調査で見えたサイバー攻撃者のインフラの実態、分析データを生かした対策とは

　ポストエクスプロイトツールキットやカスタムマルウェア、オープンソースのリモートアクセスのトロイの木馬（RAT）などによるサイバー攻撃では、コマンド＆コントロール（C2）インフラストラクチャが利用される。中でも、2021年のある調査によると、Cobalt Strikeが依然として多く使われており、新しいC2フレームワークの導入は最小限にとどまっている。

　また、C2サーバがスキャンで検知されてから他のソースで報告されるまでの時間（リードタイム）の平均は35日で、悪意のあるサーバの特定におけるリードタイムが、脅威を無効化するための事前対策となる可能性がある。サーバが作成されるテンポを計測することで、今後の活動の増減についての情報を得られるなど、データの収集と分析が重要になっている。

　本資料は、2021年に確認された悪意のあるC2インフラストラクチャについての調査レポートである。Emotetが活動していなかった間は、他のbotネットの分離と多様化が進んでいたといったbotの状況および分析や、C2をホストしていたプロバイダーなどの調査結果を踏まえて、今後の動向や対策を考えていく。