AI 代理（AI Agent）正快速導入企業日常作業之中，諸如文件處理、流程自動化，到內部知識查詢與統整，不僅大幅整合進企業既有系統，所接觸到的企業內部資料也大幅增加。隨著 AI 代理部署在各種裝置之上日趨普遍，AI 為端點環境所帶來的威脅風險，已不容忽視。

根據調查，目前已有八成以上的企業正導入或使用大型語言模型（LLM）和 AI 代理；然而，卻有超過半數 AI 代理未受監控或防護[註]。這代表，既有資安防禦機制尚未趕上 AI 部署的腳步，企業在享有 AI 帶來的便利之際，也面臨隨之而來的巨大風險。

在執行任務時，AI 可能同時存取本機檔案、系統資源與外部服務，相關操作行為不再侷限於單一系統或環境。當公司未清楚定義存取權限、執行方式或使用限制，AI 可能會自主讀取敏感資訊，也可能在未經驗證的情況下自動執行系統指令，構成端點防禦的重大盲點。

要及早發現並因應相關風險，關鍵在於能否掌握 AI 代理在端點上的部署和使用情況，並將這些資訊納入既有防禦機制中，包括：
- **識別敏感資訊**：經由偵測金鑰、憑證與機密資料存放位置，識別敏感資訊是否有暴露風險。
- **發現隱藏指令**：透過指令分析，快速發現隱藏指令與潛在惡意行為。
- **偵測惡意技能**：辨識 AI 代理的技能中是否有隱藏後門或惡意規則。
- **確保權限與存取範圍**：評估並確保 AI 代理對系統與檔案的存取能力，且遵循最小權限原則。

在運用 AI 提高作業效率的同時，企業無需以安全作為代價；透過將其納入端點防禦體系，就能有效掌握場域內的 AI 行為與相關風險，讓現有防禦機制與時俱進。

 
> [ThreatSonar Plus 全方位端點風險安全檢測平台](https://teamt5.org/tw/products/threatsonar-plus/) 以資產盤點、風險偵測及 AI 代理辨識為核心，協助企業全面掌握關鍵資產狀態與 AI 代理部署情況，快速找出端點、軟體與 AI 代理之防禦盲點，並依風險優先順序制定修補策略，有效降低攻擊風險。
 


*[註]：Gravitee《[2026 AI Agent 資安現況報告](https://www.gravitee.io/state-of-ai-agent-security)》

*首圖來源：Pexels

當 AI 走入企業日常：以端點檢測及早發掘防禦盲點

AI Agents are rapidly being integrated into daily corporate operations—from document processing and workflow automation to internal knowledge querying and synthesis. These agents are not only deeply embedded into existing corporate systems but also interact with a significantly larger volume of internal data. As AI Agents become increasingly prevalent across various devices, the security threats they pose to endpoint environments can no longer be ignored.

According to research, over 80% of enterprises are currently implementing or using Large Language Models (LLMs) and AI Agents; however, more than half of these AI Agents remain unmonitored or unprotected*. This indicates that existing cybersecurity defense mechanisms have yet to keep pace with AI deployment. While enjoying the convenience brought by AI, enterprises are simultaneously facing substantial accompanying risks.

When executing tasks, AI may simultaneously access local files, system resources, and external services. These operational behaviors are no longer confined to a single system or environment. If a company fails to clearly define access permissions, execution protocols, or usage restrictions, an AI might autonomously read sensitive information or execute system commands without verification, creating a major blind spot in endpoint defense.

To detect and respond to these risks early, the key lies in maintaining visibility over the deployment and usage of AI Agents on endpoints and integrating this information into existing defense mechanisms, including:
- **Identify Sensitive Information**: Detecting the storage locations of keys, certificates, and confidential data to identify potential exposure risks.
- **Discover Hidden Commands**: Utilizing command analysis to quickly uncover hidden instructions and potential malicious behavior.
- **Detect Malicious Skills**: Identifying whether an AI Agent's "skills" contain hidden backdoors or malicious rules.
- **Ensure Permissions and Access Scope**: Evaluating and ensuring that the AI Agent's access to systems and files follows the Principle of Least Privilege (PoLP).

Enterprises do not need to sacrifice security for the sake of AI-driven operational efficiency. By incorporating AI into the endpoint defense framework, organizations can effectively monitor AI behavior and associated risks within their environment, ensuring that existing defense mechanisms evolve alongside the technology.

 

>[ThreatSonar Plus - Extensive Endpoint Assessment Platform](https://teamt5.org/en/products/threatsonar-plus/) can help you!
>Built on asset inventory, risk detection, and AI agent identification, ThreatSonar Plus enables organizations to gain visibility into critical assets and AI agent deployments, uncover security gaps across endpoints, software, and AI agents, and prioritize remediation based on risk severity.

 

*Source: Gravitee, [2026 State of AI Agent Security Report](https://www.gravitee.io/state-of-ai-agent-security)

*banner source: Pexels

When AI Becomes Corporate Routine: Using Endpoint Detection to Uncover Defensive Blind Spots Early

AIエージェントの活用が急速に広まり、文書処理や業務の自動化、社内ナレッジの検索・整理など、企業の日常業務に深く組み込まれつつあります。これに伴い、企業の既存システムとの連携が進むだけでなく、AIが扱う社内データの量も大幅に増加しています。AIエージェントが様々なデバイス上に展開されることが益々一般化する中、AIがエンドポイント環境にもたらす脅威リスクは、もはや無視できないものとなっています。

調査によると、すでに8割以上の企業が大規模言語モデル（LLM）やAIエージェントを導入または利用している一方で、その半数以上が適切な監視や防御の対象になっていない状況にあります。これは、従来のセキュリティ対策がAI導入のスピードに追いついていないことを示しています。企業はAIによる利便性を享受する一方で、それに伴う大きなリスクにも直面しています。

AIはタスク実行時にローカルファイル、システムリソース、外部サービスへ同時アクセスする可能性があり、これらの挙動はもはや単一のシステムや環境にとどまらず、より広範囲に及びます。もし企業が十分な権限管理や、実行方法、または利用制限を明確に定義していない場合、AIが自主的に機密情報を読み取ったり、検証されていない状態でシステムコマンドを実行したりする可能性があり、エンドポイント防御における重大な盲点となります。

こうしたリスクを早期に検知・対応するためには、エンドポイント上におけるAIエージェントの利用状況を可視化し、その情報を既存の防御態勢に組み込むことが不可欠です。具体的には、以下の観点での対策が重要となります。

- **機密情報の識別**：キー、証明書、機密データの保存場所を検知し、漏えいリスクを特定する
- **隠れたコマンドの検出**：コマンド解析を利用し、隠れた指示や潜在的な悪意ある脅威を迅速に発見する
- **悪意あるスキル定義の検知**：AIエージェントのスキルに隠れたバックドアや悪意あるルールが含まれていないかを識別する
- **権限とアクセス範囲の確保**：AIエージェントのシステムおよびファイルへのアクセス能力を評価・確保し、最小権限原則（PoLP）に従う


企業は、AIを活用して業務効率化させる一方で、安全性まで犠牲にする必要はありません。AIをエンドポイント防御の枠組みに組み込むことで、環境内のAIの挙動および関連リスクを効率駅に把握し、既存の防御メカニズムを継続的に進化させることができます。


*Source: Gravitee, [2026 State of AI Agent Security Report](https://www.gravitee.io/state-of-ai-agent-security)

AIが企業の業務に浸透する中で：エンドポイント検知による防御の盲点の早期発見

Products & Services

What if the warning signs of the next cyberattack are already visible—hidden in policy shifts, dark web chatter, and evolving APT campaigns across APAC? This podcast series uncovers how modern threat intelligence works in practice: from turning raw data into decisions, to understanding cybercrime-as-a-service, fixing patch prioritization failures, and combining IoCs with proactive threat hunting.

Tune in to uncover the signals behind today’s cyber threats—and learn how to stay one step ahead.


##How Threat Intelligence Becomes Decision-Ready 

This briefing explains how raw threat data is transformed into structured intelligence that supports strategic and operational decisions. 

- Listen Now: https://youtu.be/yTds7lvtEzc


##How APAC APT Campaigns Are Evolving
This briefing analyzes how advanced persistent threat campaigns in APAC evolve across stages, targeting strategies, and persistence models. 

- Listen Now: https://youtu.be/5gkgpheTahM 


##Inside Today’s Cybercrime-as-a-Service Ecosystem

This briefing examines how cybercrime groups operate as structured service ecosystems, lowering barriers to entry for attackers. 

- Listen Now: https://youtu.be/BMm1reTszQE

##How APAC Cyber Policy Signals Emerging Threats
This briefing discusses how geopolitical and cyber policy developments in APAC shape threat actor behavior and targeting trends. 

- Listen Now: https://youtu.be/w2CuYp0mLG8


##What the Deep & Dark Web Reveals Before Attacks

This briefing analyzes how underground forums and hidden marketplaces signal emerging threats before incidents surface publicly. 

- Listen Now: https://youtu.be/KeZbhkTyl4M 

##Why Patch Prioritization Keeps Failing
This briefing examines why vulnerability overload leads to ineffective patching and how intelligence-driven prioritization improves outcomes. 
- Listen Now: https://youtu.be/ow_GhYNZL8E 

##How IoCs and Threat Hunting Work Together
This briefing explores how indicators of compromise and proactive threat hunting complement each other in detecting adversary activity. 
- Listen Now: https://youtu.be/9jvQkd6gxfc 

 

**Subscribe TeamT5 on YouTube to catch latest threat trend and defense strategy:** 
[TeamT5 YouTube Channel](https://www.youtube.com/@teamt5/featured)

Decoding Modern Cyber Threats: From Intelligence to Action in APAC [Podcast Series]

Defending against cyber threats today is like navigating complex terrain. Organizations must understand the broader landscape, adjust as conditions change, and move carefully through high-risk areas. Without a comprehensive view of threats, teams are easily overwhelmed by alerts and miss what truly matters.
Effective defense requires different perspectives. Executives focus on long-term risk, operations leaders need attack context, and frontline teams rely on precise technical indicators. ThreatVision connects these needs through a structured intelligence framework, turning fragmented data into usable threat intelligence that supports decisions from strategy to response.


##ThreatVision’s Three Intelligence Perspectives: Building an Effective Defense Framework

ThreatVision organizes years of threat research into three intelligence layers—**Strategic, Operational, and Tactical**—each designed to support specific roles and defense objectives. 


###1. Strategic: Understanding Threat Trends, Geopolitical Impact, and Industry Risk

Strategic intelligence is designed for CISOs and executives who need a macro-level view of risk. It focuses on identifying trends in threat actors and targeting behavior, while incorporating geopolitical dynamics and policy environments to assess systemic risk across industries. This intelligence supports mid- to long-term security planning and informed resource allocation.

- **APT Group Research**: Analysis of active APAC threat groups, focusing on evolving tactics, targets, and operational scope.
- **Asia-Pacific Cyber Policy**: Assessment of geopolitical developments—particularly China—alongside cybersecurity policy and regulatory trends from the Chinese-speaking world.
- **Threat Landscape Overview**: Analyzes long-term threat trends across national, regional, and industry levels.

##2. Operational: Analyzing Adversaries, Criminal Ecosystems, and Attack Chains
Operational Intelligence supports SOC and investigation teams by clarifying attack context and linking fragmented alerts into coherent incidents. It enables analysts to understand adversary identity, methods, and intent, providing shared context for coordinated investigation and response.

- **APT Threat Analysis**: Correlation of APAC APT activity with geopolitical context, including incident background, IoCs, adversary profiles, targets, and TTPs.
- **Cybercrime Intelligence**: Tracking of underground forums and Crime-as-a-Service (CaaS) ecosystems, including deep and dark web activity and Chinese-language encrypted communities.
- **Malware**: Correlation of malware samples and behaviors to assess attacker intent and malware evolution.

###3. Tactical: Enabling Frontline Defense with Actionable Tools and Vulnerability Focus
Tactical Intelligence is designed for frontline security and infrastructure teams. It delivers technical indicators and tools that can be directly applied to firewalls, Endpoint Detection and Response (EDR), and Security Information and Event Management (SIEM) systems, enabling rapid detection and immediate threat blocking.

- **Vulnerability Solutions**: Insight into real-world exploitation patterns and patch prioritization.
- **Deep & Dark Web Risk Monitoring**: Early warning from deep and dark web forums, marketplaces, and Chinese-language underground communities.
- **Indicators of Compromise (IoCs)**: IoCs associated with nation-state APT activity and large-scale cybercrime.
- **Threat Hunting Tools**: Intelligence-driven detection rules for proactive threat hunting.

![](https://uploads.teamt5.org/upload/original/reaching-the-peak-of-defense-with-threatvision-intelligence_form_EN.png)

##Crossing the Ridge with ThreatVision
Threats do not slow down, but organizations can control how they respond. 
By shifting between Strategic, Operational, and Tactical Intelligence, ThreatVision helps teams maintain direction, clarify context, and enforce protection. The result is a stable, resilient defense framework—even as the threat landscape continues to change.


![](https://uploads.teamt5.org/upload/original/reaching-the-peak-of-defense-with-threatvision-intelligence_gif%20update_EN.gif)



Reaching the Peak of Defense with ThreatVision Intelligence

企業要在快速變遷的資安環境中應對威脅，就像是登山者在山區中健行，不僅要先全方位掌握整體山勢地形，並根據最新路況與天候預判調整方向，行至艱險路段更須留心踏出的每一步。事前的萬全準備與資訊蒐集，讓登山者能快速應變路途上突如其來的意外；就如同企業面對各式潛藏的資安威脅，若缺乏對威脅的全方位掌握，就容易迷失在海量警訊中，難以察覺真正的資安風險。

為了有效應對威脅，企業內部的不同角色需要不同層次的資訊：管理層需掌握長期風險趨勢，維運主管需理解攻擊脈絡，而第一線人員則需要精確的技術指標。ThreatVision 透過層次分明的情資架構，將零散數據資料轉化為可運用的情資，協助企業建立從決策到應變的防禦體系。

 

##ThreatVision 三層情資視角：構建有效防禦體系
ThreatVision 將長期研究成果系統化，並以符合不同角色需求的情資形式加以呈現，內容涵蓋**戰略（Strategic）、實戰（Operational）與戰術（Tactical）**三種維度，協助企業建立完整有效的威脅防禦體系：

##1. 戰略型情資（Strategic）：掌握攻擊趨勢、地緣政治影響與產業風險，輔助高層決策
戰略型情資適用於資安長（CISO）與高階管理團隊等決策者，提供能從整體局勢中辨識潛在風險的宏觀視角。重點在於掌握威脅族群與攻擊目標的變化趨勢，結合地緣政治與政策環境，評估各產業面臨的系統性風險，作為中長期資安策略與資源配置的依據。
- **APT 族群研究**：針對亞太地區活躍的威脅族群，詳盡分析其戰術演變與目標範圍。
- **亞太網路政策**：深入剖析新興強權中國的戰略能力，並整理中文世界的資安新聞與法規動態，提供決策所需的外部情報。
- **威脅情勢概覽**：從國家、區域與產業三個維度分析趨勢，協助企業掌握長期威脅態勢。

###2. 實戰型情資（Operational）：深入解析攻擊者背景、犯罪生態與攻擊鏈，支援事件調查與關聯分析
實戰型情資適用於資安事件分析（SOC）與調查團隊，協助企業釐清攻擊脈絡（Context），將看似無關的零散警訊串聯為具體的攻擊事件。重點在於協助分析人員理解攻擊者的動機、手法與潛在影響，確保團隊能在一致的認知基礎上協同作戰。
- **APT 威脅解析**：統整亞太區 APT 攻擊活動，連結地緣政治與攻擊行為，提供事件背景與入侵指標（IoC），並分析攻擊者背景、目標以及戰術、技術與程序（TTP），協助判斷關聯並預判下一步行動。
- **網路犯罪分析**：長期追蹤地下論壇與犯罪即服務（CaaS），深入觀察勒索集團運作；並由 TeamT5 研究團隊驗證，分析深暗網與中文加密社群犯罪動態，提供具體威脅情資。
- **惡意程式情資**：快速關聯惡意程式樣本與行為特徵，協助企業理解攻擊脈絡與動機，以及惡意程式的演進趨勢。

###3. 戰術型情資（Tactical）：提供實戰工具與漏洞重點資訊，強化防禦能力
戰術型情資適用於第一線維運團隊與設備管理人員，提供可快速識別威脅的指標，可直接應用於防火牆、端點偵測與回應（EDR）以及安全資訊與事件管理（SIEM）等防禦機制。重點在於協助前線在攻擊發生的當下迅速識別，並立即阻斷威脅。
- **漏洞情資**：說明漏洞被利用的實際情況與攻擊模式，並提供緩解建議，協助企業安排修補優先順序。
- **深暗網風險監控**：針對深暗網論壇、黑市、社群媒體與中文地下社群進行早期預警，主動偵測資料外洩與交易風險。
- **入侵指標（IoC）**：提供針對國家級 APT 攻擊及大規模網路犯罪的 IoC，加速辨識潛藏惡意活動。
- **威脅狩獵工具**：提供以情資為基礎的偵測規則，協助團隊主動搜尋內部可疑行為。

![](https://uploads.teamt5.org/upload/original/reaching-the-peak-of-defense-with-threatvision-intelligence_form_TW.png)

##與 ThreatVision 一同橫越艱險　攻克威脅
威脅永遠不會放慢腳步，但企業可以掌握防禦節奏。
運用 ThreatVision 切換三種視角，以**戰略型**指引方向、**實戰型**釐清脈絡、**戰術型**落實防護，在變動的環境中建立穩定且清晰的防禦架構，建立堅實韌性，成功登上資安防禦之巔。


![](https://uploads.teamt5.org/upload/original/reaching-the-peak-of-defense-with-threatvision-intelligence_gif%20update_TW.gif)

掌握威脅山勢：運用 ThreatVision 威脅情資登上防禦之巔

今日のサイバー脅威への防御は、複雑な地形を進むようなものです。組織はより広く脅威全体を理解し、状況の変化に応じて調整しながら、高リスク領域では慎重に進む必要があります。脅威を俯瞰できなければ、チームは大量のアラートに追われ、本当に重要なものを見逃しかねません。

効果的な防御には、複数の視点が欠かせません。経営層は長期的リスクと投資判断に関心を持ち、運用責任者は攻撃の文脈や背景を把握して優先順位を付ける必要があります。最前線の現場チームは正確な技術指標に基づいて対応します。ThreatVisionは、構造化されたインテリジェンスフレームワークを通じてこれらのニーズを結び付け、断片化したデータを“使える脅威インテリジェンス”へと整理し、経営判断の戦略立案から現場のインシデント対応まで一貫して支援します。

##ThreatVisionの3つのインテリジェンス視点：効果的な防御フレームワークの構築
ThreatVisionでは、長年の脅威リサーチを「戦略（Strategic）」「運用（Operational）」「戦術（Tactical）」の三層に整理しており、それぞれ特定の役割と防御目的を支えるよう設計されています。

##1. 戦略：脅威トレンド、地政学的影響、業界リスクの理解
戦略インテリジェンスは、マクロレベルのリスク視点を必要とするCISOおよび経営層向けに設計されています。脅威アクターの動向や標的化のトレンドを特定することに焦点を当て、地政学的動向や政策環境を踏まえて、業界全体にわたる構造的リスクを評価します。このインテリジェンスは、中長期のセキュリティ計画や、根拠のあるリソース配分の判断を支えます。

- **APTグループ調査（APT Group Research）**： APAC地域で活動する脅威グループを分析し、戦術の変化、標的、活動範囲などに注目します。
- **アジア太平洋地域のサイバー政策（Asia-Pacific Cyber Policy）**： 地政学的動向（特に中国）を評価するとともに、中国語圏におけるサイバーセキュリティ政策や規制の動向を分析します。
- **脅威ランドスケープ概観（Threat Landscape Overview**：国家・地域・業界レベルにわたる長期的な脅威トレンドを分析します。


##2. 運用： 攻撃者、犯罪エコシステム、攻撃チェーンの分析
運用インテリジェンスは、SOCや調査チームの活動を支援します。攻撃の背景を明確にし、断片的なアラートを関連付けてひとつのインシデントとして整理します。これにより分析担当者は、攻撃者の正体、手法、意図を理解し、調査と対応をチーム全体で連携して進めるための共通認識を得ることができます。

- **APT 脅威分析（APT Threat Analysis）**：.APACにおけるAPT活動を地政学的コンテキストと関連付ける分析であり、インシデント背景、IoC、攻撃者プロファイル、標的、TTPを含みます。
- **サイバー犯罪インテリジェンス（Cybercrime Inteligence）
**： アンダーグラウンドフォーラムおよびCrime-as-a-Service（CaaS）環境システムの追跡であり、ディープウェブおよびダークウェブ活動、中国語暗号化コミュニティを含みます。
- **マルウェア（Malware）**： マルウェアのサンプルとその動作内容を関連付けて分析し、攻撃者の意図やマルウェアの進化を評価します。

##3. 戦術：現場で“すぐ使える”ツールと脆弱性重視の対応で最前線の防御を強化
戦術インテリジェンスは、最前線のセキュリティおよびインフラチーム向けに設計されています。ファイアウォール、EDR、SIEMなどに直接適用できる技術指標とツールを提供し、迅速な脅威検知と即時のブロックで対応スピードの向上を支援します。。

- **脆弱性対策**：実際の悪用パターンおよびパッチ優先順位に関する洞察
- **ディープ＆ダークウェブリスク監視**：ディープウェブおよびダークウェブのフォーラム、マーケットプレイス、中国語圏のアンダーグラウンドコミュニティからの早期警告
- **侵害指標 (IoCs)**：国家支援型APT活動および大規模サイバー犯罪に関連するIoC
- **脅威ハンティングツール**： 能動的な脅威ハンティングのための、インテリジェンス主導の検知ルール

![](https://uploads.teamt5.org/upload/original/reaching-the-peak-of-defense-with-threatvision-intelligence_form_JP_update.jpg)

##ThreatVisionとともに局面を乗り越える
脅威が減速することはありませんが、組織は「どのように対応するか」を主体的に選び、コントロールできます。

ThreatVisionは戦略、運用、戦術の各インテリジェンスを柔軟に行き来できるようにすることで、チームが方向性を見失わず、攻撃の背景や状況を正しく把握しながら防御を実行し、強化できる状態を支援します。その結果、脅威の状況が変化し続ける中でも、安定した強靭な防御体制を維持することが可能になります。 

![](https://uploads.teamt5.org/upload/original/reaching-the-peak-of-defense-with-threatvision-intelligence_gif_update_JP.gif)

ThreatVisionインテリジェンスで防御を次のレベルへ

ThreatVision Resources

With geopolitical tensions continuing to escalate across the APAC region, APT activities in the region are intensifying in both volume and sophistication. **In 2025, TeamT5 tracked more than 510 APT operations affecting 67 countries globally, up steadily from 2024. Of these, 173 attacks targeted Taiwan, far exceeding activity levels seen in other regional targets.**

Over the years, we observe Taiwan remains the most consistently and heavily targeted environment for cyber operations, with China responsible for the majority of observed activity. Taiwan’s role in geopolitical tensions and values in global technology supply chain makes it uniquely vulnerable for adversaries who seek intelligence or long-term access to achieve political and military objectives. The scale, diversity, and persistence of these campaigns position Taiwan not only as a frontline target, but also as an early-warning bellwether for the direction of China-nexus intrusion tradecraft. Campaigns observed in Taiwan frequently showcase early adoption of new tooling and evolving TTPs; therefore, **Taiwan is more than just a target—it functions as a proving ground where China-nexus APTs test and refine their tactics before scaling them to other environments.**


## Key Trends: Targeting of Edge Devices, Abuse of Trusted Services, and Disposable Malware

As defenders continue to harden endpoints with capabilities like EDR, threat actors are adapting by shifting operations to layers with comparatively limited telemetry and weaker detection coverage. That shift is reflected in our 2025 findings: **we tracked 27 critical vulnerabilities, most of which impacted edge devices such as firewalls, routers, and VPN appliances**. Moreover, China-nexus actors have paired exploitation with custom backdoors tailored to specific device families. These backdoors are often designed to persist even after the underlying vulnerability is patched or the device is rebooted. This transforms one-time perimeter access into long-term access across victim networks and significantly raises the difficulty of detection and complete eradication. In addition, Internet of Things (IoT) devices are increasingly being abused by threat actors for a range of malicious objectives, particularly as low-noise infrastructure that blends into normal network traffic. For example, we observed actors chaining compromised IoT devices into operational relay box (ORB) networks to stage and route attacks, effectively obscuring the origin of malicious activity. In other cases, actors have abused Network Attached Storage (NAS) systems as reverse SSH tunnel relays, facilitating data exfiltration through an intermediary that often appears benign. 

**Supply chain attacks accelerated further in 2025, reinforcing what TeamT5 describes as “Fail-of-Trust Model”**. In a supply chain attack, threat actors compromise software vendors, managed service providers, or cloud service providers to exploit inherited trust and pivot into their downstream customer environments. In Taiwan, TeamT5 observed multiple attacks in which Chinese actors (e.g., Huapi and SLIME86) first compromised upstream IT service providers, then leveraged that access to move laterally into government, military, and critical infrastructure networks. In other notable cases attributed to China-nexus SocialNetworkTeam and SLIME40 (aka Salt Typhoon), threat actors compromised national telecom networks and used that access for long-term traffic interception and surveillance, including DNS manipulation and ISP-level hijacking. These campaigns directly erode the foundational assumptions of the digital ecosystem: that “trusted” suppliers are secure. By weaponizing trusted relationships as attack paths, supply chain operations turn implicit trust into a liability, hence the “Fail-of-Trust Model.” Consistent with this shift, we observed a clear uptick in 2025 attacks aimed at the IT sector. Threat actors are increasingly treating IT providers as strategic infrastructure, using them as launchpads to reach downstream targets more efficiently and at far greater scale.

**Malware deployment tradecraft also evolved in 2025. Across the 300+ malicious samples we tracked, we saw a clear rise in customized, disposable “one-time” malware.** Much of it consisted of lightweight loaders and downloaders which are quick to build, easy to tailor to a specific intrusion chain, and inherently more capable of evading signature-based detection. In parallel, we increasingly observed multi-tool intrusion stacks, where actors deploy more than one malware family and/or a mix of malware and legitimate hacking tools within the same operation. This reduces single points of failure: if one component is detected or blocked, others can maintain access, pivot laterally, or re-establish command-and-control. For defenders, the result is a broader, more fragmented footprint that slows triage and makes complete eradication harder. 


## From APT Groups to a China-nexus “Whole-of-Nation” APT Ecosystem

The observed increase in volume and sophistication of APT operations occurs in parallel with increasing signs of a maturing APT ecosystem in China. Over the years, **China has been cultivating its offensive cyber capabilities through a “whole-of-nation” model**: In this model, the state retains strategic direction (e.g., prioritizing intelligence requirements and target sets) while execution capacity is expanded through a market of contractors, brokers, and specialist vendors. Public attributions and industry reporting over the last few years increasingly describe a threat landscape where the boundary between “state” and “private sector” is operationally blurred, producing an industrial-scale pipeline for intrusions. The Chinese APT ecosystem blends state direction with “hacking-as-a-service” dynamics: capability is packaged, priced, and delivered in units that can be purchased, tasked, or repurposed. The 2024 I-Soon leak has shown how a private Chinese company conducted intrusions and monetized access and how such kind of contractor capacity can be integrated into state-aligned operations.

In 2025, more evidence surfaced—via indictments, sanctions packages, and leaked materials—that Chinese private-sector vendors are not merely tooling suppliers but can play operational roles across intrusion activity. Taken together, these disclosures point to an ecosystem that is becoming more modular and specialized as it scales. **That industrialization is most visible in the shift from a traditional “one APT group runs the full kill chain” assumption to a service-layered model.** Instead of one team doing everything end-to-end, different providers can contribute capabilities at distinct stages. Examples map cleanly onto this cyber supply chain: At the front end are large-scale reconnaissance providers conducting internet-wide scanning and target profiling; Midstream are developers producing exploits, modular malware components, and tailored one-time payloads, optimized for specific environments; At the back end are infrastructure operators who specialize in command-and-control, proxy layers, and operational relay box (ORB) networks. This division of labor enables faster iteration, higher operational tempo, and greater resiliency.

## Looking Forward

For governments, enterprises, and critical sectors worldwide,** the lesson is clear: indicator-driven defense can’t keep up with an industrialized intrusion ecosystem that can quickly change tools, servers, and routes when exposed.** Defenders therefore have to move upstream to proactive, hypothesis-driven threat hunting that prioritizes durable behaviors over short-lived signatures. This approach shifts the objective from “blocking known bad” to finding active tradecraft early, before the adversary completes collection and exfiltration.

But hunting alone is not enough, because this is an ecosystem problem. **Effective defense also requires deep regional intelligence that explains how the ecosystem is organized.** That context turns scattered telemetry into actionable understanding, enabling defenders to distinguish who is responsible for reconnaissance, initial access, payload delivery, and infrastructure enablement. With those roles mapped, defenders can better anticipate likely next moves in the kill chain and apply disruption at the points of greatest leverage.

TeamT5 believes meaningful impact depends on international collaboration grounded in shared adversary insight. In other words, defenders must compete with an industrial system by responding as a coordinated system. **TeamT5 is committed to doing our part: contributing high-quality cyber threat intelligence, supporting joint response efforts, and strengthening the partnerships that make collective defense work.**

 
## About TeamT5
TeamT5 is an APAC-focused threat intelligence expert. Leveraging Taiwan’s unique geopolitical vantage point, multilingual capabilities, and over two decades of research experience, we specialize in APT and ransomware threats across the Asia-Pacific region. We deliver highly localized, action-oriented threat intelligence and defense solutions for government, financial, and technology sectors.

We believe that effective cybersecurity begins with continuous tracking and deep understanding of threats. With research at our core, TeamT5 transforms complex and rapidly evolving attack behaviors into actionable intelligence, enabling organizations to anticipate risks and shift from reactive response to proactive defense—reducing cyber risk.

As a practitioner of intelligence-driven cyber defense, TeamT5 continuously monitors emerging threats, precisely analyzes attack patterns, and acts with agility to minimize risk exposure. We also value trust and collaboration, actively sharing research insights at world-class cybersecurity conferences and international forums. By working closely with the global security community, as well as our customers and partners, we help advance the practical application of threat intelligence and strengthen cyber resilience.


>More insights: [[Whitepaper] Seeing the Pattern Behind The Attacks: APAC Intelligence for CISOs Worldwide](https://teamt5.org/en/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=website&utm_medium=website)

APT Threat Landscape in APAC 2025: Industrialization of Intrusions

>2025 年，亞太地區的進階持續性威脅（APT）活動在數量與複雜度上持續升高，TeamT5 觀測到超過 510 件之 APT 攻擊事件，在前述事件中，台灣因其地緣政治位置與關鍵科技供應鏈角色，成為主要被攻擊目標。相關行動不僅反映中國關聯威脅族群的戰略優先順序，也使台灣成為新型攻擊技術與戰術的試驗場。
>
>TeamT5 研究顯示，威脅行動者正逐步轉向邊緣設備、IoT 與供應鏈作為主要攻擊面，並大量運用一次性惡意程式、濫用系統信任機制與分工化的攻擊生態系，削弱以入侵指標為核心的傳統防禦模式。這種由國家導向、民間承包與專業分工構成的「舉國體制（whole-of-nation）」APT 生態，正在重塑全球網路威脅格局。
>
>面對此一趨勢，防禦方需從「被動攔阻」轉向「以行為與假設為核心的主動獵捕」，並結合區域威脅情資與跨國協作，才能在高度產業化的攻擊體系中取得有效防禦優勢。

#APT Threat Landscape in APAC 2025: Industrialization of Intrusions

With geopolitical tensions continuing to escalate across the APAC region, APT activities in the region are intensifying in both volume and sophistication. **In 2025, TeamT5 tracked more than 510 APT operations affecting 67 countries globally, up steadily from 2024. Of these, 173 attacks targeted Taiwan, far exceeding activity levels seen in other regional targets.**

Over the years, we observe Taiwan remains the most consistently and heavily targeted environment for cyber operations, with China responsible for the majority of observed activity. Taiwan’s role in geopolitical tensions and values in global technology supply chain makes it uniquely vulnerable for adversaries who seek intelligence or long-term access to achieve political and military objectives. The scale, diversity, and persistence of these campaigns position Taiwan not only as a frontline target, but also as an early-warning bellwether for the direction of China-nexus intrusion tradecraft. Campaigns observed in Taiwan frequently showcase early adoption of new tooling and evolving TTPs; therefore, **Taiwan is more than just a target—it functions as a proving ground where China-nexus APTs test and refine their tactics before scaling them to other environments.**


## Key Trends: Targeting of Edge Devices, Abuse of Trusted Services, and Disposable Malware

As defenders continue to harden endpoints with capabilities like EDR, threat actors are adapting by shifting operations to layers with comparatively limited telemetry and weaker detection coverage. That shift is reflected in our 2025 findings: **we tracked 27 critical vulnerabilities, most of which impacted edge devices such as firewalls, routers, and VPN appliances**. Moreover, China-nexus actors have paired exploitation with custom backdoors tailored to specific device families. These backdoors are often designed to persist even after the underlying vulnerability is patched or the device is rebooted. This transforms one-time perimeter access into long-term access across victim networks and significantly raises the difficulty of detection and complete eradication. In addition, Internet of Things (IoT) devices are increasingly being abused by threat actors for a range of malicious objectives, particularly as low-noise infrastructure that blends into normal network traffic. For example, we observed actors chaining compromised IoT devices into operational relay box (ORB) networks to stage and route attacks, effectively obscuring the origin of malicious activity. In other cases, actors have abused Network Attached Storage (NAS) systems as reverse SSH tunnel relays, facilitating data exfiltration through an intermediary that often appears benign. 

**Supply chain attacks accelerated further in 2025, reinforcing what TeamT5 describes as “Fail-of-Trust Model”**. In a supply chain attack, threat actors compromise software vendors, managed service providers, or cloud service providers to exploit inherited trust and pivot into their downstream customer environments. In Taiwan, TeamT5 observed multiple attacks in which Chinese actors (e.g., Huapi and SLIME86) first compromised upstream IT service providers, then leveraged that access to move laterally into government, military, and critical infrastructure networks. In other notable cases attributed to China-nexus SocialNetworkTeam and SLIME40 (aka Salt Typhoon), threat actors compromised national telecom networks and used that access for long-term traffic interception and surveillance, including DNS manipulation and ISP-level hijacking. These campaigns directly erode the foundational assumptions of the digital ecosystem: that “trusted” suppliers are secure. By weaponizing trusted relationships as attack paths, supply chain operations turn implicit trust into a liability, hence the “Fail-of-Trust Model.” Consistent with this shift, we observed a clear uptick in 2025 attacks aimed at the IT sector. Threat actors are increasingly treating IT providers as strategic infrastructure, using them as launchpads to reach downstream targets more efficiently and at far greater scale.

**Malware deployment tradecraft also evolved in 2025. Across the 300+ malicious samples we tracked, we saw a clear rise in customized, disposable “one-time” malware.** Much of it consisted of lightweight loaders and downloaders which are quick to build, easy to tailor to a specific intrusion chain, and inherently more capable of evading signature-based detection. In parallel, we increasingly observed multi-tool intrusion stacks, where actors deploy more than one malware family and/or a mix of malware and legitimate hacking tools within the same operation. This reduces single points of failure: if one component is detected or blocked, others can maintain access, pivot laterally, or re-establish command-and-control. For defenders, the result is a broader, more fragmented footprint that slows triage and makes complete eradication harder. 


## From APT Groups to a China-nexus “Whole-of-Nation” APT Ecosystem

The observed increase in volume and sophistication of APT operations occurs in parallel with increasing signs of a maturing APT ecosystem in China. Over the years, **China has been cultivating its offensive cyber capabilities through a “whole-of-nation” model**: In this model, the state retains strategic direction (e.g., prioritizing intelligence requirements and target sets) while execution capacity is expanded through a market of contractors, brokers, and specialist vendors. Public attributions and industry reporting over the last few years increasingly describe a threat landscape where the boundary between “state” and “private sector” is operationally blurred, producing an industrial-scale pipeline for intrusions. The Chinese APT ecosystem blends state direction with “hacking-as-a-service” dynamics: capability is packaged, priced, and delivered in units that can be purchased, tasked, or repurposed. The 2024 I-Soon leak has shown how a private Chinese company conducted intrusions and monetized access and how such kind of contractor capacity can be integrated into state-aligned operations.

In 2025, more evidence surfaced—via indictments, sanctions packages, and leaked materials—that Chinese private-sector vendors are not merely tooling suppliers but can play operational roles across intrusion activity. Taken together, these disclosures point to an ecosystem that is becoming more modular and specialized as it scales. **That industrialization is most visible in the shift from a traditional “one APT group runs the full kill chain” assumption to a service-layered model.** Instead of one team doing everything end-to-end, different providers can contribute capabilities at distinct stages. Examples map cleanly onto this cyber supply chain: At the front end are large-scale reconnaissance providers conducting internet-wide scanning and target profiling; Midstream are developers producing exploits, modular malware components, and tailored one-time payloads, optimized for specific environments; At the back end are infrastructure operators who specialize in command-and-control, proxy layers, and operational relay box (ORB) networks. This division of labor enables faster iteration, higher operational tempo, and greater resiliency.

