di_blog_post

Deep Instinct prevents more advanced threats than any EPP or EDR in the world.

Deep Instinct Blog: Breaking News and Updates

予防プラットフォーム概要

ストレージ向けの対策

アプリケーション向けの対策

エンドポイント 向けの対策

Deep Instinctによるデータセキュリティ

ディープラーニングによる予防ファーストのサイバーセキュリティ

製品

99%以上の脅威を検知

ランサムウェアの予防

ゼロデイ攻撃の防止

選ばれる理由

vs EDR製品

vs MICROSOFT DEFENDER

vs 従来型 AV 製品

既存のサイバーツールを強化

Deep Instinctについて

お客様の声

ニュース

採用

お問い合わせ

サポート

会社概要

カタログ/資料

ブログ

動画

オンラインセミナー

リソース

資料請求/デモリクエスト

カスタマーポータル

インテグレーション/コンプライアンス

トレーニング

クイックリンク

予測による予防プラットフォーム

ストレージ、アプリケーション、エンドポイントを保護するディープラーニングフレームワーク上に構築されたエンドツーエンドの予測防御プラットフォーム

予防プラットフォーム

NASやクラウドストレージのリポジトリに存在するゼロデイエクスプロイト、ランサムウェア、未知の脅威の99%以上を防止

お客様、従業員、第三者によるアプリケーションのアップロードを通じて、悪意のあるファイルがストレージ環境に侵入するのを未然に防止

既知および未知のマルウェア、ゼロデイ・エクスプロイト、ランサムウェア、スクリプトベースの攻撃を、エンドポイント上で実行される前に自動的に防御

高度な予測的予防技術により、環境全体のデータを保護します

データセキュリティ : POWERED BY DEEP INSTINCT

Deep Instinctは、サイバーセキュリティのためにゼロから自社開発した世界唯一のディープラーニングフレームワークです

ディープラーニング : 予防ファーストのサイバーセキュリティ

比類なき予防

ディープラーニングの活用で、急速に進化する脅威に対しても高精度の検知を実現し、誤検知を軽減


堅牢で効率的なセキュリティ運用を実現するために、リアルタイムでの脅威を判定して感染を自動的に予防

比類のない検知率の高さと最小限の誤検知で、ゼロデイ脅威を20ミリ秒未満で発見してプロアクティブに阻止

EDRのみでは不十分 - ディープラーニングを用いた高度なリアルタイム脅威防御で既存のサイバーセキュリティ・ツールを強化し、深層防御を実現

Deep Instinctの高度な脅威対策で、Microsoft Defender を補完し、脅威が環境に侵入する前に阻止

従来型AV製品を、サイバーセキュリティのために構築した予防ファースト型のディープラーニングベースの保護に置き換え

カタログ・資料

脅威リサーチ

リーダーシップメンバー

ボードメンバー

国内販売代理店

Partners

content_block

Perspective & Findings

ブログを読む

Emotet再来! 2023年最初のマルスパムの波

emotet-returns-2023-blog.jpg

Listing preview

Perspective & Findings

Emotet再来! 2023年最初のマルスパムの波

image_media_card

2022年ガートナー®マジック・クアドラントのEPP部門でDeep Instinctが唯一の新規ベンダーに選ばれた理由

死から蘇った、2022年のエモテット

The Re-Emergence of Emotet

Emotetの休暇は終了：悪い奴は休まない

Deep Instinct のトレンド

carousel_cards

listing_preview

Blog JP

DI_Threat_Research_Team_Blog_930x400.png

DarkBeatC2: MuddyWater最新攻撃フレームワーク

blog-image-muddyc2go.jpg

MuddyC2Go - イスラエルで発見されたイランの APT MuddyWater が使用する最新の C2 フレームワーク

MuddyWaterがイスラエル・ハマス戦争中にイスラエルに対する新たなソーシャル・エンジニアリング・キャンペーンを展開しました。

blog-muddywater-en-able.jpg

<h5>要旨：</h5><ul><li>Deep Instinctの脅威リサーチチームは、「MuddyWater」グループによる新たなキャンペーンを確認しました</li><li>このキャンペーンはイスラエルの2つの標的を攻撃していることが確認されています</li><li>このキャンペーンでは、以前に報告された MuddyWater の活動からさらに新しい TTP が確認されています</li></ul><figure style = "margin: auto; text-align: center;width: auto;"><img alt="Figure 1: Campaign overview " src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt6790e59d9363b777/65426ffc4ed3b2001a90c710/fig1-muddywater-campaign-overview.png" height="auto" style="margin: auto;text-align: center;width: auto;" /><figcaption style = "text-align: center;" style="text-align: center;">図1：キャンペーン概要</figcaption></figure><h5>はじめに</h5><a href="https://www.deepinstinct.com/ja/blog/new-muddywater-threat-old-kitten-new-tricks" target="_blank">以前</a>の調査によると、MuddyWaterは2020年から、さまざまなファイル共有プラットフォームでホストされているアーカイブへのリンクを含むPDF、RTF、HTMLの添付ファイルやダイレクトリンクを含むスピアフィッシングメールを送信していました。これらのアーカイブには、様々な合法的リモート管理ツールのインストーラーが含まれていました。イスラエルとハマスの戦争中に新しいキャンペーンを開始する前、MuddyWaterは、「<a href="https://www.storyblok.com/" target="_blank">Storyblok</a>」と呼ばれる新しいファイル共有サービスを利用して、以前に知られていたリモート管理ツールを<a href="https://twitter.com/k3yp0d/status/1719269176101990574" target="_blank">再利用</a>しました。10月30日、Deep Instinctは、「Storyblok 」上でホストされている2つのアーカイブに、新しいマルチステージの感染ベクターが含まれていることを確認しました。このファイルには、隠しファイル、感染を開始するLNKファイル、およびリモート管理ツールである <a href="https://www.n-able.com/features/advanced-monitoring-agent" target="_blank">Advanced Monitoring Agent</a> を実行しながらおとり文書を解除するように設計された実行ファイルが含まれています。これは、MuddyWater がこのリモート管理ツールを使用することに関する最初の公のレポートになります。<h5>マルチステージ・ソーシャル・エンジニアリング・キャンペーン</h5>Deep Instinctは、この新しいキャンペーンの拡散メカニズムを確認することはできませんでしたが、これまでのキャンペーンと同様に、スピアフィッシングメールから始まる可能性が高いです電子メールのコンテンツは、被害者をおびき寄せ、"a.storyblok[.]com "でホストされているアーカイブをダウンロードさせます。ここでは、まず”defense-video.zip”ファイルを分析します。アーカイブが解凍されると”Attachments”という名前の別のフォルダのように見えるLNKショートカットを見つけるまで、いくつかのフォルダを移動する必要があります：<figure style = "margin: auto; text-align: center;width: auto;"><img alt="Figure 2: LNK Shortcut" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blte46c4bf1b082e1d5/65427050a67ffd001b94e1c9/fig2-muddywater-hidden-lnk-shortcut.png" height="auto" style="margin: auto;text-align: center;width: auto;" /><figcaption style = "text-align: center;" style="text-align: center;">図2：LNKショートカット</figcaption></figure>しかし、アーカイブから抽出された追加の隠しフォルダとファイルがあります：<figure style = "margin: auto; text-align: center;width: auto;"><img alt="Figure 3: Hidden folders" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltad15ce5115cba266/654270aa2149b10407ad84f5/fig3-muddywater-hidden-folders.png" height="auto" style="margin: auto;text-align: center;width: auto;" /><figcaption style = "text-align: center;" style="text-align: center;">図3：隠しフォルダ</figcaption></figure>被害者がLNKファイルを開くと、感染動作が始まります。