［2026年第1四半期｜インテリジェンスレポート］グローバル脅威インフラの動向

サンズラボの脅威分析チームは、収集情報を基に四半期ごとのインテリジェンスレポートを作成しています。

専門的な解析で明らかになったマルウェアの特徴、脅威動向、関連情報などを共有し、安全なサイバー環境の実現を目指しています。

さらに詳しい情報は、サイバー脅威インテリジェンスサービス<CTX>でご確認いただけます。

1. 要約

本レポートは2025年12月1日から2026年3月1日までに収集した74,971件のグローバル脅威IoCを精査した結果である。指標の列挙を超え、時間帯別の脅威グループの活動とインフラ初期設定の放置事例をメタデータ単位で追跡した。断片的な遮断が限界を迎える中、得られた知見は次のとおりである。

1. 時間帯別の通信統計が明らかにした3つの主要運用パターン： UTC基準の24時間ログの通信量偏差を精査した結果、脅威インフラが標的の業務環境と運用者の所在地に合わせて同期していることが分かった。

- 標的に合わせた隠蔽：正規業務通信に悪性通信を紛れ込ませるため、標的国の勤務時間だけ稼働する。北米向けはESTの11〜18時に活性化し、中国・東南アジア向けのDcratでは現地業務が始まるKST 11時（CST 10時）に通信が急増する。

- 手動介入と常時稼働：Clickfixなどは毎時一定の通信頻度を維持するボット型自動化インフラを使う。一方、CobaltStrikeなどの標的型攻撃では、05時、17時、22時など特定時間の直接コマンド実行による急増が見られる。

- グローバル作戦の主要時間帯：世界の時間帯が重なるUTC 18〜23時に稼働率が最大となる重複現象が確認された。グローバルな標的への侵入成功率を高めるための動きである。

2. ［Analyst’s Pick］CobaltStrikeの深層分析： 一見無関係な84件のCobaltStrike指標を単一の証明書公開鍵ハッシュで群集化した。自動構築過程での初期設定放置から、運用主体のインフラ管理の成熟度不足を明らかにした。

3. 実務に適用できる対応指標： 分析結果に加え、即時遮断、共有インフラ点検、ハンティングなど5種類の戦略的指標をCSVで別途提供する。F/W、WAF、SIEMなどですぐに検索・一括登録でき、分析負担を軽減し、企業の実運用環境へ直接適用できる防御基準を示す。

2. はじめに

従来のCTIレポートには、収集時点ですでに無効な単発指標を並べたり、防御機器ですぐ使えない攻撃者の背景説明に偏ったりする限界があった。この生データ中心の一次元的な方法を超え、断片的なノイズから実務者が即応できる防御ロジックを抽出する「メタインテリジェンス」戦略を導入した。

本書の情報は、2025年12月1日〜2026年3月1日の観測期間に、世界の多チャネル脅威センサー情報と相互検証したレピュテーションを組み合わせる独自パイプラインで収集した。データは74,971件のユニークIoCに達する。指標を無条件に信頼せず、分析時にC2通信や配信が可能な稼働状態（約23.6%、17,701件）とアクセス不能な停止状態（62.4%、46,790件）を動的に追跡し、平均寿命を算出する比較群として用いた。

本研究の最大の特徴は、IP・ドメインの一括遮断を超え、攻撃者も隠しきれない「メタデータ再利用モデル」を据えた点にある。通信先を消耗品のように交換しても、構築コストと自動化の利点からバックエンドの初期設定は放置・再利用されやすい。この観点で、インフラ層のASN集中度と非標準ポートの多様化、暗号化層のURI文字列エントロピーとSSL／TLS証明書のSPKIハッシュの問題を多層的に追跡した。

約7.5万件を個別指標ではなくキャンペーン群に再構成し、センサーの検知有無にとどまらず、散在する指標をつないで防御ロジックに仕上げる深い分析を行った。得られた回避手法と寿命統計は、担当者の負担を減らし、単一遮断の限界を超える多層防御を設計する戦略的ロードマップとなる。