## Looking Forward

For governments, enterprises, and critical sectors worldwide,** the lesson is clear: indicator-driven defense can’t keep up with an industrialized intrusion ecosystem that can quickly change tools, servers, and routes when exposed.** Defenders therefore have to move upstream to proactive, hypothesis-driven threat hunting that prioritizes durable behaviors over short-lived signatures. This approach shifts the objective from “blocking known bad” to finding active tradecraft early, before the adversary completes collection and exfiltration.

But hunting alone is not enough, because this is an ecosystem problem. **Effective defense also requires deep regional intelligence that explains how the ecosystem is organized.** That context turns scattered telemetry into actionable understanding, enabling defenders to distinguish who is responsible for reconnaissance, initial access, payload delivery, and infrastructure enablement. With those roles mapped, defenders can better anticipate likely next moves in the kill chain and apply disruption at the points of greatest leverage.

TeamT5 believes meaningful impact depends on international collaboration grounded in shared adversary insight. In other words, defenders must compete with an industrial system by responding as a coordinated system. **TeamT5 is committed to doing our part: contributing high-quality cyber threat intelligence, supporting joint response efforts, and strengthening the partnerships that make collective defense work.**

 
## 關於 TeamT5
TeamT5 杜浦數位安全是深耕亞太地區的威脅情資專家，憑藉台灣獨特的地緣優勢、語言能力與超過二十年的研究累積，專注於亞太區域的 APT 與勒索威脅研究，為政府、金融與科技產業提供最在地化、可執行的威脅情資洞察與防護解決方案。

我們相信，真正有效的資安防禦，來自對威脅的持續追蹤與深度理解。TeamT5 以研究為核心，將複雜且快速演化的攻擊行為，轉化為具行動力的情資判斷，協助企業組織在攻擊發生前預判風險，從被動應變走向主動防禦，降低資安風險。

作為情資驅動資安防禦的實踐者，TeamT5 持續追蹤未知威脅、精準解析攻擊脈絡，並以敏捷行動縮短風險暴露時間。同時，我們重視信任與協作，持續於世界級資安會議與國際場域分享研究發現，與全球資安社群一同推動威脅情資的實務應用與防禦進化；並與客戶及夥伴建立長期合作關係，共同強化整體防禦韌性。


>更多威脅情資洞見：[【白皮書】洞悉攻擊背後的脈絡：全球資安長不可忽視的亞太威脅情資](https://teamt5.org/tw/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=website&utm_medium=website)

【亞太 APT 威脅態勢】回顧 2025：攻擊行動產業化

APAC地域全体で地政学的緊張が高まり続ける中、この地域におけるAPT活動は、件数と高度化の両面で激化しています。2025年、TeamT5は世界67か国に影響を及ぼす510件以上のAPTオペレーションを追跡しており、この数は2024年から着実に増加しています。そのうち173件の攻撃は台湾を標的としており、他の地域ターゲットと比べても突出した活動レベルとなっています。

長年にわたる観測から、台湾はサイバー作戦において最も継続的かつ集中的に標的とされている環境であり、観測される活動の大半は中国によるものであることが分かっています。

台湾は地政学的に重要な位置にあり、世界のテクノロジーサプライチェーンでも大きな価値を持つため、政治的・軍事的目的を背景に情報収集や長期的な侵入を狙う攻撃者にとって、特に標的となりやすい状況にあります。こうした攻撃キャンペーンは規模や多様性も大きく、長期間にわたって継続していることから、台湾は単なる最前線の標的にとどまらず、中国系攻撃者の侵入手法がどのように進化していくのかを示す「早期警戒の指標」としても位置付けられています。

実際に台湾で観測される攻撃キャンペーンでは、新たなツールや進化するTTP（戦術・技法・手順）がいち早く採用されるケースが多く見られます。そのため、台湾は単なる標的にとどまらず、中国系（China-nexus）APTが戦術を試し、磨き上げた上で他地域へ展開する前の実証の場として機能しています。

## Key Trends: Targeting of Edge Devices, Abuse of Trusted Services, and Disposable Malware

As defenders continue to harden endpoints with capabilities like EDR, threat actors are adapting by shifting operations to layers with comparatively limited telemetry and weaker detection coverage. That shift is reflected in our 2025 findings: **we tracked 27 critical vulnerabilities, most of which impacted edge devices such as firewalls, routers, and VPN appliances**. Moreover, China-nexus actors have paired exploitation with custom backdoors tailored to specific device families. These backdoors are often designed to persist even after the underlying vulnerability is patched or the device is rebooted. This transforms one-time perimeter access into long-term access across victim networks and significantly raises the difficulty of detection and complete eradication. In addition, Internet of Things (IoT) devices are increasingly being abused by threat actors for a range of malicious objectives, particularly as low-noise infrastructure that blends into normal network traffic. For example, we observed actors chaining compromised IoT devices into operational relay box (ORB) networks to stage and route attacks, effectively obscuring the origin of malicious activity. In other cases, actors have abused Network Attached Storage (NAS) systems as reverse SSH tunnel relays, facilitating data exfiltration through an intermediary that often appears benign. 

**Supply chain attacks accelerated further in 2025, reinforcing what TeamT5 describes as “Fail-of-Trust Model”**. In a supply chain attack, threat actors compromise software vendors, managed service providers, or cloud service providers to exploit inherited trust and pivot into their downstream customer environments. In Taiwan, TeamT5 observed multiple attacks in which Chinese actors (e.g., Huapi and SLIME86) first compromised upstream IT service providers, then leveraged that access to move laterally into government, military, and critical infrastructure networks. In other notable cases attributed to China-nexus SocialNetworkTeam and SLIME40 (aka Salt Typhoon), threat actors compromised national telecom networks and used that access for long-term traffic interception and surveillance, including DNS manipulation and ISP-level hijacking. These campaigns directly erode the foundational assumptions of the digital ecosystem: that “trusted” suppliers are secure. By weaponizing trusted relationships as attack paths, supply chain operations turn implicit trust into a liability, hence the “Fail-of-Trust Model.” Consistent with this shift, we observed a clear uptick in 2025 attacks aimed at the IT sector. Threat actors are increasingly treating IT providers as strategic infrastructure, using them as launchpads to reach downstream targets more efficiently and at far greater scale.

**Malware deployment tradecraft also evolved in 2025. Across the 300+ malicious samples we tracked, we saw a clear rise in customized, disposable “one-time” malware.** Much of it consisted of lightweight loaders and downloaders which are quick to build, easy to tailor to a specific intrusion chain, and inherently more capable of evading signature-based detection. In parallel, we increasingly observed multi-tool intrusion stacks, where actors deploy more than one malware family and/or a mix of malware and legitimate hacking tools within the same operation. This reduces single points of failure: if one component is detected or blocked, others can maintain access, pivot laterally, or re-establish command-and-control. For defenders, the result is a broader, more fragmented footprint that slows triage and makes complete eradication harder. 


## From APT Groups to a China-nexus “Whole-of-Nation” APT Ecosystem

The observed increase in volume and sophistication of APT operations occurs in parallel with increasing signs of a maturing APT ecosystem in China. Over the years, **China has been cultivating its offensive cyber capabilities through a “whole-of-nation” model**: In this model, the state retains strategic direction (e.g., prioritizing intelligence requirements and target sets) while execution capacity is expanded through a market of contractors, brokers, and specialist vendors. Public attributions and industry reporting over the last few years increasingly describe a threat landscape where the boundary between “state” and “private sector” is operationally blurred, producing an industrial-scale pipeline for intrusions. The Chinese APT ecosystem blends state direction with “hacking-as-a-service” dynamics: capability is packaged, priced, and delivered in units that can be purchased, tasked, or repurposed. The 2024 I-Soon leak has shown how a private Chinese company conducted intrusions and monetized access and how such kind of contractor capacity can be integrated into state-aligned operations.

In 2025, more evidence surfaced—via indictments, sanctions packages, and leaked materials—that Chinese private-sector vendors are not merely tooling suppliers but can play operational roles across intrusion activity. Taken together, these disclosures point to an ecosystem that is becoming more modular and specialized as it scales. **That industrialization is most visible in the shift from a traditional “one APT group runs the full kill chain” assumption to a service-layered model.** Instead of one team doing everything end-to-end, different providers can contribute capabilities at distinct stages. Examples map cleanly onto this cyber supply chain: At the front end are large-scale reconnaissance providers conducting internet-wide scanning and target profiling; Midstream are developers producing exploits, modular malware components, and tailored one-time payloads, optimized for specific environments; At the back end are infrastructure operators who specialize in command-and-control, proxy layers, and operational relay box (ORB) networks. This division of labor enables faster iteration, higher operational tempo, and greater resiliency.

## Looking Forward

For governments, enterprises, and critical sectors worldwide,** the lesson is clear: indicator-driven defense can’t keep up with an industrialized intrusion ecosystem that can quickly change tools, servers, and routes when exposed.** Defenders therefore have to move upstream to proactive, hypothesis-driven threat hunting that prioritizes durable behaviors over short-lived signatures. This approach shifts the objective from “blocking known bad” to finding active tradecraft early, before the adversary completes collection and exfiltration.

But hunting alone is not enough, because this is an ecosystem problem. **Effective defense also requires deep regional intelligence that explains how the ecosystem is organized.** That context turns scattered telemetry into actionable understanding, enabling defenders to distinguish who is responsible for reconnaissance, initial access, payload delivery, and infrastructure enablement. With those roles mapped, defenders can better anticipate likely next moves in the kill chain and apply disruption at the points of greatest leverage.

TeamT5 believes meaningful impact depends on international collaboration grounded in shared adversary insight. In other words, defenders must compete with an industrial system by responding as a coordinated system. **TeamT5 is committed to doing our part: contributing high-quality cyber threat intelligence, supporting joint response efforts, and strengthening the partnerships that make collective defense work.**

 

##TeamT5について
TeamT5は、APAC地域に特化した脅威インテリジェンスの専門企業です。台湾という独自の地政学的視点、多言語対応力、そして20年以上にわたる研究実績を活かし、アジア太平洋地域におけるAPTおよびランサムウェアの脅威を専門としています。政府機関、金融機関、テクノロジー分野を対象に、高度にローカライズされた実践的な脅威インテリジェンスと防御ソリューションを提供しています。
私たちは、効果的なサイバーセキュリティは、脅威を継続的に追跡し、深く理解することから始まると考えています。研究を中核に据えるTeamT5は、組織が防御に活用できる実践的な脅威インテリジェンスとして提供することで組織がリスクを先読みし、受動的な対応から能動的な防御へと移行できるよう支援することで、サイバーリスクの低減を実現します。

インテリジェンス主導のサイバー防御を実践する組織として、TeamT5は新たに出現する脅威を継続的に監視し、攻撃の傾向を分析、早期に対応することで、被害の拡大を防いでいます。また、信頼と協調を重視し、世界有数のサイバーセキュリティカンファレンスや国際フォーラムにおいて研究成果を積極的に共有しています。グローバルなセキュリティコミュニティ、そしてお客様やパートナーと緊密に連携することで、脅威インテリジェンスの実践的活用を推進し、組織全体のサイバー・レジリエンス強化に貢献しています。


>詳細はこちら：[【ホワイトペーパー】攻撃の背後にあるパターンを読み解く：グローバルCISOのためのAPAC脅威インテリジェンス](https://teamt5.org/jp/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=website&utm_medium=website)

APACにおけるAPT脅威動向 2025：侵入活動の産業化

Threat Intelligence

デジタルトランスフォーメーションの波の中で、サイバーセキュリティ脅威は常に存在しています。想像してみてください——攻撃者は静かにネットワークに侵入し、正規のツールを利用して EDR（Endpoint Detection and Response）プラットフォームを回避し、隠されたバックドアを植え付けています。[BISI](https://bisi.org.uk/reports/apts-global-review-2022-2025-trends-regions-forecast) のグローバル APT（高度持続的脅威）トレンド調査によると、2022 年以降、APT 攻撃の頻度と複雑性は増加しており、その半数以上がアジア太平洋地域に集中し、[IT 業界、政府機関、インフラに影響を与えています](https://teamt5.org/jp/posts/2025-h1-apt-threat-landscape-insights-asia-pacific-emerges-as-cyberattack-hotspot-experts-highlight-critical-defense-priorities/?utm_source=blog&utm_medium=website)。これは氷山の一角に過ぎず、水面下にはさらに多くの攻撃が未検知のまま存在していますが、それは企業・組織が侵害されていないことを意味しません。

限られたリソースで「スピード × 深度 × カバレッジ」を実現し、防御サイクルを短縮する方法を一緒に探りましょう。

##ステルス化する攻撃者：防御側の“ブラインドスポット”
今日のサイバー攻撃は「偽装の時代」に突入しています。APT グループは Windows のビルトインツール、システムサービス、そして正規の第三者アプリケーションまで巧妙に悪用し、サイバーセキュリティ製品の検知を悪意ある形で回避します。

**一般的な APT の偽装技術には以下があります：**
- **正規性の偽装**：正規ツールや OS の標準機能に偽装することで、EDR／AV による検知を回避する
- **監視点の無力化**：Windows の監視・スキャン機能を無効化し、EDR の検知を回避する
- **痕跡の希薄化**：特定の接続シーケンスでのみ起動する隠れたバックドアを用い、通常は検知されないようにする

同時に、企業 IT インフラはますます分散化しています。クラウドサービス、外部委託ベンダー、子会社、リモート環境が混在し、防御側にとって大きな可視性のギャップが生まれています。監視されていない、あるいは報告されていないエンドポイントが一つでもあれば、そこに脅威が潜んでいる可能性があり、防御側の視界をさらに曇らせます。

> EDR 回避の攻撃手法と防御戦略については、記事分析「[EDRを回避する攻撃手法にはどのようなものがあるのか？企業はどのように対策すべきか？ (1)](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)」をご覧ください。

##限られたリソースの三角ジレンマ：スピード・深度・カバレッジ
現場のサイバーセキュリティ担当者は、限られたリソースの中で スピード × カバレッジ × 深度 の三要素の間でトレードオフを迫られることが多く、3 つを同時に達成することは非常に困難です。

ThreatSonar の中核思想は、**「一次スクリーニング → 集中深度調査 → 精密処理」**というモデルで未知の脅威範囲を迅速に絞り込み、「数千台のデバイス」から「重要な数台」へ調査対象を縮小することです。その防御戦略は「まず健康診断を行い、その後に精密検査を行う」アプローチに類似しています。

##ThreatSonar の二軸防御戦略：「緊急時」と「平時」
ThreatSonar には 2 つの主要活用シナリオがあり、これらを組み合わせて完全な防御戦略を構築します。


**1. 緊急時：迅速なスクリーニング** 
疑わしい侵入や異常が発生した際には、対応までの時間が決定的に重要です。
- **Rapid Locator（一次スクリーニング）**：ThreatSonar はおよそ 1 時間でエンドポイントスキャンを完了し、数千台の中から 調査優先度の高い疑わしいデバイスを根拠付きで特定
- **Deep Forensics（要所深掘り）**：特定された侵害デバイスに対し、メモリ・タイムラインを含む深度フォレンジック分析を実施

この仕組みにより調査サイクルを大幅に短縮でき、誤検知や冗長分析に費やされる時間を防ぎます。

 

**2. 平時：定期的な Compromise Assessment（CA）** 
平常時は ThreatSonar により運用状況を継続把握し、定期スキャンで環境の安全性を確保します。
- **Establishing a Baseline**：初期段階で環境の正常状態を確立
- **Periodic Scans**：毎月または四半期ごとのスキャンにより、新たに発生した異常を比較します。これには、不明なプログラムや接続、永続化メカニズム（例：自動起動、WMI イベント）、DNS レコードや実行履歴などが含まれます。

定期スキャンにより企業は潜在的な不審活動を早期に把握し、脅威の深刻化を効果的に防止できます。

>[ThreatSonar の機能についてさらに詳しく](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)

##ThreatSonar の 4 つのコア優位性

ThreatSonar は単なるスキャンツールではなく、脅威インテリジェンスを統合した「脅威識別・分析プラットフォーム」です。

**1. 専門的な APT 検知：**YARA ルールベースを内蔵し、数千の APT バックドアシグネチャを統合しています。また、外部の侵入インジケーター（IoC）や STIX 形式のインテリジェンスをインポートすることが可能で、EDR（Endpoint Detection and Response）では 検知が難しい、あるいは可視化されにくい潜在的な脅威を補完的に発見します。

**2. 軽量なデプロイ：**Windows、Linux、macOS などのオペレーティングシステムをサポート。軽量インストールで、約 5MB の実行ファイルをダウンロードするだけで、ドライバのインストールやシステム設定の変更なしに即時に展開できます。迅速かつ大規模な導入を容易にし、企業の防御能力をすばやく強化します。

**3. 包括的な可視化と脅威分類：**ファイル、メモリ、ネットワーク接続、イベントログまで横断的な分析を実施します。脅威リスクレベルは Level 0〜5 で表示され、管理者が脅威対応の優先順位を判断するのに役立ちます。

**4. メモリ識別と行動トレース：**ThreatSonar はメモリと攻撃経路を分析でき、タイムライン追跡を通じて攻撃の根本原因を明らかにし、攻撃プロセス全体を完全に再構築します。

>[ThreatSonar の機能についてさらに詳しく](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)


##実例：ThreatSonar の即効性
ThreatSonar は実際の運用環境で大きな効果を発揮しています：

- **ケーススタディ 1：大企業の包括的ヘルスチェック** 
あるセキュリティ対策導入済み大手企業は、ThreatSonar を導入して 10,000 台のエンドポイントの包括的スキャンを実施しました。2 週間以内に、ファイルに偽装された APT 攻撃サンプルや 2,268 件の悪意あるファイル（Ruby 関連）を発見することに成功しました。自動分析と脅威リスク分類により、同社は迅速に侵害経路を特定し、長期的かつ定期的な評価メカニズムを確立しました。

- **ケーススタディ 2：製造業におけるグローバルサイバーインシデントへの迅速対応** 
従業員 50,000 名を擁する製造グループは、ThreatSonar を通じてグローバルなインシデント対応プロセスを加速させました。ThreatSonar 導入前は分析に 200 時間を要していましたが、導入後はわずか 40 時間で完了しました。ThreatSonar を使用することで、数日で初期フォレンジックレポートを完成させ、海外拠点での意思決定プロセスが加速し、全体的な対応効率が大幅に向上しました。

>[ThreatSonar の機能についてさらに詳しく](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)

##結論：インテリジェンス主導のサイバーセキュリティの未来

ThreatSonar は、脅威防御を受動的な「防御」から侵害を前提とした能動的な「診断」へと変革します。「発見」から「対応」までの時間（MTTD：Mean Time To Detect ／ MTTR：Mean Time To Recover）を短縮するだけでなく、基準となる監視モデルの構築と定期的なチェックにより、「日常運用」と「インシデント対応」の双方で正確なサイバーセキュリティ対応を実現します。

限られたリソースと無限に増大する脅威の時代において、TeamT5 のソリューションは「インテリジェンス主導」のサイバーセキュリティ思想を体現しています。脅威インテリジェンスを基盤とし、洞察を中心とすることで、迅速かつ効果的な能動的脅威防御を可能にします。

インテリジェンス主導のサイバーセキュリティチェック：「検知 → 識別 → 対応」のアンチハッキングサイクルをいかに加速させるか？

In the wave of digital transformation, cybersecurity threats are ever-present. Imagine—attackers are silently infiltrating your network, using legitimate tools to bypass endpoint detection and response (EDR) platforms and implant hidden backdoors. According to [BISI](https://bisi.org.uk/reports/apts-global-review-2022-2025-trends-regions-forecast)'s global [advanced persistent threat (APT)](https://teamt5.org/en/posts/what-is-advanced-persistent-threat-apt/) trends survey, since 2022, the frequency and complexity of APT attacks have been increasing, with more than half of APT attacks concentrated in the Asia-Pacific region, affecting [the IT industry, government agencies, and infrastructure](https://teamt5.org/en/posts/2025-h1-apt-threat-landscape-insights-asia-pacific-emerges-as-cyberattack-hotspot-experts-highlight-critical-defense-priorities/?utm_source=blog&utm_medium=website). These are just the tip of the iceberg; many more attacks remain undetected beneath the surface, which does not mean that enterprises or organizations have not been compromised.

Let's explore together how to shorten the defense cycle and achieve effective resource allocation of "speed × depth × coverage" with limited resources.

##The stealthy attacker: the defender's "blind spot".
Today's cybersecurity attacks have entered the era of "disguise." APT groups cleverly exploit built-in Windows tools, system services, and even legitimate third-party applications to maliciously bypass the detection of cybersecurity solutions.

**Common APT camouflage techniques include:**
- **Disguising as Legitimate Activity**: Masquerades as legitimate tools or OS-native functions to evade EDR/AV detection
- **Neutralizing Monitoring Points**: Disables Windows monitoring and scanning functions to evade EDR detection
- **Minimizing Artifacts**: Hidden backdoors that activate only under specific connection sequences and are normally not detected.

Meanwhile, enterprise IT infrastructure is becoming increasingly decentralized. The intermingling of cloud services, outsourcing vendors, subsidiaries, and remote work environments creates a significant gap in visibility for defenders. Any unmonitored or unreported endpoint device may harbor a threat, further blurring the defender's vision.

> For more attack methods and prevention strategies that bypass EDR defenses, please see the article analysis: [How Cybercriminals Bypass EDR — And What Your Company Should Do](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)

##The triangular dilemma of limited resources: speed, depth, and coverage.

Frontline cybersecurity personnel typically face the challenge of limited resources, often having to make trade-offs between speed, depth, and coverage—three factors that are difficult to achieve simultaneously in practice.

ThreatSonar's core philosophy is to rapidly narrow down the scope of unknown threats using a **"first screening → focused in-depth → precise handling"** model, reducing the investigation from "thousands of devices" to "a few critical devices" within limited resources. Its defense strategy is analogous to "conducting a comprehensive health check first, followed by further diagnosis."

##ThreatSonar's dual-axis defense strategy: "Emergency Situation" and "Routine Operations"
Two key application scenarios for ThreatSonar, constructing a complete defense strategy: 

**1. During emergencies: Rapid screening** 
When a suspected intrusion or anomaly occurs, having the time to respond is crucial.

- **Rapid Locator**: ThreatSonar can complete an endpoint scan in approximately one hour, identifying critical suspicious devices from thousands of devices.
- **Deep Forensics**: Deep forensic analysis is performed on the identified compromised devices.

This mechanism not only significantly shortens the investigation cycle but also avoids a large amount of time wasted on false positives and redundant analysis.

 

**2. During Routine Operations: Regular Compromise Assessment (CA)** 
During normal operation, ThreatSonar monitors operational status and ensures environmental safety through regular scans.
- **Establishing a Baseline**: Initially establishing a normal baseline for the environment.
- **Periodic Scans**: Monthly or quarterly scans are used to compare newly emerging anomalies, such as unknown programs and connections, persistent mechanisms (e.g., automatic startup, WMI events), and DNS records and execution history.

Regular scanning allows businesses to detect potential suspicious activity early, effectively preventing threats from escalating.

>[More about ThreatSonar features](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)


##ThreatSonar's Four Core Advantages
ThreatSonar is not just a scanning tool, but a threat identification and analysis platform that integrates threat intelligence:

**1. Specialized APT Detection**: Built-in YARA rule base, integrating thousands of APT backdoor signatures, and capable of importing External Intrusion Indicators (IoC) and STIX format intelligence, effectively uncovering latent threats that bypass Endpoint Detection and Response (EDR).

**2. Lightweight Deployment**: Supports Windows, Linux, macOS, and other operating systems. Lightweight installation; a download of approximately 5MB of executable file allows for immediate deployment without the need for driver installation or system configuration changes. Facilitates rapid, large-scale deployment, quickly enhancing enterprise defense capabilities.

**3. Comprehensive Visualization and Threat Classification**: Performs horizontal analysis from files, memory, network connections to event logs. Threat risk levels are presented in Levels 0–5, helping administrators prioritize threat responses.

**4. Memory identification and behavior tracing**: ThreatSonar can analyze memory and hacking paths, and through timeline tracing, uncover the root cause of the attack and fully reconstruct the attack process.

>[More about ThreatSonar features](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)

##Real-world Case Studies: ThreatSonar's Immediate Effectiveness
ThreatSonar demonstrates significant benefits in real-world scenarios:

- **Case Study 1: Comprehensive Health Check for a Large Enterprise** 
A major company that has implemented ThreatSonar to conduct a comprehensive scan of 10,000 endpoints. Within two weeks, it successfully discovered APT attack samples disguised as files and 2,268 malicious files (related to Ruby). Through automated analysis and threat risk classification, the company was able to quickly identify the hacking path and establish a long-term, periodic assessment mechanism.

- **Case Study 2: Rapid Response to Global Cybersecurity Incidents in the Manufacturing Industry** 
A manufacturing group with 50,000 employees accelerated its global incident response process through ThreatSonar. Before implementing ThreatSonar, the analysis process took 200 hours; after implementation, it only took 40 hours. Using ThreatSonar, a preliminary forensic report was completed within a few days, and the decision-making process at overseas locations was accelerated by more than five times, significantly improving overall response efficiency.


>[More about ThreatSonar features](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)

##Conclusion: The Intelligence-Driven Future of Cybersecurity

ThreatSonar transforms threat defense from a passive "defense" approach to a proactive "diagnosis" approach. It not only helps enterprises shorten the time from "discovery" to "response" (Mean Time To Detect, MTTD / Mean Time To Recover, MTTR), but also, through establishing benchmark monitoring models and conducting regular checks, ensures accurate cybersecurity responses in both "daily operations" and "incident response" scenarios.

In an era of limited resources and unlimited threats, the TeamT5 solution embodies an "intelligence-driven" cybersecurity mindset—based on threat intelligence and centered on insight, it enables rapid and effective proactive threat defense.

Intelligence-driven cybersecurity check: How to accelerate the anti-hacking cycle of "detection → identification → response"?

在數位轉型的浪潮下，資安威脅已如影隨形。想像一下——攻擊者正悄無聲息地潛入你的網路，利用合法工具繞過端點偵測與回應平台（endpoint detection and response, EDR），植入隱藏後門。根據 [BISI](https://bisi.org.uk/reports/apts-global-review-2022-2025-trends-regions-forecast) 的全球進階持續性威脅（advanced persistent threat, APT）趨勢調查，從 2022 年至今，APT 的發生頻率和複雜性都在增加，超過一半以上的 APT 攻擊活動集中於亞太地區，影響遍及資訊科技產業、政府機關、基礎建設等。這些僅是冰山一角，更多潛藏在海平面下的攻擊未被偵測，並不代表企業或組織未被入侵。

讓我們一起探索，如何在有限資源下，縮短防禦週期，實現「速度 × 深度 × 覆蓋範圍」的資源有效配置。

##隱匿的攻擊者：防禦者的「視野盲區」
現今資安攻擊已進入「偽裝」時代。APT 組織會巧妙地利用 Windows 內建工具、系統服務，甚至合法的第三方應用程式惡意操作，藉此繞過資安解決方案的偵測。

**APT 的常見偽裝手法**，例如：
- **偽裝成合法活動**：偽裝成合法工具或作業系統自帶功能，以繞過 EDR/Anti-Virus 資安防禦軟體之偵測
- **停用監控點**：停用 Windows 監控和掃描功能，以繞過 EDR 偵測
- **最小化痕跡**：隱匿式後門僅在特定連線序列下才會啟動，平時通常不會被偵測到

與此同時，企業的 IT 基礎架構也愈趨分散。雲端服務、外包廠商、子公司、遠端工作等環境交錯，使得防禦者在**可視化**上面臨巨大落差。任何一個未被監控或未回報的終端設備，都可能潛藏著威脅，讓防禦者視野日漸模糊。

> 更多繞過 EDR 防禦的攻擊手法與預防方式，請見文章分析：[繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)


##資源有限下的三角困境：速度、深度、覆蓋範圍
第一線資安人員普遍面臨資源有限的挑戰，常必須在「速度、深度、覆蓋範圍」三者間取捨，但這三者在實務上難以並存 。
ThreatSonar 的核心理念，便是在有限資源下，透過**「一次篩選 → 重點深入 → 精準處理」**的模式，快速縮小未知的威脅範圍 ，將調查從「數千台設備」聚焦在「數台關鍵設備」，其防禦策略的概念就如同「先進行整體健康檢查，再配合進一步診斷」。

##ThreatSonar 的雙軸防禦策略：「緊急情況」與「日常運作」
ThreatSonar 的兩種關鍵應用情境，建構完整的防禦策略：

**1. 緊急情況期間：快速篩檢（Rapid Screening）**

當發生疑似入侵或異常事件時，掌握應變時間就是一切 。
- **快速鎖定**：ThreatSonar 能在**約一小時內**完成端點掃描，從數千台設備中找出關鍵可疑設備 。
- **深度鑑識**：針對被鎖定的受駭設備，進行深度鑑識分析。

這套機制不僅大幅縮短了調查週期，也避免大量誤判和重複分析的時間。

 

**2. 日常運作期間：定期健診（Compromise Assessment, CA）**

在平時，ThreatSonar 透過定期掃描、監控運行狀態的差異，掌握環境安全。
- **建立基準線**：初期建立環境的正常基準（baseline）。
- **週期性掃描**：透過每月或每季掃描，比對新出現的異常變化，例如未知程序與連線、持續性機制（如自動啟動、WMI 事件），以及 DNS 紀錄與執行歷史等 。
透過定期掃描，能讓企業提早發現潛伏的可疑行為，有效防止威脅擴大。

>[更多 ThreatSonar 功能介紹](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website)

##ThreatSonar 的四大核心優勢
ThreatSonar 不僅是一個掃描工具，更是結合**威脅情資的威脅鑑識分析平台 **：
1. **專精 APT 偵測**：內建 YARA 規則庫，整合了數千種 APT 後門特徵，並能匯入外部入侵指標（IoC）、STIX 格式的情資，可有效挖掘繞過端點偵測與回應（EDR）偵測的潛伏威脅。
2. **輕量部署**：支援 Windows、Linux、macOS 等作業系統，輕量安裝，下載約 5MB 的可執行檔就能立即部署，無需安裝驅動程式或更改系統設定。有益於快速大規模部署，迅速為企業增強防禦能量。
3. **全方位可視化與威脅分級**：從檔案、記憶體、網路連線到事件紀錄進行橫向分析。並以 **Level 0–5** 呈現威脅風險等級，協助管理者掌握威脅應對優先順序 。
4. **記憶體鑑識與行為追溯**：ThreatSonar 能分析記憶體、受駭路徑，並透過時間軸追蹤，挖掘攻擊事件的根因，完整重建攻擊事件過程。

>[更多 ThreatSonar 功能介紹](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website)

##真實案例：ThreatSonar 的即戰力
ThreatSonar 在實戰中展現顯著效益：
- **案例一：大型企業的全域健診** 
某大型企業導入 ThreatSonar 對 1 萬台端點進行全面掃描。在兩週內，成功發現偽裝成文件的 APT 攻擊樣本和 2,268 個惡意檔案（與 Ruby 相關）。透過自動化分析與威脅風險分級，企業得以迅速確認受駭路徑，並建立長期的週期性評估機制 。
- **案例二：製造業的全球資安事件快速應變** 
一家擁有 5 萬名員工的製造業集團，透過 ThreatSonar 加速全球事件應變流程。在導入 ThreatSonar 之前，分析作業需要 200 小時；在導入後，僅需 40 小時即可完成。藉由 ThreatSonar，幾天內即完成初步鑑識報告，海外據點的決策流程更得以加快五倍以上，整體應變效率顯著提升。

>[更多 ThreatSonar 功能介紹](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website)

##結語：情資驅動的資安未來
ThreatSonar 讓威脅防禦從被動「防守」轉為主動「診斷」。它不僅幫助企業縮短「發現」到「反應」的時間（平均偵測時間 MTTD / 平均復原時間 MTTR），更透過建立基準監控模型，定期檢測，讓資安防禦無論是在「日常營運」或是「事件應變」情境，皆能精準處理。

在資源有限、威脅無限的時代，TeamT5 解決方案貫徹「情資驅動」的資安思維——以威脅情資為基礎，以洞察為核心，快速有效主動防禦威脅。

情資驅動資安健檢：如何加速「檢測 → 鑑識 → 應對」的防駭週期？

ThreatSonar Resources

Ransomware attacks are no longer isolated incidents; they now operate as a fully developed criminal ecosystem built on **organization** and **industrialization**. From vulnerability exploitation and initial access, to data exfiltration and ransom negotiation, different actors participate in each stage, forming active and tightly connected networks across the dark web and underground forums. In the era of scalable **Cybercrime-as-a-Service (CaaS)**, enterprises relying solely on passive response and remediation often struggle to keep pace with rapidly evolving attacks.

**[ThreatVision Cybercrime Intelligence](https://teamt5.org/en/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website)** is built on TeamT5’s long-standing research into APAC threat actors. By continuously tracking ransomware groups and underground criminal communities, ThreatVision helps enterprises gain deeper visibility into attacker motivations, technique evolution, and operational patterns, enabling security teams to shift from **reactive response** to **proactive prevention**, and to build stronger, long-term cyber resilience.

##Intelligence-Driven Insights: Revealing the True Nature of Cybercrime

The core value of ThreatVision lies in its ability to consolidate dispersed information from underground communities and transform it into contextualized intelligence. Leveraging years of sustained observation of major ransomware and cybercrime operations across APAC, TeamT5 delivers three key intelligence categories that help enterprises stay informed on the most relevant developments:

- **Cybercrime Campaigns** 
In-depth analysis of specific criminal operations and cooperation chains between groups, revealing shifts in attacker strategy, target selection, and technical approaches.

- **Forum Activities** 
Continuous monitoring of dark web and underground forum discussions, data leaks, and illicit transactions to identify early indicators of emerging threats.

- **Ransomware Activities** 
Up-to-date tracking of major ransomware groups, analyzing attack trends, targeted industries, and technical evolution.

Together, these three intelligence categories provide a multi-angle view of cybercriminal behavior, enabling defense teams to understand the logic behind attacker activities and adjust detection strategies and security priorities accordingly.

##From Intelligence to Action: Using ThreatVision Reports for Effective Defense
[ThreatVision’s cybercrime intelligence reports](https://teamt5.org/en/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website) not only provide contextual descriptions of attacks, but also disclose associated **Indicators of Compromise (IoCs)**, such as IP addresses, domains, and malicious file hashes. Enterprises can directly search and cross-reference these indicators within the ThreatVision platform to quickly determine whether they overlap with internal logs, network traffic, or alerts generated by Endpoint Detection and Response (EDR) and Security Information and Event Management (SIEM) systems, enabling immediate investigation or adjustment of blocking rules.

In addition, ThreatVision provides information on malicious samples associated with criminal activities and attacks. This allows security teams to quickly determine possible origins and potential impact, improving the accuracy and efficiency of incident response.

##From Observation to Early Warning: Building a Long-Term Intelligence-Driven Defense Cycle
To keep pace with fast-changing cybercrime activity, enterprises need intelligence that can be continuously updated, monitored, and operationalized in daily defense workflows. With [ThreatVision Cybercrime Intelligence](https://teamt5.org/en/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website), organizations can understand the background and context behind attack operations, use accompanying IoCs to verify exposure within their own environments, and access correlated intelligence on the platform. This enables the creation of a defense cycle that adapts dynamically as threats evolve.

![](https://uploads.teamt5.org/upload/original/pic_outpace-ransomware-operators-with-threat-vision-cybercrime-intelligence.jpg)

>Download the [cybercrime intelligence report “Seeing the Adversary: Why APAC Intelligence Matters for CISOs”](https://teamt5.org/en/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=blog&utm_medium=website) to understand how insights into attacker motivations and behavior can strengthen your organization’s defensive resilience.