LNKファイルを調べると、隠しディレクトリの1つから実行ファイルが実行されることがわかります：<figure style = "margin: auto; text-align: center;width: auto;"><img alt="Figure 4: LNK command line arguments" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt64dfe55de3f736ef/654270df7265fb04074f77da/fig4-muddywater-lnk-command-line-arguments.png" height="auto" style="margin: auto;text-align: center;width: auto;" /><figcaption style = "text-align: center;" style="text-align: center;">図4：LNKコマンドライン引数</figcaption></figure>“Diagnostic.exe”というファイルは、我々が確認した両方のアーカイブで使用されています。このファイルの目的は、”Windows.Diagnostic.Document.EXE”という別の実行可能ファイルを実行することです。この実行可能ファイルは、”Windows.Diagnostic.Document”という隠しディレクトリの下の”.end”という名前の隠しディレクトリにあります。“Windows.Diagnostic.Document.EXE "という名前のファイルは、"Advanced Monitoring Agent "の電子署名された正規のインストーラーです。リモート管理ツールを実行するだけでなく、”Diagnostic.exe”は隠し”Document”フォルダの新しいWindowsエクスプローラウィンドウを開きます。これは、LNKファイルを開いた被害者を、それが本当にフォルダであるかのように騙すために行われます。おとり文書はイスラエル公務員委員会の公式メモで、ウェブサイトから誰でもダウンロードできるものです。このメモには、政府職員がソーシャル・ネットワーク上でイスラエル国家に反対する意見を表明した場合の対処法が書かれています：<figure style = "margin: auto; text-align: center;width: auto;"><img alt="Figure 5: Decoy document" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltc8cf7596101ee9db/654270fca184e7001b4f934b/fig5-muddywater-csc-decoy-document.png" height="auto" style="margin: auto;text-align: center;width: auto;" /><figcaption style = "text-align: center;" style="text-align: center;">図5：おとり文書</figcaption></figure><h5>結論</h5>MuddyWaterは、現在進行中のさまざまなキャンペーンでイスラエルを標的として攻撃し続けています。今回のキャンペーンでは、MuddyWaterが最新のTTPを採用していることが判明しました。これには、新しいパブリックホスティングサービス、感染を開始するためのLNKファイルの採用、新しいリモート管理ツールを実行しながらディレクトリのオープンを模倣する中間マルウェアの利用などが含まれています。被害者が感染した後、MuddyWaterのオペレーターは正規のリモート管理ツールを使って感染したホストに接続し、標的に対する偵察活動を開始します。偵察活動の段階が終わると、オペレーターはおそらくPowerShellコードを実行し、感染したホストをカスタムC2サーバーにビーコンさせます。MuddyWaterは過去に <a href="https://www.deepinstinct.com/ja/blog/phonyc2-revealing-a-new-malicious-command-control-framework-by-muddywater" target="_blank">PhonyC2</a> を使用していました。しかし、我々は最近、MuddyWaterがMuddyC2Goという新しいC2フレームワークを使用していることを確認しています。<h5>IOCs:</h5>ファイル<table style="width: 100%;"><thead class="bg-grey"><tr><th>MD5</th><th>概要</th></tr></thead><tbody><tr><td>37c3f5b3c814e2c014abc1210e8e69a2</td><td>Atera Agent を含むアーカイブ</td></tr><tr><td>16923d827a440161217fb66a04e8b40a</td><td>Atera Agent インストーラ</td></tr><tr><td>7568062ad4b22963f3930205d1a14df7</td><td>Atera Agent を含むアーカイブ</td></tr><tr><td>39eea24572c14910b67242a16e24b768</td><td>Atera Agent を含むアーカイブ</td></tr><tr><td>2e09e53135376258a03b7d793706b70f</td><td>Atera Agent インストーラ</td></tr><tr><td>1f0b9aed4b2c8d958a9b396852a62c9d</td><td> SimpleHelpを含むアーカイブ</td></tr><tr><td>065f0871b6025b8e61f35a188bca1d5c</td><td>SimpleHelp インストーラ</td></tr><tr><td>146cc3a1a68be349e70b79f9115c496b</td><td>defense-video.zip</td></tr><tr><td>dd247ccd7cc3a13e1c72bb01cf3a816d</td><td>Attachments.lnk</td></tr><tr><td>8d2199fa11c6a8d95c1c2b4add70373a</td><td>Diagnostic.exe</td></tr><tr><td>04afff1465a223a806774104b652a4f0</td><td>高度な監視エージェントインストーラ</td></tr><tr><td>6167f03c8b2734c20eb02d406d3ba651</td><td>おとり文書 (defense-video.zip)</td></tr><tr><td>e8f3ecc0456fcbbb029b1c27dc1faad0</td><td>attachments.zip</td></tr><tr><td>952cc4e278051e349e870aa80babc755</td><td>おとり文書 (attachments.zip)</td></tr></tbody></table><table style="width: 100%;"><thead class="bg-grey"><tr><th>IP or URL</th><th>概要</th></tr></thead><tbody><tr><td>ws.onehub[.]com/files/7f9dxtt6</td><td>Aterea AgentのアーカイブへのURL</td></tr><tr><td>a.storyblok[.]com/f/253959/x/b92ea48421/form.zip</td><td>Aterea AgentのアーカイブへのURL</td></tr><tr><td>a.storyblok[.]com/f/255988/x/5e0186f61d/questionnaire.zip</td><td>Aterea AgentのアーカイブへのURL</td></tr><tr><td>a.storyblok[.]com/f/259791/x/94f59e378f/questionnaire.zip</td><td>URL to Archive of SimpleHelpのアーカイブへのURL</td></tr><tr><td>146.70.149[.]61</td><td>MuddyWaterのSimpleHelpサーバ</td></tr><tr><td>146.70.124[.]102</td><td><a href="https://twitter.com/MichalKoczwara/status/1719294254206288001" target="_blank">MuddyWaterのSimpleHelpサーバの疑い</a></td></tr><tr><td>37.120.237[.]204</td><td>MuddyWaterのSimpleHelpサーバの疑い</td></tr><tr><td>37.120.237[.]248</td><td>MuddyWaterのSimpleHelpサーバの疑い</td></tr><tr><td>a.storyblok[.]com/f/259837/x/21e6a04837/defense-video.zip</td><td>高度な監視エージェントのアーカイブへのURL</td></tr><tr><td>a.storyblok[.]com/f/259791/x/91e2f5fa2f/attachments.zip</td><td>高度なモニタリングエージェントのアーカイブへのURL</td></tr></tbody></table>MuddyWaterに関するその他のIOCはGitHubページにあります： <a href="https://github.com/deepinstinct/Israel-Cyber-Warfare-Threat-Actors" target="_blank">https://github.com/deepinstinct/Israel-Cyber-Warfare-Threat-Actors</a>

