S-Owl

Security Analyst / Malware Researcher / Threat Intel / APT / Malspam / ばらまきメール回収の会（@bomccss）/ 所属に関係のない個人の意見です。

[サイバーディフェンス研究所｜脆弱性診断・ペネトレーションテスト・フォレンジック・脅威インテリジェンス @cyberdefense_jp]

🚨【ブログ公開】『日本を標的としたAtlas RAT配布事例を追う』

2026年に入り、日本語の業務文書に偽装したファイル名でAtlas RATへ誘導する検体を複数確認、本記事では2つの実行フローを軸に、配布からRAT本体起動までの流れと判明点を整理しました。亜種の実装差分にも触れています🔍

https://t.co/bdM2glnF6e

#サイバーセキュリティ #マルウェ�� #ThreatIntel #AtlasRAT #CDI

[S-Owl @Sec_S_Owl]

最近リサーチ結果を出してなくてリサーチャーだった人になってるから、リサーチして��ものをまとめて出していかなきゃ。

[hiro_ @papa_anniekey]

海外だと、研究成果物（研究成果物を出すのがリサーチ）を出さない・出してないけど、その分野が好きで頑張ってる場合、ボビィストというのが一般的です。成果物を継続的に出してないならex-だし。

[S-Owl @Sec_S_Owl]

脆弱性で3日以内かつ侵害調査必須の指示が出ているものにあまり違和感を覚えた���とがないから、それだけ脆弱性の悪用で侵害される事案が多い世の中ということかな。

[nekono_nanomotoni @nekono_naha]

KEV脆弱性をCISAのBOD26-04に当てはめるとこうなります。3日以内かつ侵害調査必須が意外と多く全体の48%で運用としてはかなり重い。個人的に今回のBODで熱いのはCISAがなんとなく運営してたVulnRichmentがCISAの責務になった点。SSVCに必要な判断軸のソースとして今まで以上に参考にできそうです。

[nekono_nanomotoni @nekono_naha]

KEV脆弱性をCISAのBOD26-04に当てはめるとこうなります。3日以内かつ侵害調査必須が意外と多く全体の48%で運用としてはかなり重い。個人的に今回のBODで熱いのはCISAがなんとなく運営してたVulnRichmentがCISAの責務になった点。SSVCに必要な判断軸のソースとして今まで以上に参考にできそうです。

[S-Owl @Sec_S_Owl]

流れてきたので知ったけど、これ講演する時に便利そうね。
欲を言うとカンファレンスで主催側が1つ置いといてくれれば発表者で用意する必要なくて助かりそう。
https://t.co/t4YgnLEfR1

[Analysis Center @jpcert_ac]

JPCERT/CCでは、AD環境における攻撃手法やツールの変化を踏まえ、Windows 11およびWindows Server 2025を対象に「ツール分析結果シート」をアップデートしました。ブログではそのアップデートされたシートの概要、活用方法などを紹介しています。^YM https://t.co/gQdoR0DA4T

[moto_sato @58_158_177_102]

業務上様々な属性の方が対応をする環境だと思うが、IoCの諸要素の頻繁な更新により、既存のセキュリティー対策は追い付きづらい
(入手できる検体や情報も少ない)

一回実行されればクレデンシャル窃取に成功して攻撃者の目的を達することから、標的となる組織では制約的対策をするしかないだろう

[moto_sato @58_158_177_102]

[PR]
ホテル業界を標的とした不審メールの分析（パート1: キャンペーン概要編）

https://t.co/9b3wQk0F3O

(続編もすぐ出ます)

[S-Owl @Sec_S_Owl]

Proofpointは日本向けの攻撃は独立したグルー���としてTA4922と区別している。
ただAtlasRATを使うなどSilverFox全体の手法と合致しているので、やはりサブグループなのではないかと考えている。
TA4922: The Suspected Chinese Crime Group is Going Global
https://t.co/v2hk7B5LFK

[S-Owl @Sec_S_Owl]

SilverFoxやValleyRATについて調べたけど出す機会なさそうなことを書いておく。
SilverFoxの名前の由来はMicrostepが金融機関を象徴する「Silver」と、高度な技術を象徴する「Fox」を組み合わせて名称を付けた。

“银狐”情报共享站
https://t.co/en6xO7jufc

[S-Owl @Sec_S_Owl]

日本に対する攻撃では主にメールを使ったものだけど、SilverFox全体の攻撃で多く記事になっているのは偽サ���トからのソフトに同梱されているもの。
メールを使うのは日本以外では台湾、インドあたりを標的とした攻撃で見られている。
そういったサブグループがあるんじゃないかと考えている。