はじめに
SOCでは常に最新の脅威に対抗するため、標的型・ばらまき型問わず様々なリサーチ活動を行っています。リサーチ活動によって得られた情報や知見は、SOCでの検知ロジックに反映したり、お客様への注意喚起などで活用されています。また、自組織やお客様環境のみならず世界的にサイバー空間の安全を守るため、社外のリサーチャと情報交換を行っており、その一環としてブログ記事の執筆や国際カンファレンスでの登壇発表を行っています。
今回は2026年10月に開催されたVB2026における私たちの発表内容とカンファレンス全体の様子について紹介します。
VB2026
Virus Bulletinが主催するVB Conferenceは毎年9月頃に開催されており、30年以上の歴史を持つ世界的にも著名なカンファレンスです。主にマルウェア解析や脅威リサーチに関する講演が発表されており、セキュリティリサーチャーが各国から集って最新の攻撃手法や研究成果について知見を共有しています。
私たちは2019年以降、これまでに9件の発表を行っています。過去の発表の様子は以下の発表レポートをご参照ください。
発表内容
今年のVB2026では、以下の2本の登壇発表を行いました。
- From seed to branch: inside DarkPlum's expansion to Ukraine
- Otter encyclopaedia: deep analysis of Otter family
1. From seed to branch: inside DarkPlum's expansion to Ukraine
本講演は弊社の元田、林、小池によるリサーチで、北朝鮮のサイバー攻撃グループDarkPlumによる、新たな攻撃キャンペーン「Operation SeedLink」について紹介しました。本攻撃キャンペーンでは、2026年3月頃から日本や韓国を標的としていましたが、同年7月頃からはウクライナに関する人物も標的にしていることが確認されています。
本攻撃キャンペーンは、GitサービスをC2インフラとして利用するクラスタAと、独自のC2インフラを利用するクラスタBの2つに分類できます。両クラスタでは、一部の攻撃インフラに重複が確認されています。
クラスタAでは、攻撃者が使用するGitリポジトリが公開されており、私たちはその内容を継続的に収集・分析してきました。これらのリポジトリには、悪性ファイルやリモートアクセスツールに加え、被害端末から収集された情報も保存されていました。本講演では、これらの情報を分析することで明らかになった、攻撃者自身のものとみられるデータや攻撃インフラに関する調査結果についても紹介しました。
2. Otter encyclopaedia: deep analysis of Otter family
本講演は弊社の小池、澤部、元田によるリサーチで、北朝鮮のサイバー攻撃グループWaterPlumが使用しているOtter系のマルウェアファミリについて調査した結果について紹介しました。WaterPlumはOtterCookieをはじめとしたSocket.IOを使ってC2通信を実現しているマルウェアをたくさん開発・運用しています。それらは非常に類似した実装ですが、登場時期や機能などに様々な差異が存在します。
特に、実装されているSocket.IOイベントは大きな特徴となります。OtterPuddingは文章のようなイベント名を使いますが、他のファミリはシンプルな単語が多いです。また、OtterCookieやOtterRusk、OtterSconeには独特なイベント名が共通して実装されていることも確認できます。講演では、この他にも攻撃者のインフラに関する調査なども共有しました。
カンファレンスの様子
VB2026はスペインのセビリアにあるBarceló Sevilla Renacimientoで開催されました。カンファレンスは3トラックで行われ、私たちはGreen roomという最も広い部屋での発表となりました。懇親会ではフラメンコが披露されるなど、スペインらしいおもてなしを受け、会場は非常に盛り上がりました。
10月のスペインは日本よりも気温が高く、日中は30度近くなり、みんな半袖で過ごしていました。街中には闘牛場やスペイン広場など、美しい景観の建造物がたくさんありました。スーパーではその場でオレンジを絞ってジュースにする機械や、生ハムを原木から切り出して販売していたり、日本では中々見られないものばかりでした。
おわりに
今回はVB2026での登壇発表について紹介しました。VB2026は非常に興味深い発表ばかりで、多くのリサーチャやアナリストと情報交換ができました。今後もこうしたリサーチ活動を積極的に発信し、サイバー空間の安全に寄与していきたいと思います。