MuddyWater eN-Able 新しいTTPによるスピアフィッシング

blog-phonyc2-muddywater.jpg

PhonyC2： MuddyWaterによる新たな悪意あるコマンド＆コントロール・フレームワークを暴く

2023年3月7日火曜日にEmotetが今年初めて、被害者を感染させるために新たなマルスパムを送信していることが確認されました。Emotetが最後に悪意のあるスパムを送信したのが2022年の11月であったため、これは重要なニュースです。しかも、今回の波は<a href="/ja/blog/emotet-vacation-is-over-ain-t-no-rest-for-the-wicked" target="_blank">11月のものとは異なり</a>、このブログで詳述しますが、新しい回避技術も含まれています。ディープインスティンクトの脅威リサーチチームは、昨年からEmotetを追跡しており、沈黙の期間と新たな戦術を使った再登場について書いています。今後もマルウェアの追跡を続け、変化や活動があれば、コミュニティに警告を発します。<ul><li>2022年11月17日投稿のブログ： <a href="/ja/blog/emotet-vacation-is-over-ain-t-no-rest-for-the-wicked" target="_blank">Emotetの休暇は終了：悪い奴は休まない</a></li><li>2022年6月9日投稿のブログ： <a href="/ja/blog/emotet-malware-returns-in-2022" target="_blank">死から蘇った、2022年のエモテット</a></li></ul>Emotetの復活をいち早く発見し、ツイートしたのは<a href="https://twitter.com/ilbaroni_/status/1633087980561735680" target="_blank">@ilbaroni_</a> <figure style = "margin: auto; text-align: center;width: 596px;"><img asset_uid="blt06f56e90c1fd7d11" alt="図1：Emotetの復活を初めて公開" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt06f56e90c1fd7d11/640a621ee5ffbf108e0bbf3f/fig1-first-public-observation-of-emotets-return.png" /><figcaption style = "text-align: center;" style="text-align: center;">図1：Emotetの復活を初めて公開</figcaption></figure> <h3>スレッドハイジャックメールによる配信</h3>Emotetが使用した配信方法は昨年11月と同じですが、今回は添付されたzipファイルがパスワードで保護されていません。ディープインスティンクトの脅威リサーチチームは、日本を含む世界中の企業に送信されたスレッドハイジャック（盗んだ正規メールを利用する手口）メールを発見しました。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt20e3927b313134eb" alt="図2：スレッドハイジャックされた日本語のメール" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt20e3927b313134eb/640a621e6d0cf81016ab9102/fig2-thread-hijacked-mail-in-japanese.png" /><figcaption style = "text-align: center;" style="text-align: center;">図2：スレッドハイジャックされた日本語のメール</figcaption></figure> <h3>Emotet マルスパムの変更点</h3>昨年11月、Emotetは悪意のあるExcelファイルをアーカイブ形式で送信していました。現在、Emotetは悪意のあるWordファイルを含むアーカイブを送信しています。Wordファイルにはマクロが含まれており、これを有効にすると感染動作が始まります。最初のページには、マクロを有効にするように受信者を誘い出そうとする画像が含まれています。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltf706d459b420f0d1" alt="図3：1ページ目に表示されるソーシャルエンジニアリングの誘い文句" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltf706d459b420f0d1/640a621ea7d98e0267ed3669/fig3-social-engineering-lure-on-first-page.png" /><figcaption style = "text-align: center;" style="text-align: center;">図3：1ページ目に表示されるソーシャルエンジニアリングの誘い文句</figcaption></figure> 2ページ目は白紙、3～7ページ目は小説<a href="https://en.wikipedia.org/wiki/Moby-Dick" target="_blank">モビーディック</a>からの抜粋で、白抜きフォントにすることで白紙に見えるように書かれています。文書全体の文字数は14,801文字、単語数は2,587語で、テキストは回避技術の一環として追加されたものと推察されます。多くのセキュリティツールは、画像とマクロだけのWord文書を悪意あるものとして分類しますが、ほとんどのケースではこれは事実だからです。21世紀の技術の進歩により、マクロを使用する理由はほとんどないにもかかわらず、正当な理由でマクロを使用する人もいます。マクロでファイルにテキストのコンテキストを追加すると、一部のセキュリティツールはそのファイルが良性であると考えるようになる可能性があります。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt9396b636b76e97a8" alt="図4：文字色を変えると隠れていた文字が見えてくる" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt9396b636b76e97a8/640a621f325d0044fe5fabb6/fig4-changing-font-color-reveals-hidden-text.png" /><figcaption style = "text-align: center;" style="text-align: center;">図4：文字色を変えると隠れていた文字が見えてくる</figcaption></figure> この例のWord文書には、いくつかの難読化された長いマクロが含まれており、いくつかの危険なウェブサイトの1つからEmotet DLLを含むZIPファイルをダウンロードし実行します。これだけではなく、今回Emotetが行った最も興味深い変更点は、Word文書のサイズを500MB以上に人為的に膨らませることです。 <figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt4771a740a24441f5" alt="図5：文書の末尾に0バイトを追加する" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt4771a740a24441f5/640a621fe35cc90ebcbd3896/fig5-zero-bytes-are-added-to-end-of-document.png" /><figcaption style = "text-align: center;" style="text-align: center;">図5：文書の末尾に0バイトを追加する</figcaption></figure> これは、ドキュメントの末尾にゼロバイトを追加するだけで行われます。ディープインスティンクトのリサーチャーは、以前、この手法が実行ファイルやDLLファイルなどの最終的なペイロードを膨らませるために<a href="/ja/blog/the-russian-spyagent-a-decade-later-and-rat-tools-remain-at-risk" target="_blank">使用されるのを見たことがあります</a>。結果は以前のものと同様で、ファイルが非常に大きいため、多くのセキュリティ製品やサンドボックスがスキャンせず、自動解析やIOC抽出が破綻してしまいます。前述のように、マクロは侵害されたホストからZIPファイルをダウンロードしますが、その中にはEmotetローダーであるDLLファイルが含まれています。このDLLも0バイトでファイルサイズが500MB以上に膨れ上がっています。最初の攻撃ベクトルとペイロードが人為的に膨張していることの組み合わせは、静的解析にのみ依存する製品を完全に盲目にするかもしれません。これらの変更にもかかわらず、ローダーの動作は同じに見えます。過去にEmotetはcertutil.exeのローカルバージョンをコピーしていましたが、今回Emotetは名前を変えたcertutilの特定のバージョンを"&lt;AppData&gt;Local\Temp. "にドロップします。観測されたバージョンのハッシュは次のとおりです：4224312da8c3a37b95dd78236fca5ca316021c5de6e517d0ddc753ee26932e6a Emotetは現在もプロセスインジェクションを使用しているため、静的検知だけに頼らないセキュリティ製品であれば、今回の攻撃を阻止できる可能性が高くなります。<h3>IOC </h3>DOC: a13b394e4017c0c77faf4fab6c3aea4de3443f11610cc85a1d677249b9b2bc3a DLL: efcf59f4423df8fdacbfa8c3d23b6a3e4722bab65c31ea8a7f32daadddfa7adc IOCの全リスト（278件）については、<a href="https://github.com/deepinstinct/Emotet-IOCs" target="_blank">GitHubページ</a>をご覧ください。