Outpace Ransomware Operators with ThreatVision Cybercrime Intelligence

勒索軟體攻擊早已不是單點事件，而是以「組織化」、「產業化」為核心的完整犯罪生態系。從漏洞利用、初始入侵，到資料外洩與贖金談判，每個階段皆有不同角色參與，並透過深暗網與地下論壇形成活躍且緊密的合作網絡。面對已規模化的「網路犯罪即服務」（Cybercrime as a Service, CaaS）商業模式，企業若仍只是被動因應與補救，往往難以有效因應持續演化的攻擊。

**[ThreatVision 網路犯罪情資（Cybercrime Intelligence）](https://teamt5.org/tw/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website)**建立在 TeamT5 長年深耕亞太威脅研究的基礎上，持續追蹤勒索組織與地下犯罪社群的動態，協助企業更深入理解攻擊動機、技術演變與活動模式，使防禦策略得以從「被動反應」提升為「主動預防」，進而建立更具韌性的長期防護能力。

##以情資為核心　揭露網路犯罪真實樣貌
ThreatVision 的核心價值，在於將原本分散於地下社群中的零碎資訊，整合成**具脈絡的威脅情資**。TeamT5 長期觀測亞太地區主要勒索與網路犯罪行動，透過三大情資範疇協助企業掌握最相關的威脅動態：

- **網路犯罪活動研析報告（Cybercrime Campaigns）**：深入剖析特定犯罪行動與組織間的合作鏈，揭露攻擊族群的策略轉變、目標範圍與技術運用。


- **暗網論壇動態（Forum Activities）**：持續追蹤暗網與地下論壇的討論熱點、資料外洩事件與非法交易，協助企業辨識潛在威脅源頭。


- **勒索軟體動態（Ransomware Activities）**：聚焦主要勒索組織的最新行動與攻擊模式，分析攻擊趨勢、受害產業分布與技術演進。

三類情資從不同角度構成完整視角，使防禦團隊能更全面掌握攻擊者行為背後的邏輯，並據以調整偵測策略與資安優先順序。


##善用報告資訊　從情資落地為有效防禦
[ThreatVision 網路犯罪情資報告](https://teamt5.org/tw/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website)除了提供攻擊活動的脈絡，也同步揭露 IP 位址、網域名稱與惡意檔案雜湊值等相關**入侵指標（Indicators of Compromise, IoC）**。企業可直接在 ThreatVision 平台上查詢與比對這些指標，快速確認是否與內部環境的日誌、流量，或是端點偵測與回應（EDR）以及安全資訊與事件管理（SIEM）的告警相符，並據此啟動調查或調整封鎖策略。

同時，ThreatVision 也提供與犯罪或攻擊事件關聯的惡意樣本等資訊，協助安全團隊迅速掌握其可能來源與影響範圍，讓應變判斷更精準。

##從觀測到預警　建立情資驅動的長期防禦循環
要因應快速變動的網路犯罪活動，企業需要能持續追蹤、更新，並可實際運用於日常防禦作業的情資。透過 [ThreatVision 網路犯罪情資](https://teamt5.org/tw/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website)，企業能了解攻擊行動的背景與脈絡、利用隨附的 IoC 在自身環境中進行比對與驗證，並在平台上獲得關聯情資，從而建立能隨威脅演進動態調整的防禦循環機制。


![](https://uploads.teamt5.org/upload/original/pic_outpace-ransomware-operators-with-threat-vision-cybercrime-intelligence.jpg)

>下載[網路犯罪情資報告《Seeing the Adversary: Why APAC Intelligence Matters for CISOs》](https://teamt5.org/tw/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=blog&utm_medium=website)，了解如何透過掌握攻擊者動機與行為，有效提升企業防禦韌性。


從理解威脅到預先防禦：ThreatVision 網路犯罪情資為企業構築反勒索優勢

ランサムウェア攻撃はもはや単発の事件ではなく、**組織化**と**産業化**によって構築された完全な犯罪エコシステムとして運用されています。脆弱性の悪用や初期侵入から、データ窃取、身代金交渉に至るまで、各段階には異なるアクターが関与し、ダークウェブやアンダーグラウンドフォーラムにまたがる、活動的で密接に連携したネットワークを形成しています。スケール可能な **CaaS（Cybercrime-as-a-Service）**の時代において、受動的な対応と修復のみに依存する企業は、急速に進化する攻撃に追いつくことが難しくなっています。

**ThreatVision Cybercrime Intelligence** は、TeamT5 が長年継続してきた APAC の脅威アクター研究を基盤としています。ランサムウェアグループや地下犯罪コミュニティを継続的に追跡することで、ThreatVision は攻撃者の動機、手法の進化、オペレーションパターンへのより深い可視性を企業にもたらし、セキュリティチームが**受動的対応**から**能動的予防**へと移行し、より強固で長期的なサイバーレジリエンスを構築できるよう支援します。

##インテリジェンス駆動の洞察：サイバー犯罪の本質を明らかにする
ThreatVision の核心的価値は、地下コミュニティに散在する情報を統合し、文脈化されたインテリジェンスへと変換する能力にあります。APAC 全域で主要ランサムウェアおよびサイバー犯罪活動を長年にわたり継続観測してきた経験を基に、TeamT5 は企業が最も重要な動向を把握するための 3 つの主要インテリジェンスカテゴリを提供します：

- **Cybercrime Campaigns** 
特定の犯罪オペレーションやグループ間の協力関係を詳細に分析し、攻撃者の戦略変更、標的選定、技術的アプローチの変化を明らかにします。
- **Forum Activities** 
ダークウェブおよび地下フォーラムでの議論、データ漏洩、不正取引を継続監視し、新たな脅威の初期兆候を特定します。
- **Ransomware Activities** 
主要ランサムウェアグループを最新の状態で追跡し、攻撃傾向、標的となる業界、技術進化を分析します。

これら 3 つのインテリジェンスカテゴリを組み合わせることで、サイバー犯罪者の行動に対する多角的な視点を提供し、防御チームが攻撃者の活動の背景ロジックを理解し、検知戦略やセキュリティ優先順位を適切に調整できるようにします。

##インテリジェンスから実践へ：ThreatVision レポートを活用した効果的な防御
ThreatVision のサイバー犯罪インテリジェンスレポートは、攻撃の文脈的説明を提供するだけでなく、IP アドレス、ドメイン、悪意あるファイルハッシュなど、関連する **IoC（Indicator of Compromise）**も公開します。企業は ThreatVision プラットフォーム内でこれらの指標を直接検索・照合し、内部ログ、ネットワークトラフィック、EDR（Endpoint Detection and Response）や SIEM システムが生成するアラートと重複していないかすぐに判定することで、即時の調査やブロックルールの調整が可能になります。

さらに ThreatVision は、犯罪活動および攻撃に関連する悪意あるサンプルに関する情報も提供します。これにより、セキュリティチームは起源や潜在的影響を迅速に特定でき、インシデント対応の正確性と効率性が向上します。

##観測から早期警戒へ：インテリジェンス駆動型防御サイクルの構築
急速に変化するサイバー犯罪活動に追従するためには、企業は継続的に更新され、監視され、日々の防御ワークフローに組み込むことのできるインテリジェンスを必要とします。ThreatVision Cybercrime Intelligence を活用することで、組織は攻撃オペレーションの背景と文脈を理解し、付随する IoC を用いて自社環境への露出を検証し、プラットフォーム上で相関インテリジェンスを参照できます。これにより、脅威の進化に応じて動的に適応する防御サイクルを構築することが可能となります。

![](https://uploads.teamt5.org/upload/original/pic_outpace-ransomware-operators-with-threat-vision-cybercrime-intelligence.jpg)

 
>サイバー犯罪インテリジェンスレポート “[Seeing the Adversary: Why APAC Intelligence Matters for CISOs”](https://teamt5.org/jp/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=blog&utm_medium=website) をダウンロードして、攻撃者の動機や行動に関する洞察が組織の防御レジリエンスをどのように強化できるかをご確認ください。

ThreatVision サイバー犯罪インテリジェンスでランサムウェア攻撃者を先回りする

企業向けサイバーセキュリティ防御ガイド【2026年最新版】：企業はいかにリスクを低減し、脅威に備えるべきか？

Faced with the rapid escalation of AI-driven attacks, ransomware threats, and cloud risks in 2026, enterprises must possess more mature and comprehensive cybersecurity defense capabilities. This article draws upon over 20 years of cybersecurity experience from [TeamT5](https://teamt5.org/en/about-us/?utm_source=blog&utm_medium=website), summarizing the latest threat trends and practical recommendations, and highlighting key considerations when selecting a cybersecurity solution.

We hope to help enterprises quickly grasp current cybersecurity challenges, establish more resilient protection strategies, and assist them in achieving continued and robust growth.

##Common Cybersecurity Threats for Enterprises
The most common cyber threats to enterprises include ransomware, malware, and cybercrime activities on the dark web and underground forums. To minimize these risks, it is recommended to implement appropriate cybersecurity solutions or services. Strengthening enterprises’ cybersecurity resilience can help prevent operational disruptions, data breaches, and potential damage to your enterprise reputation.

##Growing Ransomware Threat: Enterprises must prepare in advance
Ransomware encrypts data or blocks system access, preventing enterprises from maintaining daily operations and demanding a ransom in exchange for decryption. However, the impact of ransomware attacks goes far beyond simply "data encryption”. Its potential consequences include:

####1. Data Encryption and Operational Disruption
Attackers often encrypt critical systems, servers, or endpoints, making it impossible for enterprises to carry out daily operations, deliver services, or access important files. These disruptions can last for days or even weeks.

####2. Double-Edged Sword: Data Breach Risk
Current ransomware attacks often employ a "steal first, encrypt later" approach. The leaked data may be publicly disclosed or sold, extending the impact beyond operational disruption to privacy, regulatory compliance, and reputational risks.

####3. High Ransom and Subsequent Costs
In addition to potentially hundreds of thousands to millions of dollars in ransom, enterprises must also handle long-term costs such as system rebuilding, compliance requirements, customer notification and remediation, and reputational damage.

####4. Attackers May Not Fulfill Their Obligations
Even if the ransom is paid, there is no guarantee that a valid decryption key will be obtained or that the leaked data has been deleted. Enterprises may even face further ransom demands or persistent attacks.

Therefore, every enterprise must prepare for prevention, detection, and response early on. It is recommended to purchase an endpoint detection and response (EDR) solution that effectively blocks ransomware to assist enterprises in timely detection and response.

For EDR application scenarios and purchasing guidelines, please refer to: 
- [Simplify Complex Cybersecurity: Smarter Endpoint Monitoring & Management ](https://teamt5.org/en/posts/simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management/?utm_source=blog&utm_medium=website)
- [Endpoint Detection and Response (EDR) Solution: Key Considerations for Procurement](https://teamt5.org/en/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)

##Malware Risk: Conduct routine system checks and strengthen zero-trust security strategy

Malicious software (also known as malware) takes many forms, including viruses, Trojans, spyware, worms, and keystroke interceptors. Attackers often use social engineering, phishing emails, malicious links, or infected software updates to infiltrate corporate environments. Once a breach is successful, malware can cause a variety of serious consequences, such as stealing confidential information, modifying system settings, monitoring user behavior, opening backdoors for subsequent attacks, and even becoming a precursor to ransomware intrusions.

For enterprises, the threat of malware is not limited to the technical level; it can also lead to operational disruptions, paralysis of critical systems, leakage of customer data, and damage to reputation. With the widespread availability of attack tools and AI technology, the cost of creating and distributing malware has been significantly reduced, making enterprises of all sizes targets.


Only by regularly conducting system health checks and threat hunting—proactively identifying and mitigating potential threats that may bypass general cybersecurity measures—can enterprises effectively reduce the risks posed by malware.

Learn how threat hunting defends against malware:
- [What is Threat Hunting?](https://teamt5.org/en/posts/what-is-threat-hunting/?utm_source=blog&utm_medium=website)
- [5 Benefits of Threat Hunting Strategies for Enterprises](https://teamt5.org/en/posts/5-benefits-of-threat-hunting-strategies-for-enterprises/?utm_source=blog&utm_medium=website)
- [“Never Trust, Always Verify” – How to Enhance Zero-trust Strategy?](https://teamt5.org/en/posts/never-trust-always-verify-how-to-enhance-zero-trust-strategy/)

##Dark Web Risks: Enterprises should monitor for leaked trade secrets and sensitive data

The dark web, hidden from traditional search engines and browsers, is a network frequently used by attackers to exchange attack tools and plan or discuss attack schemes, posing an unprecedented challenge to corporate cybersecurity. Enterprises must recognize the potential impact of the dark web and establish corresponding detection and defense measures as early as possible to reduce the risks of data breaches, credential theft, and brand damage.
 
Here are some things you need to know about the dark web:
- [What is the Dark Web?](https://teamt5.org/en/posts/what-is-the-dark-web/?utm_source=blog&utm_medium=website)
- [The Impact of Dark Web on Enterprise Cybersecurity](https://teamt5.org/en/posts/the-impact-of-dark-web-on-enterprise-cybersecurity/?utm_source=blog&utm_medium=website)
- [Real Cases of How the Dark Web Has Affected Enterprises and How They Could Have Prevented It](https://teamt5.org/en/posts/real-cases-of-how-the-dark-web-has-affected-enterprises-and-how-they-could-have-prevented-it/?utm_source=blog&utm_medium=website)

##Cybercrime Risk: Businesses should track trends and deploy defenses proactively

As enterprises become fully digitized, the internet has become a crucial foundation for daily operations, but it also exposes organizations to more complex and diverse cybercrime threats. From ransomware attacks to data breaches, criminal methods continue to evolve. Attackers not only collaborate closely through the dark web and underground forums using a "Cybercrime as a Service" (CaaS) model, but they are also adept at using automated tools and AI technologies to find exploitable vulnerabilities.

Enterprises must stay abreast of the dynamics of ransomware groups and underground criminal communities, understanding their attack motives, technological evolution, and activity patterns in order to accurately assess the potential impact of these threats on their operations and take effective defensive measures to strengthen cybersecurity resilience, reduce operational risks, and ensure stable enterprise operations.

Here are some things you need to know about cybercrime:
- [What Is Cybercrime and How Can Organizations Defend Against It?](https://teamt5.org/en/posts/what-is-cybercrime-and-how-can-organizations-defend-against-it/?utm_source=blog&utm_medium=website)
- [ThreatVision Cybercrime Intelligence: Revealing Threats from the Hacker’s Perspective](https://teamt5.org/en/posts/threatvision-cybercrime-intelligence-revealing-threats-from-the-hacker-s-perspective/?utm_source=blog&utm_medium=website)
- [Outpace Ransomware Operators with ThreatVision Cybercrime Intelligence](https://teamt5.org/en/posts/outpace-ransomware-operators-with-threat-vision-cybercrime-intelligence/?utm_source=blog&utm_medium=website)

 

In the event of various cybersecurity incidents, consider seeking services from expert teams, such as incident response (IR) services. IR can assist enterprises in responding to and investigating cybersecurity incidents in a timely manner to help mitigate damage. Their assistance includes, but is not limited to, the following:

- [[Incident Response Case] Ransomware encryption comes to your door, how should you respond? ](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-ransomware-attack/?utm_source=blog&utm_medium=website)
- [[Incident Response Case] When personal information is breached and exploited by hackers, how do enterprises deal with it?](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-private-data-breach/?utm_source=blog&utm_medium=website)
- [[Incident Response Case] When APT threats are lurking in the environment, how can you deal with them effectively?
](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)


However, enterprises need to carefully consider when selecting and procuring cybersecurity incident response services. We provide a [procurement guide](https://teamt5.org/en/posts/key-considerations-for-evaluating-incident-response-service-ir/?utm_source=blog&utm_medium=website) outlining five key points to consider.

##Conclusion
In conclusion, because cybersecurity incidents occur so frequently, it’s wise for organizations to work with expert teams to strengthen their defenses. For instance, managed detection and response (MDR) services can significantly improve a company’s security posture by helping identify, analyze, and respond to threats more effectively.

Read the following article to learn how businesses can choose MDR services to build comprehensive cybersecurity protection:
- [MDR Service Resources Managed Detection and Response (MDR): Key Considerations for Procurement](https://teamt5.org/en/posts/key-considerations-for-evaluating-managed-detection-and-response-mdr-solution/?utm_source=blog&utm_medium=website)

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan. 
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

##FAQ
###Q: What are the common cybersecurity threats to enterprises in 2026?
###A: 
Common cybersecurity threats include:
- Ransomware attacks
- Malware intrusion
- Phishing attacks
- Data breaches

These attack methods are still evolving rapidly in 2026, posing even greater risks.

>More info: [[Whitepaper] Seeing the Pattern Behind The Attacks: APAC Intelligence for CISOs Worldwide](https://teamt5.org/en/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=blog&utm_medium=website)

###Q: What is ransomware? How can enterprises prevent attacks and ransomware threats?
###A: 
Ransomware encrypts company data and demands a large ransom, often accompanied by data breaches.
Enterprises can mitigate this risk through endpoint detection and response (EDR) and vulnerability patching.

>The award-winning endpoint detection and response solution, ThreatSonar Anti-Ransomware, is your ideal choice. [Click to learn more.](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)


###Q: What is malware? What threats does it pose to enterprises?
###A: 
Malware is one of the most common cybersecurity threats to enterprises, encompassing various forms such as viruses, Trojans, spyware, and keystroke logging. Attackers often infiltrate corporate systems through phishing emails, malicious links, or infected files, causing leaks of confidential data, system compromise, or operational disruptions. With the proliferation of attack tools and AI technology, malware is easier to spread. Enterprises must strengthen endpoint protection, conduct continuous monitoring, and enhance employee awareness to mitigate the risks.

>Understanding how threat hunting can combat malware: [5 Benefits of Threat Hunting Strategies for Enterprises](https://teamt5.org/en/posts/5-benefits-of-threat-hunting-strategies-for-enterprises/?utm_source=blog&utm_medium=website)


###Q: What is the dark web? What threats does it pose to enterprises?
###A: 
The dark web has become a primary channel for attackers to exchange malicious tools, sell leaked data, and plan criminal activities, posing a high level of cybersecurity risks to enterprises. Enterprises must take the potential impact of the dark web seriously and establish monitoring, detection, and protection mechanisms as early as possible to reduce risks such as credential theft, data breaches, and damage to brand reputation.

>More Information: [Real Cases of How the Dark Web Has Affected Enterprises and How They Could Have Prevented It](https://teamt5.org/en/posts/real-cases-of-how-the-dark-web-has-affected-enterprises-and-how-they-could-have-prevented-it/?utm_source=blog&utm_medium=website)


###Q: What is cybercrime? What threats does it pose to enterprises?
###A: 
Cybercrime refers to illegal activities conducted using computers, the internet, or digital devices. Its targets are wide-ranging, potentially including individuals, enterprises, and even government agencies; the underlying motives are also quite diverse, ranging from financial gain and data theft to espionage and sabotage.

>More Information: [What Is Cybercrime and How Can Organizations Defend Against It?](https://teamt5.org/en/posts/what-is-cybercrime-and-how-can-organizations-defend-against-it/?utm_source=blog&utm_medium=website)

###Q: What should I do when a cybersecurity incident occurs?
###A: 
After detecting a cybersecurity incident, the enterprise should further classify the incident; then, "incident containment" should be implemented to limit the impact of the cybersecurity incident and prevent further escalation.
Depending on the type and severity of the incident, the following measures can be taken:
- **Isolate infected systems**: Disconnect infected systems from the network to prevent the spread of malware.
- **Block suspicious traffic**: Use firewalls and intrusion prevention systems (IPS) to block suspicious network traffic.
- **Disable affected services**: Temporarily disable affected applications or services to reduce risk.
Subsequently, the enterprise should conduct incident investigation, recovery, reporting, and analysis to improve its cybersecurity strategies and response plans.

> For more detailed cybersecurity incident response procedures, please read our article “[Cybersecurity Incident Response: From Basic Concepts to Practice](https://teamt5.org/en/posts/cybersecurity-incident-response-handling-from-basic-concepts-to-practical-handling/?utm_source=blog&utm_medium=website)”.


###Q: Which cybersecurity solutions should enterprises prioritize investing in in 2026?
###A: 
Suggested priority order: 
- Threat Intelligence
- Endpoint Detection and Response (EDR)
- Threat Hunting Tool

TeamT5 provides the above solutions and services. Welcome to learn more and contact us for a free trial - [Solution Introduction](https://teamt5.org/en/posts/intelligence-driven-cyber-defense/?utm_source=blog&utm_medium=website).

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan. 
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

Enterprise Cybersecurity Defense Guide [2026 Version]: How Can Enterprises Reduce Risks and Defend Against Threats?

面對 AI 驅動攻擊、勒索威脅與雲端風險快速升溫的 2026 年，企業必須具備更成熟、全面的資安防禦能力。本文匯集 [TeamT5 杜浦數位安全](https://teamt5.org/tw/about-us/?utm_source=blog&utm_medium=website)團隊超過 20 年的資安經驗，整理最新威脅趨勢與實務建議，並指出挑選資安方案時不可忽視的重點。

我們希望協助企業迅速掌握當前資安挑戰，建立更具韌性的防護策略，協助企業在持續穩健成長。

##企業常見的資安威脅
企業最常見的資安威脅，包含勒索軟體、惡意程式、暗網與地下論壇的網路犯罪活動等；要降低風險，宜採用適合的資安解決方案或服務，提升資安韌性，避免造成營運中斷、資料外洩、商譽受損等負面影響。

##勒索軟體威脅：攻擊頻傳、贖金高漲，企業宜提前部署防禦措施

勒索軟體（ransomware）會透過加密資料或封鎖系統存取，使企業無法維持正常運作，並以解密為條件要求支付贖金。然而，勒索攻擊的影響遠不僅止於「資料被加密」，其可能帶來的衝擊包括：

####1. 資料加密與營運中斷
攻擊者通常會加密核心系統、伺服器或端點，使企業無法處理日常作業、啟動服務或存取文件，導致營運中斷，影響時間可能長達數日甚至數週。

####2. 雙重勒索：資料外洩風險
現行勒索攻擊多採「先竊取、再加密」的方式。外洩資料可能被公開或販售，使事件從營運中斷延伸至隱私、法規遵循與聲譽風險。

####3. 高額贖金與後續成本
企業除了承擔可能高達數十萬至數百萬美元的贖金，還需處理系統重建、法遵要求、客戶通知與補救措施，以及商譽損害等長期成本。

###4. 攻擊者未必會履約
即便支付贖金，也無法確保能取得有效的解密金鑰或確認外洩資料已被刪除，企業甚至可能面臨再次勒索或持續性攻擊。

因此，每一家企業都必須及早做好預防、偵測與應變準備，建議採購能有效防堵勒索軟體的端點檢測和回應解決方案（endpoint detection and response, EDR），協助企業及時偵測和應變。

EDR 的應用情境與採購指南，可以參考：
- [馭繁為簡：資安事件頻傳，有效監測、高效率管理端點安全的關鍵 ](https://teamt5.org/tw/posts/simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management/?utm_source=blog&utm_medium=website)
- [端點檢測和回應解決方案（EDR） 評估與採購重點 ](https://teamt5.org/tw/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)


##惡意軟體入侵：企業宜定期進行系統健檢，強化零信任策略
惡意軟體（又稱惡意程式，malware）的形式多元，包括病毒、木馬程式、間諜軟體、蠕蟲、鍵盤側錄程式等。攻擊者常利用社交工程、釣魚郵件、惡意連結或受感染的軟體更新滲透企業環境。一旦入侵成功，惡意軟體可能造成多種嚴重後果，例如竊取機密資料、竄改系統設定、監控使用者行為、開啟後門以利後續攻擊，甚至成為勒索軟體入侵的前置步驟。
對企業而言，惡意軟體的威脅不僅限於技術層面，更可能導致營運中斷、重要系統癱瘓、客戶資料外洩與商譽受損。隨著攻擊工具與 AI 技術普及，惡意軟體的製作與散佈成本大幅降低，使企業無論規模大小都成為目標。
企業唯有定期進行系統健檢、威脅狩獵（threat hunting），透過此主動檢查，識別並化解可能繞過一般資訊安全措施的潛在威脅，才能有效降低惡意軟體帶來的風險。

了解威脅狩獵如何抵擋惡意軟體：
- [什麼是威脅狩獵?](https://teamt5.org/tw/posts/what-is-threat-hunting/?utm_source=blog&utm_medium=website)
- [企業採納威脅狩獵策略的 5 個好處](https://teamt5.org/tw/posts/5-benefits-of-threat-hunting-strategies-for-enterprises/)
- [「Never Trust, Always Verify」－該如何強化零信任策略？](https://teamt5.org/tw/posts/never-trust-always-verify-how-to-enhance-zero-trust-strategy/?utm_source=blog&utm_medium=website)

##暗網威脅：企業宜掌握商業機密、機敏資料是否外洩至暗網
暗網（dark web） 是隱藏於傳統搜尋引擎和瀏覽器之外的網路，攻擊者常用來交換攻擊工具、籌劃或討論攻擊計畫，對企業資安構成前所未有的挑戰。企業必須正視暗網所帶來的潛在影響，並及早建立相應的偵測與防禦措施，以降低資料外洩、憑證被盜用與品牌受損的風險。

關於暗網，你需要了解的事情有：
- [什麼是暗網？](https://teamt5.org/tw/posts/what-is-the-dark-web/?utm_source=blog&utm_medium=website)
- [暗網對企業資安的影響是什麼? ](https://teamt5.org/tw/posts/the-impact-of-dark-web-on-enterprise-cybersecurity/?utm_source=blog&utm_medium=website)
- [暗網影響企業的真實案例及企業應如何預防?](https://teamt5.org/tw/posts/real-cases-of-how-the-dark-web-has-affected-enterprises-and-how-they-could-have-prevented-it/?utm_source=blog&utm_medium=website)


##網路犯罪威脅：企業宜掌握網路犯罪動向，超前部署防禦策略
隨著企業營運全面數位化，網路已成為日常業務的重要基礎環境，但也讓組織面臨更複雜且多元的網路犯罪（cybercrime）威脅。從勒索攻擊到資料外洩，犯罪手法持續演變，攻擊者不僅透過深暗網與地下論壇以「網路犯罪即服務」（Cybercrime as a Service, CaaS）模式緊密合作，更善於利用自動化工具與 AI 技術尋找可利用的漏洞。

企業必須掌握勒索組織與地下犯罪社群的動態，理解攻擊動機、技術演變與活動模式，才能精準評估這些威脅對營運可能帶來的影響，並據以採取有效的防禦措施，強化資安韌性、降低營運風險與確保業務穩定運作。

關於網路犯罪，你需要了解的事情有：
- [什麼是網路犯罪？企業如何防禦？](https://teamt5.org/tw/posts/what-is-cybercrime-and-how-can-organizations-defend-against-it/)
- [ThreatVision 網路犯罪情資：從駭客視角揭露威脅](https://teamt5.org/tw/posts/threatvision-cybercrime-intelligence-revealing-threats-from-the-hacker-s-perspective/)
- [從理解威脅到預先防禦：ThreatVision 網路犯罪情資為企業構築反勒索優勢](https://teamt5.org/tw/posts/outpace-ransomware-operators-with-threat-vision-cybercrime-intelligence/?utm_source=blog&utm_medium=website)

 

遇上各類資安事件，可考慮尋求專家團隊服務，如資安應變事件服務（incident response, IR），其能協助企業，針對資訊安全事件，進行即時回應和調查，以幫助企業降低損害。其能夠協助的事情包含、但不僅只是以下項目：

- [【資安事件應變處理案例】勒索加密找上門，該如何應變？ ](https://teamt5.org/tw/posts/ir-use-case-how-to-respond-to-ransomware-attack/?utm_source=blog&utm_medium=website)
- [【資安事件應變處理案例】個資外洩遭駭客利用，該如何處置與防範？](https://teamt5.org/tw/posts/ir-use-case-how-to-respond-to-private-data-breach/?utm_source=blog&utm_medium=website)
- [【資安事件應變處理案例】當 APT 威脅埋伏於環境中，該如何有效處置？ ](https://teamt5.org/tw/posts/ir-use-case-how-to-respond-to-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)

然而，在挑選和採購資安事件應變服務時，企業需要謹慎考慮，我們提供了[採購指南](https://teamt5.org/tw/posts/key-considerations-for-evaluating-incident-response-service-ir/?utm_source=blog&utm_medium=website)，說明 5 個需考慮的重點。

##結語
資安事件頻傳，平時可與專家團隊合作，強化防禦力。如威脅偵測應變代管服務（managed detection and eesponse, MDR），此類服務供應商強化企業資安防禦力，協助企業識別、分析和應對資安威脅。

閱讀以下文章，了解企業如何選擇 MDR 服務，打造完善的資安防護：
- [閱讀 MDR 白皮書](https://teamt5.org/tw/posts/whitepaper-managed-detection-and-response-mdr/?utm_source=blog&utm_medium=website)
- [閱讀 MDR 採購指南](https://teamt5.org/tw/posts/key-considerations-for-evaluating-managed-detection-and-response-mdr-solution/?utm_source=blog&utm_medium=website)

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。 
>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

##FAQ
###Q：2026 年企業常見的資安威脅有哪些？
###A：
常見資安威脅包含：
- 勒索軟體（ransomware）攻擊
- 惡意軟體（malware）入侵
- 網路釣魚攻擊（phishing attack）
- 資料外洩（data breach）

這些攻擊手法在 2026 年仍快速進化，風險更高。

>更多資訊：[【白皮書】洞悉攻擊背後的脈絡：全球資安長不可忽視的亞太威脅情資](https://teamt5.org/tw/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=blog&utm_medium=website)

###Q：什麼是勒索軟體？企業如何預防受到攻擊、遭到勒索威脅？
###A：
勒索軟體會加密企業資料並要求高額贖金，常伴隨資料外洩威脅。
企業可透過端點偵測與回應（endpoint detection and response, EDR）、漏洞修補等方式，降低風險。

>獲得多項大獎的端點偵測與回應解決方案「ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台」是您的理想選擇，[點擊以了解更多資訊](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)。


###Q：什麼是惡意軟體？對企業有什麼威脅？
###A：
惡意軟體（又稱惡意程式）是企業最常見的資安威脅之一，包含病毒、木馬、間諜程式、鍵盤側錄等多種形式。攻擊者常透過釣魚郵件、惡意連結或受感染檔案入侵企業系統，造成機密資料外洩、系統被控制或營運中斷。隨著攻擊工具與 AI 技術普及，惡意軟體更易散佈，企業必須加強端點防護、持續監控並提升員工警覺性，才能降低風險。

>了解威脅狩獵如何抵擋惡意軟體：[企業採納威脅狩獵策略的 5 個好處](https://teamt5.org/tw/posts/5-benefits-of-threat-hunting-strategies-for-enterprises/?utm_source=blog&utm_medium=website)


###Q：什麼是暗網？對企業有什麼威脅？
###A：
暗網（dark web）已成為攻擊者交換惡意工具、販售外洩資料與謀劃犯罪行動的主要管道，為企業帶來高度資安風險。企業必須重視暗網可能帶來的潛在影響，並及早建立監控、偵測與防護機制，才能降低憑證遭竊、資料外洩與品牌信譽受損等風險。

>更多資訊：[暗網影響企業的真實案例及企業應如何預防？](https://teamt5.org/tw/posts/real-cases-of-how-the-dark-web-has-affected-enterprises-and-how-they-could-have-prevented-it/?utm_source=blog&utm_medium=website)


###Q：什麼是網路犯罪？對企業有什麼威脅？
###A：
網路犯罪是指利用電腦、網路或數位裝置進行的非法行為。其攻擊目標廣泛，可能是個人、企業，甚至是政府單位；背後動機也相當多元，從財務利益、資料竊取，到間諜滲透與破壞行動皆有。

> 更多資訊：[什麼是網路犯罪？企業如何防禦？](https://teamt5.org/tw/posts/what-is-cybercrime-and-how-can-organizations-defend-against-it/?utm_source=blog&utm_medium=website)

###Q：小公司也需要資安防護嗎？
###A：
小公司也需要部署資安防護措施。[資安公司 Sophos](https://www.informationsecurity.com.tw/article/article_detail.aspx?aid=11846) 指出，70% 的小型企業資安事件與勒索軟體有關；[顧問公司 Accenteure](https://www.getastra.com/blog/security-audit/small-business-cyber-attack-statistics/) 研究則顯示將近 43% 攻擊事件是發生於中小企業。
建議中小企業可考慮使用委託威脅偵測應變代管服務廠商，提升資安防禦力，並節省時間與人力成本。

>使用資安代管服務的好處，請閱讀我們的文章〈[中小企業也能享有資安防護？資安監控委外的三大好處](https://teamt5.org/tw/posts/can-small-and-medium-sized-enterprises-have-good-cybersecurity-protection/)〉。


###Q：遇到資安事件時，該怎麼做？
###A：
在企業偵測到資安件後，應進一步對事件進行分類；接著即進行「事件遏制」，目的是限制資安事件的影響範圍，防止事態進一步惡化。
根據事件的類型和嚴重程度，可以採取以下措施：
- **隔離受感染的系統**：斷開受感染系統與網絡的連接，以防止惡意軟體擴散。
- **封鎖可疑流量**：使用防火牆和入侵防禦系統（intrusion prevention system, IPS）阻止可疑的網路流量。
- **關閉受影響的服務**：暫時關閉受影響的應用程序或服務，以減少風險。

後續企業再進行事件調查、恢復、報告整理與分析，改善資訊安全策略與應變計畫。

>更詳盡的資安事件應變步驟，請閱讀我們的文章〈[資安事件應變處理：從基礎概念到實務處理](https://teamt5.org/tw/posts/cybersecurity-incident-response-handling-from-basic-concepts-to-practical-handling/)〉。



###Q：2026 年企業應優先投資哪些資安解決方案/服務？
###A：
優先順序建議：
- 威脅情資
- 端點防護（endpoint detection and response, EDR)
- 威脅偵測應變代管服務（managed detection and response, MDR）

>TeamT5 杜浦數位安全提供上列解決方案與服務，歡迎了解與聯絡免費試用：[解決方案介紹](https://teamt5.org/tw/posts/intelligence-driven-cyber-defense/?utm_source=blog&utm_medium=website) / [資安服務介紹](https://teamt5.org/tw/service/mdr/)

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。
>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

企業資安防禦指南【2026 企業級最新版本】：企業如何降低風險、防禦威脅？

##The Offense is Moving at AI Speed
When we talk about cybersecurity, the conversation often defaults to defense: patch your systems, enable multi-factor authentication, and encrypt your data. While these measures are crucial, recent intelligence from late 2024 and 2025 reveals a starkly different reality. Cyberattacks have fundamentally changed. The offense is now operating at the speed of AI.

To build a modern defense, you must first understand the modern offense. This principle has never been more relevant, as threat actors leverage artificial intelligence to shrink their attack cycles from weeks to minutes.

No defense is meaningful without first understanding the offense.

This post cuts through the noise to analyze the new threat landscape. Based on intelligence from recent state-sponsored campaigns and advanced threat groups, we will explore how this shift manifests in four key areas: the weaponization of trust in our supply chains, the erosion of human intuition through deepfakes, the systematic acceleration of the entire attack lifecycle, and the industrialization of geopolitical propaganda.

We’re going to talk 4 cyber threat trend in this article -
1. Your Biggest Vulnerability Isn't Your Firewall—It's Your Trusted Partners
2. The Job Interview Might Be with a Deepfake
3. AI Is Supercharging Every Stage of an Attack
4. Propaganda Is Now an Automated, AI-Driven Machine

Let’s start.

##1. Your Biggest Vulnerability Isn't Your Firewall—It's Your Trusted Partners
In 2025, attackers have shifted their focus from direct infiltration to "weaponizing trust." By compromising a single trusted service provider or an unpatched edge device, threat actors can bypass the robust perimeter defenses of high-value targets.

This strategy was demonstrated in a recent campaign, the Chinese-speaking APT cluster tracked as UAT-7237 exploited unpatched web infrastructure in Taiwan to breach multiple internet-facing servers and repurpose them as persistent footholds in high-value environments[1]. The group’s operations emphasize long-term access using customized open-source tooling and bespoke loaders, illustrating how compromises of foundational web infrastructure can be leveraged to support deeper malicious activity across affected enterprises.

Moreover, reported APT cases across the Asia-Pacific region describe a mix of intrusion techniques, including the abuse of exposed edge devices and remote access infrastructure alongside spear-phishing campaigns delivering malicious files via cloud services and messaging platforms. Several cases involve Taiwan-based organizations, where edge and perimeter systems compromise features, while additional incidents span government, manufacturing, and chemical across Japan and Southeast Asia[2].

##2. The Job Interview Might Be with a Deepfake
This weaponization of trust isn't just happening at the network level; it's now targeting the human level with terrifying sophistication, as seen in the rise of AI-driven recruitment scams. North Korean hacking groups like TA444 have engineered an alarming social engineering campaign that combines remote work, cryptocurrency, and AI-generated deepfakes[3].

The process is a masterclass in exploiting human trust with AI:
1. **Fake Identities**: Hackers use AI tools to generate completely fake but highly believable professional identities, complete with custom resumes and polished LinkedIn profiles.
2. **Legitimate Front**: They establish fake US shell companies to appear credible, specifically targeting high-value remote workers like cryptocurrency developers.
3. **The Deepfake Interview**: To build rapport and seal the deal, the hackers conduct job interviews over Zoom. During the video call, the "hiring executive" is an AI-generated deepfake, indistinguishable from a real person.
4. **The Malware Payload**: After the victim accepts the job offer, they are instructed to install "onboarding software" to get started. This software is actually malware designed to steal credentials and data.

This sophisticated tactic resulted in millions of dollars in stolen cryptocurrency and gave the attackers persistent access to corporate cloud accounts on platforms like AWS and Google Cloud. AI is systematically breaking the human element we rely on to spot scams, erasing the subtle cues that would normally give an imposter away.

##3. AI Is Supercharging Every Stage of an Attack
Artificial intelligence is not just another tool in the hacker's arsenal; it is a force multiplier that revolutionizes the entire attack lifecycle, often framed by the Cyber Kill Chain. AI provides four key advantages to attackers: **efficiency, scalability, hyper-personalization, and polymorphism**—the ability to constantly change form to evade detection.

