cb15fb20bd5d9f87cc7424e6592e565d66095ec2b647
C2: https[:]//exmail.sy tes[.]net/pfxg.bin

この検体は、https[:]//exmail.sy tes[.]net/pfxg.binをダウンロードし、ファイルをマルチバイト
XORでデコードしIAT等を実 行できるように修正し、起 動します。
セキュリティベンダー Seqrite 14 は、この検体がExchange Ser verの脆弱性 ProxyLogonが悪用されて設置されたのを確認しています。

Self tMake Loader
外部サーバからファイルをダウンロードするのでなく、感 染 機器上に設置されている暗 号 化されたファイルを探索してロードするローダータイプのものも存 在します。

SHA256: 8bdfc1ed5bfec964050a42a0f1ddd8709fcf14fab1ede151c5a7161be904cd96
ファイル名: 不明

SHA256: 92c75df382218e7743359aa83b403e443550e766c8474a59c9dcbd4903a4
bf02(ファイルが破損しており実行不可)
ファイル名: 不明

下記 場所にあるファイルの先頭4バイトを読み込み、値が0xE0FFD8EEであるかを確認します。
・ローダの実 行場所
・C:\Program Files(x86)\Common Files
条件に一致したファイルがあった場合、そのファイルを読み込みDownloaderと同じ手順でメモリ上にコードを展開し実 行します。

14.

https://www.seqrite.com/blog/4898-2/

252022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

攻撃グループについて
menuPass(APT10)
menuPass(別称 APT10、Stone Panda)は、米国がAPT10攻撃グループの2名を起訴 15 するまで、日本を標的としてもっとも活 発に活動していた攻撃グループです。米国から起訴された後は、大 胆で活発な攻撃はなくなりましたが、密かに活動が継 続していました。

LODEINFO
2020年初頭から、LODEINFOマルウェアを使った日本を標的とした攻撃が観測されています。これと並行した攻撃が台湾でも観測されており、menuPass攻撃グループの標的とも一致しています。LODEINFO​マルウェアを使う攻撃者は、LODEINFOをバージョンアップしながら攻撃を続けるとともに、オープ
ンソースの遠隔 操作ツールを使った攻撃を行う事もあります。

A41APT 攻撃キャンペーン
過去2年間に渡り、A41APT 攻撃キャンペーンでは、SodaMasterなどの独自のマルウェアを使い、主に大企業を標的とした攻撃が観測されています。A41APT 攻撃キャンペーンの背後にいる攻撃者は、十 分に攻撃リソースがあり非常に洗 練されています。SSL-VPN装置の脆弱性を攻撃して標的組 織に侵入しま
すが、SSL-VPN装置へ接 続した攻撃者のホスト名の1つ”DESKTOP-A41UVJV”が、この攻撃キャンペーン名の由来です。この攻撃グループは、他の攻撃グループより優れたDLLハイジャックを行い、標的国に
C2サーバを設置して攻撃の検出を迂回します。現在、menuPass攻撃グループと強い結 びつきを示す新
たな調査結果が見つかりつつあります。

BlackTech(HUAPI)
Huapiは、この攻撃グループの攻撃が開始されてからおよそ10年間は主に台湾と台湾に関係の強い国の組 織だけを標的として攻撃をしていました。2017年から攻撃 範囲を広げ、日本も標的に含まれるようになりました。それ以降、日本と台湾のあらゆる重要な業 種を標的として攻撃を行っています。この業 種には、
政 府、軍関連、ハイテク技 術、教育、テレコムとメディア関連です。
Huapi攻撃グループのもっとも顕著な攻撃能力は、アンチウィルスや資産管理ソフトウェアの脆弱性を発見してこれを攻撃する事です。例えば、MikroTik(CVE-2021-41987)、Trend Micro(CVE-2021-​
36741,​ CVE-2021-36472)、Microsoft Exchangeサーバです。この種の脆弱性攻撃を行えることは、侵入に成 功した組 織内で、攻撃の水平展開のフェーズで侵害した組 織ネットワーク全体を迅 速に掌握する事を可能にしています。