ducktail-blog.jpg

DUCKTAIL：新しいLNKやPowerShellなど、検出を回避するためのカスタム戦術を使った攻撃が再登場

malicious-JARs-blog.png

2022年を通じてDeep Instinctは、悪意あるJARを持つ<a href="https://en.wikipedia.org/wiki/Polyglot_(computing)" target="_blank">polyglot</a>ファイルのさまざまな組み合わせを確認しました。最初の手法は少なくとも2018年頃、署名付きMSIファイルを使用してMicrosoftのコード署名検証をバイパスしていました。2019年、Virus TotalはMSI+JARのpolyglot テクニックについて書きましたが、Microsoftはその時点でこの問題を修正しないことを決定しました。<a href="https://www.securityinbits.com/malware-analysis/interesting-tactic-by-ratty-adwind-distribution-of-jar-appended-to-signed-msi" target="_blank">2020</a>年、このテクニックは悪意あるキャンペーンで悪用されたため、Microsoftが<a href="https://medium.com/@TalBeerySec/glueball-the-story-of-cve-2020-1464-50091a1f98bd" target="_blank">CVE-2020-1464</a>を割り当て、この問題を修正しました。修正されたにもかかわらず、Deep Instinctは2022年にこの手法がまだ使用されており、必ずしもCVEを悪用しない新しいタイプの polyglotが含まれていることを観察しました。むしろ、攻撃者は現在、JARファイル形式を適切に検証しないセキュリティソリューションを混乱させるためにpolyglotテクニックを使用しているのです。<h3>polyglotとは？</h3>polyglotファイルは、少なくとも2つのファイル形式を、それぞれの形式がエラーなく解釈できるように組み合わせることによって構成されます。任意のファイル形式の組み合わせからpolyglotを作ることができるわけではないため、少し面倒ですが、かなり多くの<a href="https://github.com/Polydet/polyglot-database" target="_blank">選択肢</a>の中から選ぶことができます。<h3>JARとは？</h3><a href="https://en.wikipedia.org/wiki/JAR_(file_format)" target="_blank">JAR</a>ファイルは基本的にZIPアーカイブです。ZIPファイルについて特別なことは、ZIPファイルはアーカイブの最後に位置するend-of-centralディレクトリレコードの存在によって正しく識別されることです。これは、私たちがファイルの始めに追加したどんな「junk」も無視され、アーカイブはまだ有効であることを意味します。この2つを組み合わせると、有効なMSIと有効なJARの両方を持つファイルができあがります。他のファイル形式では、ファイルの先頭に特別なマジックヘッダがあり、JARとは異なり、最初から読み込まれる必要がありますが、これらの形式の1つがMSIです。<h3>2022のキャンペーン</h3>2022年、Deep Instinctは、<a href="https://www.jaiminton.com/reverse-engineering/strrat" target="_blank">StrRAT</a>と<a href="https://www.youtube.com/watch?v=YJ8PZ6elyLE" target="_blank">Ratty</a> のサンプルが、polyglotとして、またはjunkを先頭に付加したJARファイルとして配布されていることを確認しました。両方のRATは既知の脅威であり、StrRATについては設定抽出ツールがあり、Rattyについては私たちが独自に設定抽出ツールを作成し、GitHubコミュニティにも共有しています。 <a href="https://github.com/deepinstinct/RattyConfigExtractor" target="_blank">https://github.com/deepinstinct/RattyConfigExtractor</a>これらのファイルが単一の脅威者のものか、複数の脅威者のものかは判断できませんでしたが、多くのサンプルでブルガリアのホスティング会社「BelCloud LTD」の利用が確認されました。また、RattyとStrRATのサンプルには、同じC2サーバを共有しているものがいくつか見受けられました。簡単にするために、ファイルに付加されている内容で分類します。<h3>#1 MSI:</h3>サンプル 5e288df18d5f3797079c4962a447509fd4a60e9b76041d0b888bcf32f8197991Linuxのfileコマンドでファイルを検査すると、このファイルはMSIファイルであると書かれていることがわかります：<figure style = "margin: auto; text-align: center;width: 614px;"><img asset_uid="blt2e9f9f745ae627ca" alt="図1：LinuxのファイルがサンプルをMSIファイルとして識別している様子" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt2e9f9f745ae627ca/63bee84a47588310a1913f9b/fig1-linux-file-indentifies-sample-as-msi-file.png" height="auto" /><figcaption style = "text-align: center;" style="text-align: center;">図1：LinuxのファイルがサンプルをMSIファイルとして識別している様子</figcaption></figure>しかし、このファイルには有効なJARも含まれており、我々のRatty設定抽出ツールは、C2サーバ情報を正常に抽出することができました。このサンプルは、<a href="https://sendgrid.com/" target="_blank">Sendgrid</a>を使用して送信されていることが確認されていますが、これは特別なことではなく、MSI+JARpolyglot を使用したStrRATサンプルの一部もSendgridを使用して送信されています。MSI+JARpolyglot を使用したStrRATサンプルの一部は、cutt.lyやrebrand.lyなどのURL短縮サービスを使って拡散されていることが確認されています。また、サンプルはDiscord上でホストされているケースもありました。<h3>#2 CAB:</h3><a href="https://www.file-recovery.com/cab-signature-format.htm" target="_blank">CAB</a> ファイルは独自のマジックヘッダを持ち、最初から最後まで解釈されるため、JARファイルとのpolyglot には最適な候補となります。RattyとStrRATの両サンプルがCAB+JARのpolyglot を使用しているのを確認しました。特に、Rattyのサンプルであるf620c4f59db31c7f63e8fde3016a33b3bfb3934c17874dcfae52ca01e23f14de と StrRAT サンプルである　2f4c6eb0a307657fb46f4a8f6850842d75c1535a0ed807cd3da6b6678102e571 は共にCAB+JAR polyglotを使用し、同じC2サーバーdonutz.ddns[.]netを使用しています：<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="bltfb077af360e7081e" alt="図2：StrRATとRatty（CAB+JAR）が同じC2サーバdonutz.ddns[.]netにリンクしている様子" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltfb077af360e7081e/63bee84a7a6762171d821d17/fig2-strRAT-and-Ratty-linked-to-the-same-c2-server.png" /><figcaption style = "text-align: center;" style="text-align: center;">図2：StrRATとRatty（CAB+JAR）が同じC2サーバdonutz.ddns[.]netにリンクしている様子</figcaption></figure><h3>#3 HEX Trash / Fake PE:</h3>脅威者が誤って作ったのか、それとも意図的に作ったのかはわかりませんが、これらのJARファイルには、HEX値が付加されています。