Here is how AI enhances several key stages of a modern cyberattack:
- **Reconnaissance**: Previously a labor-intensive manual process, reconnaissance is now automated. Attackers use tools like OSINT-GPT[4], which combines Large Language Models (LLMs) with open-source intelligence. This represents a revolution in **efficiency** and **scalability**, generating a detailed, personalized target profile in minutes—a task that used to take weeks.
- **Weaponization**: Malicious LLMs like WormGPT[5] and FraudGPT[6] dramatically lower the technical barrier for entry into cybercrime. By generating convincing phishing text and attack scripts for non-experts, these tools enable unprecedented scalability for criminal operations.
- **Delivery**: AI enables **hyper-personalization** in delivery. Not only does it craft more persuasive, context-aware phishing emails, but deepfake video calls are also being used to impersonate executives and trick employees into authorizing fraudulent multi-million dollar wire transfers.
- **Exploitation**: The gap between a vulnerability's discovery and its weaponization has collapsed to almost zero thanks to Automatic Exploit Generation (AEG). Research on frameworks like PwnGPT showed it nearly doubled the exploit creation success rate from 26.3% to 57.9% (like GPT o1 model)[7]. This rapid weaponization achieves a form of **polymorphism**, as defenses can't keep up with the speed of new threats.
- **Command & Control (C2)**: To stay hidden and achieve evasion, attackers now route their malicious communications through legitimate AI cloud services. Projects like Claude-C2[8] demonstrate how C2 traffic can be disguised as normal business API calls, making it incredibly difficult for network defenses to detect and achieve the goal of **polymorphism**.

##4. Propaganda Is Now an Automated, AI-Driven Machine
AI's impact extends beyond financial crime and corporate espionage into the realm of geopolitical influence and cognitive security. The "GoLaxy files" leak provided an unprecedented look into China's state-sponsored, AI-driven propaganda machine.

This is far more advanced than simple social media bots. The leak exposed the “Tianji” Intelligent Propaganda System, also known as GoPro[9] [10]. What sets this system apart is its scale and automation. GoPro uses generative AI to automate the creation, customization, and distribution of persuasive content across social media platforms with minimal human oversight.

The system has already been operated through a sophisticated, tiered architecture:

- **GoIN (Intelligent Intelligence Analysis System)**: The "brain" of the operation, consisting of **"Wenqu"** (文曲) for data integration, **"Tianluo"** (天罗) for real-time monitoring, and the **"Magic Mirror"** (魔镜) for cognitive analysis and strategic decision-making.
- **GoPro ("Tianji" Intelligent Propaganda System)**: A generative AI system that automates the creation, customization, and distribution of persuasive content across social media.
- **Global Multi-Platform Account Management System**: A large-scale system designed to "nurse" and manage thousands of fake accounts to mimic genuine public discourse.

While the GoLaxy leak provides the technical blueprint, we are also seeing the real-world effects of other similar mechanisms in regional disputes:
- **Okinawa**: Inauthentic networks on X and linked sites are amplifying Okinawan independence and anti-militarization narratives. Originally targeting Chinese speakers, the activity then uses Japanese-language content to weaponize local grievances, specifically aiming to undermine the Japan–US alliance rather than promoting direct anti-Japan sentiment[11].

- **Taiwan Election**: During Taiwan’s 2024 election, AI-generated audio and avatars impersonated political figures to spread scandals. While detectable through forensic flaws and contextual absurdities, a coordinated volume produced in under 30 minutes overwhelms fact-checking capacity. This scalability, especially involving foreign subjects where local context is missing, presents a challenge driven by distribution speed rather than technical perfection[12].

##Conclusion: How Do You Defend at the Speed of AI?
Across this year’s biggest breaches, one pattern stands out:
**AI has amplified every phase of the attack cycle**, accelerating reconnaissance, sharpening exploitation, and shrinking the defender’s reaction window to almost zero.

In this environment, defense is no longer just about deploying tools or tightening controls. It requires understanding how attackers think, operate, and adapt — especially as they increasingly rely on automation, dark-web resources, and AI-driven capabilities. Only by grasping these shifts can organizations judge real risk, prioritize action, and make confident decisions under pressure.

In the end, these incidents remind us of a simple truth: **No defense is meaningful without first understanding the offense. ** Understanding the adversary isn’t optional, it’s the starting point for any defense that aims to hold up in the AI era.

> For podcast version, you may listen here: https://youtu.be/Il8OH2LYBSQ?si=jKvlzypB9husJ14n


####Source:
[1] [The Hacker News, Taiwan Web Servers Breached by UAT-7237 Using Customized Open-Source Hacking Tools, April 2025](https://thehackernews.com/2025/08/taiwan-web-servers-breached-by-uat-7237.html) 
[2] [Day 1, Main Track presentations, JSAC 2025](https://blogs.jpcert.or.jp/en/2025/03/jsac2025day1.html) 
[3] [The Hacker News, 'BlueNoroff Deepfake Zoom Scam', June 2025](https://securelist.com/bluenoroff-apt-campaigns-ghostcall-and-ghosthire/117842/) 
[4] [Tool: OSINT-GPT by estebanpdl (GitHub)](https://github.com/gigz/gpt-osint) 
[5] [The Dual-Use Dilemma of AI: Malicious LLMs](https://unit42.paloaltonetworks.com/dilemma-of-ai-malicious-llms/) 
[6] [Netenrich Threat Research Team, 'FraudGPT: The Villain Avatar of ChatGPT', July 2023](https://netenrich.com/blog/fraudgpt-the-villain-avatar-of-chatgpt) 
[7] [Peng et al., 'PwnGPT: Automatic Exploit Generation Based on Large Language Models', ACL Anthology, 2025](https://aclanthology.org/2025.acl-long.562/) 
[8] [Tool: Claude-C2 (Proof of Concept) by dmcxblue. For defensive testing only.](https://github.com/dmcxblue/Claude-C2) 
[9] ThreatVision Report: TeamT5, Bi-Weekly Update 2025 September H2 
[10] [The Record by Recorded Future, 'The GoLaxy Papers'](https://therecord.media/golaxy-china-artificial-intelligence-papers) 
[11] [DFRLab, Japan’s technology paradox: the challenge of Chinese disinformation, March 2025](https://dfrlab.org/2025/03/25/japan-tech-chinese-disinformation/) 
[12] [Taiwan FactCheck Center, Seeing is not believing (part II) – AI videos spread during the 2024 presidential election in Taiwan, February 2024](https://en.tfc-taiwan.org.tw/en_tfc_294/)

What We Learned from 2025's Biggest Hacks: 4 Takeaways

##攻擊方正以 AI 速度演進
當我們討論資安議題時，焦點往往集中在修補漏洞、啟用多因素驗證、加密資料等防禦層面。這些措施固然重要，但從 2024 年底至 2025 年最新的威脅情資顯示，網路攻擊的本質已徹底改變，攻擊方正以人工智慧（AI）的速度飛快演進。

要建構現代化的防禦體系，前提是必須清楚掌握現代化攻擊的樣貌；此原則前所未有地重要，因為駭客團體正大量運用 AI，將原本需時數週的攻擊週期大幅壓縮至數分鐘。

在真正理解攻擊者的思維與手法之前，任何防禦部署都難以發揮實質效益。

本文旨在根據近期多起國家級攻擊行動與進階持續性威脅（APT）組織的情資分析，為您聚焦解析全新的威脅版圖。我們將從以下四大面向，具體呈現資安攻擊的最新趨勢：
1. 供應鏈信任關係遭到「武器化」
2. 深偽（Deepfake）技術侵蝕人類的直覺判斷能力
3. AI 正大舉加快攻擊鏈推進速度
4. 政治宣傳機器的規模化與自動化

##1. 最大的弱點不是防火牆，而是「您信任的合作夥伴」
2025 年，攻擊行動者已不再以正面滲透為主要手段，而是轉而利用「信任武器化（weaponizing trust）」。只要成功入侵受信任的服務供應商，或尚未完成修補的邊緣設備，攻擊者就有機會避開高價值目標原本的周邊防禦，直接取得進入系統的管道。

近期一波攻擊行動便展現了這類手法。中文 APT 攻擊團體 UAT-7237 利用台灣尚未修補的網路基礎設施漏洞，入侵多台對外服務的伺服器，並將其長期留作後續活動使用[1]。該團體擅於使用客製化開源工具與專屬載入程式（loader）進行持續性存取，這表示一旦網路基礎設施遭到入侵，往往不會是單一事件，而可能被反覆利用，用來推動後續更深入的惡意行為，對受害組織造成長期影響。

除此之外，亞太地區已揭露的多起 APT 攻擊案例顯示，攻擊行動往往結合多種入侵手法，包括濫用對外暴露的邊緣設備與遠端存取基礎設施，並透過雲端服務與即時通訊平台，投遞夾帶惡意檔案的魚叉式釣魚攻擊。部分案例涉及台灣的組織，其入侵行為以邊緣與周邊系統遭入侵為主要特徵；另有事件則發生於日本與東南亞，影響對象涵蓋政府機構、製造業與化工產業[2]。

##2. 與您面試的「主管」，很可能是深偽 AI
信任武器化不僅限於網路層級，現在更以前所未有的精細程度，直接針對個人發動攻擊。這在近期快速崛起的 AI 招募詐騙中，表露無遺。

北韓駭客組織 TA444 策劃了一系列結合遠距工作、加密貨幣與 AI 深偽技術的高度社交工程攻擊，是運用 AI 精準操弄人類信任的典型案例[3]：
- **偽造身分**： 攻擊者運用 AI 工具塑造出極具說服力但完全虛構的專業身分，包括量身打造的履歷與形象良好的 LinkedIn 個人檔案。
- **搭建「合法」門面**： 透過在海外設立空殼公司，營造合規、可信的企業形象，鎖定高價值遠距人才（例如加密貨幣開發者）。
- **深偽視訊面試**： 為了建立信任並敲定合作，攻擊者會安排 Zoom 視訊面試。畫面中與受害者對談的「招募主管」，實際上是由 AI 生成的深偽人物影像，幾乎無法與真人區分。
- **惡意程式載荷（Payload）**： 受害者通過面試並收到錄取通知後，會被要求安裝所謂的「入職軟體」或「工作環境設定工具」。這套軟體實為惡意程式，用於竊取帳密與敏感資料。

這種高度複合式的手法，已導致**價值數百萬美元**的加密貨幣遭竊，同時也讓攻擊者取得多家企業在 AWS、Google Cloud 等雲端平台上的長期存取權限。

AI 正以系統化方式瓦解我們賴以辨識詐騙的「人類直覺」，那些過去會暴露假身分的細微線索，正被深偽技術一一抹除。

##3. AI 正大舉加快攻擊鏈各環節的推進速度
AI 已不再只是駭客手中的一項工具，而是成為加快推進整條攻擊鏈（Cyber Kill Chain）的「戰力倍增器」，並為攻擊者帶來四大關鍵優勢：效率（Efficiency）、規模化（Scalability）、高度個人化 （Hyper-personalization）、以及多態性（Polymorphism），使其得以不斷改變型態以逃避偵測。

以下說明 AI 如何加快現代網路攻擊的關鍵進程：
- **偵查（Reconnaissance）**：過去高度仰賴人工、耗時費力的情資偵查，如今已全面自動化。攻擊者利用結合大型語言模型（LLM）與 OSINT-GPT[4] 等開源工具，讓效率與規模化大幅提升，可在數分鐘內產出詳細且個人化的目標概述，無須像以往那樣耗費數週時間。
- **武裝（Weaponization）**： WormGPT[5]、FraudGPT[6] 等惡意導向的 LLM，大幅降低了網路犯罪的技術門檻。這些工具能為普通使用者自動生成極具說服力的釣魚內容與攻擊腳本，從而讓犯罪活動達到前所未有的規模。
- **遞送（Delivery）**： AI 讓高度個人化的攻擊真假難辨。其不僅能寫出對話自然、情境貼合的釣魚郵件，攻擊者甚至開始運用深偽視訊通話冒充企業高層，誘騙員工授權進行高額匯款或異常財務操作。
- **漏洞利用（Exploitation）**：運用自動化漏洞利用產生（AEG）這項技術，從發現漏洞到惡意程式開發完成的時間差，已趨近於零。研究顯示，運用 PwnGPT 等架構，漏洞利用成功率可從 26.3% 提升至 57.9%（例如 GPT o1 模型）[7]。這種快速武器化使新型攻擊手法以多變樣態層出不窮，讓防禦方難以跟上新型威脅的速度。
- **發令與控制（Command & Control，C2）**： 為保持隱蔽並繞過偵測，攻擊者會透過合法的 AI 雲端服務傳輸 C2 流量。Claude-C2[8] 等專案示範了 C2 流量可以如何偽裝成日常的企業 API 呼叫，使網路防禦系統難以區分正常業務流量與惡意操控指令，進一步達成「多態性」的目標。

##4. 政治宣傳已成為 AI 驅動的自動化機器
AI 的影響不再限於財務犯罪或企業間諜，它正深刻改變地緣政治角力與「認知安全」領域。「GoLaxy 檔案」外流事件，讓外界首次窺見中國由 AI 驅動的國家級宣傳機器，其複雜度已遠超過傳統的社群機器人。

遭曝光的「天機智慧宣傳系統（Tianji Intelligent Propaganda System，又稱 GoPro）」[9][10]，其真正強大之處，在於驚人的高度規模化與自動化。GoPro 利用生成式 AI，自動完成從內容撰寫、情境客製到跨平台投放的整個流程，在極少人為介入下，不斷產製深具說服力的宣傳素材。

該系統早已透過一套成熟且分層明確的架構實際運作：
- **GoIN（智慧情資分析系統）**：整體運作的「中樞」，由**「文曲」**負責資料整合、**「天羅」**進行即時監控，並透過**「魔鏡」**執行認知分析與策略研判。
- **GoPro（「天機」智慧宣傳系統）**：一套生成式 AI 系統，用於自動化產製、客製與發布具說服力的內容，並跨多個社群平台同步投放。
- **全球多平台帳號管理系統**：一個大規模帳號培養與管理機制，用於「養成」並操控成千上萬個假帳號，以模擬真實的公共討論環境。

在 **GoLaxy 檔案外洩**揭露相關技術的運作方式之際，我們也在其他區域性爭議事件中看到類似機制的影響：
- **沖繩**：在 X（前 Twitter）及其關聯網站上，可觀察多組假帳號持續放大「沖繩獨立」與「反軍事化」相關論述。這類活動起初以中文使用者為主要對象，隨後轉以日文內容操作在地議題，其目標並非直接塑造反日情緒，而是削弱日美同盟的信任基礎[11]。
- **台灣選舉**：在 2024 年台灣選舉期間，AI 生成的合成語音與虛擬人物形象被用來冒充政治人物，並散布不實醜聞。這類內容雖可從鑑識細節或情境不合理之處予以辨識，但若在短時間內大量製作並同時散布，仍足以讓既有的事實查核機制難以即時應對。問題並不在於內容是否足夠逼真，而是在於傳播速度過快，特別是在涉及外部議題、缺乏在地背景可供判斷時，將構成嚴峻挑戰[12]。

##結語：如何在 AI 速度下有效防禦？
回顧 2025 年幾起最具代表性的重大攻擊事件，都一致顯示出 AI 已大幅加快攻擊鏈各環節的推進速度，並將防禦方的反應時間壓縮至幾近於零。

在這樣的環境下，防禦工作已不再僅限於部署更多工具或提升管控層級。在駭客日益依賴自動化、暗網資源與 AI 技術之際，組織必須更深入理解攻擊者的思維、運作方式和適應能力；只有掌握這些結構性轉變，才能正確評估實際風險、排定行動優先順序，並在高壓下做出可靠決策。

最終，這些事件再次提醒我們一個關鍵事實：**在真正理解攻擊之前，任何防禦都稱不上有意義**。理解對手的能力與意圖，已不再是可有可無的選項，而是在 AI 時代擁有防禦韌性的唯一起點。

####資料來源：
[1] [The Hacker News, Taiwan Web Servers Breached by UAT-7237 Using Customized Open-Source Hacking Tools, April 2025](https://thehackernews.com/2025/08/taiwan-web-servers-breached-by-uat-7237.html) 
[2] [Day 1, Main Track presentations, JSAC 2025](https://blogs.jpcert.or.jp/en/2025/03/jsac2025day1.html) 
[3] [The Hacker News, 'BlueNoroff Deepfake Zoom Scam', June 2025](https://securelist.com/bluenoroff-apt-campaigns-ghostcall-and-ghosthire/117842/) 
[4] [Tool: OSINT-GPT by estebanpdl (GitHub)](https://github.com/gigz/gpt-osint) 
[5] [The Dual-Use Dilemma of AI: Malicious LLMs](https://unit42.paloaltonetworks.com/dilemma-of-ai-malicious-llms/) 
[6] [Netenrich Threat Research Team, 'FraudGPT: The Villain Avatar of ChatGPT', July 2023](https://netenrich.com/blog/fraudgpt-the-villain-avatar-of-chatgpt) 
[7] [Peng et al., 'PwnGPT: Automatic Exploit Generation Based on Large Language Models', ACL Anthology, 2025](https://aclanthology.org/2025.acl-long.562/) 
[8] [Tool: Claude-C2 (Proof of Concept) by dmcxblue. For defensive testing only.](https://github.com/dmcxblue/Claude-C2) 
[9] ThreatVision Report: TeamT5, Bi-Weekly Update 2025 September H2 
[10] [The Record by Recorded Future, 'The GoLaxy Papers'](https://therecord.media/golaxy-china-artificial-intelligence-papers) 
[11] [DFRLab, Japan’s technology paradox: the challenge of Chinese disinformation, March 2025](https://dfrlab.org/2025/03/25/japan-tech-chinese-disinformation/) 
[12] [Taiwan FactCheck Center, Seeing is not believing (part II) – AI videos spread during the 2024 presidential election in Taiwan, February 2024](https://en.tfc-taiwan.org.tw/en_tfc_294/)

資安啟示錄：2025 年重大資安事件敲響的 4 道警鐘

APAC is now a proving ground for some of the world’s most sophisticated cyber actors. From state-backed groups to commercial contractors and organized cybercrime, adversaries in the region move quickly, reuse infrastructure, and mix espionage with financially motivated operations. For CISOs, the challenge is no longer a lack of alerts — it’s the lack of context.

This white paper explains why an adversary-centric intelligence approach is essential for APAC defenders. Instead of collecting more indicators, it focuses on understanding who the attackers are, how they operate, and what drives their campaigns. Drawing on TeamT5’s decades of regional research, it breaks down real cases including the i-Soon contractor leak and the Mackay Memorial Hospital ransomware attack, to show how attacker ecosystems really function.

**Download the white paper to gain a comprehensive view of APAC threat actors to plan your defense strategy for long-term security from a new perspective.**


[White paper] Seeing the Pattern Behind The Attacks: APAC Intelligence for CISOs Worldwide

網路攻擊行動日趨複雜，而亞太地區正是攻擊者活動的熱點。從國家支持的攻擊團體、商業承包商，到組織化的網路犯罪集團，無論目的是竊取國家機密或是獲取財務利益，攻擊者都能快速調整手法，並重複使用已建立的隱密後門、攻擊路徑等基礎設施，更快遂行其攻擊目的。對全球資安長而言，挑戰不在於缺乏警訊，而是缺乏能解讀攻擊背後脈絡的深度資訊。

本白皮書說明為何「攻擊者導向」的情資視角，是提升亞太地區整體防禦效益的關鍵。重點不在於收集更多指標，而在於理解攻擊者的組成、行為模式、動機與目標。透過結合 TeamT5 長期深耕亞太地區的第一手觀察，並以中國安洵（i-Soon）承包商資料外洩與台灣馬偕紀念醫院勒索事件為例，呈現亞太地區威脅生態的實際樣貌。

**下載白皮書（英文），您即可深入了解亞太地區的攻擊者，以全新視角擘劃長期安全的防禦策略。**


【白皮書】洞悉攻擊背後的脈絡：全球資安長不可忽視的亞太威脅情資

サイバー攻撃はますます複雑化しており、アジア太平洋地域は攻撃者が活発に活動する主要な舞台となっています。国家支援グループ、商業系の請負業者、組織的なサイバー犯罪集団まで、攻撃者は国家機密の窃取から金銭的利益の獲得まで多様な目的を持ち、手法を素早く変化させ、既存のバックドアや攻撃基盤を再利用しながら攻撃を遂行しています。
CISO にとっての課題は、アラートが不足していることではなく、攻撃の背後にある文脈を理解するための情報が不足していることです。

本ホワイトペーパーでは、アジア太平洋地域において「攻撃者中心」のインテリジェンスアプローチが不可欠である理由を解説します。より多くの指標を集めるのではなく、攻撃者の正体、行動パターン、動機、目的を理解することが防御効果を高める鍵となります。TeamT5 が長年蓄積してきた地域研究に基づき、中国の i-Soon 請負業者漏洩事件や台湾の馬偕紀念医院ランサムウェア攻撃などの実例を通じて、攻撃者エコシステムの実像を明らかにします。

**ホワイトペーパーをダウンロードいただくことで、アジア太平洋地域の脅威アクターを包括的に把握し、新たな視点から長期的な安全確保に向けた防御戦略を描くための知見を得ることができます。**


攻撃の背後にある脈絡を見抜く：世界の CISO が注視すべきアジア太平洋の脅威インテリジェンス

In today’s digital economy, organizations rely heavily on technology for operations, communication, and customer engagement. While this drives efficiency and innovation, it also creates new opportunities for cybercrime, now a rapidly rising threat that can cause severe financial damage and long-lasting reputational harm.
Cybercrime refers to illegal activities carried out through computers, networks, or digital devices. Targets vary widely, including individuals, enterprises, and government agencies. Motivations are equally diverse, ranging from financial gain and data theft to espionage and disruptive operations. Whether you are a startup or a multinational enterprise, understanding cybercrime is the first step toward maintaining a strong security posture.

##Why Organizations Must Pay Attention to Cybercrime
Unlike traditional crime, cyberattacks can be launched from anywhere in the world, making them harder to detect or stop. An attack may take only seconds but can leave consequences that last for years. Common forms of cybercrime include:
- **Phishing Attacks** 
Emails or social messages crafted to deceive employees into revealing sensitive information or clicking malicious links.
- **Ransomware** 
Malware that encrypts corporate files and demands payment in exchange for restoring access.
- **Data Breaches** 
Unauthorized access to corporate data through intrusion, social engineering, or internal vulnerabilities. This often results in exposure of customer or financial information.

Organizations must understand that cybercrime is no longer a question of if it will happen, but when. Beyond financial and reputational loss, attacks can interrupt operations for days or weeks, and may also result in legal liability due to violations of data protection regulations.

##Using Cybercrime Intelligence to Stay Ahead of Threats
[Cybercrime Intelligence](https://teamt5.org/en/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website) helps organizations understand the operational patterns and technical trends behind cybercriminal activities. This enables security teams to identify potential threats before they escalate and reinforce defensive strategies in advance. Cybercrime intelligence can provide:

- **Attacker Activities and Collaboration Models** 
Visibility into how criminal groups operate, their cooperation networks, and their attack methods.

- **Tactics, Techniques, and Procedures (TTPs)** 
Insight into commonly used techniques and their evolution, helping teams refine defenses.

- **Industry and Threat Trends** 
Awareness of key targets across industries or regions, supporting forward-looking risk assessment.

- **Early Warning Indicators** 
Monitoring dark web discussions, leaked data, or suspicious activity related to an organization. These signals often reveal the early stages of an impending attack.

 
Organizations can also obtain concrete Indicators of Compromise (IoCs), such as malicious IPs, suspicious domains, and file hashes. These IoCs reflect the attacker infrastructure and activity patterns recently observed in the wild.

By importing these IoCs into existing security systems, including firewalls, Endpoint Detection and Response (EDR), and Security Information and Event Management (SIEM), defenders can automatically compare internal activity with recent external threats. This allows organizations to block suspicious connections or behavior before attackers cause further impact, reducing risks such as intrusion and lateral movement.

As cybercrime intelligence is continuously updated, detection logic can evolve accordingly. This ensures that organizations remain aligned with newly observed malicious infrastructure and emerging techniques.

##Conclusion
With [Cybercrime Intelligence](https://teamt5.org/en/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website), organizations can shift from passive response to proactive defense. Strengthening detection and response strategies before attackers act allows enterprises to protect their assets more effectively and maintain long-term customer trust.

>Download the [cybercrime intelligence report “Seeing the Adversary: Why APAC Intelligence Matters for CISOs”](https://teamt5.org/en/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=blog&utm_medium=website) to understand how insights into attacker motivations and behavior can strengthen your organization’s defensive resilience.

 

(cover source: pexels)

What Is Cybercrime and How Can Organizations Defend Against It?

在當今的數位經濟中，企業高度依賴科技進行營運、溝通與客戶互動。這雖帶來效率與創新，但同時也為網路犯罪開啟了機會之門，成為迅速崛起的重大威脅，為企業帶來鉅額財務損失與嚴重信譽損害。

網路犯罪是指利用電腦、網路或數位裝置進行的非法行為。其攻擊目標廣泛，可能是個人、企業，甚至是政府單位；背後動機也相當多元，從財務利益、資料竊取，到間諜滲透與破壞行動皆有。無論您是新創公司還是跨國企業，**理解網路犯罪**都是維護企業資訊安全的第一步。

##為何企業必須關注網路犯罪
不同於傳統犯罪，網路攻擊可從世界任何角落發起，因此更難偵測與阻止。攻擊往往在數秒內完成，卻可能造成長達數年的影響。常見的網路犯罪形式包括：
- **網路釣魚攻擊（Phishing Attack）**：以電子郵件或社交訊息，誘使員工洩漏敏感資訊或點擊惡意連結。
- **勒索軟體（Ransomware）**：惡意軟體加密企業檔案後，攻擊者要求支付贖金以恢復存取權限。
- **資料外洩（Data Breach）**：駭客透過入侵、社交工程或內部漏洞，未經授權取得公司資料，導致客戶或財務資訊曝光。

企業需了解到網路犯罪已不是「是否會發生」的問題，而是「何時會發生」；除了金錢和商譽損失，還可能導致業務中斷或營運停擺數日甚至數週，甚至因為違反資料保護相關法規而背負法律責任。

##掌握網路犯罪情資　防禦領先一步
[網路犯罪情資（Cybercrime Intelligence）](https://teamt5.org/tw/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website)能協助企業掌握網路犯罪的運作模式與技術趨勢，在攻擊發生之前辨識潛在威脅，及早調整並強化防禦策略。其可提供：

- **攻擊者活動與合作模式**：掌握犯罪組織的行動軌跡、合作網絡與攻擊模式。
- **攻擊相關的戰術、技術與程序（TTP）**：了解攻擊者採用的常見手法與技術演進，作為防禦調整的依據。
- **洞察產業與威脅趨勢**：提供特定產業或地區的主要攻擊目標與趨勢，預測潛在風險方向。
- **早期預警指標**：追蹤與企業相關的暗網討論、資料外洩或可疑活動，發現攻擊前的預警訊號。

企業可從網路犯罪情資中取得具體的入侵指標（Indicators of Compromise, IoC），例如惡意 IP、可疑網域與檔案雜湊（hash）。這些指標代表攻擊行動者近期使用的基礎設施與活動痕跡，有助於企業在日常監控中及早察覺異常。企業可將這些 IoC 匯入現有的資安系統，如防火牆、端點偵測與回應（EDR）與安全資訊與事件管理（SIEM）等，自動比對環境中的跡象是否與近期攻擊活動相關，讓防禦團隊能在攻擊造成實際影響前，先一步阻擋可疑連線或活動，降低滲透與橫向移動的風險。隨著網路犯罪情資持續更新，整體偵測邏輯也能同步調整，使企業能更及時因應新出現的惡意基礎設施與攻擊手法，提升偵測效率與反應速度。

##結論
運用[網路犯罪情資](https://teamt5.org/tw/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website)，企業就能從被動反應轉為主動防禦，提早部署偵測與應變策略；只有掌握威脅趨勢並主動構建防禦韌性，才能真正做到保護自身資產，贏得客戶的長期信任。

>下載[網路犯罪情資報告《Seeing the Adversary: Why APAC Intelligence Matters for CISOs》](https://teamt5.org/tw/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=blog&utm_medium=website)，了解如何透過掌握攻擊者動機與行為，有效提升企業防禦韌性。

 

(首圖來源：pexels)

什麼是網路犯罪？企業如何防禦？

今日のデジタル経済において、組織は業務、コミュニケーション、顧客対応においてテクノロジーに大きく依存しています。これは効率性とイノベーションをもたらす一方で、サイバー犯罪に新たな機会を与えることにもなり、いまや急速に増加する脅威となっています。サイバー犯罪は深刻な財務的損失や長期的な評判被害をもたらす可能性があります。

サイバー犯罪とは、コンピュータ、ネットワーク、またはデジタルデバイスを通じて実行される違法行為を指します。対象は個人、企業、政府機関など幅広く、動機も金銭目的、データ窃取、スパイ活動、妨害行為など多岐にわたります。スタートアップであれ多国籍企業であれ、サイバー犯罪を理解することが強固なセキュリティ態勢を維持するための第一歩です。

##なぜ組織はサイバー犯罪に注意を払う必要があるのか
従来の犯罪とは異なり、サイバー攻撃は世界中のどこからでも実行できるため、検知や阻止が困難です。攻撃は数秒で発生する一方、その影響は何年も続くことがあります。一般的なサイバー犯罪には以下が含まれます：

- **フィッシング攻撃** 
従業員をだまして機密情報を漏らさせたり、悪意あるリンクをクリックさせたりするよう巧妙に作成されたメールやソーシャルメッセージ。
- **ランサムウェア** 
企業ファイルを暗号化し、アクセス回復と引き換えに支払いを要求するマルウェア。
- **データ侵害** 
侵入、ソーシャルエンジニアリング、内部脆弱性を通じて企業データへ不正アクセスする行為。顧客情報や金融データの流出につながることが多い。

サイバー犯罪は「起きるかどうか」ではなく、「いつ起きるか」の問題であることを組織は理解しなければなりません。財務的・評判的損害に加え、攻撃は数日から数週間にわたり業務を停止させる可能性があり、データ保護規制違反による法的責任が発生することもあります。

##サイバー犯罪インテリジェンスを活用して脅威に先手を打つ
サイバー犯罪インテリジェンスは、サイバー犯罪活動の背後にある運用パターンや技術的トレンドを理解するためのものです。これにより、セキュリティチームは脅威が拡大する前に潜在的なリスクを特定し、防御戦略を事前に強化できます。サイバー犯罪インテリジェンスが提供する主な内容には以下があります：

- **攻撃者の活動および連携モデル** 
犯罪グループの活動方法、協力ネットワーク、攻撃手法に関する可視性。
- **戦術・技術・手順（TTPs）** 
一般的に使用される手法とその進化に関する洞察。これにより防御の洗練が可能となる。
- **業界別・脅威トレンド** 
業界や地域ごとの主要標的に関する認識を高め、将来を見据えたリスク評価を支援。
- **早期警戒指標** 
ダークウェブの議論、漏洩データ、または組織に関連する不審な活動の監視。これらの信号は差し迫った攻撃の初期段階を示すことが多い。

組織はまた、悪意ある IP、疑わしいドメイン、ファイルハッシュといった具体的な IoC（Indicator of Compromise）も取得できます。これらの IoC は最近確認された攻撃者インフラや活動パターンを反映しています。

これらの IoC をファイアウォール、EDR（Endpoint Detection and Response）、SIEM（Security Information and Event Management）など既存のセキュリティシステムにインポートすることで、防御側は内部活動を最新の外部脅威と自動比較できます。これにより、攻撃者が影響を拡大する前に、不審な通信や行動をブロックでき、侵入や横移動のリスクを低減します。

サイバー犯罪インテリジェンスが継続的に更新されることで、検知ロジックもそれに応じて進化できます。これにより、組織は新たに観測された悪意あるインフラや新興手法に継続的に適応できます。


まとめ
サイバー犯罪インテリジェンスによって、組織は受動的対応から能動的防御へと転換できます。攻撃者が行動する前に検知と対応戦略を強化することで、企業は資産をより効果的に保護し、長期的な顧客信頼を維持できます。


>サイバー犯罪インテリジェンスレポート “[Seeing the Adversary: Why APAC Intelligence Matters for CISOs”](https://teamt5.org/jp/posts/seeing-the-pattern-behind-the-attacks-apac-intelligence-for-cis-os-worldwide/?utm_source=blog&utm_medium=website) をダウンロードして、攻撃者の動機や行動に関する洞察が組織の防御レジリエンスをどのように強化できるかをご確認ください。

サイバー犯罪とは何か、そして組織はどのように防御すべきか

近期新聞指出，有員工在公司內部電腦安裝代理伺服器與雲端掛載程式，形同自建「外部通道」，可讓外部電腦直接連入內部網路。若此通道遭不當利用，恐導致客入侵、資料外洩、內部滲透的跳板。

在企業中，資訊部門每天面對的不只是伺服器維運與帳號管理，更大的挑戰是——上百台員工電腦上到底裝了些什麼。電腦數量一多，如何有效控管同仁安裝的程式是否合規合法，成了資安管理中最現實卻也最棘手的問題。有時候，一個看似無害的工具，可能是開發者為了方便測試環境所安裝；但若缺乏審查與監控機制，它也可能成為潛在的「外部連線通道」，甚至成為攻擊者入侵的跳板。像是 PsExec、ProcDump 這類維運工具，經常被駭客利用於內網滲透與權限竊取；又或是 VPN 軟體、遠端桌面程式、免安裝（綠色）軟體，都可能與公司資安規範牴觸，增加資料外洩風險。


**那麼，企業該如何確認環境內是否存在這些潛在風險軟體？**

##ThreatSonar Anti-Ransomware 可以協助企業掌握潛在風險軟體

[ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)除了即時威脅偵測，同時也具備歷史回溯檢查的能力，透過 TeamT5 ThreatSonar 威脅追蹤功能的規則，上述的軟體都可以檢查出來，相關規則集如圖所示。

![](https://uploads.teamt5.org/upload/original/unauthorized-connection-to-the-network-can-become-a-breach-in-cybersecurity-defenses_pic1.JPG)

 

當然不只有既有規則集，亦可以透過檔案名稱、雜湊值、數位簽章等條件去查找環境內安裝的軟體。下圖範例中，使用數位簽章條件來找尋相關的軟體，甚至可以找出檔案名稱已經修改的軟體，進一步也可以查詢該檔案的放置的路徑及相關特徵行為。

![](https://uploads.teamt5.org/upload/original/unauthorized-connection-to-the-network-can-become-a-breach-in-cybersecurity-defenses_pic002.png)


![](https://uploads.teamt5.org/upload/original/unauthorized-connection-to-the-network-can-become-a-breach-in-cybersecurity-defenses_pic003.png)

##ThreatSonar Anti-Ransomware 搭配 TeamT5 威脅偵測與應變服務團隊協助此類事件

[TeamT5 威脅偵測與應變服務（MDR）團隊](https://teamt5.org/tw/service/mdr/?utm_source=blog&utm_medium=website)不只被動地等待告警出現才處置，而是主動在企業環境中，運用 ThreatSonar 搜尋潛藏威脅，透過專業的威脅狩獵機制，主動偵測在公司環境「容易遭惡意濫用」的灰色軟體或是牴觸資安規範的軟體，提前發現潛在風險，達到防範於未然。同時，MDR 團隊也提供定期威脅評估報告及說明，協助用戶清楚掌握自身環境中的資安風險。

**掌握環境現況，就是資安防禦最好的起點。**

###參考資料
[新聞報導：輔大醫院資安事件！醫院電腦亂裝程式 警：形同開後門](https://udn.com/news/amp/story/7321/9065665)

 
>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。
>
>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

環境未經授權的連線程式，足以成為資安防線的破口！

One root cause of cyber incidents stems from employees installing unauthorized proxy servers and cloud-based hosting tools on company computers. **These tools create unapproved “external channels,” allowing outside systems to connect directly to the internal network.** If exploited, these channels could become entry points for intrusions, data exfiltration, or further compromise of internal systems.

This highlights a broader challenge faced by many enterprise IT teams. Their responsibilities extend far beyond routine server maintenance and account management; the greater difficulty lies in maintaining visibility into what software is installed across hundreds of employee devices. As organizations grow, ensuring that staff use only approved and legally compliant applications becomes one of the most complex and urgent tasks in modern cybersecurity.

A tool that appears harmless—perhaps installed by a developer for testing—can quietly introduce risk if no proper review or monitoring process is in place. It may even create unintended “external access channels” or serve as a launchpad for attackers. Common maintenance utilities like PsExec and ProcDump are often exploited in internal intrusions and privilege escalation. Meanwhile, VPN clients, remote desktop tools, and portable applications can bypass security policies and increase the risk of data leakage.

**So, how can enterprises determine whether these software tools that pose potential risks exist within their environment?**

##ThreatSonar Anti-Ransomware can help enterprises identify potentially unsafe software programs

In addition to real-time threat detection, TeamT5’s [ThreatSonar Anti-Ransomware, Endpoint Detection and Response Platform](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) can perform historical retrospective analysis. Through the rules of ThreatSonar Anti-Ransomware's threat tracking feature, the software programs mentioned above can be identified. The relevant rule sets are shown in the figure.