15. https://www.fbi.gov/wanted/cyber/apt-10-group26

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

攻撃グループごとのTTPs(戦術、技術、手順)
2021年度に弊社で観測した攻撃グループごとのT TPsと標的組 織を表で大まかに整理します。MIT
RE社 AT T&CKに攻撃フレームワークの攻撃番号を記 載しますので、利用している製品での検出有無な
どをご 確認ください。
※この表は、MITRE社 AT T&CK 攻撃フレームワーク version 10 16 に基づき作成しています。

攻撃グループ
APT10(LODEINFO)

攻撃のTTPs

標的組織

侵入経路：スピアフィッシングメール 添付ファイル(Office マクロ)メディア、シンクタンク

エクスプロイト：N/A(研究機関)、製造利用するツール・マルウェア：LODEINFO
C2通信の特徴：
固定の User-Agent(但し Windows10 の正規 Google Chrome と同じ)
ATT&CK：[Initial Access] Phishing: Spearphishing Attachment(T1566.001)[Execution] User Execution: Malicious File(T1204.002)
Officeファイルのマクロを有効にするよう誘導[Persistence] Boot or Logon Autostart Execution: Registry
Run Keys / Startup Folder(T1547.001)機器再起動後に自動実行されるようにレジストリ追加[Defense Evasion] Signed Binary Proxy Execution: Rundll32(T1218.011)
正規ファイルのrundll32を使って悪意のあるDLLファイルのコードを実行[Defense Evasion] Hijack Execution Flow: DLL Side-Loading(T1574002)
正規ファイルK7SysMon.exeがロードするK7SysMn1.dllをベースにローダを開発[Command and Control] Application Layer Protocol: Web
Protocols(T1071.001)HTTP プロトコル上で暗号化データの通信を行う

16. https://attack.mitre.org/versions/v10/272022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

攻撃グループ
APT10(SodaMaster/
Jackpot)

攻撃のTTPs

標的組織

侵入経路(エクスプロイト)：SSL-VPN

製造

利用するツール・マルウェア：SigLoader、SodaMaster、Jackpot
C2通信の特徴：IPアドレス
ATT&CK：[Initial Access] External Remote Services(T1133):SSL-VPNの脆弱性
または窃取済みアカウントで侵入[Execution] Command and Scripting Interpreter: PowerShell(T1059.001)イベントログ削除[Execution] Windows Management Instrumentation(T1047): WMIによるサービスやセキュリティ製品の収集[Persistence] Scheduled Task/Job: Scheduled Task (T1053.005):
スケジューラで常駐[Persistence] Server Software Component: Web Shell(ID:T1505.003):ウェブシェル様のペイロードで常駐[Discovery] Software Discovery: Security Software Discovery(T1518.001)[Privilege Escalation] Hijack Execution Flow: DLL Search Order
Hijacking(T1574.001):DLLサイドローディング[Defense Evasion] Deobfuscate/Decode Files or information(T1140)[Defense Evasion] Indicator Removal on Host: Clear Windows
Event Logs(T1070.001):イベントログの削除[Credential Access] OS Credential Dumping: Security AccountManager(T1003.002):クリデンシャル窃取[Credential Access] OS Credential Dumping: NTDS (T1003.003)[Discovery] Account Discovery: Domain Account(T1087.002)[Discovery] Domain Trust Discovery(T1482)[Lateral Movement] Remote Services: RDP(T1021.001)[Collection] Archive Collected Data: Archive via Utility(T1560.001):WinRARによるデータアーカイブ