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt05d5b955bdf7dc33" alt="図3：HEX値が付加されたサンプル19154b831614211de667c2aedd6a4b5b89d4bfc1e129eb402a6300ad2e156dcf" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt05d5b955bdf7dc33/63bee84a98b11c3ccecf6af5/fig3-sample-with-hex-values-appended.png" /><figcaption style = "text-align: center;" style="text-align: center;">図3：HEX値が付加されたサンプル19154b831614211de667c2aedd6a4b5b89d4bfc1e129eb402a6300ad2e156dcf</figcaption></figure>この16進数の値は、実行可能なファイルであり、これらのファイルは、添付された16進数が単なる「junk」テキストであるため、polyglot ではありませんが、Linuxの”file”コマンドは、そのようなファイルのファイルタイプとして「データ」を返します。こうすれば、攻撃者はLinuxの "file "コマンドを使用してファイルの種類をチェックするセキュリティ・ソリューションを混乱させ、回避することができるのです。<h3>#4 Binary Junk:</h3><figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt8585c56be6e04e2b" alt="図4：バイナリデータを付加したサンプル8d801f58d10ddbc52739fa35aa862286c3fe9606411f0e5f7b8b3fd71f678cad" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt8585c56be6e04e2b/63bee84ad7b1d54534245dfa/fig4-sample-with-appended-binary-data.png" /><figcaption style = "text-align: center;" style="text-align: center;">図4：バイナリデータを付加したサンプル8d801f58d10ddbc52739fa35aa862286c3fe9606411f0e5f7b8b3fd71f678cad</figcaption></figure>この内容は、ポリグラフを目的としたものではないため、これがミスなのか、それとも意図的に行われたものなのかは不明です。追記された内容は何らかのバイナリの一部であるようですが、追記されたデータは追記されたファイルの先頭が欠落しているようです。最終的な結果は同じで、ファイルタイプをチェックすることで「データ」として検出される有効なJARファイルです。<h3>この手法は攻撃者にとって有用だと思いますか？ (もちろんです！) </h3>RattyとStrRATはよく知られた脅威ですが、これらの付加されたJARファイルのいくつかは、VirusTotalでは非常に低い検知率を示しています。<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt14594c18eb515964" alt="図5：CAB+JA Rpolyglot の低い検知率" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt14594c18eb515964/63bee84aab6fbb46e5b71f9c/fig5-low-detection-rate-for-cab-jar-polyglot.png" /><figcaption style = "text-align: center;" style="text-align: center;">図5：CAB+JA Rpolyglot の低い検知率</figcaption></figure>VirusTotalの検知率は、特定のベンダーの真の検知能力を示すものではありません、ファイルが動的に実行された場合の挙動が異なる製品もあるからです。とはいえ、コンテンツが追加されたJARファイルは、既知の脅威であっても、少なくとも実行されるまでは検知されないことがあることは明らかです。<h3>これ以上の悪用を避ける方法はあるのでしょうか？ (もちろんあります！)</h3>もし、Linuxの "file "コマンドのような単純なファイルタイプチェックに頼ってJARファイルを識別できなかったとしたら、簡単な解決策は、JAR拡張子を持つすべてのファイルを「スキャン」することだけでしょう。しかし、これではまだ十分ではありません。JAVAはファイル拡張子を気にせず、どんな拡張子を持つ有効なJARファイルでも喜んで実行します。拡張子".jar "の名前を変更する唯一の欠点は、JARを単にクリックして実行するのではなく、コマンドラインから実行する必要があることです。私たちは、HTML+JARのpolyglot を作成し、これを実証しています：<figure style = "margin: auto; text-align: center;width: autopx;"><img asset_uid="blt234fc58952190333" alt="図6：拡張子がhtmlのHTML+JARポリグラフがブラウザで適切に表示され、JREで適切に実行される様子" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt234fc58952190333/63bee84a438f80612c397515/fig6-html-jar-polyglot-with-html-extension-properly-rendered-in-the-browser-and-properly-executed-by-jre.png" /><figcaption style = "text-align: center;" style="text-align: center;">図6：拡張子がhtmlのHTML+JARポリグラフがブラウザで適切に表示され、JREで適切に実行される様子</figcaption></figure>このファイルは、<a href="https://github.com/deepinstinct/RattyConfigExtractor" target="_blank">Ratty</a>マルウェア設定抽出ツールとともに、弊社の<a href="https://github.com/deepinstinct/JAR-Polyglot-POC">GitHub</a>でも公開しています。<h3>まとめ</h3>JARファイルの適切な検出は、静的および動的の両方であるべきです。なぜなら、すべてのファイルをスキャンして、ファイル末尾の中心ディレクトリレコードの存在を確認するのは非効率的だからです。防衛者は、「java」プロセスと「javaw」プロセスを監視し、そのプロセスが引数として”-jar”を持つ場合、引数として渡されたファイル名は、ファイル拡張子やLinuxの”file”コマンドの出力にかかわらず、JARファイルとして扱われるべきです。また、インシデント対応者やサイバーコミュニティの皆様は、感染時にDeep Instinct社が提供するRattyマルウェア設定パーサーを使用して、迅速にIOCを取得し、改善策を講じることができます。<h3>MITRE ATT&CK:</h3><table><thead class="bg-grey"><tr><th style="width: 15%;">タクティクス</th><th>テクニック</th><th>概要</th><th>オブサーバブル</th></tr></thead><tbody><tr><td>初回アクセス</td><td>T1566.002 Phishing: Spearphishing Link</td><td>攻撃者は、ペイロードに誘導するURL短縮サービスを利用します</td><td>Rebrand[.]ly/afjlfvp</td></tr><tr><td>防衛回避</td><td>T1036.001 Masquerading: Invalid Code Signature</td><td>攻撃者は、署名されたMSIファイルを追加します</td><td>85d8949119dad6215ae0a21261b037af</td></tr><tr><td>防衛回避</td><td>T1027.001 Obfuscated Files or Information: Binary Padding</td><td>攻撃者は、ファイルの先頭にジャンクデータを追加し、"file" コマンドが異なるファイルタイプを返すようにします</td><td>cb17f27671c01cd27a6828faaac08239</td></tr><tr><td>コマンド コントロール</td><td>T1102 Web Service</td><td>攻撃者は、Discordのコンテンツデリバリーネットワーク（CDN）を利用してマルウェアを配信しています</td><td>https://cdn[.]discordapp[.]com/attachments/938795529683480586/941658014962823208/Package_info[.]jar</td></tr></tbody></table>&nbsp;<h3>IOC:</h3>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