3. インフラエコシステムの現状

今四半期の全指標について地理的位置とホスティング提供者の分布を交差分析し、脅威グループの構築目的と運用動向を客観的な数値で明らかにする。

3.1. 高リスクホスティング提供者の割合と特徴

数万件の稼働中指標を提供者別に分析した結果、上位5社が世界の脅威インフラの過半数を占める強い集中が確認された。

［図1］脅威の概況：AS Originの構成（上位20）

Huawei Cloud Serviceが29,820件で1位、CLOUDFLARENETが8,711件で2位、Alibaba US Technologyが4,057件、Hangzhou Alibaba Advertisingが2,932件で3・4位、AMAZON-02が1,862件で5位だった。この極端な集中は、攻撃者が無作為に構築するのではなく、キャンペーンの要件に合わせて技術機能、自動化の利便性、費用効率を評価して選んでいることを示唆する。

選択意図を調べるため、Y軸に提供者、X軸に脅威タグを置き、結合密度を色の濃さで示すヒートマップを作成した。そこから、特定ホスティング帯域と脅威類型が統計的に有意に結び付く3つの主要クラスターが確認できる。

［図2］上位20ホスティング提供者とタグの分布

最も密度の高い群はHuawei CloudとAlibaba系が大規模ボットネット・無差別スキャンと交差する部分である。Huawei Cloudの脅威通信の99.8%、Alibaba USの95.1%がByobc2に集中する。主に低価格クラウドの便利なAPIを悪用し、自動スクリプトでVPSを大量生成して悪用直後に廃棄する短期消耗型戦術である。これらは大きな通信量を伴うボットネットの初期接続先や大量配信拠点として消費される。

第2群はCloudflareとAMAZON-02が特定キャンペーン・フレームワークに結び付き、検知回避のための隠蔽と信用の乗っ取りを示す部分である。Cloudflareでは49.8%がClearfakeに関連する。攻撃者はCDNのプロキシ機能の背後にC2の元IPを隠し、IP追跡を遮る。AMAZON-02はMetasploit 41.9%、Clickfix 18.2%と強く交差する。大量の業務通信がある大手クラウドに悪性通信を混ぜることで、一括遮断時に大きな誤検知と業務可用性の低下が起きるよう誘導する。

第3群は量こそ少ないが、特定の標的型指標に偏る。上位20位内のYancy LimitedとShenzhen Tencentでは、CobaltStrikeが65.0%、57.0%と圧倒的だった。不特定多数への大量配布とは異なり、侵入後の中核バックドア通信を制御する戦術的ホスティングとして選択利用されていることを意味する。

この結果は提供者の特性に応じた多面的・差別化された遮断方針の必要性を技術的に示す。特に回避と信用の共有に悪用されるCloudflare・Amazonでは、L3・L4のIP一括遮断を避けるべきである。L7でのドメイン分析、Hostヘッダー検証、URIパスの精密検知を先行させ、正規通信の可用性を保ちながら潜む脅威を見つける動的防御への移行が必要となる。

3.2. グローバル脅威インフラの地理的分布

［図3］タグから分類した役割の国別分布

［図4］国別の役割分布ヒートマップ

論理的所有権、物理的ホスティング場所、脅威タグの役割を交差分析すると、攻撃機能ごとに地理的に分担する運用が確認できる。国別規模と役割構成を積み上げ棒グラフにすると、件数には大きな差があり、東アジア・西欧の隣接国同士でも利用目的が異なっていた。

規模ではアジア、特に中国が33,518件で1位だった。役割ヒートマップでは中国の96.6%が大容量ボットネットで、精密な侵入より無差別スキャンやDDoSなど通信消費の大きい用途への偏りを示す。一方、香港は1,396件と少ないが84.5%が中核制御で、高度な標的型攻撃の制御拠点としての違いが見られる。2,037件で3位のシンガポールは、ボットネット53.1%と中核制御32.0%が混在する。