282022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

攻撃グループBlackTech

攻撃のTTPs

標的組織

侵入経路：スピアフィッシングメール 添付ファイル (Office マクロ)、Ex-

ITサービスchange Server脆弱性悪用(ProxyLogon)、正規ブラウザインストーラに偽装利用するツール・マルウェア：
Flagpro、BTSWindows RAT、Spider RAT、SeffMake Loader
ATT&CK：[Initial Access] Exploit Public-Facing Application(T1190):
ProxyLogonの悪用[Initial Access] Phishing: Spearphishing Attachment(T1566.001)[Execution] User Execution: Malicious File(T1204.002)Office
ファイルのマクロを有効にするよう誘導[Persistence] Boot or Logon Autostart Execution: Registry
Run Keys / Startup Folder(T1547.001)機器再起動後に自動実行されるようにスタートアップフォルダにファイルを保存[Command and Control] Application Layer Protocol: Web Protocols(T1071.001)
HTTP/HTTPS プロトコル上で暗号化データの通信を行う

29

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

TTPsより考察する脅威の検出と緩和策

マルウェアの配送・攻撃について

標的型攻撃の起点となるマルウェアの配送について、APT10攻撃グループのLODEINFOマルウェアとBlackTech攻撃グループでは、メールの添 付ファイルにマクロのついたOfficeファイルを利用する事が観測されました。2022年4月以降、インターネットから入手したファイルのマクロはブロックされる設 定がMicrosoft社のデフォルト 17 になっていくため、マクロファイルでの攻撃テンポは今後低下してくるかもしれません。一方、今後マクロを使った侵入テンポが落ち着けば、他のフォーマットの添 付ファイルを使ったスピ アフィッシングメールや、深刻な侵入で多く見られるようになったSSL-VPN装置からの侵入に加え、DMZ上にある脆弱なサーバからの侵入が活 発になると思われます。本書に該当の攻撃はありません
が、2021年度は、Microsoft Exchangeサーバ、Log4jの脆弱性からの侵入などが、特にセキュリティ
担当者がいない海 外のグループの会 社で目立ちました。これに加え、海 外 拠点の公開アセットでは、サポー
ト期限切れのOSやミドルウェアが使われていたり、RDP(3389/tcp)などの不用意なポート開放が多数見られます。一定レベル以 上のセキュリティ対 策がされた本社の公開アセットと比べて、侵入しやすい海 外
拠点を狙ってくるのは攻撃グループの常套手段になっています。特に海 外に多くの拠点を持つ企業においては、一度、全ての拠点における公開アセット（ネットワーク機器やサーバ）を棚卸することをお勧めします。
棚卸した中から、対処が必要なものを選 別し、暫定 対処（撤去、パッチ適 用、設 定変更）の実 施後、必要に応じて脆弱性診断をするという流れです(Attack Sur face Management）。

インストールされるR AT、遠隔操作(C2サーバについて)

今回検出されたLODEINFO、A41APT 攻撃キャンペーンの検体(SodaMaster、Jackpot)は、正 規の実 行ファイルとともにロードされるDLLサイドローディングで起 動するものでした。サイドローディングで使われたDLLファイルは、DLLファイルのデータセクションなどや別のファイルにある暗 号されたペイロードを復号してメモリ上に展開して攻撃を行います。これを検出するため、現在は、ペイロードが 動作しているプ
ロセスのメモリを直接スキャンして攻撃を検出し、感 染を診断する技 術も発達しています。端末の攻撃を検出する手法にForensic State Analysis(FSA)がありますが、メモリのスキャンとペイロードの検出に優れたツールもあり、つぎに述べる導入後の攻撃検出に優れたEDRを使った監視とは違って、現在の状態
ですぐに侵害を特定・把握する事ができます。今回観測されたAPT10のA41APT 攻撃キャンペーンでは、通信先のC2サーバは感 染 端末の多くで異なるIPアドレスが観測されており、ネットワークでの検出は難し
いものであったと思われます。

17. https://docs.microsoft.com/ja-jp/deployoffice/security/internet-macros-blocked

