C
月内に
アジアの政府機関を標的としたAPT攻撃
📌 一言でいうと
アジアの政府機関を標的としたAPT攻撃が確認されました。攻撃者はNetamLoaderという悪意のあるフレームワークを使用し、Windows更新パッケージに偽装したCABファイルや、Patch My PCなどのサードパーティ製ツールを悪用して検知を回避します。AMSIの無効化やdllhost.exeへのプロセスインジェクションを行い、最終的にC2サーバーと暗号化通信して情報を収集します。
🔍該当判定
- Windows 10の政府機関向けカスタマイズ版OSを利用している
- サードパーティ製アップデート管理ツール『Patch My PC』を導入している
- アジア圏の政府機関・公的機関に関連する業務を行っている
- 社内PCで.NET Frameworkベースのアプリケーションを多数運用している
上記いずれにも該当しない → 静観でOK
✅該当時の対応
1. サードパーティ製パッチ管理ツールの権限設定を見直し、不審なCABファイルの実行を制限する。2. EDR等の監視ツールでdllhost.exeへの不審なインジェクションや、AMSIのメモリ改ざんを検知する設定を有効にする。3. C2通信と思われる不審なHTTPSトラフィックを監視する。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】NetamLoaderを用いたアジア政府機関へのAPT攻撃について
お疲れさまです。NetamLoaderに関する情報共有です。
■ 概要
アジアの政府機関を標的とした高度なAPT攻撃が観測されました。攻撃者はNetamLoaderフレームワークを用い、.NETのAppDomainManager注入やXAMLペイロードの解読、AMSIのメモリ改ざんによる検知回避を組み合わせて動作します。また、dllhost.exeへのインジェクションによりEDRの検知を回避し、暗号化されたC2通信を行います。
■ 影響範囲
- アジア地域の政府機関
- Patch My PC等のサードパーティ製修補管理ツールを利用している環境
■ 対応手順
1. ネットワーク監視において、不審なHTTPS通信（AES-128-CBC/HMAC-SHA256）がないか確認してください。
2. dllhost.exe 等のシステムプロセスにおける不審なメモリ動作や、AMSIの機能停止を検知するルールを適用してください。
3. Windows更新ディレクトリへの不審なCABファイルの配置がないか整合性を確認してください。
■ 参考情報
- Kaspersky Threat Intelligence Report
対応優先度: 中
対応期限: 随時
お疲れさまです。NetamLoaderに関する情報共有です。
■ 概要
アジアの政府機関を標的とした高度なAPT攻撃が観測されました。攻撃者はNetamLoaderフレームワークを用い、.NETのAppDomainManager注入やXAMLペイロードの解読、AMSIのメモリ改ざんによる検知回避を組み合わせて動作します。また、dllhost.exeへのインジェクションによりEDRの検知を回避し、暗号化されたC2通信を行います。
■ 影響範囲
- アジア地域の政府機関
- Patch My PC等のサードパーティ製修補管理ツールを利用している環境
■ 対応手順
1. ネットワーク監視において、不審なHTTPS通信（AES-128-CBC/HMAC-SHA256）がないか確認してください。
2. dllhost.exe 等のシステムプロセスにおける不審なメモリ動作や、AMSIの機能停止を検知するルールを適用してください。
3. Windows更新ディレクトリへの不審なCABファイルの配置がないか整合性を確認してください。
■ 参考情報
- Kaspersky Threat Intelligence Report
対応優先度: 中
対応期限: 随時
Subject: [Intel] APT Campaign using NetamLoader targeting Asian Government Agencies
Dear Team,
We are sharing information regarding a sophisticated APT campaign utilizing the NetamLoader framework.
■ Overview
Attackers are targeting Asian government agencies using a multi-stage .NET loading mechanism. The campaign leverages malicious CAB files disguised as Windows updates and utilizes the 'Patch My PC' tool for initial execution. Key evasion techniques include AMSI memory patching, TypeConfuseDelegate for XAML payload execution, and process hollowing/injection into dllhost.exe to evade EDR detection.
■ Scope
- Government agencies in Asia
- Organizations utilizing third-party patch management tools like Patch My PC
■ Recommended Actions
1. Monitor for suspicious HTTPS traffic utilizing AES-128-CBC and HMAC-SHA256 encryption.
2. Implement detection rules for AMSI tampering and unauthorized memory injections into system processes (e.g., dllhost.exe).
3. Audit Windows update directories for unauthorized or suspicious CAB files.
■ Reference
- Kaspersky Threat Intelligence Report
Priority: Medium
Deadline: Ongoing
Dear Team,
We are sharing information regarding a sophisticated APT campaign utilizing the NetamLoader framework.
■ Overview
Attackers are targeting Asian government agencies using a multi-stage .NET loading mechanism. The campaign leverages malicious CAB files disguised as Windows updates and utilizes the 'Patch My PC' tool for initial execution. Key evasion techniques include AMSI memory patching, TypeConfuseDelegate for XAML payload execution, and process hollowing/injection into dllhost.exe to evade EDR detection.
■ Scope
- Government agencies in Asia
- Organizations utilizing third-party patch management tools like Patch My PC
■ Recommended Actions
1. Monitor for suspicious HTTPS traffic utilizing AES-128-CBC and HMAC-SHA256 encryption.
2. Implement detection rules for AMSI tampering and unauthorized memory injections into system processes (e.g., dllhost.exe).
3. Audit Windows update directories for unauthorized or suspicious CAB files.
■ Reference
- Kaspersky Threat Intelligence Report
Priority: Medium
Deadline: Ongoing