![](https://uploads.teamt5.org/upload/original/unauthorized-connection-to-the-network-can-become-a-breach-in-cybersecurity-defenses_pic1_en.png)

 

Besides existing rule sets, you can also search for software installed in the environment using criteria such as file name, hash value, and signature. In the example below, the signature is used as criteria to locate related software–even those with modified file names. Furthermore, you can query the file path and related signatures.

![](https://uploads.teamt5.org/upload/original/unauthorized-connection-to-the-network-can-become-a-breach-in-cybersecurity-defenses_pic002_en.png)

![](https://uploads.teamt5.org/upload/original/unauthorized-connection-to-the-network-can-become-a-breach-in-cybersecurity-defenses_pic3_en.png)

 

##ThreatSonar Anti-Ransomware makes managed detection and response service more efficiently
For managed detection and response (MDR) service providers, ThreatSonar Anti-Ransomware offers more than just reactive alert handling. Instead of passively waiting for notifications before taking action, providers can use the platform to proactively hunt for hidden threats across the enterprise environment.

Through its advanced threat-hunting capabilities, providers can proactively detect grayware that is easily abused, as well as software that violates corporate cybersecurity regulations. This allows them to identify potential risks early and prevent incidents before they occur. In addition, providers can deliver regular threat-assessment reports and analysis, helping clients clearly understand the cybersecurity risks in their environment.

**Understanding the current state of your environment is the best starting point for cybersecurity defense. Contact us for a free demo of business cooperation!**
 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

The Silent Threat: How Unauthorized Connections Break Your Cyber Defenses

In today’s increasingly complex threat landscape, organizations should evaluate the effectiveness of cybersecurity solutions not merely by their listed specifications, but through empirical data that reflects their real-world defense capabilities.
Recently, TeamT5’s ThreatSonar Anti-Ransomware Endpoint Detection & Response Platform successfully completed Breach and Attack Simulation (BAS) testing conducted by Leukocyte-Lab. The results demonstrated strong defensive capabilities against real-world attack scenarios.

This article explains how the solution performs in a simulated [cyber kill chain](https://teamt5.org/en/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website), which specific attack techniques it effectively blocked, and how organizations can interpret these test results as a valuable reference when selecting cybersecurity solutions.

##What Is Breach and Attack Simulation (BAS)? Why Should Cybersecurity Solutions Undergo BAS Testing?

BAS is an automated testing method that simulates the adversarial tactics observed in real-world cyberattacks to verify whether security defenses can effectively detect and respond to threats in real time. Unlike traditional penetration testing, BAS emphasizes **continuity** and **repeatability**, allowing organizations to periodically evaluate the effectiveness of their defense strategies and immediately uncover potential gaps in protection.

For cybersecurity solutions, successful completion of BAS testing serves as empirical verification of both functional integrity and operational effectiveness. It enables users to understand a solution’s actual protective capabilities under real attack conditions—whether it can detect attacks, correlate anomalous events in a timely manner, and execute effective response and remediation. Consequently, BAS testing results offer enterprises objective, evidence-based data to evaluate and select cybersecurity solutions.

##How Cybersecurity Solutions Perform in a Simulated Attack Chain

BAS testing simulates complete attack lifecycle derived from real-world APT incidents, covering stages from initial intrusion and lateral movement to data exfiltration. The simulation begins with Bypass User Account Control (UAC)—a common attacker tactic that exploits system vulnerabilities or techniques to grant administrative privileges without user approval. The next stage involves privilege escalation to enable malware or an attacker to perform high-privilege operations without triggering UAC prompts, eventually deploying ransomware.

![](https://uploads.teamt5.org/upload/original/evaluating-defense-effectiveness-through-bas-how-team-t5-s-threat-sonar-anti-ransomware-defends-against-real-world-threats_en.jpg)

 

During the simulated attack, TeamT5’s ThreatSonar Anti-Ransomware Endpoint Detection & Response Platform not only passed the BAS test and promptly blocked malicious behaviors, but also demonstrated the following key defense capabilities:

- **Real-Time Alerting and Process Blocking**
ThreatSonar Anti-Ransomware’s Protect Plus feature strengthens protection by detecting file encryption behavior and immediately terminating the malicious process to prevent further propagation.

- **Detect Correlated Attack Behaviors and Response**
Beyond isolated event alerts, ThreatSonar Anti-Ransomware correlates endpoint behaviors with threat intelligence to reconstruct the full attack chain, accelerating incident response and remediation.

##How Organizations Can Leverage BAS Testing to Evaluate Cybersecurity Effectiveness

Many organizations evaluate cybersecurity solutions primarily based on technical features. BAS testing offers objective and quantifiable performance indicators, helping organizations understand their true defense effectiveness.
Organizations can interpret BAS test results from the following three perspectives:
- **Protection coverage**: Evaluate the solution’s detection and blocking capabilities to identify blind spots in the attack lifecycle, and verify the completeness of existing defenses.
- **False positive rates**: An effective defense system should accurately identify threats while minimizing alert fatigue and reducing the risk of missed detections—ensuring robust protection without disrupting daily operations.
- **Response speed and visualization**: Assess whether the system can quickly visualize attack paths and impact scope, enabling faster incident triage and investigation.

By analyzing protection coverage, accuracy, and response speed, organizations can make more informed decisions when selecting solutions and continuously improve their overall defense posture.

##Summary
In an era where cybersecurity decisions demand absolute precision, BAS testing provides organizations with objective evidence of a solution’s reliability.

The ThreatSonar Anti-Ransomware Endpoint Detection & Response Platform, validated by Leukocyte-Lab, has demonstrated exceptional defense accuracy and effectiveness in simulated attack scenarios—proving its ability to block sophisticated threats and safeguard organization environments.

>[Learn more about our ThreatSonar Anti-Ransomware Endpoint Detection & Response Platform](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions - [https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/).

Evaluating Defense Effectiveness Through BAS: How TeamT5’s ThreatSonar Anti-Ransomware Defends Against Real-World Threats

在當今威脅日益複雜的環境中，企業檢視資安解決方案的效能，不應只是參考書面規格，更宜藉由實證數據來了解其防護能力。近期，我們的 ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台，通過盧氪賽忒 Leukocyte-Lab 入侵與攻擊模擬演練（Breach and Attack Simulation, BAS）測試，展現面對真實攻擊場景的高精準度防禦表現。

本文將說明我們的解決方案如何在模擬的[網路攻擊鏈](https://teamt5.org/tw/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website)中發揮作用、成功攔阻哪些具體攻擊手法，以及企業該如何解讀這些測試結果，作為選擇資安解決方案的重要依據。

##什麼是入侵與攻擊模擬演練（BAS）？為何資安解決方案需要通過 BAS 實測？

BAS 為自動化測試方法，透過模擬駭客在真實世界中常見的攻擊手法，驗證資安防護系統是否能即時偵測與應對威脅。與傳統的滲透測試不同，BAS 更強調「持續性」與「可重複性」，可定期評估資安防禦策略的有效性，並即時揭露防線中的缺口。

對資安解決方案而言，通過 BAS 測試，是實際驗證其功能與效能。這測試可幫助使用者了解該解決方案在實際攻擊情境下的防護能力，例如是否能應對多階段攻擊、能否快速關聯異常事件，及能否進行有效的回應與處置。對於企業選擇資安解決方案來說，模擬演練的測試結果可作為選擇方案與決策的依據。

##在模擬攻擊鏈中，資安解決方案如何發揮作用？
BAS 測試模擬來自真實 APT 的完整攻擊流程，涵蓋從初始滲透、橫向移動到資料外洩等階段。模擬攻擊的第一步 —— Bypass UAC（繞過使用者帳戶控制），攻擊者利用系統漏洞或技巧，讓原需管理員權限的程式，在未經使用者授權的情況下，直接獲得完整的管理員權限。第二步則透過權限提升，讓惡意軟體或攻擊者能在未觸發使用者 UAC 提示的情況下，進行需要高權限的操作，執行勒索。

![](https://uploads.teamt5.org/upload/original/evaluating-defense-effectiveness-through-bas-how-team-t5-s-threat-sonar-anti-ransomware-defends-against-real-world-threats_tw.jpg)

 

在上述模擬攻擊中，TeamT5 的「ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台」不僅成功通過 BAS 模擬測試，及時阻斷惡意行為，更證明具備以下關鍵防禦能力：
- **即時告警，阻斷惡意活動**：透過 ThreatSonar Anti-Ransomware 的 Protect Plus 功能，可強-化對於勒索軟體執行時的保護，當模擬勒索程式開始加密檔案時，系統能即時攔截並封鎖執行程序，避免擴散。
- **多點偵測並關聯攻擊行為，有效應變**：ThreatSonar Anti-Ransomware 不只在單一事件中觸發警示，而是透過關聯端點的行為分析與情資比對，發掘完整的攻擊軌跡，加速事件處置與應變。

##企業如何運用客觀 BAS 測試，評估資安效能？
許多企業在選擇資安解決方案時，多從技術規格評估。而 BAS 測試以實戰數據為基礎提供了客觀、可量化的效能指標，幫助企業從真實攻擊模擬中了解其防護效能。企業可從以下三點來解讀測試成果：
- **防護覆蓋率**： 檢視解決方案能偵測/阻擋能力、哪些階段存在防護盲區，進而判斷目前安全防線是否完整。
- **誤判率與誤報率**： 好的防禦系統要能準確偵測威脅，也要避免過度告警造成的警報疲勞，或誤判漏報造成的風險，讓企業得以維持安全，又不影響日常營運。
- **回應速度與可視化能力**：當模擬攻擊發生時，BAS 測試可檢視系統是否能及時呈現攻擊路徑和影響範圍，讓資安團隊快速理解事件全貌，縮短事件調查和處置時間。


透過防護覆蓋率、誤判率與回應速度等關鍵指標，企業不僅能更有效地選擇解決方案，也能持續優化整體防禦策略。

##結語
在資安決策不容失誤的時代，通過 BAS 攻擊模擬測試的資安解決方案，為企業提供一層信任背書。而「ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台」通過盧氪賽忒的檢驗，證明其面對資安威脅攻擊的防護效能絕佳，能有效阻擋駭客攻擊，為企業最佳選擇。 

>[點擊了解「ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台」](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，了解備受客戶肯定的資安解決方案與服務。

從攻擊模擬演練看防禦效能：TeamT5 ThreatSonar Anti-Ransomware 如何應對真實威脅

ThreatSonar Anti-Ransomware インフォメーション

ThreatSonar Anti-Ransomware Resources

Cyber threats today are no longer isolated incidents, but **organized campaigns with clear objectives**. It is like facing a well-equipped army: if defenders focus only on the bullets flying in, while ignoring the gunman behind them, they will eventually be overwhelmed.

ThreatVision Adversaries Intelligence addresses this challenge by shifting the focus from single alerts or events to the **attackers themselves**, enabling organizations to move from reactive response to intelligence-driven defense.

## Revealing the Gaps: Who Is Attacking and Why?
In a fast-changing threat landscape, fragmented alerts and scattered incidents often prevent teams from connecting activity to specific groups. Without understanding adversaries’ TTPs, defenses lag and cannot anticipate the next move. It is like fighting blindfolded—exhausting effort with little real protection.

## Deep Insight for Knowing the Enemy
ThreatVision Adversaries Intelligence enables organizations to regain the initiative by:

- Profiling adversary behavior and motivation: Combining years of TeamT5 research to reveal identities, objectives, and behavior patterns of adversary.

- Correlating tools and intelligence: Linking adversary groups with malware, tactics, and techniques to build a complete threat picture.

- Exclusive long-term tracking: Expert teams continuously uncover adversary evolutions, keeping defenders one step ahead.

![](https://uploads.teamt5.org/upload/original/TV%20Blog_From%20Bullets%20to%20the%20Gunman_EN.jpg)

## Building a Stronger Foundation: Understanding the Attackers
With ThreatVision Adversaries Intelligence, CISOs can assess risks accurately, analysts can clarify adversary intent quickly, and incident responders can deploy targeted defenses. Limited resources can be focused where they matter most, strengthening resilience at its core.

**True defense begins with understanding the adversaries.**

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

From Bullets to the Gunman: ThreatVision Adversaries Intelligence

當前的網路威脅已不再是零星事件，而是帶著明確目標的組織性攻擊。就像面對一支有備而來的軍隊，如果我們只專注於眼前飛來的子彈，而忽視背後扣扳機的槍手，最終將陷入難以脫身的困境。

ThreatVision 攻擊族群正是為了解決這樣的挑戰而生。它將資安視野從單一告警或事件，拉高至攻擊者本身，協助組織從「被動應變」轉為「情資驅動」的主動部署。

## 揭露防禦缺口：誰在攻擊？為何而來？
在瞬息萬變的威脅環境中，龐雜的告警與零散的事件，常使團隊無法精準連結攻擊行為與特定族群，總是在歸因的迷霧中摸索。缺乏對攻擊者慣用戰術與程序（TTP）的理解，更讓防禦策略始終落後，難以預判對方的下一步。這就像蒙著眼睛應戰，不僅耗費心力，也難以建立真正有效的防禦。

## 賦予資安團隊「知己知彼」的深度洞察
ThreatVision 攻擊族群可協助組織扭轉困境，從被動轉為主動：
- 剖析攻擊族群行為與動機：結合 TeamT5 長年研究與追蹤的成果，揭示攻擊族群的身份、目的與行為模式。

- 串聯慣用手法與情資：將攻擊族群與零散的惡意程式、手法等相互關聯，協助組織掌握完整的威脅圖像。

- 提供獨家深入追蹤：由專家團隊持續揭露攻擊族群的最新動態與手法演變，讓防禦決策始終領先一步。

![](https://uploads.teamt5.org/upload/original/TV%20Blog_From%20Bullets%20to%20the%20Gunman_TW.jpg)


## 鞏固防禦的關鍵基石：了解對手
運用 ThreatVision 攻擊族群，決策者能精準評估風險，分析師可快速釐清攻擊意圖，事件應變團隊能有效部署防禦措施，組織可以把有限資源投注在最關鍵的地方，從根本提升防禦效能。

真正的防禦，始於了解對手。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。
>
>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

從看見子彈到鎖定槍手：ThreatVision 深入剖析攻擊族群

今日のサイバー脅威は、もはや単発的なインシデントではなく、明確な目的を持つ組織的なキャンペーンです。

それは、十分に装備を整えた軍隊に直面しているようなものです。目の前の弾丸（個々のアラート）への対応に追われ、背後の銃撃者（攻撃者）を見落としていては、いずれ圧倒されてしまうでしょう。

ThreatVision アドバーサリー・インテリジェンスは、この課題に応えるため、単一のアラートやイベントから「攻撃者そのもの」へと焦点を移し、組織を受動的対応からインテリジェンス駆動型防御へと導きます。

##ギャップを明らかにする：誰が、なぜ攻撃しているのか？
脅威環境が急速に変化する中、断片的なアラートや散発的なインシデントでは、特定のグループに活動を結びつけることが困難です。攻撃者のTTPを理解できなければ、防御は遅れ、次の一手を予測することはできません。それはまるで目隠しをしたまま戦うようなもので、労力ばかりかかり、実際の防御効果は乏しいのです。

##敵を知るための深い洞察
ThreatVision アドバーサリー・インテリジェンスは、組織が主導権を取り戻すことを可能にします。
- **攻撃者の行動と動機をプロファイリング**：TeamT5の長年の調査を基に、攻撃者の正体、目的、行動パターンを明らかにする。


- **ツールとインテリジェンスの相関付け**：攻撃グループをマルウェア、戦術、技術と結びつけ、完全な脅威像を構築する。


- **独自の長期的なトラッキング**：専門チームが継続的に攻撃者の進化を解明し、防御側を常に一歩先へと導く。

![](https://uploads.teamt5.org/upload/original/TV%20Blog_From%20Bullets%20to%20the%20Gunman_EN.jpg)

##より強固な基盤を築く：攻撃者を理解する
ThreatVision アドバーサリー・インテリジェンスによって、CISOは正確にリスクを評価でき、アナリストは攻撃者の意図を迅速に明確化でき、インシデントレスポンダーは標的型の防御を展開できます。限られたリソースを最も重要な部分に集中させることで、組織のレジリエンスは中核から強化されます。

**真の防御は、攻撃者を理解することから始まります。**


 
>TeamT5はトップクラスのサイバー脅威アナリストで構成され、地理的・文化的優位性を活かし、アジア太平洋地域における攻撃者の理解において最高の知見を有しています。世界の主要なサイバーセキュリティ会議に頻繁に招かれており、当社の脅威インテリジェンス研究とソリューションは、Frost & Sullivanによる 2023-2024 台湾脅威インテリジェンス分野 年間最優秀企業賞 を受賞しています。
>
>お問い合わせはこちら: [link](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

撃たれた弾丸ではなく、撃った者へ：ThreatVision アドバーサリー・インテリジェンス

As ransomware and data breach incidents surge, cybercrime has become one of the most critical challenges to the global digital economy. Hacker groups today attack not only governments and large corporations but also industries such as healthcare, finance, and manufacturing—and even the critical infrastructure that supports daily life.

No matter the country, region, or sector, every organization faces escalating risks. No one is exempt.

##The Underground Is Closer Than You Think
Many still believe cybercrime happens in distant corners of the internet, but reality tells a different story. Stolen patient records from hospitals, banking credentials sold on the dark web, and leaked government data all directly affect our daily lives and work. Clues of these incidents—forum posts, ransomware group statements, or transactions on underground markets and Telegram channels—often appear long before the attacks become public.

The real challenge, therefore, is not the **lack of intelligence**, but the ability to **interpret the language of the criminal underground**. Without local linguistic and cultural context, vital information is easily misunderstood or overlooked. Understanding how hackers communicate, which tools they use, and which industries they target is essential to turning fragmented signals into actionable intelligence.

For over 20 years, TeamT5 has continuously monitored Chinese-speaking underground forums and illicit trading networks. Leveraging its deep APAC expertise, TeamT5 deciphers threats that others cannot and transforms first-hand observations into **ThreatVision Cybercrime (CC)** Intelligence, empowering organizations to shift from passive defense to proactive prevention.

##Stay Ahead of Criminal Activity
**ThreatVision Cybercrime Intelligence** covers data from the deep web, dark web, underground forums, Telegram channels, and Chinese-speaking cybercrime communities.

It provides expert-verified, ready-to-use intelligence, including:
- **Cybercrime Campaigns** 
Analyze recent cybercrime activities, providing malware execution details and related Indicators of Compromise (IoCs).

- **Forum Activities** 
Track the latest ransomware developments and discussions across dark web forums, providing data and analysis related to ransomware attacks. 

- **Ransomware Activities** 
Monitor ongoing ransomware activities, delivering information and context on ransomware operations and claimed victims. 

- **Cybercrime News** 
Provide timely updates on recent cybercrime news and significant incidents. 

- **Cybercrime Tailored Report** 
Offer in-depth, client-tailored analyses of disclosed incidents or specific cybercrime campaigns.

These are more than just pieces of intelligence—they provide **entry points for adjusting defense strategies before threats materialize**. By examining adversary behavior and operations, ThreatVision helps organizations enhance proactive prevention and reinforce resilience.


##Transforming Defense Through the Hacker’s Lens
Hackers plan their actions carefully—selecting targets, exchanging tools, and treating attacks as a business. Organizations that rely solely on traditional defense models can only respond after an attack occurs. By instead adopting the hacker’s perspective—understanding their motives, processes, and methods—defenders can predict potential moves and prepare ahead of time.

This mindset shift transforms cybersecurity from **reactive patching** to **adaptive defense** that evolves with the threat landscape.

This is the core value of **[ThreatVision Cybercrime Intelligence](https://teamt5.org/en/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website)**: transforming insight into adversary behavior into a defensive advantage. By anticipating attacker intent and understanding how they operate, organizations can stay one step ahead and strengthen their cybersecurity posture.

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision Cybercrime Intelligence: Revealing Threats from the Hacker’s Perspective

在勒索軟體與資料外洩事件頻繁出現的今日，網路犯罪已成為全球數位經濟中最嚴峻的挑戰之一。駭客集團不僅攻擊政府與大型企業，也瞄準醫療、金融、製造等產業，甚至波及日常生活所仰賴的基礎設施。無論處在哪個國家、地區或產業，所有組織都面臨持續升高的威脅，沒有人能置身事外。

##犯罪世界與您的距離比想像中更近
許多人認為駭客犯罪發生在遙遠的網路角落，與自己無關，但事實並非如此。從醫療院所的病患資料遭竊、金融機構的帳號密碼在暗網兜售，到政府機關的機密資料外洩，這些事件不僅直接衝擊你我的日常生活與工作，且事前在地下論壇或 Telegram 頻道就可能出現貼文、放話，甚或是交易紀錄等線索。因此，真正的挑戰不在於「沒有相關情資」，而是「能否解讀犯罪世界的語言」。若缺乏在地語言與文化脈絡，資訊很容易遭到誤判甚至忽視；唯有理解駭客如何交流、使用哪些工具、鎖定哪些產業，才能把零散訊號轉化為具體行動。

TeamT5 深耕亞太二十多年，持續追蹤中文地下論壇與非法交易圈，能以在地視角精準解讀其他廠商難以看懂的威脅，並將第一手觀察彙整為 **ThreatVision 網路犯罪（Cybercrime，CC）**情資，協助組織從被動防禦邁向主動預防。

##掌握犯罪世界的最新動態
ThreatVision 網路犯罪情資內容涵蓋深暗網、地下論壇、Telegram 頻道與中文犯罪社群的訊息，提供經專家驗證且可立即運用的情資：
- **網路犯罪活動研析報告**：深入剖析重大事件，並提供惡意程式與相關入侵指標（Indicator of Compromise，IoC）。
- **暗網論壇動態**：追蹤論壇上的外洩事件與討論，並提供初步分析。
- **勒索軟體動態**：掌握勒索軟體集團的最新動向與攻擊行動。
- **網路犯罪快訊**：快速掌握近期重要事件與趨勢。
- **客製化網路犯罪分析報告**：對特定事件或攻擊進行深入研析。

這些不只是情資，而是能讓組織在威脅尚未成形時，就找到調整防禦思維的切入點，並以駭客的運作模式作為依據，成為主動預防的關鍵助力。

##從駭客視角翻轉防禦思維
駭客行動往往精心規劃——挑選標的、討論工具，把攻擊當成一門生意。若僅依循傳統的防禦模式，組織只能在攻擊發生後補救。當我們以駭客視角理解其動機與模式，就能預測可能的行動並提前準備。這種思維改變，讓防禦不再只是堵住眼前的破口，而是隨著威脅演進持續調整。

這正是 **[ThreatVision 網路犯罪情資](https://teamt5.org/tw/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website)**的核心價值：從駭客視角出發，將對其行為與手法的理解轉化為防禦優勢，組織方能超前部署應對策略，搶先駭客一步，鞏固資安防護邊界。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。
>
>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision 網路犯罪情資：從駭客視角揭露威脅

ランサムウェアや情報漏えいの急増により、サイバー犯罪は今や世界のデジタル経済における最も深刻な課題のひとつとなっています。現在、ハッカーグループは政府や大企業だけでなく、医療・金融・製造などの産業、さらには日常生活を支える重要インフラにまで攻撃を仕掛けています。国や地域、業種を問わず、すべての組織が高まるリスクに直面しています。もはや“例外”は存在しません。

##地下社会は、あなたが思うよりずっと近くにある
多くの人は、サイバー犯罪がインターネットの遠い片隅で起きていると考えています。しかし現実は違います。病院から盗まれた患者データ、ダークウェブで売買される銀行認証情報、漏えいした政府データ — これらはすべて、私たちの日常生活や仕事に直接的な影響を与えています。こうした事件の手がかり — フォーラムへの投稿、ランサムウェアグループの声明、地下市場やTelegram上での取引 — は、攻撃が公になるずっと前から現れています。

真の課題は**「インテリジェンスがないこと」**ではなく、**「犯罪者たちの地下言語を正しく理解し、解釈する力」**です。地域特有の言語や文化的背景を欠いたままでは、重要な情報を誤読したり見逃したりする危険があります。ハッカーがどのようにコミュニケーションを取り、どんなツールを使い、どの業界を狙っているのか — それを理解することこそ、断片的な兆候を“実践的インテリジェンス”へ変える鍵です。

TeamT5は20年以上にわたり、中国語圏の地下フォーラムや違法取引ネットワークを継続的に監視してきました。APAC地域における豊富な専門知識を活かし、他社には解読できない脅威を分析し、一次情報を**ThreatVision Cybercrime（CC）Intelligence**として変換。組織が“受け身の防御”から“能動的な予防”へ移行することを支援します。

##犯罪活動を先読みする力
**ThreatVision Cybercrime Intelligence**は、ディープウェブ、ダークウェブ、地下フォーラム、Telegramチャンネル、そして中国語圏のサイバー犯罪コミュニティから得られたデータを網羅しています。専門家による検証を経た、すぐに活用可能なインテリジェンスを提供します。

- **Cybercrime Campaigns（サイバー犯罪キャンペーン）** 
最近のサイバー犯罪活動を分析し、マルウェアの実行内容や関連するIoC（侵害の痕跡）を提供。

- **Forum Activities（フォーラム活動）** 
ダークウェブ上での最新のランサムウェア動向や議論を追跡し、攻撃に関するデータと分析を提供。 

- **Ransomware Activities（ランサムウェア活動）** 
進行中のランサムウェア活動を監視し、攻撃オペレーションや被害報告に関する情報と背景を提供。 

- **Cybercrime News（サイバー犯罪ニュース）** 
最新のサイバー犯罪ニュースや重大インシデントに関する情報をタイムリーに更新。 

- **Cybercrime Tailored Report（カスタムレポート）** 
特定のインシデントやサイバー犯罪キャンペーンについて、顧客ニーズに合わせた詳細分析を提供。


これらは単なる情報断片ではなく、**脅威が顕在化する前に防御戦略を調整するための“出発点”**です。ThreatVisionは攻撃者の行動と作戦を分析することで、組織が能動的な予防を強化し、レジリエンスを高めることを支援します。

##ハッカーの視点で防御を変革する
ハッカーは攻撃を入念に計画します。標的を選定し、ツールを交換し、攻撃を“ビジネス”として遂行します。一方で、従来型の防御モデルに頼る組織は、攻撃が発生した後にしか対応できません。しかし、ハッカーの視点 — 彼らの動機、プロセス、手法 — を理解することで、防御側は次の一手を予測し、事前に備えることが可能になります。

この思考の転換こそが、サイバーセキュリティを**「事後対応」**から**「適応的防御」**へ進化させる鍵です。

これが**[ThreatVision Cybercrime Intelligence](https://teamt5.org/jp/products/cybercrime-intelligence/?utm_source=blog&utm_medium=website)**の中核的価値です。攻撃者の行動に対する洞察を「防御上の優位性」に変え、攻撃者の意図を先読みし、行動原理を理解することで、組織は常に一歩先を行き、サイバーセキュリティ体制を強化することができます。

 
>TeamT5はトップクラスのサイバー脅威アナリストで構成され、地理的・文化的優位性を活かし、アジア太平洋地域における攻撃者の理解において最高の知見を有しています。世界の主要なサイバーセキュリティ会議に頻繁に招かれており、当社の脅威インテリジェンス研究とソリューションは、Frost & Sullivanによる 2023-2024 台湾脅威インテリジェンス分野 年間最優秀企業賞 を受賞しています。
>
>お問い合わせはこちら: [link](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision Cybercrime Intelligence：ハッカー視点から脅威を読み解く

在當今資安環境中，組織正面臨告警過載、威脅多樣化與應變壓力增加的挑戰。如何在龐大訊號中聚焦真正的風險、並以有限資源做出高效應對，成為資安團隊的關鍵課題。

ThreatVision 以 TeamT5 的專業威脅研究為基礎，透過多元化的情資與工具，協助團隊從「識別」、「狩獵」到「運用」全面強化防禦能力。以下 4 大加值功能，將帶您快速掌握 ThreatVision 的價值。


## 威脅入侵指標：精準識別，阻斷威脅

現代資安團隊面臨告警過載與調查效率低落的挑戰。ThreatVision 透過高可信度入侵指標（IoC），結合行為脈絡與技術細節，協助組織快速辨識關鍵威脅並降低誤報。進階持續性威脅（APT）與網路犯罪（Cyber Crime，CC）IoC 分別針對國家級攻擊與網路犯罪，提供精準偵測與完整脈絡，並可整合至現有防禦架構，有效提升應變效率。無論是即時風險監控或深入調查，ThreatVision 都能成為資安團隊強化防禦的關鍵利器，協助組織聚焦真正的威脅並採取行動。

>了解更多，請閱讀[「威脅入侵指標 Datasheet」](https://teamt5.pse.is/86fvq8)


## 威脅狩獵工具：主動防禦的利器

ThreatVision 提供由 TeamT5 分析師針對惡意程式與漏洞設計的威脅狩獵工具，涵蓋 YARA、Snort、Sigma 等規則，輔以攻擊族群、樣本以及戰術、技術與程序（TTP）等關聯情資，協助組織快速識別異常行為與潛在威脅。這些工具可直接部署於現有架構，讓資安團隊能在有限資源下強化威脅偵測與事件調查，提升主動防禦的效率與精準度。

>了解更多，請閱讀[「威脅狩獵工具 Datasheet」](https://teamt5.pse.is/86fvsg)

##原始情資：掌握威脅的關鍵起點

ThreatVision 原始情資提供尚未公開的初步觀測結果，讓資安團隊能在完整報告發佈前先行掌握潛在威脅，補足時效性與細節不足的情資空窗。這些由分析師產出的第一手資訊包含可疑 IP、網域與雜湊值，能協助調查人員迅速判斷潛在風險，補強防禦邏輯、加速調查流程與縮短應變時間，成為資安團隊建立高效應變與防禦能力的重要依據。

>了解更多，請閱讀[「原始情資 Datasheet」](https://teamt5.pse.is/86fvty)

##威脅情資點數：提升情資運用效益

為滿足從即時威脅判斷到深入調查的需求，ThreatVision 提供 AAP（威脅情資查詢點數）與 RAH（進階威脅情資分析點數）兩種機制，讓使用者能彈性取得所需情資服務。AAP 支援 IP、網域與樣本查詢，以及原始情資檢視，利於快速分類告警；RAH 則可用於下載特定報告、威脅狩獵工具，或提出客製化情資需求。這讓資安團隊中的各種角色都能有效運用情資，精準配置防禦資源，將情資價值最大化。

>了解更多，請閱讀[「威脅情資點數 Datasheet」](https://teamt5.pse.is/86fvmv)

##結語

ThreatVision 不僅是單純的情資來源，而是結合 即時監控、主動狩獵與靈活應用 的完整防禦方案。它讓資安團隊能在快速變動的威脅環境中，聚焦真正需要處理的風險，並以更高效率與更強韌的防禦姿態，迎接各類挑戰。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。
>
>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision 關鍵特色：從威脅識別到狩獵，以專業情資實現主動防禦

In today’s cybersecurity landscape, organizations are challenged by alert overload, increasingly diverse threats, and mounting pressure to respond. The key question for security teams is how to focus on the risks that truly matter amid overwhelming signals—and how to respond efficiently with limited resources.

Built on TeamT5’s expert threat research, ThreatVision empowers teams with diversified intelligence and tools to strengthen defenses across the entire cycle—from identification and hunting to application. The following four value-added features will help you quickly understand the full value of ThreatVision.


##Indicators of Compromise: Precise Identification to Block Threats

Modern security teams face alert overload and inefficient investigations. ThreatVision's high-fidelity IoCs, enriched with context, help teams identify critical threats and reduce false positives. With specific APT/Cyber Crime IoCs, our intelligence integrates into existing defenses to improve response efficiency and focus teams on genuine threats.

> Learn more about it: [Indicators of Compromise datasheet](https://teamt5.pse.is/86h5fs)

##Threat Hunting Tools: A Powerful Asset for Proactive Defense

ThreatVision provides analyst-designed threat hunting tools (YARA, Snort, Sigma) enriched with correlated intelligence on adversaries and their TTPs. These tools deploy directly into existing systems, enabling teams to improve proactive threat detection and investigation with limited resources.

> Learn more about it: [Threat Hunting Tools datasheet](https://teamt5.pse.is/86h5md)

## Raw Intel: The Key Starting Point for Understanding Threats

ThreatVision's Raw Intelligence provides early, unpublished observations (suspicious IPs, domains, hashes) before full reports are released. This firsthand data from our analysts fills critical intelligence gaps, allowing teams to rapidly assess risk, strengthen defenses, and accelerate response times.

> Learn more about it: [Raw Intel datasheet](https://teamt5.pse.is/86h5pa)

##Threat Intelligence Points: Maximizing the Value of Intelligence

ThreatVision uses a flexible credit system to meet diverse intelligence needs. AAP points are for on-demand queries (IPs, domains, samples) and raw intelligence access for rapid triage, while RAH points are for downloading specific reports, hunting tools, or requesting custom analysis. This model ensures all roles can efficiently access the intelligence they need.

> Learn more about it: [Threat Intelligence Points datasheet](https://teamt5.pse.is/86h5qc)


##Summary
ThreatVision is not merely a source of threat intelligence, but a comprehensive defense solution that integrates real-time monitoring, proactive threat hunting, and flexible application. It enables security teams to focus on the risks that truly matter in a rapidly evolving threat environment, while responding with greater efficiency and resilience to all kinds of challenges.