30

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

侵入拡大・目的実行

現在のところ、知財を窃取する目的で R AT を使った標的型攻撃の単純な本質は、遠隔からコマンドを実 行できるなんらかのプログラム(R ATや本書で記 載したWMIツールなど)を動作させ、遠隔から正 規 のコマンドを必ず実 行してくる事です。この実 行コマンドの記録を行えるのが、EDR にカテゴライズされるプ
ロダクトの特徴です。エキスパートが EDR の実 行ログをモニタリングする事で、正 規コマンドの実 行状態から遠隔 操作を特定し、 攻撃を遮断する事も可能です。前段の配送、インストール、C2の T TPs が変更されても、遠隔 操作でコマンド実 行される点は変わらないため、EDR で記録するだけでなくエキスパートが監視することは有効な手段と考えています。A41APT 攻撃キャンペーンは、国内企業の海 外 拠点からの侵入が多く観測されており、海 外 拠点にも国内本社のセキュリティ基 準で攻撃を検出できるよう準備を進めていく必要があると思われます。

Pyramid of Pain

Pyramid of Painは、David Bianco氏がIOCを分 類するために提唱した概念です18 。攻撃を検出する観点では、このピラミッドの下にいけばいくほど 攻撃者が容易に変更しやすく、攻撃の検出を迂回する事ができますが、上にいけばいくほど 攻撃者の変更が 難しいため、上位にあるT TPsやToolsといった視点で検出のルールを検 討しておくことが 攻撃の検出に有効であると思われます。たとえば、A41APT 攻撃
キャンペーンを例にとると、検出されたSigLoaderのハッシュ値は感 染 端末ごとに異なり、SodaMasterのC2通信先のIPアドレスは同じように検出された感 染 端末ごとですべて異なっています。すなわち、ハッシュ値やC2のIPアドレスは、たとえ同じ組 織であっても検出のインディケータとしてまったく役に立たないと言えます。また、アンチウィルスでの検出率も高くはありません。一方、Host Ar tifactsに該当するマルウ
ェアが自動起 動するためのASEPは、C:\Windows\配下の3rdPar tyの正 規プログラムを使ったサイ
ドローディングでかつスケジュールタスクに設 定されるという特徴があり、SigLoaderのセクションで解説したように、この特徴を使ってハンティング検出する事ができます。また、ToolsのPowerShellコマンド
を実 行する、WinR ARでデータを窃取する、Mimikatzでクレデンシャルを窃取するといったToolsの利用も一貫しています。T TPsのクレデンシャルダンプ、マルウェアのASEPをつくる、Windowsの正 規コマン
ドで内部探索するといった攻撃の手口は一貫しており、このピラミッドのより上位に位置するT TPsを検出できるようにする事が 有効と思われます。これら上位のT TPs/Tools/Host Ar tifactの検出は長らく
EDRで可能ですが、特にこれらを海 外 拠点のWindowsサーバに配置しておくと効果が高いと思われます。

18. http://detect-respond.blogspot.com/2013/03/the-pyramid-of-pain.html

312022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

図28. A41APT 攻撃キャンペーンとPyramid of Pain

一方で、海外拠点のセキュリティレベル自体をあげて早期に攻撃を検出する必要もあり、推奨対策の提示
や、前述のFSAを用いた侵害調査(Compromised Assessment)を一度実施しておき、対策を加速させるはたらきかけも有効だと思われます。

32

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

検知のインディケータ
APT10（LODEINFO）
インディケータタイプ

備考f142eecf2defc53a310b3b00ae39ffecc1c345527fdfbfea8ccccd0d69276b41

SHA256LODEINFO 0.4.9

2169d93f344e3f353444557b9009aef27f1b0a0a8aa3d947b5b8f0b36ef20672

SHA256LODEINFO 0.5.6

d75537d59954ec3cc092378f00b16b6c9935590ef1074cb308e1ed65e922762c

SHA256LODEINFO 0.5.6

1dbf67d7dadba5505073aaf3e4478dd295b074bddf10ac5ac7b80d7fc14bea63

SHA256LODEINFO 0.5.6

fc602ebcf5f9697bedae0e641adfc16985058212f7b9e69dad0f1bf53daf93f9

SHA256LODEINFO 0.5.6をドロップするド
キュメントファイル

http[:]//172.104.78[.]44/

C2

http[:]//108.61.201[.]135/

C2

http[:]//139.162.112[.]40/

C2

Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36(KHTML, like Gecko)
Chrome/91.0.4472.114 Safari/537.36 Edg/91.0.86.59