米国10,464件、英国1,936件、ドイツ1,736件、オランダ1,533件などの北米・欧州は、アジアより標的型戦術の割合が高かった。大容量ボットネットは米国15.5%、オランダ5.2%、ドイツ2.3%と低い一方、中核制御は37.0%、34.5%、34.5%を占める。初期侵入と情報窃取はドイツで4.9%・4.7%、オランダで1.6%・4.7%だった。国別遮断を回避し、正規の国際業務通信に偽装するため、信用度の高い欧米ホスティングを外部送信や侵入ペイロードの拠点として選ぶ戦略がうかがえる。

世界の脅威インフラは広く分散し、国ごとの攻撃役割が機能的に分かれる。内部からの外向き通信では、宛先国に応じて対応・ハンティング優先度を変える方針が必要である。アジアへの異常通信は初期感染やボットネット接続として先行遮断に注力し、北米・欧州・香港への隠蔽通信は外部送信や中核バックドア制御の段階として、即時の事故対応につなぐ戦略的な方法が求められる。

4. インフラのライフサイクル

作成時点、初回観測日、ネットワークから到達不能になるまでの生存時間（MTTD）を分析し、インフラの消費パターンと動的な運用体制を定量化する。

4.1. 古いドメインの利用戦術と信用の悪用

［図5］ドメイン経過期間の分布：登録から悪性活動まで

信用ベースの検知を回避するドメイン確保戦略を調べるため、悪用された16,344ドメインで登録から悪性活動の初観測までの差を測定した。1年以上維持されたドメインが44.6%（7,292）で最多、中間年齢が34.0%（5,550）、24時間未満の新規が21.4%（3,502）だった。

寿命は中央値に集まる正規分布ではなく、両端で異なる密集を示す。新規ドメインは全体比率が最小でも、ヒストグラムの1日目には単一区間として圧倒的な数が集中する。一方、長期維持ドメインは長期間に広く分布し、総量の半分近くを占める。

これは目的に応じた2系統の消費戦略を示唆する。大量生成直後に悪用し、検知前に捨てる短期消耗戦術と、長期維持・侵害済みの高信用ドメインをバックドア通信に利用し、レピュテーションフィルターを回避する長期隠蔽戦術である。

24時間未満の新規群は21.4%（3,502）で、24時間経たないうちに悪性配信へ投入された。ClearfakeなどはDGAや自動APIで使い捨てドメインを大量登録し、直後に攻撃へ利用していた。ベンダーの信用DBに悪性履歴が収集・登録される前の検知の空白を使う戦術である。

両端以外の3.3か月〜2.7年の中間層も34.0%（5,550）と大きい。GootloaderとVidarのバイオリン図はこの範囲に丸く厚く集中する。新規ドメインだけの単純遮断を避けるため、事前登録して一定期間悪用せず待機したり、失効直後の中古ドメインを購入して信用を再利用したりする折衷的な回避戦術を示している。

1年以上の古いドメインは44.6%（7,292）で最多となり、少なくとも1年、長いものは27年以上、正規業務に使われた資産だった。ClickfixやAsyncRATが主に利用している。新規作成せず、脆弱なCMSや窃取認証情報で正規Webサーバーを掌握し、サブドメインに悪性C2を構築する。新規ドメインの一括遮断を回避し、長年の信用を乗っ取って初期検知を遅らせる戦略である。

この消費パターンは、作成日や信用スコアだけのフィルターの限界を示す。長期運用された高信用ドメインでも、URIエントロピーの上昇や非標準ポート接続などの異常が伴えば即時検知できるよう、SIEMにL7の複合相関ロジックを実装すべきである。

4.2. インフラ生存時間（MTTD）と複数状態の遷移分析

［図6］マルウェアのライフサイクル分析：持続性と量

単発指標の有効性を評価するため、初検知から到達不能になるまでの平均生存時間と通信量を比較した。散布図では統計的に異なる群が現れ、右上にはByobc2、Clickfix、Clearfakeなど大量かつ長寿命の主要脅威が集中する。中央・左側のMetasploitなど汎用フレームワークは比較的通信量が多くても早く露見し、平均数時間〜数日で停止する短期消耗型だった。検知直後に有効性を失う指標もあり、長期遮断リストの維持には選別が必要となる。