悪意のあるJARファイルとPolyglot ファイル:  悪性JARって何なんジャー


Deep Instinctが新しいMuddyWater(意味：泥水。スラングで“物事を理解しにくくするために関係ないことを持ち出す“という意味もある)の脅威キャンペーンを発見しました。この脅威の分析を紹介します。

MuddyWater-Blog.png

新しいMuddy Waterの脅威：新しい泥水はさらに濁っている

Polonium-APT-Group-blog.png

ポロニウムAPTグループの活動は、2022年6月に<a href="https://www.microsoft.com/en-us/security/blog/2022/06/02/exposing-polonium-activity-and-infrastructure-targeting-israeli-organizations/" target="_blank">マイクロソフト</a>によって初めて検知されました。このグループはレバノンを拠点とし、専らイスラエル企業を攻撃しています。このグループの名前は周期表の化学元素に由来しています。<a href="https://en.wikipedia.org/wiki/Polonium" target="_blank">「ポロニアム</a> はカルコゲンの一種。安定同位体を持たない希少で高放射能な金属。」2022年10月初旬、<a href="https://www.welivesecurity.com/2022/10/11/polonium-targets-israel-creepy-malware/" target="_blank">ESET</a> はこの脅威グループに関する包括的な調査結果を発表し、その中には100を超える悪質なファイルのハッシュが<a href="https://github.com/eset/malware-ioc/tree/master/polonium" target="_self">含まれていました</a>。それらのファイルのうち、さらに分析できる13のサンプルが公開マルウェアレポジトリで見つかりました。Deep Instinctの脅威リサーチチームは、公開されたサンプルを分析する過程で、公開された元のファイルにはなかったポロニウムの武器庫からさらに3つのサンプルを発見しました。Deep Instinctは、ポロニウムが調査を困難にするために小さなコンポーネントを使用していること、また、検知を困難にするために多層の攻撃フローを使用していることを発見しました。Deep Instinct 脅威リサーチチームが発見したサンプルは、オリジナルのポロニウム攻撃ツールの追加コンポーネントと代替手段を明らかにしています。以下に、新しい手法の概要を説明します。<h3>#その1：追加のMegaCreepローダー：</h3>ESETのレポートでは、MegaCreepローダー（md5: 287007b3b0c0762f79e3b8a1cf2cef86） が、MegaCreepバックドアのメインコードを含んでいるとされる外部コンポーネントファイルである "MainZero" を呼び出していると解説されています。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt58f28e95223a9e65" alt="図1：右側 - 新しいMegaCreepローダー、左側 - ESETが解析したMegaCreepローダー" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt58f28e95223a9e65/638e7680196547511e1c392e/fig01-new-megacreep-loader.png" /><figcaption style = "text-align: center;" style="text-align: center;">図1：右側 - 新しいMegaCreepローダー、左側 - ESETが解析したMegaCreepローダー</figcaption></figure>Deep Instinctが発見した「新しい」ファイル（md5: 19fe1fd29122a5092f7b680e5762fc19 ）は、MegaCreep用の別のローダーである可能性が高いです。この2つの主な違いは、見つかった新しいローダーは、それ自体では永続化のためのサービスを作成する機能を持っていないことです。しかし、VirusTotalの”End-user Sightings”機能のおかげで、サービスを持たないバージョンには、"MicrosoftMegUpdate "という名前の自動起動レジストリキーパーシスタンスがあることが分かります。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt294e3a195ca15b9d" alt="図2：MicrosoftMegUpdateの永続性" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt294e3a195ca15b9d/638e7680b250891091612361/fig02-MicrosoftMegUpdate_-persistence.png" /><figcaption style = "text-align: center;" style="text-align: center;">図2：MicrosoftMegUpdateの永続性</figcaption></figure>ディスク上でファイルが観測されたパスは、Users AppDataサブフォルダ内です：<figure style = "margin: auto; text-align: center;width: 389px;"><img asset_uid="bltec660442e09b0027" alt="図3："TaskManager.exe"が野放しで観測されたパス、VirusTotal" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltec660442e09b0027/638e76809ec8cb5e23a5b1e3/fig03-paths-taskmanager-exe-observed-in-wild.png" height="auto" /><figcaption style = "text-align: center;" style="text-align: center;">図3："TaskManager.exe"が野放しで観測されたパス、VirusTotal</figcaption></figure>コンポーネント間のつながりを可視化するために、Maltegoグラフを作成しました：<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt0e4bff5a6654ae7e" alt="図4：MegaCreep Loaderと各コンポーネントの関係グラフ" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt0e4bff5a6654ae7e/638e7680c1672c63e5e718bc/fig04-relationship-graph-megacreep-loader.png" /><figcaption style = "text-align: center;" style="text-align: center;">図4：MegaCreep Loaderと各コンポーネントの関係グラフ</figcaption></figure>“MainZero”は公開されていないため、このグラフには他のコンポーネントが欠けている可能性があります。また、”MainZero”には、いくつかの異なるバージョンが存在する可能性があります。<h3>#2：新種のマルウェア「Creepy」の可能性がある追加ファイル:</h3>Deep Instinctは、追加ファイルの検索中に、ポロニウムが使用する2つの追加ファイルを特定しました。この2つのファイルは、先に述べたMegaCreepローダーとともに、同じ日にイスラエルからSysinternalsを使用して数秒間隔でアップロードされました。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt570ade9f628c8572" alt="図5：2022-09-23 16:01にイスラエルからアップロードされたファイルのVirusTotal結果" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt570ade9f628c8572/638e7680b6458e671e0c0157/fig05-virustotal-results.png" /><figcaption style = "text-align: center;" style="text-align: center;">図5：2022-09-23 16:01にイスラエルからアップロードされたファイルのVirusTotal結果</figcaption></figure>これは、誰かが感染したシステムの初期トリアージを行っていたことを示している可能性が高いということです。