 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision Key Highlights: From Identification to Hunting, Full-Spectrum Threat Visibility

現在のサイバーセキュリティ環境では、組織はアラートの氾濫、多様化する脅威、そして迅速な対応を求められるプレッシャーに直面しています。セキュリティチームにとっての核心的な課題は、「膨大なシグナルの中で本当に重要なリスクにどう焦点を当てるか」、そして「限られたリソースでいかに効率的に対応するか」という点です。

**ThreatVision** は、TeamT5 の専門的な脅威リサーチを基盤に、**識別・ハンティング・活用**の全サイクルにおいて防御を強化するための多角的なインテリジェンスとツールを提供します。以下の4つの付加価値機能によって、ThreatVision の真価をすばやく理解することができます。

##データシートタイトル: IoC（侵害の兆候）: 脅威を遮断するための精緻な特定

現代のセキュリティチームは、アラートの氾濫や非効率的な調査に直面しています。ThreatVision の高精度かつコンテキスト付き IoC は、チームが重大な脅威を特定し、誤検知を減らすのに役立ちます。特定の APT／サイバー犯罪 IoC により、当社のインテリジェンスは既存の防御に統合され、対応効率を高め、チームを真の脅威への集中に導きます

> 詳しくはこちらをご覧ください：[IoC（侵害の兆候）データシート](https://teamt5.pse.is/8avzsy)

##データシートタイトル: 脅威ハンティングツール: プロアクティブ防御の強力な資産

ThreatVision は、アナリスト設計の脅威ハンティングツール（YARA、Snort、Sigma）を提供し、敵対者やその TTP に関する相関インテリジェンスを付与しています。これらのツールは既存システムに直接導入可能で、限られたリソースでもチームがプロアクティブな脅威検知と調査を改善できるようにします。


> 詳しくはこちらをご覧ください：[脅威ハンティングツール データシート](https://teamt5.pse.is/8aw28n)

## データシートタイトル: ローインテル: 脅威理解の出発点

ThreatVision の Raw Intelligence は、完全なレポート公開前に得られる未公開の初期観測データ（不審な IP、ドメイン、ハッシュなど）を提供します。アナリストからの一次データは、重要なインテリジェンスの空白を埋め、チームが迅速にリスクを評価し、防御を強化し、対応時間を短縮することを可能にします。

> 詳しくはこちらをご覧ください：[ローインテル データシート](https://teamt5.pse.is/8avzz4)

##データシートタイトル: Threat Intelligence ポイント: インテリジェンス価値の最大化

ThreatVision は、多様なインテリジェンスニーズに応える柔軟なクレジットシステムを採用しています。AAP ポイントはオンデマンドのクエリ（IP、ドメイン、サンプル）や迅速なトリアージのためのローインテルアクセスに、RAH ポイントは特定レポート、ハンティングツール、カスタム分析依頼のダウンロードに利用できます。このモデルにより、あらゆる役割の人が必要なインテリジェンスへ効率的にアクセスできます。

> 詳しくはこちらをご覧ください：[Threat Intelligence ポイント](https://teamt5.pse.is/8aw24v)

##まとめ
ThreatVision は単なる脅威インテリジェンスの提供源ではなく、リアルタイム監視、プロアクティブな脅威ハンティング、柔軟な活用を統合した包括的な防御ソリューションです。

急速に変化する脅威環境の中で、本当に重要なリスクに焦点を当てることを可能にし、あらゆる課題に対して、より効率的かつ高いレジリエンスで対応できるようセキュリティチームを支援します。


 

>TeamT5はトップクラスのサイバー脅威アナリストで構成され、地理的・文化的優位性を活かし、アジア太平洋地域における攻撃者の理解において最高の知見を有しています。世界の主要なサイバーセキュリティ会議に頻繁に招かれており、当社の脅威インテリジェンス研究とソリューションは、Frost & Sullivanによる 2023-2024 台湾脅威インテリジェンス分野 年間最優秀企業賞 を受賞しています。
>
>お問い合わせはこちら: [link](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision の主な特長：識別からハンティングまで、脅威を可視化するフルスペクトラムのインテリジェンス

在當前複雜多變的網路攻防環境中，僅依賴零散事件與片段觀察已不足以支撐組織的防禦需求。ThreatVision 匯聚 TeamT5 深耕亞太的專業研究成果，針對不同挑戰打造三大情資方案：APT 威脅情資、漏洞情資，以及亞太區域網路政策雙週報。從即時戰術到長期戰略，這些情資協助組織建立完整防護視角，持續提升防禦韌性。


##APT 威脅情資：掌握進階持續性威脅攻防

亞太地區已是全球進階持續性威脅（APT）攻防最激烈的戰場。面對具備長期潛伏、持續演進特性的國家級攻擊，組織僅憑片段觀察難以建立有效防禦。

為應對此挑戰，ThreatVision「APT 威脅情資」匯聚 TeamT5 長期深耕亞太的研究成果，提供從即時到策略性的完整情資。透過週報 (Flash Report)、月報 (Monthly Report) 與季報 (CTR)，我們全方位解構攻擊行動的技術與脈絡，滿足組織從即時應變到長期策略規劃的多元需求。

APT 威脅情資不僅提供可立即部署的入侵指標 (IoC) 與工具，更能協助各層級團隊強化防禦效能；其核心價值在於提供專家驗證的第一手情資，以在地視角連結全球威脅，並將零散事件整合為完整攻擊脈絡，協助組織在複雜的威脅情勢中保持防禦韌性。

>立即閱讀 [Datasheet](https://teamt5.pse.is/86fwnc)，了解 APT 威脅情資的效益

## 全方位漏洞情資：修補緩解一次到位

現代組織面臨漏洞數量龐大、資訊混雜與難以判斷修補優先順序的三大挑戰。ThreatVision 提供經專家篩選與持續更新的漏洞情資，協助組織聚焦於真正具高風險的漏洞，建立更具系統性與效率的應對流程。

漏洞情資暨應對緩解雙週報（VIR）由資深分析師撰寫，聚焦近期遭大規模利用的高風險漏洞。報告深入剖析攻擊情境，提供 CVE、CVSS、緩解策略與獨家偵測工具，協助組織即時因應，降低潛在風險。

漏洞修補管理週報（PMR）則每週彙整約 100 個關鍵漏洞清單，內容包含 CVE、概念驗證程式碼（PoC）、CVSS 評分及受影響產品資訊。這份報告旨在協助使用者在資源有限下，快速判斷修補順序並有效執行漏洞管理。
結合 VIR 的深度分析與 PMR 的漏洞清單，ThreatVision 協助資安團隊精準分配修補資源，從被動應變轉為主動防禦，有效強化整體防護韌性。

>立即閱讀 [Datasheet](https://teamt5.pse.is/86fws3)，了解 漏洞情資的效益



##亞太區域網路政策雙週報：掌握亞太攻擊脈絡

在全球網路攻防日益升高的背景下，許多組織在面對中文網路世界的威脅時，普遍存在資訊不對稱的困境。由於與中國政策演進、法規變動與資訊作戰動態的多數資訊皆零碎且缺乏脈絡，導致組織難以全面評估潛在風險，也無法有效追蹤國家級攻擊者的行動，形成防禦戰略的關鍵盲點。
為解決此一挑戰，TeamT5 推出「亞太區域網路政策雙週報」補足對中文情資的理解落差。

這份由在地專家撰寫的系列報告，專注於追蹤中國與中文網路社群的政策、法規與資訊作戰趨勢。每份報告深入分析重大事件、政策變化與行動關聯，提供具備脈絡的戰略觀點，協助組織精準評估地緣政治風險與制定防禦策略，進而在多變的威脅環境中，掌握戰略主導權。

>立即閱讀 [Datasheet](https://teamt5.pse.is/86g2gm)，了解 ThreatVision 亞太區域網路政策雙週報的效益

##ThreatVision 深暗網風險監控
ThreatVision 深暗網風險監控協助組織即時掌握深暗網中的資安威脅，防範機密資料外洩與不法利用。監控範圍涵蓋 15 億筆外洩資料、7,700 萬台遭駭裝置、1,500 多個深暗網網站與 400 多個 Telegram 頻道。服務內容包括深暗網定期監控告警與提供風險評估建議的專業分析報告。透過整合的單一介面，使用者可快速搜尋、匯出與追蹤資料，快速掌握資料外洩情況。

>立即閱讀 [Datasheet](https://teamt5.pse.is/88vsqr)，了解 ThreatVision 深暗網風險監控的效益

##網路犯罪威脅情資
ThreatVision 網路犯罪情資 以深耕亞太二十餘年的威脅研究為基礎，從攻擊者視角深入剖析網路犯罪生態，協助組織從被動防禦轉為主動預警。情資來源涵蓋深暗網、地下論壇、Telegram 頻道與社群媒體，整合零散跡象為具行動價值的威脅情資，聚焦於勒索軟體集團、駭客組織動態、暗網資料交易與新興攻擊手法的追蹤與分析，揭示網路犯罪生態的真實樣貌，協助企業掌握潛在風險。

ThreatVision 網路犯罪情資服務內容包含網路犯罪活動研析報告、暗網論壇動態監測、勒索軟體動態追蹤、網路犯罪快訊與客製化分析報告，涵蓋惡意程式細節、入侵指標（IoC）與行為脈絡，提供完整且可行動的深度洞察。這些情資經專家驗證與關聯分析，結合攻擊者行為側寫、攻擊技術追蹤與風險評估，協助組織即時偵測、預警並制定防禦策略，全面強化資安防護與營運韌性，實現情資導向的資安決策。

>立即閱讀 [Datasheet](https://teamt5.pse.is/88yt7u)，了解 ThreatVision 網路犯罪威脅情資的效益



##結語
ThreatVision 的三大情資方案——APT 威脅情資、漏洞情資，以及亞太區域網路政策雙週報——共同構成從技術細節到戰略宏觀的完整安全情報體系。透過這些專家驗證、深具在地視角的情資，組織不僅能及時應對攻擊，更能在長期威脅中保持主導與韌性。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。
>
>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision 威脅情資種類指南

In today’s complex and rapidly evolving cyber threat landscape, relying solely on fragmented incidents and isolated observations is no longer sufficient to meet organizational defense needs. ThreatVision consolidates TeamT5’s in-depth research across the Asia-Pacific region, delivering three tailored intelligence solutions to address different challenges: APT Threat Intelligence, Vulnerability Intelligence, and the Asia-Pacific Cyber Policy Biweekly Report. 

Covering everything from real-time tactical insights to long-term strategic perspectives, these intelligence offerings help organizations build a comprehensive defensive outlook and continuously strengthen their resilience.

##APT Intelligence: Mastering Advanced Persistent Threat Attack and Defense
The APAC region is the most active front for Advanced Persistent Threat (APT) activity. With state-backed campaigns marked by stealth and constant evolution, organizations cannot rely on fragmented observations alone.

ThreatVision’s APT Threat Intelligence, built on TeamT5’s APAC expertise, delivers tactical to strategic insights through Flash Report, Monthly Report, and Campaign Tracking Report — supporting both rapid response and long-term planning.

Our intelligence provides ready-to-use IoCs and tools, while helping teams at every level strengthen defenses. Its core value is expert-verified, firsthand intelligence that links global threats with APAC context and unifies scattered incidents into a full picture — enabling organizations to remain resilient in a complex threat landscape.

> Learn more about it: [Comprehensive APT Intelligence datasheet](https://teamt5.pse.is/86hebt)


##Comprehensive Vulnerability Intelligence: Streamlined Patching and Mitigation

Modern organizations face three key challenges in vulnerability management: overwhelming volume, fragmented information, and difficulty prioritizing fixes. ThreatVision delivers expert-curated, continuously updated vulnerability intelligence to help focus on high-risk issues and build efficient response workflows.

The Vulnerability Insights Report (VIR), authored by senior analysts, highlights high-risk vulnerabilities under active, widespread exploitation. It provides attack scenarios, CVE details, CVSS scores, mitigation strategies, and proprietary detection tools to support real-time response.

The Patch Management Report (PMR) lists about 100 critical vulnerabilities, with PoC availability and affected products, helping resource-limited teams prioritize patching effectively.

By combining both, ThreatVision enables precise resource allocation, shifts teams from reactive to proactive defense, and strengthens overall resilience.

> Learn more about it: [Comprehensive Vulnerability Intelligence datasheet](https://teamt5.pse.is/86h62l)

##Cyber Affairs Biweekly Report: Understanding the Context of Attacks in the Asia-Pacific Region

In today’s cyber conflict, many organizations face an information gap when monitoring threats from the Chinese-language cyber landscape. Data on China’s policy shifts, regulations, and information warfare is often fragmented and lacks context, creating a major blind spot in assessing risks and tracking state-sponsored adversaries.

To close this gap, TeamT5’s Cyber Affairs Biweekly Report provides expert analysis on China’s policy, regulatory, and information warfare trends, as well as Chinese-speaking online communities. Each issue reviews major events and their connections, delivering strategic context to help organizations assess geopolitical risks, shape defensive strategies, and maintain the initiative in a dynamic threat environment.

> Learn more about it: [Cyber Affairs Biweekly Report datasheet](https://teamt5.pse.is/86h5zy)


##ThreatVision Deep & Dark Web Risk Monitoring
ThreatVision Deep & Dark Web Risk Monitoring enables organizations to detect and respond to data leaks and underground threats timely. Covering 1.5 billion leaked records, 77 million compromised devices, 1,500+ dark web sites, and 400+ Telegram channels, it delivers visibility into the cyber underground. The service provides regular monitoring alerts, tailored reports with risk assessments, and a unified interface for rapid search, export, and tracking of leaked data—helping to strengthen overall cyber resilience.

> Learn more about it: [Deep & Dark Web Risk Monitoring datasheet](https://teamt5.pse.is/88vtaz)

##Cybercrime Intelligence
ThreatVision Cybercrime Intelligence leverages over 20 years of APAC-focused threat research to reveal the cybercrime ecosystem from attackers’ view. It enables organizations to shift from reactive response to proactive defense through intelligence sourced from the deep and dark web, underground forums, Telegram channels, and social media.
Cybercrime Intelligence offers comprehensive, expert-validated insights into ransomware groups, hacker activities, data trading, and emerging attack techniques, with malware details, IoCs, and behavioral context that support faster detection and informed defense strategies. With attacker profiling, technique tracking, and risk analysis, ThreatVision empowers organizations to anticipate threats, strengthen readiness, and build lasting cyber resilience
> Learn more about it: [Cybercrime Intelligence datasheet](https://teamt5.pse.is/88yt9m)



##Summary


ThreatVision’s Three Intelligence Solutions—APT Threat Intelligence, Vulnerability Intelligence, and the Asia-Pacific Cyber Policy Biweekly Report—together form a comprehensive security intelligence system that spans from technical details to strategic overviews. With expert-validated intelligence grounded in a strong regional perspective, organizations can not only respond promptly to attacks, but also maintain leadership and resilience against long-term threats.

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

Guide for ThreatVision Threat Intelligence 

今日の複雑で急速に変化するサイバー脅威の状況においては、断片的なインシデントや個別の観測結果に頼るだけでは、組織の防御ニーズを満たすことはできません。
ThreatVision は、TeamT5 がアジア太平洋地域全体で行っている詳細なリサーチを統合し、異なる課題に対応する3つのインテリジェンスソリューションを提供します。
それが、APT脅威インテリジェンス、脆弱性インテリジェンス、そしてアジア太平洋サイバーポリシー隔週レポートです。

リアルタイムの戦術的なインサイトから、長期的な戦略的視点に至るまで、これらのインテリジェンスは、組織が包括的な防御体制を構築し、継続的にレジリエンスを強化することを支援します。

##データシートタイトル: APT インテリジェンス
APAC 地域は、APT（高度持続的脅威）活動の最も活発な舞台です。国家支援キャンペーンはステルス性と進化を特徴としており、断片的な観測に頼るだけでは不十分です。
ThreatVision の APT 脅威インテリジェンス は、TeamT5 の APAC 専門知見に基づき、フラッシュレポート、月次レポート、キャンペーントラッキングレポートを通じて戦術から戦略までの洞察を提供し、迅速な対応から長期的計画までを支援します。

当社のインテリジェンスは即利用可能な IoC やツールを提供し、あらゆるレベルのチームが防御を強化できるよう支援します。その核心的価値は、専門家が検証した一次インテリジェンスであり、世界的脅威と APAC の文脈を結びつけ、散発的なインシデントを統合して全体像を示すことです。これにより、組織は複雑な脅威環境においてレジリエンスを維持できます。

> 詳しくはこちらをご覧ください：[包括的なAPTインテリジェンス データシート](https://teamt5.pse.is/8avyu6)


##データシートタイトル: 包括的な脆弱性インテリジェンス: 効率的なパッチ適用と軽減策
現代の組織は、脆弱性管理において「膨大な件数」「情報の断片化」「修正の優先付け困難」という3つの主要課題に直面しています。ThreatVision は専門家が厳選し継続的に更新する脆弱性インテリジェンスを提供し、高リスクの問題に集中して効率的な対応ワークフローを構築できるようにします。

Vulnerability Insights Report (VIR): シニアアナリストが執筆し、広範に悪用されている高リスク脆弱性を強調。攻撃シナリオ、CVE詳細、CVSSスコア、緩和策、独自検知ツールを提供。

Patch Management Report (PMR): 約100件の重要脆弱性をリスト化し、PoC の有無や影響製品を提示。リソースが限られたチームでも効果的にパッチ適用を優先可能。

両者を組み合わせることで、ThreatVision は正確なリソース配分を可能にし、チームを受動的防御から能動的防御へと移行させ、全体的なレジリエンスを強化します。

> 詳しくはこちらをご覧ください：[包括的な脆弱性インテリジェンス データシート](https://teamt5.pse.is/8avyvv)


##データシートタイトル: サイバー情勢隔週レポート
今日のサイバー紛争において、多くの組織は中国語圏のサイバー情勢を監視する際に情報ギャップに直面しています。中国の政策変化、規制、情報戦に関するデータは断片的でコンテキストに欠けており、国家支援型の敵対者を評価・追跡する際の大きな盲点となっています。

このギャップを埋めるため、TeamT5 の サイバー情勢隔週レポート は、中国の政策、規制、情報戦の動向、さらに中国語圏のオンラインコミュニティに関する専門的分析を提供します。各号では主要イベントとその関連性をレビューし、組織が地政学的リスクを評価し、防御戦略を策定し、動的な脅威環境において主導権を維持できるよう戦略的コンテキストを届けます。

> 詳しくはこちらをご覧ください：[サイバー情勢隔週レポート データシート](https://teamt5.pse.is/8avyws)

##ディープ＆ダークウェブ・リスクモニタリング
ThreatVision Deep & Dark Web リスクモニタリングは、組織がデータ漏えいやアンダーグラウンド上の脅威を迅速に検知・対応できるよう支援します。

15億件の漏えい記録、7,700万台の侵害デバイス、1,500以上のダークウェブサイト、400以上のTelegramチャンネルをカバーし、サイバー地下領域の可視化を実現します。本サービスは、定期的なモニタリングアラート、リスク評価を含むカスタマイズレポート、そして漏えいデータの迅速な検索・エクスポート・追跡を可能にする統合インターフェースを提供し、組織全体のサイバー・レジリエンス強化を支援します。

> 詳しくはこちらをご覧ください：[ディープ／ダークウェブ インテリジェンス データシート](https://teamt5.pse.is/88yryf)

##Cybercrime Intelligence（サイバー犯罪インテリジェンス）
ThreatVision Cybercrime Intelligence は、20年以上にわたるAPAC（アジア太平洋）地域に特化した脅威リサーチを活用し、攻撃者の視点からサイバー犯罪エコシステムを明らかにします。ディープ／ダークウェブ、アンダーグラウンドフォーラム、Telegramチャンネル、ソーシャルメディアなどから得られるインテリジェンスをもとに、組織が「受動的な対応」から「能動的な防御」へとシフトすることを可能にします。

Cybercrime Intelligence は、ランサムウェアグループ、ハッカー活動、データ取引、新たな攻撃手法に関する包括的で専門家による検証済みのインサイトを提供します。さらに、マルウェアの詳細情報、IoC、および行動的コンテキストを通じて、迅速な検知と効果的な防御戦略の立案を支援します。攻撃者プロファイリング、手法トラッキング、リスク分析を組み合わせることで、ThreatVision は組織が脅威を先読みし、備えを強化し、持続的なサイバー・レジリエンスを構築することを可能にします。

> 詳しくはこちらをご覧ください：[サイバー犯罪インテリジェンス データシート](https://teamt5.pse.is/88ytcj)


##まとめ


ThreatVision’s Three Intelligence Solutions—APT Threat Intelligence, Vulnerability Intelligence, and the Asia-Pacific Cyber Policy Biweekly Report—together form a comprehensive security intelligence system that spans from technical details to strategic overviews. With expert-validated intelligence grounded in a strong regional perspective, organizations can not only respond promptly to attacks, but also maintain leadership and resilience against long-term threats.

 

>TeamT5はトップクラスのサイバー脅威アナリストで構成され、地理的・文化的優位性を活かし、アジア太平洋地域における攻撃者の理解において最高の知見を有しています。世界の主要なサイバーセキュリティ会議に頻繁に招かれており、当社の脅威インテリジェンス研究とソリューションは、Frost & Sullivanによる 2023-2024 台湾脅威インテリジェンス分野 年間最優秀企業賞 を受賞しています。
>
>お問い合わせはこちら: [link](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision 脅威インテリジェンス ガイド 

Malware continues to evolve, using variants and obfuscation to evade traditional defenses, rendering signature-based strategies ineffective. The flood of logs and alerts exhausts teams, making it harder to counter complex threats. Without timely insight into attacker techniques and context, organizations face greater risk of intrusion and damage.

ThreatVision Malware Intelligence delivers comprehensive, verified, contextualized analysis that shifts defense from reactive to proactive—enabling faster and more precise responses.

##Three Core Advantages: Turning Technical Indicators into Operational Intelligence

- **Comprehensive and Exclusive Intelligence**: Built on TeamT5’s research of over 2,900 malware families, providing critical insights for rapid threat correlation.

- **Behavior-Oriented Analysis**: Goes beyond technical traits to connect malware with adversary groups, samples, and reports—restoring full attack context.


- **Intelligence-Driven Detection Tools**: Expert-designed YARA rules, ready to deploy on download, dramatically shorten response time.

![](https://uploads.teamt5.org/upload/original/pic_en_turning-intelligence-into-defense-how-threat-vision-strengthens-defense-against-malware.jpg)

##Role-Based Value
- **Analysts**: Validate alerts in real time, reconstruct attack chains with IoCs and TTPs, and improve accuracy and efficiency.


- **Incident Responders**: Use malware-linked intelligence such as TTPs and infrastructure, to quickly scope intrusion sources and impact.


- **Threat Researchers**: Track adversary groups and malware evolution to support attribution and strategic defense planning.

##ThreatVision’s Distinctive Strengths
- **APAC Perspective and Local Context**: Long-term tracking by experts familiar with local languages and underground ecosystems, offering insights unavailable elsewhere.


- **Integration of Intelligence and Tools**: Combines analysis with ready-to-use detection rules, closing the gap from “threat discovery” to “defense deployment.”

- **Continuous Validation and Updates**: All sources are traceable, verified by experts, and constantly refreshed for accuracy and relevance.

##Intelligence-Driven Resilience
ThreatVision’s combination of local expertise, practical tools, and continuously updated intelligence enables organizations to detect threats precisely, accelerate response, and proactively address risks—strengthening resilience across the board.

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

Turning Intelligence into Defense: How ThreatVision Strengthens Defense against Malware

惡意程式持續演變，透過變種與混淆技術，規避傳統防護，讓僅依賴特徵碼的防禦策略逐漸失效。龐大的日誌與告警量也讓資安團隊疲於奔命，難以應付複雜威脅。如果組織無法即時掌握攻擊者的技術特徵、行動脈絡，就會面臨更高的入侵與損害風險。

ThreatVision 惡意程式情資整合完整、經驗證且具脈絡的分析，協助團隊由被動應對轉為主動部署，以更高效率與精準度應對攻擊。

##三大核心優勢：將技術指標轉化為實戰情資
**1. 全面且獨家的惡意程式情資**：奠基於 TeamT5 針對逾 2,900 種惡意程式家族的研究，一次掌握關鍵資訊，快速比對威脅。


**2. 行為導向的深入解析**：不僅揭露戰術與技術，更關聯至攻擊組織、樣本與情資報告，呈現完整的行動脈絡。


**3. 情資驅動的偵測工具**：由 TeamT5 專家設計的 YARA 規則，下載即可部署，大幅縮短應變時間。


![](https://uploads.teamt5.org/upload/original/pic_tw_turning-intelligence-into-defense-how-threat-vision-strengthens-defense-against-malware.png)

##角色導向的應用價值
- **資安分析師**：即時比對與驗證告警，並依關聯 IoC 與攻擊手法（TTP） ，重建攻擊鏈，提升分析效率與準確度。
- **事件應變團隊**：運用與惡意程式關聯的 TTP、基礎設施等情資，快速鎖定入侵來源與範圍。
- **威脅研究人員**：掌握特定攻擊族群與惡意工具的演變，支援溯源調查與戰略層級防禦規劃。

##ThreatVision 獨家優勢
- **亞太視角與在地背景**：由熟悉在地語言與地下社群的專家團隊長期追蹤，取得其他來源難以獲得的指標與背景資訊。

- **情資與工具的整合**：結合完整威脅分析與可直接部署的偵測工具，縮短從「發現威脅」到「部署防禦」的時間。

- **持續更新與驗證**：所有情資來源皆可追溯、經專家驗證且持續更新，確保準確性與有效性。

##情資驅動的防禦韌性
ThreatVision 的特點為在地研究、實用工具，以及持續更新的高可信度情資，能協助組織精準識別威脅、加快應變流程，並主動因應潛在風險，全面強化防禦韌性。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。

>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

化情資為戰力：ThreatVision 如何強化您的惡意程式防線

マルウェアは進化を続けており、亜種や難読化によって従来の防御をすり抜け、シグネチャベースの戦略を無効化しています。さらに、ログやアラートの洪水はチームを疲弊させ、複雑な脅威への対応を困難にしています。攻撃者の手法や文脈をタイムリーに把握できなければ、侵入や被害のリスクは一層高まります。

ThreatVision のマルウェアインテリジェンスは、網羅的で検証済み、かつ文脈を伴う分析を提供し、防御を「受動的」から「能動的」へとシフトさせ、より迅速かつ精緻な対応を可能にします。

##3つの主要な強み：テクニカルインジケーターを運用可能なインテリジェンスへ
- **包括的かつ独自のインテリジェンス**：TeamT5 が調査してきた 2,900 以上のマルウェアファミリーに基づき、迅速な脅威相関に不可欠な洞察を提供。


- **行動指向の分析**：技術的特徴にとどまらず、マルウェアを攻撃者グループやサンプル、レポートと結びつけ、攻撃全体の文脈を復元。


- **インテリジェンス駆動の検知ツール**：専門家が設計した YARA ルールをダウンロード後すぐに利用可能とし、対応時間を大幅に短縮。

![](https://uploads.teamt5.org/upload/original/pic_en_turning-intelligence-into-defense-how-threat-vision-strengthens-defense-against-malware.jpg)


##役割ごとの価値
- **アナリスト**：アラートをリアルタイムで検証し、IoCやTTPを用いて攻撃チェーンを再構築し、精度と効率を向上。


- **インシデントレスポンダー**：TTPやインフラなどマルウェア関連インテリジェンスを活用し、侵入源や影響範囲を迅速に特定。


- **脅威リサーチャー**：攻撃者グループやマルウェアの進化を追跡し、アトリビューションや戦略的防御計画を支援。

##ThreatVision の独自の強み
- **APAC視点とローカル文脈**：現地言語やアンダーグラウンドエコシステムに精通した専門家による長期追跡に基づき、他では得られない洞察を提供。


- **インテリジェンスとツールの統合**：分析と即時利用可能な検知ルールを組み合わせ、「脅威発見」から「防御展開」までのギャップを解消。


- **継続的な検証と更新**：すべてのソースはトレーサブルであり、専門家によって検証され、精度と関連性を保つために常に更新。


##インテリジェンス駆動のレジリエンス
ThreatVision は、地域特化の知見、実用的なツール、継続的に更新されるインテリジェンスを組み合わせることで、組織が脅威を正確に検知し、対応を加速し、リスクを能動的に軽減できるよう支援します。これにより、組織全体のレジリエンスが強化されます。


 
>TeamT5はトップクラスのサイバー脅威アナリストで構成され、地理的・文化的優位性を活かし、アジア太平洋地域における攻撃者の理解において最高の知見を有しています。世界の主要なサイバーセキュリティ会議に頻繁に招かれており、当社の脅威インテリジェンス研究とソリューションは、Frost & Sullivanによる 2023-2024 台湾脅威インテリジェンス分野 年間最優秀企業賞 を受賞しています。
>
>お問い合わせはこちら: [link](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

インテリジェンスを防御へ：ThreatVision がマルウェア対策を強化する方法

October marks **Cybersecurity Awareness Month**, an international initiative led by the USA Cybersecurity and Infrastructure Security Agency (CISA) to raise awareness about staying safe online. This year, the campaign centers around a clear and actionable message: **“Secure Our World.”** It focuses on four simple yet critical steps every individual and organization can take to improve their cyber hygiene:

### 1. Use Strong Passwords

Weak or reused passwords continue to be one of the most exploited vulnerabilities. CISA urges individuals and businesses to adopt strong, unique passwords for every account. Even better—consider using a password manager to generate and securely store credentials.


### 2. Turn On Multi-Factor Authentication (MFA)

Enabling MFA is one of the most effective ways to prevent unauthorized access. Whether it’s a one-time code, biometric scan, or security token, adding another layer of verification makes it significantly harder for attackers to compromise accounts.


### 3. Recognize and Report Phishing

Phishing emails have become increasingly convincing and remain a top initial access vector for cyberattacks. Learn to identify suspicious messages and report them to your IT or security teams. Training and awareness are essential to stopping phishing before it leads to a breach.


### 4. Update Software

Outdated software often contains known vulnerabilities that attackers can easily exploit. CISA recommends enabling automatic updates or regularly checking for patches—especially for operating systems, browsers, and productivity apps.


## Go Beyond the Basics with Threat Intelligence and Threat Hunting Tool

While adopting these best practices significantly reduces risk, for organizations, today’s sophisticated cyber threats require a proactive and intelligent defense strategy. That’s where advanced cybersecurity tools come into play:
### Threat Intelligence Reports

Threat Intelligence Reports give organizations the context needed to understand who is targeting them, how, and why. By integrating threat intelligence into daily operations, cybersecurity teams can respond to real threats faster—and avoid being overwhelmed by noise.

> Our award-winning Threat Intelligence Reports: [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website)

### Threat Hunting Tool

Even the most secure environments can harbor hidden threats. A modern threat hunting tool enables security teams to proactively search for signs of compromise across endpoints —identifying stealthy, sophisticated threats that may bypass traditional detection. By combining behavior analysis, and investigation capabilities, threat hunting adds a critical layer to any mature defense strategy.

> Our award-winning Threat Hunting Tool: [ThreatSonar](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)


## A Holistic Cybersecurity Strategy

Cybersecurity Awareness Month is a reminder that everyone has a role to play in securing our digital world. Following CISA’s recommended actions is a great first step—but to stay ahead of advanced threats, organizations need **visibility, intelligence, and rapid response**.

Combining fundamental cyber hygiene with solutions like **threat intelligence platforms** and **threat hunting tools** enables organizations to move from reactive to proactive defense.

Let’s Secure Our World—Starting Today.

 
 

*Reference: 
- https://www.cisa.gov/resources-tools/resources/cybersecurity-awareness-month-toolkit 
- Cybersecurity Best Practices - CAMToolkit2025, Cybersecurity and Infrastructure Security Agency, 2025 

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

 

*picture source: pexels:

Cybersecurity Awareness Month 2025: Strengthen Your Cyber Defenses

Today’s security challenge is not a lack of data, but being overwhelmed by **too much data without context.**

The daily flood of alerts and logs is often duplicated, unverified, or unusable for decision-making. This results in false positives, high investigation costs, and missed high-risk threats. What organizations truly need is not more data, but intelligence that is **trusted, contextualized, and defense-ready**. That is the core value of ThreatVision.

ThreatVision intelligence is not just a list of indicators, but the outcome of strict **filtering, validation, and contextualization**. Our analysts correlate raw observations with adversary behavior, industry traits, and geopolitical background to deliver high-precision intelligence that cuts noise, highlights what matters, and improves response efficiency.

##Diamond Model of Intrusion Analysis: From Data to Intelligence
At the heart of this process is the Diamond Model, which filters, verifies, then pieces together scattered signals into a coherent picture by correlating four dimensions:
- **Adversary**: Identify attacker background, motivation, and behavior patterns to place each event in a broader context.
- **Infrastructure**: Track IPs, domains, and C2 servers to reveal connections between campaigns and reuse of infrastructure.
- **Capability**: Analyze malware, tools, and TTPs to provide actionable inputs for detection and defense.
- **Target**: Link attacks to industries, countries, and regions to enable precise risk assessment.

![](https://uploads.teamt5.org/upload/original/What_is_Diamond_Model_of_Intrusion_%20Analysis_pic_en_update.jpg)

TeamT5 combines 20+ years of APT tracking with the Diamond Model to turn massive data into contextualized, high-precision intelligence. This intelligence serves the needs of every level in the organization:
- Filter noise and focus on threats that matter most.
- Accelerate investigation and response, reducing false positives and wasted resources.
- Provide executives with reliable evidence to guide long-term defense planning.

##Precision Over Quantity: Intelligence That Matters
The value of intelligence lies not in “how much,” but in whether it can **drive defense**. With ThreatVision, organizations see threats clearly, understand them deeply, and act decisively—turning intelligence into the strongest line of defense.

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

Distilling Diamonds from the Data Flood: ThreatVision Threat Intelligence

現代資安挑戰不在於缺乏資訊，而是被「過多且缺乏脈絡的資訊」淹沒。

每日湧入的大量告警與數據，往往重複、缺乏驗證，或無法支援決策，導致誤報頻繁、調查成本升高，真正高風險的威脅反而被忽視。有鑑於此，組織需要的不是更多數據，而是可信、具脈絡且能直接應用的情資。這正是 ThreatVision 威脅情資的核心價值。

ThreatVision 的情資並非單純的指標清單，而是經過嚴謹「過濾、驗證、脈絡化」的成果。分析師團隊將龐雜的觀測數據結合攻擊行為、產業特徵與地緣背景，轉化為可立即應用的高精度情資，協助團隊聚焦真正重要的威脅，降低雜訊干擾並提升應變效率。

##入侵分析鑽石模型：從資料到情資的關鍵
這一過程的核心方法是**入侵分析鑽石模型**，透過四大元素對零散線索交叉比對、過濾、驗證等過程，拼湊成完整圖像：
- **敵人（Adversary）**：識別攻擊者背景、動機與行為模式，將單一事件置於更大的行動脈絡中。
- **設施（Infrastructure）**：追蹤 IP、網域與 C2 伺服器，揭示攻擊活動之間的關聯與重複使用的基礎設施。
- **能力（Capability）**：分析惡意程式、工具，以及戰術、技術與程序（TTP），為偵測與防禦提供具體依據。
- **目標（Target）**：將攻擊連結至特定產業、國家與地區，協助組織精準評估風險範圍。

![](https://uploads.teamt5.org/upload/original/What_is_Diamond_Model_of_Intrusion_%20Analysis_pic_tw.jpg)

TeamT5 結合 20 多年追蹤 APT 攻擊族群的經驗與鑽石模型分析，將龐雜資訊轉化為高精度、具脈絡的情資。這些情資能滿足從決策者到第一線團隊不同層級的多元需求：
- 過濾雜訊，聚焦優先處理威脅；
- 加速事件調查與回應，減少誤報與資源浪費；
- 為決策層提供可靠依據，支持長遠防禦規劃。

##情資貴精不貴多，運用 ThreatVision 掌握關鍵風險
情資的價值不在於「數量」，而在於是否能「真正驅動防禦」。ThreatVision 協助組織看清並了解威脅，進而採取精準有效的行動，將情資化為最強大的防禦力量。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。

>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

從海量資訊精煉出的鑽石級情資：ThreatVision 威脅情資

今日のセキュリティ課題は「データ不足」ではなく、「**文脈のない過剰なデータ**に圧倒されること」です。

日々大量に押し寄せるアラートやログは、重複や未検証のもの、意思決定に役立たないものが多く含まれています。その結果、誤検知の多発、調査コストの増大、そして高リスクな脅威の見逃しにつながっています。組織が本当に必要としているのは「より多くのデータ」ではなく、「**信頼でき、文脈を伴い、防御に直結する**インテリジェンス」です。これこそが ThreatVision の中核的な価値です。

ThreatVision のインテリジェンスは、単なるインジケーターの羅列ではありません。厳格な**フィルタリング、検証、そして文脈付け**の結果として生み出されます。

当社アナリストは、生データを攻撃者の行動、業界特性、地政学的背景と照合し、高精度なインテリジェンスとして提供します。それにより、ノイズを排除し、重要な脅威を浮き彫りにし、対応効率を高めます。

##ダイヤモンドモデルによる侵入分析：データからインテリジェンスへ

このプロセスの中心にあるのが「ダイヤモンドモデル」です。分散したシグナルをフィルタリング・検証したうえで、4つの次元を相関させ、一貫した脅威像へと組み立てます。

- **攻撃者（Adversary）**： 背景、動機、行動パターンを特定し、個々のイベントを広い文脈に位置づける。


- **インフラ（Infrastructure）**： IP、ドメイン、C2サーバを追跡し、キャンペーン間のつながりやインフラ再利用を明らかにする。


- **能力（Capability）**： マルウェア、ツール、TTPを分析し、検知・防御に直結するアクション可能な情報を提供する。


- **標的（Target）**： 攻撃を産業分野、国、地域と関連づけ、精緻なリスク評価を可能にする。

 
![](https://uploads.teamt5.org/upload/original/What_is_Diamond_Model_of_Intrusion_%20Analysis_pic_jp_update.jpg)
 

TeamT5 は、20年以上にわたるAPT追跡の経験とダイヤモンドモデルを組み合わせ、大量のデータを文脈を伴う高精度インテリジェンスへと変換します。このインテリジェンスは組織のあらゆるレベルのニーズに応えます。
- ノイズを排除し、本当に重要な脅威に集中する。
- 調査と対応を加速し、誤検知や無駄なリソースを削減する。
- 経営層に対して、長期的な防御計画を導く信頼できる証拠を提供する。


##量より精度：意味あるインテリジェンス
インテリジェンスの価値は「どれだけ多いか」ではなく、「防御に役立つかどうか」にあります。ThreatVision によって、組織は脅威を正確に把握し、深く理解し、迅速に行動できます。インテリジェンスを最強の防御線へと変えるのです。

 
>TeamT5はトップクラスのサイバー脅威アナリストで構成され、地理的・文化的優位性を活かし、アジア太平洋地域における攻撃者の理解において最高の知見を有しています。世界の主要なサイバーセキュリティ会議に頻繁に招かれており、当社の脅威インテリジェンス研究とソリューションは、Frost & Sullivanによる 2023-2024 台湾脅威インテリジェンス分野 年間最優秀企業賞 を受賞しています。
>
>お問い合わせはこちら: [link](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

データ洪水からダイヤモンドを抽出する：ThreatVision 脅威インテリジェンス

The following blog post is based on our June H2 Vulnerability Insights Report. TeamT5 Vulnerability Research Team is dedicated to providing timely mitigation and response guidelines to critical vulnerabilities. [Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for more information about our vulnerability intelligence.

## Active Exploitation of CVE-2025-49113 in Roundcube Webmail

TeamT5 has detected that a critical vulnerability (CVE-2025-49113) in Roundcube Webmail was actively exploited by China-nexus APT group CamoFei. The earliest exploitation can be traced back to April 2025. CamoFei deployed webshell and malware after successful exploitation, including open-source webshell Godzilla and shared RAT Pupy. The victims included educational institutions in Taiwan and government agencies in Pakistan and Myanmar.

We conclude the attacks in **Exploitation Status** below.

### Executive Summary

We assess the severity level of CVE-2025-49113 as critical and urge our customers to use this report to mitigate the effects. CVE-2025-49113 is a post-authentication PHP object deserialization vulnerability with a CVSS score of 9.9. Threat actors with compromised Roundcube Webmail account can exploit CVE-2025-49113 to achieve remote code execution and implant malware.