ユーザエージェント

LODEINFO 0.5.6, 0.5.9 固定ユーザエージェント

978ba248c02eb9c130c1459b767527f8a3a9714c6686c12432e027da56f6c553

SHA256LODEINFO 0.5.9

dab7d79644453a7ca61b9b585c1081167dbe5df0da398df2458c1081295f68e6

SHA256LODEINFO 0.5.9

50cf6841cbc0ce395a23b9a4d2ddac77b11a376929878717e90c9a7430feddc3

SHA256LODEINFO 0.5.9

88efbc6e883336a0b910b7bcf0ef5c2172d913371db511a59a4a525811173bf1

SHA256LODEINFO 0.5.9

e764f26c3e5bf8467da51fbb33c3d80f026b8fe5bd5a6b84318b3f0aedb667cd

SHA256LODEINFO 0.5.9

88efbc6e883336a0b910b7bcf0ef5c2172d913371db511a59a4a525811173bf1

SHA256LODEINFO 0.5.9

fde82dcccd471b63f511c6f76dc04e12334818cda8b38f5048b8ad85c9357089

SHA256LODEINFO 0.5.9をドロップするド
キュメントファイル

http[:]//172.105.223[.]216/

C2

http[:]//45.77.28[.]124/

C2

https[:]//www[.]dvdsesso[.]com/

C2

332022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

BlackTech
インディケータタイプ

備考

ba27ae12e6f3c2c87fd2478072dfa2747d368a507c69cd90b653c9e707254a1d

SHA256

ファイル名:线路信息.xlsm Flagpro
をドロップ

e197c583f57e6c560b576278233e3ab050e38aa9424a5d95b172de66f9cfe970

SHA256

Flagprohttp[:]//139.162.87[.]180/index.html

C2

http[:]//139.162.87[.]180/robots.txt

C2

8fe30890f359b8d6e61738265cb5b6d992fc2dc64089d598e8bead3779208887

SHA256www.update.com.live-symantec[.]com

C2

ee6ed35568c43fbb5fd510bc863742216bba54146c6ab5f17d9bfd6eacd0f796

SHA256pullnews.postserv.zzux[.]com

C2

ae684ffdcd999fd62dcdeb511d0d597a98e0836d57edaa59901da067a7f41576

SHA256

update.helps.zyns[.]com

C2

0911e5d1ec48430ff9a863f5c4a38f0c71872d8bd6c89f07d6ae16d78eca162f

SHA256

ファイル名: 2021-10工资中公积金问题咨询.xlsm
Spider RATをドロップ

8c3df0e4d7ff0578d143785342a8033fb6e76ce9f61c2ea14c402f45a76ab118

SHA256Spider RAT

centos.onthewifi[.]com

C2

54e6ea47eb04634d3e87fd7787e2136ccfbcc80ade34f246a12cf93bab527f6b

SHA256

http[:]//org.misecure[.]com/index.html

C2

c2b23689ca1c57f7b7b0c2fd95bfef326d6a22c15089d35d31119b104978038b

SHA256Spider RAT
ファイル名:
DQD964831350012_内容审核
权限问题_2021_docx.exe_

42416e73ebc0b776c726e6075fa73bb418f24b53b0b2086141a2aba22301ec6a

SHA256

PLEAD Loader
ファイル名:
账号提现问题汇总
_20211103_DOCX.EXE

5b2c25873fd873e4cce18afc32b0a2a31ab2c11bed515ef5f671ef5c9fbe86ab

SHA256

ファイル名:
俞通才周报1025-1031.xlsm
マクロが破損。マクロを修復しFlagproがドロップされるのを確認

13c19132f7c0c2c02f4070eca9367bdf8ab2bf59c5993c6e853584ac215857c7

SHA256

FrontShell
ファイル名:
DQ684684654184001_运维材
料20211028_xlsx.exe