この追加ファイルは、ほとんどのポロニウム マルウェアと同様に、.NETで記述されています。さらに、このファイルは、先に述べた”MegaCreep”ローダーと同じマシンに出現しています。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt15bc55dc4295ffd6" alt="図6："RLVBUp.exe "が観測されたパス群" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt15bc55dc4295ffd6/638e7680b477ba0429bf0cbb/fig06-paths-rlvbup-exe-observed-in-wild.png" /><figcaption style = "text-align: center;" style="text-align: center;">図6："RLVBUp.exe "が観測されたパス群</figcaption></figure>ポロニウムは、複数のコンピュータで同じファイルを再利用していますが、図5に見られるように、マルウェアを実行するパスをランダムに変えているのが興味深い点です。しかし、常に "AppData "下の何らかのサブフォルダにあるようです。また、どちらのファイルも "Microsoft.VisualBasic.CompilerServices" ライブラリを使用し、ClassVB.dll または ClassVB2.dll という名前の外部コンポーネントをインポートしています。これは、C#だけでなく、VisualBasicのコンポーネントを使用したことを示していると思われます。また、ClassVBのDLLは公開されていないため、正確な機能は不明です。”MegaCreep”の亜種か、これまで確認されていない”VBCreep”のバックドアである可能性があります。<h3>#3: RLVB.exe:</h3>このファイルのコードは非常に短く、"ClassVB.dll "に存在する主要な機能に対するローダーです。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="bltc0a2a46dc730badc" alt="図7：外部ClassVBコンポーネントを使用したRLVBコード" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltc0a2a46dc730badc/638e768069941f33dd187d8e/fig07-rlvb-code-thar-using-external-classvb.png" /><figcaption style = "text-align: center;" style="text-align: center;">図7：外部ClassVBコンポーネントを使用したRLVBコード</figcaption></figure>このファイルには自動起動のレジストリキーがありますが、"HKCUOFTWARE" の下にあります。RLVBUp.exe このファイルもVisualBasicを使用しており、"RLVB.exe "と似た名前の外部ファイルをインポートしています。ここにも自動起動レジストリキー "HKCUSOFTWARE⇄MicrosoftWindowsCurrentVersion⇄Run⇄CLVB11Update "が存在します。このファイルは、ESETの調査で "MegaCreep "の一部として言及されている "PRLib.dll "をインポートしています。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="bltba100281c55838f1" alt="図8：外部ClassVB2コンポーネントとPRLibを使用したRLVBUpのコード" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltba100281c55838f1/638e76812253035cc6d42d2f/fig08-rlvbup-code-using-external-classvb2-prlib.png" /><figcaption style = "text-align: center;" style="text-align: center;">図8：外部ClassVB2コンポーネントとPRLibを使用したRLVBUpのコード</figcaption></figure>RLVBUpは、"WindMin.dll" と "UnInstall.dll" という2つの外部ファイルからデータの読み書きを行っています。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="bltfac233ee317c1c56" alt="図9：外部ファイル "WindMin.dll "と "UnInstall.dll "を使用しているRLVBUpコード" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltfac233ee317c1c56/638e7681b03b1e106d29c87f/fig09-rlvbup-code-thar-using-external-files-windmin-dll-uninstall-dll.png" /><figcaption style = "text-align: center;" style="text-align: center;">図9：外部ファイル "WindMin.dll "と "UnInstall.dll "を使用しているRLVBUpコード</figcaption></figure>"##"による置換機能は、"MegaCreep "のものと<a href="https://www.welivesecurity.com/wp-content/uploads/2022/10/Figure-8.-Example-of-MegaCreep-calling-methods-from-separate-DLLs.png" target="_blank">同様</a>である。外部ライブラリのほとんどはカスタムライブラリであり、一般には公開されていません。そのため、その機能は完全には解明されていません。“RLVBUp”は”PRLib”を使用しているため、”MegaCreep”に関連するモジュール、あるいは異なるポロニウム バックドアの間で共有されるモジュールである可能性があります。現在知られているすべてのつながりを視覚化するために、私たちは別のMaltegoグラフを作りました。<figure style = "margin: auto; text-align: center;width: 389px;"><img asset_uid="blt9109d3b8387fbb20" alt="図10：PRlibによるファイル間関係グラフ" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt9109d3b8387fbb20/638e7680e133455e0fe8d89b/fig10-relationship-graph-between-files-using-prlib.png" height="auto" /><figcaption style = "text-align: center;" style="text-align: center;">図10：PRlibによるファイル間関係グラフ</figcaption></figure><h3>まとめ</h3>ポロニウムはつい最近発見された攻撃グループで、イスラエル企業への攻撃に特化しています。彼らの攻撃ツールの既知のコンポーネントをすべてマッピングすることは、セキュリティチームが類似の活動を特定するのに役立ち、不足しているパズルのパーツを明らかにすることにつながるかもしれません。<h3>IOC</h3><table><thead class="bg-grey"><tr><th></th><th>MD5 Hash</th></tr></thead><tbody><tr><td>TaskManager.exe</td><td>19fe1fd29122a5092f7b680e5762fc19</td></tr><tr><td>RLVB.exe</td><td>dbec8d9a3ea34d69733e7f5f5134f62d</td></tr><tr><td>RLVBUp.exe</td><td>a544bb442fe4342e300bc8beaef66796</td></tr></tbody></table>&nbsp;