Roundcube released the patch for CVE-2025-49113 on June 1, 2025.[1] Similarly, public report[2] with root cause analysis and Proof-of-Concept[3] of the vulnerability was circulated in the wild. The vulnerability affected Roundcube Webmail prior to `1.6.11` or `1.5.10`. As of June 21, our research suggests that there are more than 8,000 Roundcube Webmail devices are vulnerable to CVE-2025-49113 in APAC region, including over 4,000 devices in Japan, 2,500 devices in Singapore, and hundreds of devices in Taiwan, South Korea, and Vietnam.

Based on our investigation and the current exploitation status of CVE-2025-49113, we depicted the **Forensic Artifacts** in this report. We also concluded the malware and IoC in **Appendix I: Malware Table** and **Appendix II: Indicators of Compromise (IoC)**. Most importantly, we prepare a comprehensive **Mitigation and Response Advisory** for our customers.

The Mitigation and Response Advisory includes:
- Official Information
- Threat Hunting Tools: Vulnerability Scanner.



### Exploitation Status

CVE-2025-49113 has been actively exploited by China-nexus APT group CamoFei since April 2025.
- CamoFei exploited the vulnerabilities in attacks against educational institutions in Taiwan and government agencies in Pakistan and Myanmar.
- In the attacks, CamoFei deployed open-source webshell Godzilla[4 & 5] and shared RAT Pupy[6].
- The C2 of the malware is `repos.seuweb.com`



### Mitigation and Response Advisory

#### 1. Official Information

Threat actors with compromised Roundcube Webmail account can exploit CVE-2025-49113 to achieve remote code execution and implant malware.

Roundcube has released patch for CVE-2025-49113 on June 1 2025. We highly recommend our client and partner to update the Roundcube Webmail devices to version `1.6.11` or `1.5.10`. 
- https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10

#### 2. Threat Hunting Tools

As of June 21, our research suggests that there are more than 8,000 Roundcube Webmail devices are vulnerable to CVE-2025-49113, including over 4,000 devices in Japan, 2,500 devices in Singapore, and hundreds of devices in Taiwan, South Korea, and Vietnam in APAC region.

Our vulnerability research team prepares a vulnerability scanner for our client and partner to check if your Roundcube devices are vulnerable to CVE-2025-49113.

The vulnerability scanner can be downloaded from **Threat Hunting Tools**[7].

### Forensic Artifacts

Given that CVE-2025-49113 is a post-authentication vulnerability, the threat actors have to first obtain a leak credential of Roundcube Webmail account. Threat actors with compromised Roundcube Webmail account can exploit CVE-2025-49113, which will generate the deserialized payload in apache log.
- The deserialized payload has a format similar to `_from=edit-%21%C0%22%C0%3B%...`.
- The defaulted path of apache logs is `/var/log/apache2/other_vhosts_access.log`.
- The log will be as follow:

```
roundcube.local:80 192.168.1.2 - - [30/Jun/2025:08:01:21 +0000] "GET // HTTP/1.1" 200 37999 "-" "-"
roundcube.local:80 192.168.1.2 - - [30/Jun/2025:08:01:21 +0000] "GET //?_task=logout&_token=Xlh5DX0uGrkcJ7bhEcbyeLfryWgnsndF HTTP/1.1" 200 6068 "-" "-"
roundcube.local:80 192.168.1.2 - - [30/Jun/2025:09:18:22 +0000] "GET // HTTP/1.1" 200 5856 "-" "-"
roundcube.local:80 192.168.1.2 - - [30/Jun/2025:09:18:22 +0000] "POST //?_task=login HTTP/1.1" 302 723 "-" "-"
roundcube.local:80 192.168.1.2 - - [30/Jun/2025:09:18:22 +0000] "POST //?_from=edit-%21%C0%22%C0%3B%C0i%C0%3A%C00%C0%3B%C0O%C0%3A%C01%C06%C0%3A%C0%22%C0C%C0r%C0y%C0p%C0t%C0_%C0G%C0P%C0G%C0_%C0E%C0n%C0g%C0i%C0n%C0e%C0%22%C0%3A%C01%C0%3A%C0%7B%C0S%C0%3A%C02%C06%C0%3A%C0%22%C0%5C%C00%C00%C0C%C0r%C0y%C0p%C0t%C0_%C0G%C0P%C0G%C0_%C0E%C0n%C0g%C0i%C0n%C0e%C0%5C%C00%C00%C0_%C0g%C0p%C0g%C0c%C0o%C0n%C0f%C0%22%C0%3B%C0S%C0%3A%C02%C01%C0%3A%C0%22%C0w%C0h%C0o%C0a%C0m%C0i%C0+%C0%3E%C0+%C0%2F%C0t%C0m%C0p%C0%2F%C0p%C0w%C0n%C0e%C0d%C0%3B%C0%23%C0%22%C0%3B%C0%7D%C0i%C0%3A%C00%C0%3B%C0b%C0%3A%C00%C0%3B%C0%7D%C0%22%C0%3B%C0%7D%C0%7D%C0&_task=settings&_framed=1&_remote=1&_id=1&_uploadid=1&_unlock=1&_action=upload HTTP/1.1" 200 835 "-" "-"

```

Notably, as of June 21, our research suggests that there are more than 8,000 Roundcube Webmail devices are vulnerable to CVE-2025-49113 in APAC region, including over 4,000 devices in Japan, 2,500 devices in Singapore, and hundreds of devices in Taiwan, South Korea, and Vietnam:

| Country | Vulnerable |
| -- | -- |
| JP | 4087 |
| TW | 416 |
| SG | 2566 |
| KR | 348 | 
| VN | 719 |

We therefore highly recommend our client and partner use the vulnerability scanner in Threat Hunting Tools[7] to check if your Roundcube Webmail devices are vulnerable to CVE-2025-49113.

### Appendix I: Malware Table

Malware Table introduces the malware mentioned in this report.

| Name | Type | Description | Attribution | First Seen |
| -- | -- | -- | -- | -- |
| Godzilla | Webshell |Godzilla is an open-source webshell which has been used by different cyber-espionage and cyber-crime actors, especially the Chinese actors. Godzilla webshell is often used after actors successfully exploit web vulnerabilities and compromise the web server. | Open-source |2020.01|
| Pupy | RAT |Pupy is a cross-platform, multi function RAT and post-exploitation tool mainly written in python. It features an all-in-memory execution guideline and leaves a very low footprint. Pupy can communicate using multiple transports, migrate into processes using reflective injection, and load remote python code, python packages and python C-extensions from memory.| Shared | 2015.01 |


### Appendix II: Indicators of Compromise (IoC)

```c2-domain=Domain
repos.seuweb.com
```

```hash=hash

68e8083b9dbbfdaf6a59f9edede4febd20f88eba3eb0ea8bb8046d96411d450b
a59e93bf140192089d30f676285d96204f07ca21550aca4d0ca33ba9697c161b
84771d855307aaee497ad14b5b56189235bd88f56cc654cab32ecabde2f56dfb
```

### Appendix III: Other critical CVEs

**Patch Management Report (PMR)**. Published every week (or more), the PMR will provide our customers with concise yet comprehensive updates on the most critical and exploitable vulnerabilities selected by TeamT5 vulnerability research team during the period. Each vulnerability will be provided with patch information. If you are interested in subscribing to this new report series, please contact TeamT5 for more information.*

 

[1] Security updates 1.6.11 and 1.5.10 released https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10

[2] Roundcube ≤ 1.6.10 Post-Auth RCE via PHP Object Deserialization [CVE-2025-49113] https://fearsoff.org/research/roundcube

[3] Proof of Concept https://github.com/fearsoff-org/CVE-2025-49113/blob/main/CVE-2025-49113.php

[4] SHA-256: 68e8083b9dbbfdaf6a59f9edede4febd20f88eba3eb0ea8bb8046d96411d450b

[5] SHA-256: a59e93bf140192089d30f676285d96204f07ca21550aca4d0ca33ba9697c161b

[6] SHA-256: 84771d855307aaee497ad14b5b56189235bd88f56cc654cab32ecabde2f56dfb

[7] https://threatvision.org/downloads

Alerts of Exploiting Roundcube Webmail: CVE-2025-49113

本文改寫自 TeamT5〈 2025 年 6月第二期的漏洞情資報告（June H2 Vulnerability Insights Report）〉。 TeamT5 漏洞研究團隊致力於針對重大漏洞提供即時的應對措施與緩解方案。如欲進一步了解 TeamT5 的漏洞情資報告，[請與我們聯繫](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)。

>**CVE-2025-49113 in Roundcube Webmail** 
>TeamT5 偵測到 Roundcube Webmail 的一個重大漏洞（CVE-2025-49113）遭到中國關聯的 APT 組織 CamoFei 積極利用。其最早的攻擊可追溯至 2025 年 4 月。
>
>CamoFei 在入侵後，部署網頁後門與惡意程式，包括開源的網頁後門 Godzilla 與遠端存取木馬 Pupy。受害者包含台灣的教育機構，及巴基斯坦、緬甸的政府機構。
>
>本文詳細說明攻擊手法與情況。

The following blog post is based on our June H2 Vulnerability Insights Report. TeamT5 Vulnerability Research Team is dedicated to providing timely mitigation and response guidelines to critical vulnerabilities. Contact us for more information about our vulnerability intelligence.

## Active Exploitation of CVE-2025-49113 in Roundcube Webmail

TeamT5 has detected that a critical vulnerability (CVE-2025-49113) in Roundcube Webmail was actively exploited by China-nexus APT group CamoFei. The earliest exploitation can be traced back to April 2025. CamoFei deployed webshell and malware after successful exploitation, including open-source webshell Godzilla and shared RAT Pupy. The victims included educational institutions in Taiwan and government agencies in Pakistan and Myanmar.

We conclude the attacks in **Exploitation Status** below.

### Executive Summary

We assess the severity level of CVE-2025-49113 as critical and urge our customers to use this report to mitigate the effects. CVE-2025-49113 is a post-authentication PHP object deserialization vulnerability with a CVSS score of 9.9. Threat actors with compromised Roundcube Webmail account can exploit CVE-2025-49113 to achieve remote code execution and implant malware.

Roundcube released the patch for CVE-2025-49113 on June 1, 2025.[1] Similarly, public report[2] with root cause analysis and Proof-of-Concept[3] of the vulnerability was circulated in the wild. The vulnerability affected Roundcube Webmail prior to `1.6.11` or `1.5.10`. As of June 21, our research suggests that there are more than 8,000 Roundcube Webmail devices are vulnerable to CVE-2025-49113 in APAC region, including over 4,000 devices in Japan, 2,500 devices in Singapore, and hundreds of devices in Taiwan, South Korea, and Vietnam.

Based on our investigation and the current exploitation status of CVE-2025-49113, we depicted the **Forensic Artifacts** in this report. We also concluded the malware and IoC in **Appendix I: Malware Table** and **Appendix II: Indicators of Compromise (IoC)**. Most importantly, we prepare a comprehensive **Mitigation and Response Advisory** for our customers.

The Mitigation and Response Advisory includes:
- Official Information
- Threat Hunting Tools: Vulnerability Scanner.



### Exploitation Status

CVE-2025-49113 has been actively exploited by China-nexus APT group CamoFei since April 2025.
- CamoFei exploited the vulnerabilities in attacks against educational institutions in Taiwan and government agencies in Pakistan and Myanmar.
- In the attacks, CamoFei deployed open-source webshell Godzilla[4 & 5] and shared RAT Pupy[6].
- The C2 of the malware is `repos.seuweb.com`



### Mitigation and Response Advisory

#### 1. Official Information

Threat actors with compromised Roundcube Webmail account can exploit CVE-2025-49113 to achieve remote code execution and implant malware.

Roundcube has released patch for CVE-2025-49113 on June 1 2025. We highly recommend our client and partner to update the Roundcube Webmail devices to version `1.6.11` or `1.5.10`. 
- https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10

#### 2. Threat Hunting Tools

As of June 21, our research suggests that there are more than 8,000 Roundcube Webmail devices are vulnerable to CVE-2025-49113, including over 4,000 devices in Japan, 2,500 devices in Singapore, and hundreds of devices in Taiwan, South Korea, and Vietnam in APAC region.

Our vulnerability research team prepares a vulnerability scanner for our client and partner to check if your Roundcube devices are vulnerable to CVE-2025-49113.

The vulnerability scanner can be downloaded from **Threat Hunting Tools**[7].

### Forensic Artifacts

Given that CVE-2025-49113 is a post-authentication vulnerability, the threat actors have to first obtain a leak credential of Roundcube Webmail account. Threat actors with compromised Roundcube Webmail account can exploit CVE-2025-49113, which will generate the deserialized payload in apache log.
- The deserialized payload has a format similar to `_from=edit-%21%C0%22%C0%3B%...`.
- The defaulted path of apache logs is `/var/log/apache2/other_vhosts_access.log`.
- The log will be as follow:

```
roundcube.local:80 192.168.1.2 - - [30/Jun/2025:08:01:21 +0000] "GET // HTTP/1.1" 200 37999 "-" "-"
roundcube.local:80 192.168.1.2 - - [30/Jun/2025:08:01:21 +0000] "GET //?_task=logout&_token=Xlh5DX0uGrkcJ7bhEcbyeLfryWgnsndF HTTP/1.1" 200 6068 "-" "-"
roundcube.local:80 192.168.1.2 - - [30/Jun/2025:09:18:22 +0000] "GET // HTTP/1.1" 200 5856 "-" "-"
roundcube.local:80 192.168.1.2 - - [30/Jun/2025:09:18:22 +0000] "POST //?_task=login HTTP/1.1" 302 723 "-" "-"
roundcube.local:80 192.168.1.2 - - [30/Jun/2025:09:18:22 +0000] "POST //?_from=edit-%21%C0%22%C0%3B%C0i%C0%3A%C00%C0%3B%C0O%C0%3A%C01%C06%C0%3A%C0%22%C0C%C0r%C0y%C0p%C0t%C0_%C0G%C0P%C0G%C0_%C0E%C0n%C0g%C0i%C0n%C0e%C0%22%C0%3A%C01%C0%3A%C0%7B%C0S%C0%3A%C02%C06%C0%3A%C0%22%C0%5C%C00%C00%C0C%C0r%C0y%C0p%C0t%C0_%C0G%C0P%C0G%C0_%C0E%C0n%C0g%C0i%C0n%C0e%C0%5C%C00%C00%C0_%C0g%C0p%C0g%C0c%C0o%C0n%C0f%C0%22%C0%3B%C0S%C0%3A%C02%C01%C0%3A%C0%22%C0w%C0h%C0o%C0a%C0m%C0i%C0+%C0%3E%C0+%C0%2F%C0t%C0m%C0p%C0%2F%C0p%C0w%C0n%C0e%C0d%C0%3B%C0%23%C0%22%C0%3B%C0%7D%C0i%C0%3A%C00%C0%3B%C0b%C0%3A%C00%C0%3B%C0%7D%C0%22%C0%3B%C0%7D%C0%7D%C0&_task=settings&_framed=1&_remote=1&_id=1&_uploadid=1&_unlock=1&_action=upload HTTP/1.1" 200 835 "-" "-"

```

Notably, as of June 21, our research suggests that there are more than 8,000 Roundcube Webmail devices are vulnerable to CVE-2025-49113 in APAC region, including over 4,000 devices in Japan, 2,500 devices in Singapore, and hundreds of devices in Taiwan, South Korea, and Vietnam:

| Country | Vulnerable |
| -- | -- |
| JP | 4087 |
| TW | 416 |
| SG | 2566 |
| KR | 348 | 
| VN | 719 |

We therefore highly recommend our client and partner use the vulnerability scanner in Threat Hunting Tools[7] to check if your Roundcube Webmail devices are vulnerable to CVE-2025-49113.

### Appendix I: Malware Table

Malware Table introduces the malware mentioned in this report.

| Name | Type | Description | Attribution | First Seen |
| -- | -- | -- | -- | -- |
| Godzilla | Webshell |Godzilla is an open-source webshell which has been used by different cyber-espionage and cyber-crime actors, especially the Chinese actors. Godzilla webshell is often used after actors successfully exploit web vulnerabilities and compromise the web server. | Open-source |2020.01|
| Pupy | RAT |Pupy is a cross-platform, multi function RAT and post-exploitation tool mainly written in python. It features an all-in-memory execution guideline and leaves a very low footprint. Pupy can communicate using multiple transports, migrate into processes using reflective injection, and load remote python code, python packages and python C-extensions from memory.| Shared | 2015.01 |


### Appendix II: Indicators of Compromise (IoC)

```c2-domain=Domain
repos.seuweb.com
```

```hash=hash

68e8083b9dbbfdaf6a59f9edede4febd20f88eba3eb0ea8bb8046d96411d450b
a59e93bf140192089d30f676285d96204f07ca21550aca4d0ca33ba9697c161b
84771d855307aaee497ad14b5b56189235bd88f56cc654cab32ecabde2f56dfb
```

### Appendix III: Other critical CVEs

**Patch Management Report (PMR)**. Published every week (or more), the PMR will provide our customers with concise yet comprehensive updates on the most critical and exploitable vulnerabilities selected by TeamT5 vulnerability research team during the period. Each vulnerability will be provided with patch information. If you are interested in subscribing to this new report series, please contact TeamT5 for more information.*

 

[1] Security updates 1.6.11 and 1.5.10 released https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10

[2] Roundcube ≤ 1.6.10 Post-Auth RCE via PHP Object Deserialization [CVE-2025-49113] https://fearsoff.org/research/roundcube

[3] Proof of Concept https://github.com/fearsoff-org/CVE-2025-49113/blob/main/CVE-2025-49113.php

[4] SHA-256: 68e8083b9dbbfdaf6a59f9edede4febd20f88eba3eb0ea8bb8046d96411d450b

[5] SHA-256: a59e93bf140192089d30f676285d96204f07ca21550aca4d0ca33ba9697c161b

[6] SHA-256: 84771d855307aaee497ad14b5b56189235bd88f56cc654cab32ecabde2f56dfb

[7] https://threatvision.org/downloads

CVE-2025-49113: Roundcube Webmail 漏洞

In a rapidly changing cyber threat environment, it's often difficult for organizations to determine not whether an attack will occur, but rather **which attacks are actually relevant to them**. Most threat intelligence platforms only provide fragmented data, lacking context and relevance, making it difficult for security teams to determine which threats are the most pressing risks at the moment.

[ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website)’s Threat Landscape was developed to solve this pain point. It provides a visual representation of correlated intelligence through an interactive hotspot map, integrating an overview of cyber attacks across different regions, countries, and industries. This helps organizations quickly grasp critical risks and clearly identify the threats they truly need to defend against.

![](https://uploads.teamt5.org/upload/original/EN_Overall_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.png)

 

##Three Dimensions for Assessing Relevant Threats
ThreatVision’s Threat Landscape helps organizations fully understand global attack trends and strengthen their risk assessment and decision-making processes across three dimensions: **"Targeted Regions," "Targeted Countries," and "Targeted Industries."**

###1. Targeted Regions
The global map presents the overall attack landscape for each region and dynamically displays the relationship between attacking source countries and targeted regions. It also provides information on the countries covered, associated threat groups, and intelligence reports, allowing for in-depth tracking of attackers and threat activities related to that region.

![](https://uploads.teamt5.org/upload/original/EN_Targeted%20Regions_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.gif)



###2. Targeted Countries
Click on any country on the map to dynamically display its affected status and primary attack sources. This also provides exclusive information on threat groups active in that country, the malicious tools they use, and the industries they target, allowing you to quickly grasp the overall threat landscape of that country.

![](https://uploads.teamt5.org/upload/original/EN_Targeted%20Countries_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.png)



###3. Targeted Industries 
For critical industries such as telecommunications, finance, and energy, it provides an overview of affected situations, associated groups, and malware-related information. Each industry page features a word cloud of keywords, making it easy to search for threat sources, tactics, and techniques, and quickly grasp the main risks for each industry.

![](https://uploads.teamt5.org/upload/original/EN_Targeted%20Industries_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.png)


##From a Broad Overview to Practical Defense
ThreatVision’s Threat Landscape is not just a portal for overview information—it's the starting point for defense decisions. It provides actionable guidance tailored to different roles and task requirements:
- **Information Security Team**: Quickly search for relevant intelligence reports based on your region and industry, and obtain related Indicators of Compromise (IoCs) and deployable detection tools.

- **Incident Response Team**: Quickly understand information on attack groups and their Tactics, Techniques, and Procedures (TTPs) related to an incident, improving investigation and response efficiency.

- **Security Decision-Makers**: Get a complete overview of both the overall and regional threat landscapes relevant to operations, allowing you to adjust defense priorities and resource allocation.

All information in the Threat Landscape is regularly updated and verified by the TeamT5 analyst team, ensuring the content is credible, timely, and can be practically applied to defense actions.

 

##ThreatVision Illuminates the Path to Proactive Defense
Cyberattacks are never random events; they are planned and targeted actions. ThreatVision’s Threat Landscape helps organizations grasp the context of critical risks, forming a clear and feasible path for proactive defense—from situational awareness and prioritizing threats to real-time response.
Let ThreatVision’s Threat Landscape lead your organization to see the bigger picture, focus on what's critical, and take action.

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision’s Threat Landscape: Grasp the Context Behind Critical Risks

在瞬息萬變的網路威脅環境中，組織最難掌握的往往不是「是否有攻擊」，而是「哪一種攻擊真正與我有關」。多數情資平台僅提供零散數據，缺乏上下文與關聯性，讓資安團隊難以判斷哪些威脅才是當前首要風險。

[ThreatVision](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website) 威脅情勢正是為解決這個痛點而打造，透過互動式熱點地圖、視覺化方式呈現關聯情資，整合全球各地區、國家與產業的網路攻擊概況，協助組織快速掌握關鍵風險，明確識別真正需要防禦的威脅。

![](https://uploads.teamt5.org/upload/original/TW_Overall_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.png)

 

##三個維度判讀切身威脅
ThreatVision 威脅情勢依據「受害區域」、「受害國家」與「受害產業」三個面向，協助組織全面理解全球攻擊趨勢，強化風險判讀與決策依據：

###1. 受害區域
以全球地圖呈現各區域的整體攻擊情勢，同時動態顯示攻擊來源國家和受害區域之間的關係，並提供所涵蓋的受害國家、關聯攻擊族群與情資報告，可深入追蹤與該區域關聯的攻擊者與威脅活動。

![](https://uploads.teamt5.org/upload/original/TW_Target%20Regions_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.gif)


###2. 受害國家
點擊地圖上任一國家，即會動態顯示其受害情況與主要攻擊來源，並提供活躍於該國家的攻擊族群、所用的惡意工具，以及遭受攻擊的產業等獨家資訊，可快速掌握該國家整體威脅情勢。

![](https://uploads.teamt5.org/upload/original/TW_Targeted%20Countries_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.png)


###3. 受害產業
針對電信、金融、能源等重要產業，提供受害概況、關聯族群與惡意程式相關資訊。各別產業頁面提供以文字雲呈現的關鍵詞，便於查找威脅來源、技巧與手法，快速掌握各產業的主要風險。

![](https://uploads.teamt5.org/upload/original/TW_Targeted%20Industries_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.png)


##從大局視野邁向實際防禦
ThreatVision 威脅情勢不只是總覽資訊的入口，更是防禦決策的起點。根據不同職能角色與任務需求，提供可實際運用的行動指引：
- **資訊安全團隊**：依所屬區域與產業快速查找關聯情資報告，並取得相關入侵指標（IoC）與可部署的偵測工具。

- **事件應變團隊**：快速了解與事件關聯的攻擊族群資訊和戰術、技術和程序（TTP），提升調查與應變效率。

- **資安決策者**：一次掌握與營運相關的整體和各地威脅情勢，調整防禦優先順序與資源配置。

威脅情勢的資訊皆由 TeamT5 分析師團隊定期更新與驗證，確保內容的可信度與時效性，且能實際應用於防禦行動中。

 

##ThreatVision 照亮主動防禦之路
網路攻擊從來不是隨機事件，而是有計劃、有目標的行動。ThreatVision 威脅情勢協助組織掌握關鍵風險脈絡，從情勢掌握、判斷優先，再到即時應變，形成一條清晰可行的主動防禦路徑。

讓 ThreatVision 威脅情勢引領組織看見全局、聚焦關鍵、採取行動。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。

>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

ThreatVision 威脅情勢：掌握關鍵風險脈絡

急速に変化するサイバー脅威環境の中で、組織が直面する課題は「攻撃が発生するか否か」ではなく、「どの攻撃が自分たちにとって本当に関連性のあるものか」を見極めることです。多くの脅威インテリジェンスプラットフォームは断片的なデータしか提供せず、文脈や関連性を欠いているため、セキュリティチームが「今最も差し迫ったリスクはどれか」を判断するのが難しくなっています。

この課題を解決するために開発されたのが **ThreatVisionのThreat Landscape** です。これは、地域・国・業種ごとのサイバー攻撃状況を統合し、相関付けられたインテリジェンスをインタラクティブなホットスポットマップで可視化するものです。これにより、組織は重要なリスクを迅速に把握し、自らが本当に防御すべき脅威を明確に特定できます。
 
 ![](https://uploads.teamt5.org/upload/original/EN_Overall_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.png)
 
 

##関連する脅威を評価する3つの側面
ThreatVisionのThreat Landscapeは、「対象地域」「対象国」「対象産業」の3つの側面で、グローバルな攻撃トレンドを包括的に理解し、リスク評価と意思決定を強化します。

###1. 対象地域
グローバルマップは各地域の攻撃状況を提示し、攻撃元の国と攻撃対象地域との関係を動的に表示します。加えて、対象国、関連する脅威グループ、インテリジェンスレポートに関する情報も提供され、その地域に関連する攻撃者や脅威活動を深く追跡できます。

![](https://uploads.teamt5.org/upload/original/EN_Targeted%20Regions_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.gif)

###2. 対象国
マップ上の任意の国をクリックすると、その国の被害状況や主要な攻撃元が動的に表示されます。さらに、その国で活動する脅威グループ、使用されるマルウェアツール、狙われる業界などの独自情報を取得でき、その国全体の脅威状況を迅速に把握できます。

![](https://uploads.teamt5.org/upload/original/EN_Targeted%20Countries_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.png)

###3. 対象産業
通信、金融、エネルギーといった重要産業については、被害状況の概要、関連グループ、マルウェアに関する情報を提供します。各産業ページにはキーワードのワードクラウドが掲載されており、脅威の出所、戦術、技術を容易に検索でき、産業ごとの主要リスクを素早く把握できます。

![](https://uploads.teamt5.org/upload/original/EN_Targeted%20Industries_threatvision-s-threat-landscape-grasp-the-context-behind-critical-risks.png)

 

##概観から実践的な防御へ
ThreatVisionのThreat Landscapeは単なる概要情報のポータルではなく、防御の意思決定の出発点です。役割や業務要件に応じた実践的なガイダンスを提供します。
- **情報セキュリティチーム**：自地域・自産業に基づく関連インテリジェンスレポートを素早く検索し、関連するIoCや適用可能な検出ツールを取得可能。

- **インシデントレスポンスチーム**：事件に関連する攻撃グループやTTP（戦術・技術・手順）を迅速に把握し、調査と対応効率を向上。

- **セキュリティ意思決定者**：運用に関連する全体・地域別の脅威状況を把握し、防御の優先順位やリソース配分を調整可能。


Threat Landscapeに掲載されるすべての情報は、TeamT5のアナリストチームが定期的に更新・検証しており、信頼性・即時性を担保し、防御活動に実際に活用できます。

 

##ThreatVisionが示す先制防御への道
サイバー攻撃は偶発的な出来事ではなく、計画され標的化された行為です。**ThreatVisionのThreat Landscape**は、重要リスクの背景を把握することで、状況認識から脅威の優先順位付け、リアルタイム対応に至るまで、先制防御への明確かつ実行可能な道筋を示します。

**ThreatVisionのThreat Landscapeとともに、より広い視野を持ち、本当に重要なものに集中し、行動を起こしましょう。**
 
 
>TeamT5はトップクラスのサイバー脅威アナリストで構成され、地理的・文化的優位性を活かし、アジア太平洋地域における攻撃者の理解において最高の知見を有しています。世界の主要なサイバーセキュリティ会議に頻繁に招かれており、当社の脅威インテリジェンス研究とソリューションは、Frost & Sullivanによる **2023-2024 台湾脅威インテリジェンス分野 年間最優秀企業賞 を受賞しています。**
> 
>お問い合わせはこちら: [link](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

ThreatVisionの脅威ランドスケープ：重要なリスクの背景を把握する

Faced with an endless stream of cybersecurity threats, enterprises and organizations receive large volumes of threat intelligence from various sources every day—blacklisted IPs, malicious URLs, suspicious behaviors, attack techniques, and more. While this may seem comprehensive, it often turns out to be fragmented and difficult to manage.

The real question is: can this intelligence truly help enterprises and organizations prevent attacks that are specifically targeting them?

From our observations, what enterprises and organizations truly need is not more intelligence, but more accurate and relevant local threat insights.

 

##Overloaded Intelligence ≠ Effective Defense
Information security teams in enterprises and organizations often spend significant time screening intelligence sources, deduplicating, comparing, and reformatting data—only to discover that attacks specifically targeting their industry have already progressed to the lateral movement stage.

This highlights a key challenge in modern defense: while intelligence may be abundant, it often fails to accurately reflect real, relevant risks. The data is too fragmented and disorganized, making it difficult to translate into effective action.

 

##We Deliver a Different Kind of Intelligence – Local Threat Insights
Our team continuously tracks targeted advanced persistent threats (APTs) in the Asia-Pacific region and transforms these intelligence into:

- Actionable detection rules tailored for specific industries such as manufacturing, finance, and technology
- Attack technique analysis mapped to the MITRE ATT&CK framework
- Actionable recommendations that include context, attacker behavior, and intent analysis
- STIX and CSV format data that can be easily integrated into defense systems like EDR

 
This is more than just a warning sign—it’s threat intelligence that enterprises can truly apply.

 

##Make Faster Decisions with More Accurate Intelligence
Whether you're part of a CSIRT team, a MDR provider, or a security manager conducting threat risk assessments, our localized intelligence can help you:

- **Reduce time** spent on threat identification
- **Quickly** correlate attackers, their tactics, and related intelligence
- **Focus** on the key risks most relevant to your organization
 

Want to learn more about how our threat intelligence can strengthen defense capabilities of your organization?

Schedule a consultation with our experts – [fill out the form to get in touch](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website).

 

>Download the free version of the intelligence report to learn more about our threat intelligence: [APT Threat Landscape in APAC 2024: Blurred Lines of Cyber Attacks](https://teamt5.org/en/posts/apt-threat-landscape-in-apac-2024/?utm_source=blog&utm_medium=website)
>
>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.


 
 
(cover source: pexels)

More Isn't Better—Organizations Need Relevant Local Threat Intelligence

面對層出不窮的資安威脅，企業與組織每天接收來自不同來源的大量威脅情資——IP 黑名單、惡意網址、可疑行為、攻擊手法等，看似全面，實則雜亂。但問題是，這些情資真的有幫助企業與組織預防「真正針對自己」的攻擊嗎？
我們觀察到，企業與組織真正需要的，不是更多情資，而是更精準、更在地的威脅洞察。

 

##情資過多 ≠ 防禦有效
企業與組織的資安團隊常常花費大量時間篩選情資來源、去重、比對、調整格式，最後卻發現真正針對自家產業的攻擊行為早已進入橫向移動階段。這正是現代防禦面臨的痛點：情資太廣泛，卻未能具體反映真實風險；資料太雜亂，難以有效轉化為行動。

 

##我們提供不一樣的情資──在地威脅洞察
我們的團隊長期追蹤亞太區域內具針對性的[進階持續性威脅（advanced persistent threat, APT）](https://teamt5.org/tw/posts/what-is-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)，將這些威脅轉化為：
- 針對特定產業（如製造、金融、科技）的可行性偵測規則
- 以 MITRE ATT&CK 為框架的攻擊手法分析
- 包含上下文、攻擊行為與意圖研判的行動建議
- 可快速整合至 EDR 等資安防禦系統的 STIX、 CSV 格式資料

這不只是「警示訊號」，而是企業組織可以實質應用的「威脅情資」。

 

##用更準的情資，做更快的決策
不論您是企業組織內部 CSIRT 團隊、MDR 廠商，或是需要威脅風險評估的資安主管，我們的在地情資都能協助：
- 縮短威脅識別時間
- 快速關聯攻擊者及其手法等相關情資
- 聚焦於切身相關的關鍵風險

 

想了解我們的威脅情資如何提升企業與組織防禦力？歡迎預約專家討論：[填表聯絡](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

歡迎免費下載精華版情資報告，了解我們的威脅情資：
[2024年威脅態勢回顧: 網路攻擊的模糊地帶【英文威脅情資報告】](https://teamt5.org/tw/posts/apt-threat-landscape-in-apac-2024/?utm_source=blog&utm_medium=website)

 
>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。


 
（首圖來源：pexels）

企業與組織最需要的不是更多情資，而是切身相關的在地威脅洞察

絶え間なく押し寄せるサイバーセキュリティ脅威に直面する中で、企業や組織は日々、さまざまなソースから大量の脅威インテリジェンスを受け取っています。
ブラックリストに登録されたIPアドレス、悪意あるURL、不審な挙動、攻撃手法など、その内容は多岐にわたります。
一見すると包括的に見えるかもしれませんが、実際には断片的で管理が難しいケースが少なくありません。

本当に重要な問いは、「こうしたインテリジェンスが、自社を標的とした攻撃の防止に本当に役立つのか？」ということです。

当社の観察から言えるのは、企業や組織に本当に必要なのは「より多くのインテリジェンス」ではなく、
「より正確で、自社に関連性の高いローカルな脅威インサイト」だということです。

 
 

##インテリジェンスの多さ ≠ 効果的な防御
企業や組織の情報セキュリティチームは、インテリジェンスソースの選別や重複排除、比較、形式の変換などに多くの時間を費やしています。

しかし気づいたときには、すでに自社の業界を標的とした攻撃が横展開（ラテラルムーブメント）フェーズにまで進んでいる、ということも珍しくありません。

これは現代の防御における大きな課題を浮き彫りにしています。
インテリジェンスが豊富にあっても、それが実際のリスクや関連性の高い脅威を正確に反映しているとは限らず、
データが断片的かつ整理されていないため、効果的なアクションに結びつけるのが難しいのです。

 
 

##TeamT5が提供するのは、これまでと異なる種類のインテリジェンス ― ローカル脅威インサイトです
当社のチームは、アジア太平洋地域で標的型の高度持続的脅威（APT）を継続的に追跡しており、これらのインテリジェンスを以下の形で提供しています：

- 製造業、金融、テクノロジー業界など、特定業種に最適化された実用的な検知ルール
- MITRE ATT&CKフレームワークにマッピングされた攻撃手法の分析
- 攻撃者の行動や意図の分析を含む、文脈付きの実践的な対応推奨
- EDRなどの防御システムに簡単に統合できる、STIXおよびCSV形式のデータ

 

これは単なる「警告」ではありません。企業が本当に活用できる脅威インテリジェンスです。

 
 

##より正確なインテリジェンスで、より迅速な意思決定を
CSIRTチームの一員であっても、MDR事業者であっても、脅威リスク評価を行うセキュリティ管理者であっても、私たちのローカライズされたインテリジェンスは、貴社の以下の取り組みを支援します：
- 脅威の特定にかかる時間を削減
- 攻撃者、その戦術、および関連インテリジェンスの迅速な相関分析
- 自社に最も関係の深いリスクへの集中
 
TeamT5の脅威インテリジェンスが、どのように貴社の防御力強化に貢献できるのか、さらに詳しく知りたい方へ。

専門家との個別相談をご希望の方は、[フォームよりお気軽にお問い合わせください](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website) 

 

>脅威インテリジェンスの詳細を知りたい方は、無料版インテリジェンスレポートをぜひご覧ください 
>[2024年脅威ランドスケープのレビュー：曖昧になるサイバー攻撃の境界線【脅威インテリジェンスレポート(英語ver.)】](https://teamt5.org/jp/posts/apt-threat-landscape-in-apac-2024/?utm_source=blog&utm_medium=website) 
>
>TeamT5は、アジア太平洋地域のサイバー攻撃者を最も深く理解している、トップクラスの脅威アナリストによるチームです。地理的・文化的な優位性を活かし、世界各地の主要なサイバーセキュリティカンファレンスでも頻繁に講演を行っています。当社の脅威インテリジェンスの研究力とソリューションは、Frost & Sullivanより「2023–2024年 台湾における脅威インテリジェンス分野の最優秀企業賞」として認められています。



 
 
(cover source: pexels)

量より質 ― 組織に必要なのは地域に即した脅威インテリジェンス

A wave of large-scale attacks has been observed targeting the Microsoft SharePoint vulnerability [CVE-2025-53770](https://nvd.nist.gov/vuln/detail/CVE-2025-53770). This vulnerability allows unauthorized attackers to execute malicious code directly on Microsoft SharePoint Server, potentially compromising the system. For more details on CVE-2025-53770, please refer to [Microsoft’s official advisory](https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/).

TeamT5’s MDR Services and Cyber Threat Intelligence teams responded promptly to the vulnerability incident. They assisted customers in determining whether their environments were affected by this wave of attacks, and provided guidance on mitigation and prevention strategies. And this article offers suggestions for handling the high-risk vulnerability effectively.