［図7］件数上位10脅威の寿命分布

平均だけでは運用上のばらつきを正確に把握できないため、件数上位10脅威の寿命分布（Lifespan Distribution of Top 10 Volume Threats）の箱ひげ図で分散と外れ値を詳しく調べた。Clearfake、Clickfix、Dcratは中央値（赤い縦線）が1,400時間を超え、全体に長寿命で、箱が右側または広範囲に分布する。一方、Metasploit、CobaltStrike、Phorpiexは大半が早期遮断され中央値がほぼ0でも、2,000時間以上の外れ値（黄色点）が多数あり平均を押し上げる。特にMetasploitとCobaltstrikeは箱が左に密集する一方、2,000時間以上の外れ値が密な帯を成すほどばらつきが大きい。一律の平均ではなく脅威別の寿命分散を基に、精密な検知・対応を設計すべきである。

［図8］C2ライフサイクルパターン：稼働時間と停止時間

寿命分布以外にも、時間とともに稼働・停止を繰り返す状態遷移が確認された。稼働・停止時間の散布図では、左下のHigh Volatility（Short Up & Down）にByobc2とBotnetが大きな黄色円（Heartbeat型）で集中し、短時間で点滅するフラッピングを明確に示す。High Persistence（Long Up & Down）にはRAT、RemcosRAT、SilverC2が分布し、長期で隠密な運用を示す。Rapid Rotation（Short Down, Long Up）にはformbookなど緑のAlwaysOn型が集まり、機敏な運用を示唆する。このフラッピングは物理的な障害ではなく、ホスティングの閾値による自動遮断回避やIP信用の初期化を狙った意図的な状態操作の結果である。

生存時間のばらつきと動的遷移は、単純なIP遮断方針の見直しを求める。停止を確認しても直ちに解除せず、SIEMに指標の有効半減期という考え方を取り入れる。フラッピング履歴がある指標は動的遮断リストに含め、最低2週間の追加監視猶予を設ける多層的な動的防御が必要である。

5. 攻撃戦術と回避手法

通信やペイロード配信時にネットワーク検知を避ける戦術を分析する。本章は動的ポート割り当てとURI文字列の複雑さから、グループ別のネットワーク防御回避パターンを定量化する。

5.1. 動的ポート変更と非標準通信の比率

一般的なマルウェアは外向きファイアウォール方針を通るため、HTTP（80）・HTTPS（443）をC2の偽装経路に使う。一方、最近の一部グループは、性能のためDPI対象を80・443に限るファイアウォールやIDSの特性を逆用し、非標準ポートの選好やランダム割り当てを行う。テレメトリーから使用比率と多様化を可視化した。

［図9］非標準・標準ポート使用比率（上位20＋下位10タグ）

非標準と標準の使用比率を比較すると、一部フレームワークは標準ポートをほぼ使わない。Supershellは188.0倍、全通信の約99.47%、Viperは47.0倍（約97.91%）、Metasploitは28.8倍（約96.64%）だった。侵入後のバックドア維持で標準Web通信の監視を避ける初期設定が使われていることを示唆する。

［図10］ポート多様性と非標準比率

動的多様化を測るため、X軸をユニークポート数、Y軸を非標準比率、円サイズをIoC件数とした。右上のByobc2は巨大な件数と約16,750のユニークポートで外れ値となる。少数の固定ポートではなく、動的アルゴリズムで全利用可能ポートの25%以上をランダムに切り替える戦術を意味する。

他の脅威は左・中央に分布する。Metasploitは645ポートで非標準比率約96%、CobaltStrikeは194（約65%）、RemcosRATは193（約55%）、XWormは161（約25%）を動的に使用した。Byobc2より数は少なくても、単一目的のバックドアで数十〜数百ポートを変えることは、静的ポート遮断を避ける明確な意図と解釈できる。

