次世代ファイアウォールベンダーのパロアルトネットワークス合同会社（本社：東京都千代田区、以下パロアルトネットワークス）は、本社米Palo Alto Networksの脅威インテリジェンスチームUnit 42が日本の組織をターゲットとした標的型攻撃を確認したことを発表します。これは「DragonOK」とよばれるグループにより、2015年1月から3月にかけて日本の大手製造・ハイテク企業を対象に行われた攻撃であり、「FormerFirstRAT」と呼ばれる新しい標的型攻撃のためのバックドアツールを利用しています。

今回の攻撃はPalo Alto Networksの提供するサンドボックス型クラウドサービス「WildFire」とWildFireにより共有される脅威情報の検索、相関分析を実現するサイバー脅威インテリジェンスサービス「AutoFocus」（※AutoFocusは米国では試験提供中であり、一般提供並びに日本市場での提供は年内を予定しています）により発見されました。

攻撃を行った「DragonOK」は中国に拠点を持つとみられる犯罪者集団で、これまでも類似の攻撃を日本や台湾の製造業・ハイテク企業をターゲットに行っていました。今回の攻撃を含む「DragonOK」が行う標的型攻撃は、一見無害に見えるMicrosoft社のWordやExcelに形を模したEXEファイル（プログラムを実行するファイル）にマルウェアを仕込み、メールに添付して攻撃を行います。今回確認された攻撃では、訃報を知らせるメールに関連するドキュメント風のEXEファイルや、「XXX」とセルに入力されただけのExcel風のEXEファイルが送られる手法が取られました。ファイルを開いてしまうとマルウェアがダウンロードされ、システムのコントロールを奪い、キーロガー（キーボードの打ち込み履歴を記憶すること）、スクリーンキャプチャー、ファイルの盗難といった活動を行います。

■参考画像：攻撃で使用された添付ファイルの画像

今回の攻撃の新しい点は、NFlog、PoisonIvy、NewCT、PlugXといったこれまでに発見されているツールに加え、これまでグローバルでも確認されていない「FormerFirstRAT（Palo Alto Networksが命名）」という新しいツールが利用された点です。パロアルトネットワークスでは、日本企業への攻撃に特化した新しいツールが作成されたものと推測し、今後同様の攻撃が日本企業を対象に行われることを警告しています。

本攻撃の技術的詳細に関してはPalo Alto Networksのリサーチセンターブログをご参照ください。

※　Palo Alto Networks、Palo Alto　Networksロゴ、WildFireは米国および世界各国におけるPalo Alto Networksの商標です。本書に記述されているその他すべての商標、商号、サービスマークは、各所有者に帰属します。

【Unit 42について】

Palo Alto Networksの脅威インテリジェンスチームであるUnit 42は、熟練したサイバーセキュリティ研究者や業界の専門家で構成されています。Unit 42は最新の脅威情報を収集・調査・分析し、パロアルトネットワークスの顧客やパートナー、さらに広範なコミュニティと組織を保護するための見識を共有しています。Unit 42は定期的に世界中の業界カンファレンスに参加しています。

【Palo Alto Networksについて】

Palo Alto Networks (NYSE: PANW) は、米国に本社を持ち、サイバー攻撃から数多くの企業、行政機関、プロバイダのネットワークを守るサイバーセキュリティのリーディングカンパニーです。当社の提供するセキュリティ・プラットフォームは、変化の激しい今日のIT業界で重要となるアプリケーションやユーザー、コンテンツを基にセキュリティの保護を行い、お客様のビジネス展開をサポートします。詳しくはhttp://www.paloaltonetworks.jpをご覧ください。

Palo Alto Networks、Palo Alto Networks　ロゴは米国におけるPalo Alto Networksの商標です。
本書に記述されているその他すべての商標、商号、サービスマークは、各所有者に帰属します。

【お客様からのお問い合わせ先】
パロアルトネットワークス合同会社
Tel: 03-3511-4050
Email: infojapan@paloaltonetworks.com

【報道関係者からのお問い合わせ先】
パロアルトネットワークスPR事務局　株式会社アクティオ
Tel: 03-5771-6426
Email: paloalto-pr@actioinc.jp