PC上での復号は不可能であり、このことがマルウェアの解析をより困難なものにしています。メモリに読み込まれます。実行および感染フローGitHubはどのように利用されているのでしょうか。GitHubプロジェクトに格納されているリポジトリから、HTMLページと通信を開始します。HTMLページマルウェア解析者であれば、上記画像の赤で囲った部分から、PlugXが暗号化されている可能性を疑うでしょう。PlugXの典型です。PlugXとは異なっています。C&Cサーバの所在が明らかになります。Githubに格納したファイルに保存されしています。それらの中には、PlugXが利用するアルゴリズムがあります。C&C文字列から、PlugXとの関連が確認されています。これは、WINNTIが今回の攻撃活動でも同じバックドア型マルウェアを利用している可能性を示しています。C&C情報を取得するものが存在すると推測しています。PlugXのアルゴリズムから派生しています。Base64暗号化方式のものが確認されています。2016年5月に作成されていました。2016年6月に、他の正規の既存リポジトリを複製して、1つのプロジェクト「mobile-phone-project」が作成されました。C&C通信のリポジトリは、2016年8月に作成されています。WINNTIによって作成されたものと推測しています。HTMLページが作成されていました。WINNTIの攻撃活動を、GitHubに公開されている日付から分析しました。GitHubでは、各ファイルの最初と最後のコミットされた時刻のタイムスタンプが保存されます。C&Cサーバ初回利用日の時系列表を作成しました。C&Cサーバに接続している時間を監視したところ、攻撃者集団が午後から活動を開始し、夕方遅くまで活動していたことが確認されました。時刻からは、予定に拘束されない攻撃者らしく、開始が遅い傾向がうかがえますが、非常に遅い時間まで活動していることもわかります。HTMLファイルの作成でした。2016年8月17日、そして最近では、2017年3月12日に開始された活動が確認されています。IPアドレスが最初に利用された日の時系列表です。IPアドレスがあり、さまざまなポート番号が利用されています。C&Cサーバは、53(DNS)、80(HTTP)、および443(HTTPS)の3つの異なるポートを経由して通信されます。WINNTIの亜種が用いる典型的な手法です。C&Cサーバは米国でホストされていますが、2つは日本に所在していました。C&Cサーバ間の通信維持に役立てています。トレンドマイクロは、「2017年セキュリティ脅威予測」で、今後の標的型攻撃では予想を上回る新たな手法が登場すると予測しました。WINNTIは、古くからのマルウェアを利用しながらも、新たな手法を用い攻撃を巧妙化させている点で、予測を反映しているといえます。SHA256値は以下のとおりです。posts:「BIFROSE」を標的型攻撃で確認、Torを利用し検出がさらに困難に2015年上半期スパムメール動向:マクロを利用する不正プログラムとランサムウェアが増加イタリアで発生したハッキング事例「EyePyramid」を解析ポートスキャン機能を増強した「Mirai」、Windowsも踏み台に。