インフラは標準ポートに依存せず非標準も積極的に混ぜる動的運用となっている。ポート番号だけのACLを補い、外向き制御でApplication Awarenessを有効にし、非標準ポートの異常な長時間セッションや大量送信を遮断するようNGFWの閾値を調整する必要がある。

5.2. URIエントロピーパターンと隠蔽戦術

［図11］タグ別のURIパスエントロピー分布

C2コマンド受信とペイロード取得に使うURIの文字列複雑度を算出し、識別アルゴリズムと隠蔽を分析した。バイオリン図でタグ別エントロピーと密度を示し、Y値が高いほどランダム、低いほど定型的で、幅広い部分にデータが集中する。隠蔽目的に応じて、上部と下部に明確に分かれた。

高エントロピー群はWAFの正規表現シグネチャを避ける動的難読化を行う。左側のMaskgramstealerは平均約4.17で上部に密集し、/b5a52ebb310b65f06dd10cfe69f72363…のようなハッシュ型URIを大量生成する。Coper、Amadeybot、Stealcも上部に分布し、予測不能な乱数を挿入する。ある文字列を遮断しても次の通信では別のパスを生成し、検知と追跡を遅らせる。

低エントロピー群は正規通信に似せて回避する。Formbookは/og95/、/rn10/、/b25f/など4文字未満とされる短い単純パスを反復し、ヒューリスティックの異常パス検知を避ける。右下のCobaltStrikeは中央値1.92と低く、/jquery-3.3.1.min.jsのような広く使われる正規JavaScriptライブラリの要求に偽装して内部通信に紛れる。

この二極化は攻撃段階の目的の違いに由来する。高エントロピーは初期侵入の単発配信や認証情報の外部送信が中心で、短いセッションに使い捨てトークン風のランダムパスを使い、追跡を防ぐ。低エントロピーは長期潜伏と継続的ビーコンが必要なため、通常のWebリソースに偽装し、ネットワーク機器からの可視性を抑える。

URI複雑度は回避意図を定量化する。単純URL遮断を補い、SIEMへエントロピースコアを統合すべきである。ただし正規クラウドやCDNでも暗号化セッショントークンで高エントロピーとなるため、単一基準の誤検知は避ける。高リスクホスティングや非標準ポートの使用とURI分析を多面的に照合し、潜む脅威の識別とネットワーク隔離につなぐ必要がある。

6. 持続性と攻撃者の識別

CTIの主要目的は、IP・ドメインが変わり続けてもインフラ間の関係を追い、メタデータで群集化することである。本章はSSL／TLSのSubject Public Key Informationハッシュ（SPKI）と時間帯別運用統計を照合し、個別指標をキャンペーンにまとめ、構築戦略と自動化水準を定量分析する。

6.1. 証明書（SPKI）によるキャンペーン対応付けと分散インフラの追跡

攻撃者は追跡回避のため複数クラウド・国に分散するが、利便性と管理成熟度の限界から、同じSSL／TLS証明書をバックエンドで再利用する例が多い。SPKIで群集化し、X軸をASN数（分散度）、Y軸をIP数（規模）にした。各点が1つのSPKIを表し、2種類の構築戦略が見える。

［図12］SPKIキャンペーン分析：インフラ分布

X=1付近には多数の群があり、単一提供者に集中するProvider Squattingを示す。Deimosの2つのSPKI群は73台と33台のC2をすべてZILLION-NETWORK（AS54801）で稼働させる。Clickfixは25 IPをNAMECHEAP-NET（AS22612）、別の21 IPをAMAZON-02（AS16509）に、QuasarRAT群は21ノードをベトナムのFPT Telecom Companyに置く。1 ASNに20以上集中すると個別IP遮断の効率が低下する。AS帯域の信頼度を調整し、BGP・ルーティング層の帯域遮断を優先検討すべきである。