733b4d5174669caab2bbcc9bfe51606a13346b70af5 9fccea4f479d1fde7b5d7

SHA256Spider RAT

d196969b35966462fa03ef857e375e9d6172b34053b115df04cefa3d673b9d85

SHA256Spider RAT

client.dnsiskinky[.]com

C2

1e25116f33f7248e4549cb15fb20bd5d9f87cc7424e6592e565d66095ec2b647

SHA25634

BTSWindows RAT

BTSWindows RAT

BTSWindows RAT

Flagpro

SelfMake Downloader

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

標的型攻撃の実態と対策アプローチ
日本を 狙うサイバーエ ス ピオナージの動向2021年度

https[:]//exmail.sytes[.]net/pfxg.bin

C2

be5dc0d38251a54350c462a7f4a6c70028ee05c01bde5c1974342893bf12ba5e

SHA256

偽装Brave Browser インストーラー

90406d0fc975f342f0e20b49e7946e891392eb06bfc8cc5f3b9b8c86b7c1b17a

SHA256

SelfMake Downloader

https[:]//45.77.227[.]248/pfxg.bin

C2

8bdfc1ed5bfec964050a42a0f1ddd8709fcf14fab1ede151c5a7161be904cd96

SHA256

SelfMake Loader

92c75df382218e7743359aa83b403e443550e766c8474a59c9dcbd4903a4bf02

SHA256

SelfMake Loader
破損しており実行は不可。

dc095fa5f5dca649eaeb7dac01be794938508e01cf417fe881a23dd7467dda3b

SHA256

SelfMake Downloader

manager-server.lflink[.]com

C2

935e61aba8df5f6e80e001af0fa9c6a50c2cf50f4068e9dd4277f2cd1297d95c

SHA256

office-service.ftpserver[.]biz

C21d956f5e1e051b58752ab88ce30fbbc229f4f466e7c410f433a386ac21619d74

SHA25645.117.102[.]197

C2

zdx.mefound[.]com

C2

35

SelfMake Downloader

SelfMake Downloader

2022 © Macnica, Inc. and Team T5, Inc. All Rights Reserved.

マクニカは、1972 年の設立以来、最先端の半導体、電子デバイス、ネッ
トワーク、サイバーセキュリティ商品に技術的付加価値を加えて提供してきました。従来からの強みであるグローバルにおける最先端テクノロジ
ーのソーシング力と技術企画力をベースに、AI/IoT、自動運転、ロボットなどの分野で新たなビジネスを展開しています。
その中でセキュリティにおいては、最先端のセキュリティ商材を提供する
中で独自の研究機関を有し、日本の企業に着弾したサイバー攻撃や対策をリサーチしています。

TeamT5 は、世界有数のマルウェア分析チームであり、アジア太平洋圏
におけるサイバースパイ活動に対するベストソリューションプロバイダーです。
サイバー脅威の監視、分析、追跡を行いクライアントのシステムとネットワークを攻撃から守るのを支援しています。
更に脅威インテリジェンス、分析レポート、APT 対策ソリューション、脅威
分析、インシデントレスポンスサービスを提供しています。
メンバーは、数多くの世界的なセキュリティカンファレンスで研究成果を発表しています。
Black Hat, Kaspersky Security Analyst Summit, Syscan, CodeBlue/AVTokyo, Troopers, Codegate, VXCON/DragonCon, Power ofCommunity (Korea), Hack in the Box, FIRST, HITCON, etc.

株式会社マクニカ
本社〒222-8561 横浜市港北区新横浜1-6-3 マクニカ第1ビル〒222-8563 横浜市港北区新横浜1-5-5 マクニカ第2ビル
TEL.045-476-2010 FAX.045-476-2060

西日本営業所〒530-0005 大阪市北区中之島2-3-33 大阪三井物産ビル 14階
TEL.06-6227-6916 FAX.06-6227-6917

第6版
2022年６月 © Macnica, Inc.
● 本ホワイトペーパーに掲載されております社名および製品名は、各社の商標および登録商標です。

（※）本ホワイトペーパーは株式会社マクニカの著作権物で、同社の承諾を得ずに、文章や図表などをコピー、転載、インターネット送信等の方法で利用することはできません。