ポロニウムAPTグループ：新しい”元素”を暴く

iranian-threat-actor-blog.png

イランの脅威者、大量搾取ツールの開発を継続中

クラウドストレージおよびNAS環境向けDeep Instinct prevention for Storage を発表

クラウドストレージおよびNAS環境向けDeep Instinct prevention for Storage を発表

Simon Kenin

From Simon Kenin.

DarkBeatC2: MuddyWater最新攻撃フレームワーク

MuddyC2Go - イスラエルで発見されたイランの APT MuddyWater が使用する最新の C2 フレームワーク

MuddyWater eN-Able 新しいTTPによるスピアフィッシング

PhonyC2： MuddyWaterによる新たな悪意あるコマンド＆コントロール・フレームワークを暴く

Emotet再来! 2023年最初のマルスパムの波

DUCKTAIL：新しいLNKやPowerShellなど、検出を回避するためのカスタム戦術を使った攻撃が再登場

悪意のあるJARファイルとPolyglot ファイル: 悪性JARって何なんジャー

新しいMuddy Waterの脅威：新しい泥水はさらに濁っている

ポロニウムAPTグループ：新しい”元素”を暴く

イランの脅威者、大量搾取ツールの開発を継続中

製品

選ばれる理由

既存のサイバーツールを強化

会社概要

リソース

クイックリンク