右側でX・Yとも高い群は、単一ネットワークの遮断で全体が停止しないよう複数クラウドに分散するDistributed Campaignを示す。右上のCobaltStrike群は米国、中国、香港など20か国の41 ASNに79 IPを配置する。右下のRemcosRATとXWormはIPが少なくても分散度が高く、それぞれ19 IPを13 ASN、9 IPを6 ASNに置く。

SPKIによる群集化は、IP・ドメインを交換しても証明書資産はキャンペーン全体で共有されることを示す。NGFWやSWGのTLS復号ルールにSPKIハッシュを直接遮断シグネチャとして適用し、未知のIP帯域に隠れる予備インフラや潜在C2を先行遮断する多層防御でIP遮断を補う必要がある。

5.2. 時間帯別の運用統計

［図13］C2活動ヒートマップ：24時間パターン

KST基準の24時間通信ログの偏差から、自動運用か手動制御かを分析した。主要キャンペーンの時間別頻度を色の濃さで示すヒートマップでは、色の連続・断続から3つの運用パターンに分かれる。

第1はスクリプト・システム主導のAlways-on型である。上部のClickfixとClearfakeは特定時間に集中せず一定頻度を保つ。Clickfixは毎時2,265〜2,854件、Clearfakeは1,557〜2,784件と狭い範囲だった。展開と通信維持が人手なしに自動ボットで制御されることを意味する。

第2はHands-on-keyboardを示す高変動型である。CobaltStrikeとDcratは総量が低めでも特定時間に急増する。CobaltStrikeは05時460件、17時248件、22時307件へ増え、07時は27件まで減る。Dcratは平時毎時30〜40件から11時576件へ急増した。これは標的内でのコマンド実行や外部送信を直接手動で行った結果と分析される。

第3は標的国・環境の業務時間に同期する型である。Metasploitは13時76件、17時70件と勤務中にピークとなり、12時は18件に下がる。DcratのKST 11時は中国CST 10時、東南アジア09時に当たる。標的企業の業務時間に合わせ、通常の内部通信に見せる意図と解釈できる。

時間別統計は監視方針の具体的基準となる。24時間均一な通信は自動感染試行として初期遮断を重視する。一方、勤務時間の前後に間欠的ピークがあれば、実際の手動侵入の兆候として認識し、直ちにIRへつなぐ方針が求められる。

7. Analyst’s Pick：詳細事例研究

攻撃フレームワークの初期証明書プロファイリングとインフラ運用成熟度の限界分析

7.1. 選定背景と分析範囲

CTIの主要目的の1つは、一律遮断を超え、一見無関係なインフラをメタデータで群集化して先回りした防御を築くことである。本事例は2026年第1四半期で最大の、CobaltStrike関連の単一証明書公開鍵ハッシュ（SPKI: 6691ce9450b4eb3d35709bbefaa63e3819c8940e8a7db70e796070e3d5cb5c93）群を選んだ。最初の84指標からポート・プロトコル分岐を反映した最終データセットを作成して拡張分析を行った。複数攻撃者に見られる初期設定放置などの未成熟な運用、ポート別状態の非対称性、フラッピングを追い、多層防御の高度化を提案する。

7.2. インフラ分散度と通信チャネルのプロファイリング

［表1］対象SPKIクラスターの規模と分散度

対象SPKIを共有するインフラは単一網に限らず広く分散していた。拡張データは88の論理エンティティ、92の観測記録となり、83のユニークIPと4ドメインが44のホスティング帯域に分散する。上位ASNはAS37963（17件）、AS45090（9件）など。国別は中国40.2%、米国15.2%、香港12.0%で上位3か国に67.4%が集中し、全体では20か国に配置された。新規展開は2026年1月に43.5%（40件）が集中した。バックエンド通信の95.7%は443のTLS、残り4.3%だけが80を補助的な平文チャネルとして使用した。

7.3. X.509証明書構造とインフラ運用成熟度の限界

元のTLS証明書（v3）をデコードすると、異常な生成パターンが見つかった。自己署名証明書の国（C）、州・県（ST）、組織（O）、一般名（CN）などにダミー値1が一律に設定されていた。さらに2015-05-20から2025-05-17まで、実務ではまれな10年の長期有効期間がある。これは商用侵入テストツールCobaltStrikeの共有初期証明書の典型的特徴である。83 IPと44の異種クラウドで交換せず反復使用されることは、初期アクセスブローカーや下位攻撃者がTLS初期値を放置するなど、管理成熟度に限界があることを示唆する。指標の42%で識別されたcs-watermark-987654321（22件）とcs-watermark-666666666（9件）も、特定バージョンの複製・流通を裏付ける。

7.4. 状態遷移とライフサイクルの詳細分析

［表2］インフラの現在状態（Last Status）の分布

92記録の寿命と状態遷移を追って実際の維持パターンを分析した。現在69.6%はDead-Networkだが、平均遷移回数は12.05、79.3%は稼働・停止を繰り返す複合履歴を持つ。そこから3つの主要パターンが得られた。

［事例A］同一ドメインのポート非対称性による回避：hk.zgao.topは443（HTTPS）でDeadだった一方、同時に80（HTTP）ではAlive-Appを返してバックドア通信を維持した。ポートごとに遮断方針が分離される盲点を突き、IP・ドメイン文字列だけの単一遮断では可用性を完全に制御できないことを示す。

［事例B］同一群内の生存差：同じSPKIでもapi.shenzhenschool.funは80／443の両方でAlive-App／TLSを維持し、diao.jingxiaoliandong.comとsxwa.nxjwl.comは完全停止していた。同じフレームワークでも個々の運用者の管理成熟度で生存率が大きく異なることを示唆する。

［事例C］観測上限ノードの極端なフラッピング：状態確認のHistory上限50回に達した上位10記録では、Alive／Deadの遷移が49回発生した。自動遮断の境界付近にとどまり、検知回避のため不規則にインフラを点滅させる高度な戦術を示している。

7.5. 時間帯別のインフラ稼働パターン

［図14］CobaltStrike活動ヒートマップ：24時間パターン

C2を常時ではなく特定時間だけ稼働させるのは、クラウド維持費を抑え、セキュリティスキャナーを避けるTime-of-Day戦術である。CobaltStrikeのウォーターマーク別にUTC活動を分析し、組織の所在地と運用パターンをプロファイリングした。

最も目立つのはcs-watermark-987654321群の自動配備である。UTC 01〜04時は応答が極めて低く、05時に398の稼働C2が同時観測された。05時UTCはモスクワ時間（MSK）08時であり、東欧・ロシア圏のグループが始業に合わせ、自動配備ツールで使い捨てインフラを大量起動する周期を示唆する。

対照的に、小文字cobaltstrike群は標的の業務時間に同期して隠蔽する。UTC 04〜09時（EST 23〜04時）に最低となり、UTC 16〜23時（EST 11〜18時）に稼働が集中した。北米標的の勤務中だけ動かし、正規業務通信へ紛れ込ませる高度なOpSecと分析される。

24時間一定の稼働を続けるPersistent型もある。cs-watermark-666666666群は仮想サーバーを動的に作成・廃棄せず、未修正の正規Webサーバーの侵害やBulletproof HostingによってC2を常時維持していることを示す。主にこの群を使う中国語圏のグループの構築傾向を反映する。

各パターンを合わせると、すべての群が上昇または高水準を維持するUTC 18〜23時の世界的な稼働重複が現れる。アジアの深夜、欧州の午後、米州の勤務時間が交わる時間帯である。IABや大量配布グループは、世界の標的への成功率を高める主要作戦時間（Prime Time）として稼働率を上げていると確認された。

7.6. 戦略的防御の提言：多層運用モデルへの統合

証明書初期値の放置、複合的遷移、時間帯別稼働は、IP遮断を超える多層運用の必要性を示す。まず包括的シグネチャを適用し、TLS復号可能なSWGなどに主要SPKIを直接登録して、複数クラウドの新規C2を先行制限する。その上でファイアウォールの方針オブジェクトを多次元化する。IP・ドメインだけでなくSPKI、ポート、直近稼働を組み合わせ、主経路遮断時の非対称な代替通信も制御する。

空間・構造の検知を整えた後は時間軸へ広げ、時系列の異常検知を設ける。標的の勤務時間や海外の始業時刻（例：UTC 05時）に同期して急増する異常セッションを監視するSIEMルールを追加する。これにより業務通信への隠蔽や、特定時間だけスクリプトで短期配備される使い捨てインフラを精密に識別できる。

8. 対応ガイド付録

本レポートは多チャネル脅威情報の信頼度と防御手法の特性に応じ、5種類の別添指標を提供する。各データセットは遮断・監視・ハンティング・戦略・予測の各段階に適しており、以下のガイドを基に内部のセキュリティ機器とSIEMへ適用することを推奨する。

［別添1］即時遮断リスト（Blocklist）

分析時点でC2通信が稼働（Alive）し、悪性の信頼度が非常に高いIoCだけを厳選した一覧である。Cloudflare、Akamaiなどの主要CDN・共有クラウド帯域を自動除外し、単発のIP遮断による正規サービス障害を防ぐ。担当者はIP・ドメインをF/WやIPSなどの遮断方針へ即時反映すべきである。その後、内部ネットワークとのIn／Outbound接続試行が確認された場合は端末感染を強く疑い、速やかに隔離とフォレンジックを行う。

［別添2］共有インフラ点検リスト（Review_Shared_Infra）

悪性動作を確認しても即時遮断で付随的被害が生じ得る対象や、追加のペイロード検証が必要な対象を含む。今四半期は発信元を隠すため悪用されたCloudflare（AS13335）とAmazon（AS16509）のプロキシノードが多い。IP単位で単純遮断せず、WAFやプロキシによるドメイン・URLパス単位の精密遮断を検討する優先対象として利用する。

［別添3］戦術的ハンティングリスト（Tactical_Hunting_Active_Campaign）

現在活発に拡散する最新キャンペーンのリアルタイム検知パターンとIoCを集め、四半期ごとの攻撃戦術の動向を反映している。SIEMの相関分析ルールへ組み込み、初期侵入をリアルタイムで阻止するとともに、過去3か月のファイアウォール・DNSログを対象に同じ通信の有無を全件調査する遡及的ハンティングにも利用する。

［別添4］戦略的ハンティングリスト（Strategic_Hunting_Signatures）

防御を避けるためIP・Domainを継続的に変更しても変わらない、攻撃者固有のインフラ指紋をまとめた一覧である。証明書公開鍵ハッシュ（SPKI）、特定ホスティングと非標準ポートの組み合わせ（ASN＋Port）などをシグネチャ化した。内外のCTIプラットフォームやSSL Inspection機器へ適用し、まだ表面化していない予備C2も先回りして発見し、一括で無力化する戦略的対応に活用する。

［別添5］インフラ移行追跡指標（Tactical to Strategic Promotions）

次の大規模作戦に向けて新設された、またはホスティング事業者間を移動中の予備攻撃拠点を追う長期Watchlistである。キャンペーンの大規模インフラ移行が代表例となる。単なる遮断対象を超え、次の攻撃の兆候を予測し、防御を先行して高度化するために観察すべき戦略的指標として管理する。

※ すべてのデータは抽出時点（2026.03.01）の稼働状態を反映している。特に［別添1］の有効期間は攻撃者のインフラ廃棄速度で変わり得るため、ファイアウォールの負荷を防ぐ定期的な有効性確認と動的削除を推奨する。

サイバー脅威は、いつでもどこでも発生し得ます。

サンズラボは、最新マルウェアの解析で得た脅威間の関連情報とIoCを継続的にレポートで共有し、サイバー脅威の予防と安全なサイバー社会の実現を目指しています。