##TeamT5 Defense Actions
###Threat Analysis
SharePoint is commonly used to share content within the company and is highly integrated with many core services. Once compromised, attackers may use it to spread laterally to these core systems. According to the [CISA organization's suggestions](https://www.cisa.gov/news-events/alerts/2025/07/20/update-microsoft-releases-guidance-exploitation-sharepoint-vulnerabilities), companies with SharePoint servers should assume that they have been penetrated. Even if a patch is installed, they still need to fully check the server status and respond to the incident.

###Field Inspection
The TeamT5 MDR Service team proactively examined the customer’s environment for malicious programs by analyzing attack patterns and associated IP addresses (detailed below). They also reviewed endpoint scan reports and activity logs to ensure no potential threats were present.

**[Suspicious IPs / Domains]** 
104.238.159.149 
107.191.58.76 
34.121.207.116 
34.72.225.196 
45.191.66.77 
45.77.155.170 
96.9.125.147 

For more information, subscribe to [ThreatVision - Vulnerability Threat Intelligence](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website).

###Endpoint Scanning
For this vulnerability attack feature, TeamT5’s threat forensics analysis platform “ThreatSonar” can be used to scan the SharePoint server to obtain relevant information and confirm whether malicious attack behaviors have occurred. The key points of confirmation are:
- Malicious event records: whether there is suspicious Powershell execution status.
- Malicious file content: whether there is a WebShell.
- Malicious system instructions: whether there is a related lateral movement instruction (lolbas) execution status.

##TeamT5 Suggestions
If you find that the SharePoint server in the field has been attacked, it is recommended to take the following measures:
1. Stop the external services of the SharePoint server (disconnect and isolate), reset the MachineKey of this server, and install the [patch](https://www.microsoft.com/en-us/download/details.aspx?id=108288).
2. Store malicious files and Web Access Logs for cybersecurity experts to identify and analyze the sources of the attacks, so as to find relevant IoC for investigation and confirmation.
3. Immediately delete the malicious files found in the system, and execute cybersecurity health diagnosis (compromise assessment) and threat hunting on other servers in the field to confirm whether other endpoints in the information field are safe.

 

In light of the increasing frequency of APT and ransomware attacks, TeamT5 recommends strengthening the following protection and response measures within your environment:
- When the IoC of a cybersecurity incident is released, the information should be immediately imported into the cybersecurity protection equipment and platform, and proactive scanning should be carried out to confirm whether there are hidden threats.
- Master the threat information of network terminal equipment, external service systems, internal core AD management and endpoint systems in the field, review possible attack behaviors and introduce relevant protection mechanisms to reduce the probability of successful attacks.
- For the field security incident response process, it is recommended to face possible network attack threats through "preemptive prevention", "in-process protection and response" and "post-incident recovery and enhancement", and retain relevant evidence for investigation.
- Consult TeamT5’s threat intelligence and incident response service team to help review potential threats in the field and plan response plans in advance, such as:
 - Use TeamT5 threat intelligence platform [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) to monitor the latest cyber attack threat intelligence and [deep & dark web threat intelligence](https://teamt5.org/en/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website), grasp the possible attack situation and system leakage of account and password, data leakage situation, promptly find out the possible breach, immediately repair the weakness, and prevent the disaster from expanding.
 - Review the network architecture and assess external exposure risks. For critical systems such as Web, Email, ERP, AD, and operational endpoints, deploy the endpoint detection & response platform [ThreatSonar Anti-Ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) to enhance endpoint security. This solution enables rapid detection, response, and blocking of hacker threats, ensuring timely protection of your environment.

 

##TeamT5's Commitment
To safeguard our customers' environments, TeamT5 offers a range of services tailored to diverse security needs, with a continued focus on ensuring system integrity and protection. If you have any questions or require further information, please don’t hesitate to [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website).

 
>[TeamT5 CSIRT](https://teamt5.org/en/posts/teamt5-csirt/?utm_source=news&utm_medium=website) & PSIRT mainly provide customers with cybersecurity incident detection, notification and response services. During the process, they will work closely with the customer's IT and cybersecurity team, and provide customers with the intelligence and professional tools they need to face network threats in advance, assist in identifying and defending against threats, conduct detection and response during the incident, and provide post-incident recovery and enhancement services.
>
>[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for consultancy.


 
 
（cover source: pexels）

Microsoft SharePoint Zero-Day Vulnerability (CVE-2025-53770) [TeamT5 Suggestion]

針對微軟 SharePoint 漏洞 [CVE-2025-53770](https://nvd.nist.gov/vuln/detail/CVE-2025-53770) 陸續發生大規模攻擊事件，該漏洞使 Microsoft SharePoint Server 可被未經授權的攻擊者直接執行惡意程式碼，達到侵入系統之目的，CVE 相關資訊可參考[原廠說明](https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/)。

TeamT5 MDR 與威脅情資團隊針對此一漏洞事件立即採取行動，協助客戶確認場域是否遭到此波漏洞攻擊並討論應對防範策略，本文也提供面對高危漏洞類事件處置相關建議。

##TeamT5 威脅檢測行動
###威脅分析
SharePoint 服務用於公司內部內容之分享，且與許多核心服務高度整合，一旦被侵入，攻擊者可能藉由其橫向擴散至這些系統；另根據 [CISA 組織建議](https://www.cisa.gov/news-events/alerts/2025/07/20/update-microsoft-releases-guidance-exploitation-sharepoint-vulnerabilities)，擁有 SharePoint 主機的公司應假設已遭滲透，即使有安裝修補程式（patch），也仍需全面排查主機狀況與做事件處理回應。

###場域巡檢
TeamT5 MDR 服務團隊已主動針對事件攻擊特徵與關聯之 IP（詳見下方），巡檢客戶場域是否有存在相關惡意程式狀況，並檢視場域端點掃描報告及活動紀錄，確保無潛在威脅存在。

**[可疑的 IP 位址或網域名稱]** 
104.238.159.149 
107.191.58.76 
34.121.207.116 
34.72.225.196 
45.191.66.77 
45.77.155.170 
96.9.125.147 

更多相關資訊，可訂閱 [ThreatVision 漏洞修補威脅情資](https://teamt5.org/tw/products/threatvision/)。

##端點掃測
針對此一漏洞攻擊特徵，目前已可運用 TeamT5 產品 ThreatSonar 威脅鑑識分析平台，針對 Sharepoint 主機掃描取得相關資訊，確認是否有惡意攻擊行為發生，確認重點為：
- 惡意事件紀錄：是否有 可疑 Powershell 執行狀況。 
- 惡意檔案內容：是否有 WebShell 存在狀況。
- 惡意系統指令：是否有 相關橫向移動指令（lolbas）執行狀況。


##TeamT5 建議處置措施
如發現場域中 SharePoint 主機已有遭攻擊狀況發生時，建議可採取以下措施：

1. 停止 SharePoint 主機對外服務（斷網隔離），並重置此台主機的 MachineKey，及安裝[修補程式](https://www.microsoft.com/en-us/download/details.aspx?id=108288)。
2. 保存惡意檔案與 Web Access Log 提供資安專家進行鑑識與分析攻擊來源，藉以找出相關 IoC 資訊提供調查確認使用。
3. 於系統上刪除所發現之惡意檔案，並對場域其他主機進行資安健診（compromise assessment）與威脅狩獵，確認資訊場域其他端點是否安全。

 

面對 APT 及勒索軟體攻擊事件頻傳，TeamT5 建議場域仍需強化下列防護與應對措施：
- 在資安事件 IoC 發布時，應立即將情資匯入資安防護設備與平台中，主動偵掃確認是否有隱藏威脅存在。
- 掌握場域中網路終端設備、對外服務系統、內部核心 AD 管理與端點系統威脅情資，檢視可能發生之攻擊行為並導入相關防護機制，降低攻擊成功機率。
- 針對場域資安事件應變處理過程，建議透由「事前檢視預防」、「事中防護阻擋」與「事後復原強化」來面對可能發生之網路攻擊威脅，並保留相關事證進行調查。

 

諮詢 TeamT5 威脅情資及事件處理服務團隊，協助檢視場域可能威脅，提早規劃應對方案，例如：
 - 採用 TeamT5 [ThreatVision 威脅情資平台](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website)，關注最新網路攻擊威脅情資及[深暗網威脅情資](https://teamt5.org/tw/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)，掌握可能波及的攻擊情況及系統外洩帳密、資料洩露狀況，及時找出可能已遭入侵之破口，立即修補弱點，防範災情擴大。
 - 檢視場域網路系統架構與評估曝險狀況，針對核心系統如 Web、Email、ERP 及 AD 等與作業端點，導入 [ThreatSonar Anti-Ransomware 端點威脅鑑識分析與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)，確保場域端點環境安全，並第一時間偵測回應與阻擋駭客攻擊威脅。

##TeamT5 的承諾
為確保客戶場域環境安全，TeamT5 提供多樣化的服務，以滿足客戶不同的安全需求，並始終以確保客戶系統安全作為優先事項。如有任何進一步的問題或需要更多資訊，請隨時與我們聯繫。

 

>杜浦數位安全電腦資安事件應變小組與產品資安事件應變小組（[TeamT5 CSIRT](https://teamt5.org/tw/posts/teamt5-csirt/?utm_source=news&utm_medium=website) & PSIRT）主要提供客戶有關資安事件偵測、通報與應變處理服務，過程中會與客戶的 IT 及資安團隊進行密切配合，並於事前提供客戶面對網路威脅所需情資及專業工具，協助辨識與防禦威脅，事中進行偵測與因應與事後復原強化等服務。
>
>IR 資安事件應變服務: [介紹](https://teamt5.org/tw/service/ir/?utm_source=blog&utm_medium=website) 
>MDR 威脅偵測應變代管服務: [介紹](https://teamt5.org/tw/service/mdr/?utm_source=blog&utm_medium=website) 
>
>若您有資安事件處理、應變的需求，歡迎填寫[諮詢表單](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)。

 
 
（首圖來源：pexels）

如何應對微軟 SharePoint 漏洞攻擊事件【TeamT5 詳解】

Microsoft SharePointの脆弱性（[CVE-2025-53770](https://nvd.nist.gov/vuln/detail/CVE-2025-53770)）を標的とした大規模な攻撃の波が観測されています。この脆弱性を悪用することで、認証されていない攻撃者がMicrosoft SharePoint Server上で悪意のあるコードを直接実行し、システムが侵害される可能性があります。CVE-2025-53770の詳細については、[Microsoftの公式アドバイザリ](https://msrc.microsoft.com/blog/2025/07/customer-guidance-for-sharepoint-vulnerability-cve-2025-53770/)をご参照ください。

TeamT5のMDRサービスおよびサイバー脅威インテリジェンスチームは、この脆弱性インシデントに迅速に対応しました。お客様の環境がこの攻撃の波の影響を受けているかどうかの確認を支援し、緩和および予防策に関するガイダンスを提供しました。本記事では、この高リスクな脆弱性への効果的な対処方法についての提案を紹介します。

##TeamT5の防御対応
###脅威分析
SharePointは、社内でコンテンツを共有するために広く利用されており、多くの基幹サービスと高度に統合されています。そのため、一度侵害されると、攻撃者がこのシステムを足がかりに、他の基幹システムへ横展開する可能性があります。[CISA（米国サイバーセキュリティ・インフラセキュリティ庁）の提言によれば](https://www.cisa.gov/news-events/alerts/2025/07/20/update-microsoft-releases-guidance-exploitation-sharepoint-vulnerabilities)、SharePointサーバーを運用している企業は、すでに侵入されている可能性を前提に対応すべきとされています。たとえパッチを適用していても、サーバーの状態を完全に確認し、インシデント対応を行う必要があります。


###現地調査
TeamT5のMDRサービスチームは、攻撃パターンや関連するIPアドレス（詳細は下記）を分析することで、お客様の環境内に悪意のあるプログラムが存在しないかを積極的に調査しました。また、エンドポイントのスキャンレポートやアクティビティログも確認し、潜在的な脅威が存在しないことを確認しました。


**【不審なIPアドレス／ドメイン】** 
104.238.159.149 
107.191.58.76 
34.121.207.116 
34.72.225.196 
45.191.66.77 
45.77.155.170 
96.9.125.147 


詳細情報につきましては、[ThreatVision - 脆弱性脅威インテリジェンス](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website)のご購読をご検討ください。

###エンドポイントスキャン
この脆弱性を悪用する攻撃への対応として、TeamT5の脅威フォレンジック分析プラットフォーム「ThreatSonar」を用いることで、SharePointサーバーをスキャンし、関連情報の取得や悪意ある攻撃行動の有無を確認することが可能です。確認の主なポイントは以下の通りです：
- 悪意のあるイベント記録：疑わしいPowerShellの実行履歴が存在するか
- 悪意のあるファイル内容：WebShellの存在有無
- 悪意のあるシステムコマンド：関連する横展開（Lateral Movement）を目的としたlolbas（Living off the Land Binaries and Scripts）の実行状況があるか

##TeamT5の提案
現場のSharePointサーバーが攻撃を受けたことが判明した場合、以下の対策を講じることを推奨します：
1. SharePointサーバーの外部サービスを停止し（切断および隔離）、当該サーバーのMachineKeyをリセットし、[パッチを](https://www.microsoft.com/en-us/download/details.aspx?id=108288))適用する。
2. 悪意あるファイルやWebアクセスログを保管し、サイバーセキュリティ専門家が攻撃元の特定と分析を行えるようにする。これにより、関連するIoC（侵害指標）の特定と調査が可能となる。
3. システム内で発見された悪意あるファイルは直ちに削除し、他のサーバーに対してサイバーセキュリティ健診（コンプロマイズ・アセスメント）および脅威ハンティングを実施し、情報システム内の他のエンドポイントが安全かどうかを確認する。

 
APT攻撃やランサムウェア攻撃の頻度が増加している現状を踏まえ、TeamT5はお客様の環境において以下の防御および対応策の強化を推奨します：
- サイバーセキュリティインシデントに関するIoC（侵害指標）が公開された場合には、速やかに自社のセキュリティ機器やプラットフォームへインポートし、潜在的な脅威が存在しないかを積極的にスキャンして確認してください。
- 現場のネットワーク末端機器、外部サービスシステム、内部の中核であるAD管理およびエンドポイントシステムに関する脅威情報を把握し、考えられる攻撃行動を見直すとともに、関連する防御メカニズムを導入して、攻撃成功の可能性を低減させてください。
- 現場のインシデント対応プロセスにおいては、「事前の予防」「進行中の保護と対応」「事後の回復と強化」を通じて、ネットワーク攻撃の脅威に備え、調査に必要な証拠の保全を推奨します。
- TeamT5の脅威インテリジェンスおよびインシデント対応チームにご相談いただくことで、現場における潜在的な脅威の見直しや、事前の対応計画立案を支援いたします。具体的には以下のような対応が可能です：
 - TeamT5の脅威インテリジェンスプラットフォーム「[ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website)」を活用し、最新のサイバー攻撃脅威インテリジェンスや[ディープ＆ダークウェブ上の脅威情報を監視することで](https://teamt5.org/jp/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)、アカウントやパスワードの漏洩、システム侵害の可能性、データ流出の状況を把握し、潜在的な侵害を早期に発見、即時に弱点を修復し、被害の拡大を防ぐ。
 - ネットワーク構成の見直しと外部への露出リスクの評価を実施し、Web、メール、ERP、AD、業務用エンドポイントなどの重要システムに対しては、エンドポイント検知・対応プラットフォーム「[ThreatSonar Anti-Ransomware](https://teamt5.org/jp/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)」を導入し、エンドポイントセキュリティを強化。これにより、ハッカーによる脅威の迅速な検知、対応、ブロックを実現し、環境の安全を確保します。

##TeamT5's Commitment
お客様の環境を守るために、TeamT5は多様なセキュリティニーズに対応した各種サービスを提供し、システムの完全性と保護の確保に継続的に取り組んでいます。ご不明な点や詳細情報をご希望の際は、どうぞお気軽に[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。

>[TeamT5のCSIRT](https://teamt5.org/en/posts/teamt5-csirt/?utm_source=news&utm_medium=website)およびPSIRTは、主にサイバーセキュリティインシデントの検知、通知、対応サービスをお客様に提供しています。対応の過程では、お客様のITおよびセキュリティチームと密接に連携し、ネットワーク脅威に先回りして対応できるよう、必要なインテリジェンスや専門的なツールを提供します。さらに、インシデント発生時の検知・対応から、インシデント後の復旧および強化支援まで一貫してサポートします。
>
>コンサルティングのご相談は、お気軽に[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。

Microsoft SharePoint ゼロデイ脆弱性（CVE-2025-53770）【TeamT5の提案】

In today’s intelligence-driven defense era, the competitiveness of an intelligence integration platform lies in the depth and breadth of its intelligence, as well as its ability to effectively meet customer needs. TeamT5, a recognized leader in cybersecurity, delivers professional Asia-Pacific threat intelligence—offering regularly updated in-depth analysis and supporting API integration.

We understand the demand from professional threat intelligence vendors and security integration service providers for high-quality, actionable intelligence. With over 20 years of experience tracking [advanced persistent threat (APT)](https://teamt5.org/en/posts/what-is-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website) groups, TeamT5 brings deep insights from a uniquely local perspective. Our intelligence empowers your platform to deliver broader and more comprehensive services to your customers.

##Why Choose Our APT Intelligence?

####Focusing on Frontline Attack Intelligence in Asia Pacific
With years of deep engagement across the Asia Pacific region, we have tracked hundreds of APT groups—their infrastructure, behavioral patterns, and emerging tools.

####Widely Applicable, Actionable Intelligence
Beyond static reports, we deliver indicators of compromise (IoCs) verified by our professional analyst team, along with specialized threat hunting tools designed for APT and vulnerability-based attacks. Our intelligence is high-quality, precise, and highly relevant—empowering your platform to help customers defend against and respond to threats more effectively.

####Supports Standard Formats, Seamless API Integration
We support STIX and CSV formats, as well as API connectivity for easy integration with your threat intelligence platform, maximizing operational efficiency.


####Not Just Reports—With Context for Smarter Decisions
Our intelligence is validated by experts and presented in a clear, structured, and contextualized format. This enables faster correlation of information, helping customers understand the background and rationale of each attack and make better-informed decisions.


##Widely Recognized by International Threat Intelligence Platforms
We have integrated with many international threat intelligence platforms, including Threatray, Cyware, EclecticIQ, ThreatQuotient, etc., to provide their platforms with professional and in-depth information on Asia-Pacific APT threats, enhancing users' detection and response capabilities.

>**Partnering with industry leaders: ** 
>- [Uniting for Discovery: TeamT5 and Threatray Announce Joint Research Collaboration to Unlock New Frontiers](https://teamt5.org/en/posts/uniting-for-discovery-teamt5-and-threatray-announce-joint-research-collaboration-to-unlock-new-frontiers/?utm_source=blog&utm_medium=website) 
>- [TeamT5's ThreatVision Integrated into Cyware](https://teamt5.org/en/posts/teamt5-s-threat-vision-integrated-into-cyware/?utm_source=blog&utm_medium=website) 
>- [EclecticIQ and TeamT5 Join Forces to Combat Asia-Pacific Cyber Threats with Enhanced Intelligence Capabilities](https://teamt5.org/en/posts/eclecticiq-and-teamt5-join-forces-to-combat-asia-pacific-cyber-threats-with-enhanced-intelligence-capabilities/?utm_source=blog&utm_medium=website) 
>- [TeamT5's ThreatVision Integrated into ThreatQ](https://teamt5.org/en/posts/teamt5-s-threatvision-integrated-into-threatq/?utm_source=blog&utm_medium=website) 

##Contact Us Now for Cooperation Opportunities
If you are looking for a high-quality intelligence source, or want to improve the APT intelligence capacity of the platform, we are willing to provide trial and technical docking assistance.

Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

 

>Download the free version of the intelligence report to learn more about our threat intelligence: [APT Threat Landscape in APAC 2024: Blurred Lines of Cyber Attacks](https://teamt5.org/en/posts/apt-threat-landscape-in-apac-2024/?utm_source=blog&utm_medium=website)
>
>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.


 
 
(cover source：pexels)

Leveraging Asia Pacific APT Intelligence to Enhance Cybersecurity Services

在現今以情資驅動的防禦時代，情資整合平台的競爭力，來自於情資的深度和廣度，以及能否妥善因應客戶需求。獲業界肯定的杜浦數位安全 TeamT5 提供專業亞太威脅情資，不僅提供定期更新的深度剖析，同時支援 API 串接。

我們了解，專業威脅情資供應商和資安整合服務供應商對高品質情資的需求。TeamT5 身為亞太威脅情資專家，擁有逾 20 年深入研究追蹤[進階持續性威脅（advanced persistent threat, APT）](https://teamt5.org/tw/posts/what-is-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)攻擊組織的深厚經驗，能以在地獨特視角提供深入分析，讓您的威脅情資平台為客戶提供更具深度和廣度的服務。

 

##為什麼選擇我們的 APT 情資？
####聚焦亞太的第一線攻擊情資
我們深耕亞太多年，追蹤上百個 APT 攻擊組織，包含他們的基礎設施、行為模式與新型工具。

####可廣泛運用的實戰型情資
不只是靜態的報告，我們提供由專業分析師團隊追蹤驗證的入侵指標（IoC），以及針對 APT 和漏洞攻擊打造的威脅狩獵工具（Threat Hunting Tools），能為您的平台提供高品質高精度的高關聯情資，協助您的客戶有效防禦和應對威脅。

####支援通用格式，API 順暢串接
支援 STIX、CSV 格式，也可透過 API 串接至威脅情資平台，極大化整合效率。

####不只是報告，更提供情境脈絡與決策依據
我們提供經專家驗證、架構清晰且具脈絡的情資，能協助您快速關聯資訊，讓客戶理解攻擊背後的脈絡和理由，藉以做出更明智的行動判斷。

 

##廣獲國際威脅情資平台認可
我們已與多家國際威脅情資平台相互整合，包含 Threatray、Cyware、EclecticIQ、ThreatQuotient 等，為其平台提供專業深入的亞太 APT 威脅，提升使用者的偵測與回應能力。

>**合作詳情**： 
>- [TeamT5 與 Threatray 宣布戰略研究合作，提升情資威脅研究與網路防禦能量](https://teamt5.org/tw/posts/uniting-for-discovery-teamt5-and-threatray-announce-joint-research-collaboration-to-unlock-new-frontiers/?utm_source=blog&utm_medium=website) 
>- [TeamT5 ThreatVision 情資平台與 Cyware 強強聯手抵禦威脅](https://teamt5.org/tw/posts/teamt5-s-threat-vision-integrated-into-cyware/?utm_source=blog&utm_medium=website) 
>- [EclecticIQ 與 TeamT5 攜手強化亞太情資能量，共同打擊全球網路威脅](https://teamt5.org/tw/posts/eclecticiq-and-teamt5-join-forces-to-combat-asia-pacific-cyber-threats-with-enhanced-intelligence-capabilities/?utm_source=blog&utm_medium=website) 
>- [TeamT5 與 ThreatQuotient 合作威脅情資整合 助力企業超前部署](https://teamt5.org/tw/posts/teamt5-s-threatvision-integrated-into-threatq/) 

 

##立即洽詢合作機會
若您正在尋找高品質情資來源，或希望提升平台的 APT 情資量能，我們願意提供試用與技術串接協助。

聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website) 
也歡迎免費下載精華版情資報告，了解我們的威脅情資：[2024年威脅態勢回顧: 網路攻擊的模糊地帶【英文威脅情資報告】](https://teamt5.org/tw/posts/apt-threat-landscape-in-apac-2024/?utm_source=blog&utm_medium=website)

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。



 
 
（首圖來源：pexels）

串接亞太 APT 首選情資，拓展服務深度與廣度

インテリジェンス駆動型防御が主流となる現代において、インテリジェンス統合プラットフォームの競争力は、インテリジェンスの深さと広さ、そして顧客ニーズへの的確な対応力にかかっています。

当社は、サイバーセキュリティ分野のリーダーとして認められており、アジア太平洋地域に特化した専門的な脅威インテリジェンスを提供しています。これには、定期的に更新される詳細な分析や、API連携のサポートも含まれます。

当社は、プロフェッショナルな脅威インテリジェンスベンダーやセキュリティ統合サービスプロバイダーが、高品質で実用的なインテリジェンスを求めていることを理解しています。
TeamT5は、20年以上にわたって[高度持続的脅威（APT）](https://teamt5.org/jp/posts/what-is-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)グループを追跡してきた実績を持ち、独自のローカル視点から深い洞察を提供します。
当社のインテリジェンスは、貴社のプラットフォームがより広範で包括的なサービスを顧客に提供できるよう支援します。

##なぜTeamT5のAPTインテリジェンスが選ばれるのか？

#####アジア太平洋地域の最前線の攻撃インテリジェンスに特化
アジア太平洋地域で長年にわたり深く関与してきた私たちは、数百におよぶAPTグループのインフラ、行動パターン、新たなツールを追跡してきました。




####幅広く活用できる実用的なインテリジェンス
静的なレポートにとどまらず、当社のプロフェッショナルなアナリストチームが検証した侵害指標（IoC）や、APTおよび脆弱性を悪用した攻撃に特化した脅威ハンティングツールを提供しています。
当社のインテリジェンスは、高品質で精度が高く、非常に実用的です。これにより、貴社のプラットフォームがお客様の脅威への防御と対応をより効果的に支援できるようになります。

####標準フォーマット対応とシームレスなAPI連携
STIX形式やCSV形式に対応しており、API接続によって脅威インテリジェンスプラットフォームへのスムーズな統合が可能です。これにより、運用効率を最大化できます。


####単なるレポートではなく、より賢明な判断のための文脈を提供
当社のインテリジェンスは専門家によって検証され、明確かつ構造化され、文脈を伴った形式で提供されます。
これにより情報の迅速な相関が可能となり、各攻撃の背景や意図を理解しやすくなり、より的確な意思決定を支援します。

##国際的な脅威インテリジェンスプラットフォームから高く評価

TeamT5は、Threatray、Cyware、EclecticIQ、ThreatQuotient など、数多くの国際的な脅威インテリジェンスプラットフォームと連携し、アジア太平洋地域のAPT脅威に関する専門的かつ深い情報を提供しています。これにより、ユーザーの検知・対応能力の向上に貢献しています。

>業界リーダーとのパートナーシップ： 
>- [Uniting for Discovery: TeamT5 and Threatray Announce Joint Research Collaboration to Unlock New Frontiers](https://teamt5.org/en/posts/uniting-for-discovery-teamt5-and-threatray-announce-joint-research-collaboration-to-unlock-new-frontiers/?utm_source=blog&utm_medium=website) 
>- [TeamT5's ThreatVision Integrated into Cyware](https://teamt5.org/en/posts/teamt5-s-threat-vision-integrated-into-cyware/?utm_source=blog&utm_medium=website) 
>- [EclecticIQ and TeamT5 Join Forces to Combat Asia-Pacific Cyber Threats with Enhanced Intelligence Capabilities](https://teamt5.org/en/posts/eclecticiq-and-teamt5-join-forces-to-combat-asia-pacific-cyber-threats-with-enhanced-intelligence-capabilities/?utm_source=blog&utm_medium=website) 
>- [TeamT5's ThreatVision Integrated into ThreatQ](https://teamt5.org/en/posts/teamt5-s-threatvision-integrated-into-threatq/?utm_source=blog&utm_medium=website) 

####協業のご相談はこちらから
高品質なインテリジェンスソースをお探しの方、またはプラットフォームのAPTインテリジェンス機能を強化したい方には、トライアルや技術連携のサポートも提供しております。ぜひお気軽にご連絡ください。

お問い合わせ：[リンク](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

 

>脅威インテリジェンスの詳細は、無料レポートにてご確認いただけます：[2024年脅威ランドスケープのレビュー：曖昧になるサイバー攻撃の境界線【脅威インテリジェンスレポート(英語ver.)】](https://teamt5.org/jp/posts/apt-threat-landscape-in-apac-2024/?utm_source=blog&utm_medium=website) 
>
>TeamT5は、アジア太平洋地域のサイバー攻撃者を最も深く理解している、トップクラスの脅威アナリストによるチームです。地理的・文化的な優位性を活かし、世界各地の主要なサイバーセキュリティカンファレンスでも頻繁に講演を行っています。当社の脅威インテリジェンスの研究力とソリューションは、Frost & Sullivanより「2023–2024年 台湾における脅威インテリジェンス分野の最優秀企業賞」として認められています。

 
 
(cover source：pexels)

アジア太平洋地域のAPTインテリジェンスを活用したサイバーセキュリティサービスの強化

The following blog post is based on our May H1 Vulnerability Insights Report. TeamT5 Vulnerability Research Team is dedicated to providing timely mitigation and response guidelines to critical vulnerabilities. [Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for more information about our vulnerability intelligence.


## Active Exploitation of CVE-2025-31324 in SAP NetWeaver

TeamT5 has detected that a critical vulnerability (CVE-2025-31324) in SAP NetWeaver was actively exploited by China-nexus APT group, Amoeba (aka APT41). The earliest exploitation of Amoeba can be traced back to May 2025, whereas public reports suggested that the zero-day exploitation has observed in January 2025. The threat actors deployed webshell and malware, such as vshell and CobaltStrike Beacon, after successful exploitation. 

Moreover, our further investigation found that several major cloud services providers were affected. Over 100 entities, including Google Cloud, Microsoft Azure, Amazon Web Service, were compromised with webshell. The victims are in Taiwan, South Korea, China, India, the United States, Spain, Turkey, Russia, Germany, Guatemala, Saint Barthélemy, and Chile, spanning education, manufacturing, automotive, recycling, tourism, IT, food and beverage, and conglomerate. 

We conclude the attacks in **Exploitation Status** below.

### Executive Summary

We assess the severity level of CVE-2025-31324 as critical and urge our customers to use this report to mitigate the effects. CVE-2025-31324 is an unauthenticated file upload vulnerability in SAP NetWeaver Visual Composer Metadata Uploader. With a CVSS score of 9.8, successful exploitation of CVE-2025-31324 allows unauthenticated threat actor to upload webshell and implant malware.

SAP fixed the vulnerability in a security note released in May 2025 [1]. Yet, Public reports and Proof-of-Concepts of CVE-2025-31324 was published since April 2025 [2][3]. Public reports suggested that CVE-2025-31324 has been exploited as zero-day vulnerability in the wild since January 2025[4]. 

Based on our investigation and the current exploitation status of CVE-2025-31324, we depicted the **Forensic Artifacts** in this report. We also concluded the malware and IoC in **Appendix I: Malware Table** and **Appendix II: Indicators of Compromise (IoC)**. Most importantly, we prepare a comprehensive **Mitigation and Response Advisory** for our customers.

The Mitigation and Response Advisory includes:
- Official Information
- Threat Hunting Tools: We provide a YARA rule to detect generic JSP webshell.

 

### Exploitation Status

CVE-2025-31324 has been exploited by China-nexus APT group Amoeba since May 2025. 
- Amoeba exploited CVE-2025-31324 in attacks against India, Germany, Turkey, Spain, spinning recycling, automotive, and tourism industry.
 - In the attacks, Amoeba deployed webshell as initial payload and implanted malware such as CobaltStrike Beacon and vshell.
 - The C2 of the malware are 43.133.196.194 and 101.32.26.154.
- In addition to the APT activities, our further investigation found that several major cloud services providers were affected. Over 100 entities, including Google Cloud, Microsoft Azure, Amazon Web Service, were compromised with webshell.

 

### Affected Products

Product – SAP NetWeaver (Visual Composer development server)
Version – VCFRAMEWORK `7.50`

 

### Mitigation and Response Advisory

#### 1. Official Information

Successful exploitation of CVE-2025-31324 allows unauthenticated threat actors to upload webshell and implant malware. We highly recommend our client to patch the vulnerability immediately. 

SAP fixed CVE-2025-31324 in a security note released in May 2025:
- https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html

#### 2. Threat Hunting Tools

CVE-2025-31324 allows unauthenticated threat actors to upload webshell. TeamT5 vulnerability team prepare a YARA rule for our clients to detect generic JSP webshell.

The YARA rule can be downloaded from Threat Hunting Tools in our solution [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website).

 

### Forensic Artifacts

Our investigation found that the exploitation of CVE-2025-31324 will leave following traces. Our clients can use the following Forensic Artifacts for investigation.

#### 1. Webshells
Unauthorized threat actors can exploit CVE-2025-31324 to upload webshell to `./apps/sap.com/irj/root/` and `./apps/sap.com/irj/work/`. Common webshells include `cache.jsp`, `shell.jsp`, `helper.jsp`, `usage.jsp`, `user.jsp`, `readme.jsp`. 

We provide the YARA rule for our customers to detect webshell.

#### 2. Check SAP Access Log for Suspicious Activities

Exploiting CVE-2025-31324 and access webshells will generate specific content to access log. Our clients can check the access log to identify potential suspicious activities and the attacker's IPs. 
- The access log can be found in SAP installation path:`./log/system/httpaccess/responses*.trc*`.
- Exploiting CVE-2025-31324 will generate `ATTACKER_IP : POST /developmentserver/metadatauploader?CONTENTTYPE=MODEL&CLIENT=1 HTTP/1.1 200` in access log.
- Accessing webshell will generate `ATTACKER_IP : GET /irj/helper.jsp?cmd=COMMAND HTTP/1.1 200` in access log.

 

### Appendix I: Malware Table

Malware Table introduces the malware mentioned in this report.

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>

 <tr>
 <td>vshell</td>
 <td>RAT</td>
 <td>vshell is an open-source RAT that offers tunnel proxies and covert channels to emulate persistent attack behaviors within networks. With support for multiple protocols, robust compatibility, and extensive collaboration features, it enables blue teams to enhance security equipment assessment and bolster emergency response capabilities. vshell is widely used in red-blue attack and defense drills and confrontation simulations, simulating the strategies and techniques of APT threat actors.</td>
 <td>Open-source</td>
 <td>2023.09</td>
 </tr>
 <tr>
 <td>CobaltStrike Beacon</td>
 <td>RAT</td>
 <td>CobaltStrike Beacon is the payload of Cobalt Strike, a commercial penetration testing software used by various red teams, ethical hackers, and threat actors. It is highly customizable with features such as key logging, file transfer, SOCKS proxying, privilege escalation, and mimikatz. CobaltStrike is a legitimate tool used by ethical hackers, but it is also a cyber weapon employed by threat actors to launch real attacks against companies and organizations.</td>
 <td>Shared</td>
 <td>2016.05</td>
 </tr> 
</table>

 

### Appendix II: Indicators of Compromise (IoC)

```c2-IP=IP
101.32.26.154
43.133.196.194
```

```hash=hash
7ec3d703d7fa41d0f13100ea352a9afd22c0e32f3fd1b2e08a83163ddcbe56d5
d560a377ffdba0efe9905d2d84492b486b115f60ee9a9efea850f67106ca9f14
3f5fd4b23126cb21d1007b479954af619a16b0963a51f45cc32a8611e8e845b5
c7b9ae61046eed01651a72afe7a31de088056f1c1430b368b1acda0b58299e28
9fb57a4c6576a98003de6bf441e4306f72c83f783630286758f5b468abaa105d
```


##Reference

[1] SAP Security Note 
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html 

[2] Threat Brief: CVE-2025-31324 
https://unit42.paloaltonetworks.com/threat-brief-sap-netweaver-cve-2025-31324/ 

[3] Proof of Concept 
https://github.com/ODST-Forge/CVE-2025-31324_PoC 

[4] SAP NetWeaver Flaw Lets Hackers Take Full Control: CVE-2025-31324 Explained 
https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-cve-2025-31324/ 

 
 
(cover source：pexels)

Alerts of Exploiting SAP NetWeaver: CVE-2025-31324

本文改寫自 TeamT5〈 2025 年 5 月第二期的漏洞情資報告（VIR 2024 April H2）〉。 TeamT5 漏洞研究團隊致力於針對重大漏洞提供即時的應對措施與緩解方案。如欲進一步了解 TeamT5 的漏洞情資報告，請[與我們聯繫](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)。


>**CVE-2025-31324: SAP NetWeaver ** 
TeamT5 偵測到 SAP NetWeaver 中一個高風險漏洞 (CVE-2025-31324) 已被與中國有關聯的 APT 組織 Amoeba（又稱 APT41）積極利用。 Amoeba 的早期利用可追溯到 2025 年 5 月，而公開報告顯示，其零日漏洞利用最早出現在 2025 年 1 月。成功利用漏洞後，攻擊者部署 webshell 和惡意軟體（例如 vshell 和 CobaltStrike Beacon）。
>
>此外，我們進一步調查發現，多家主流雲端服務供應商也受到影響，包括 Google Cloud、Microsoft Azure、Amazon Web Service 在內，超過 100 家組織遭到 webshell 攻擊。受害者遍佈台灣、韓國、中國、印度、美國、西班牙、土耳其、俄羅斯、德國、瓜地馬拉、聖巴瑟米和智利，涉及教育、製造、汽車、回收、旅遊、IT、食品飲料和商業集團等產業。
>
>本文詳細說明攻擊手法與情況。


The following blog post is based on our May H1 Vulnerability Insights Report. TeamT5 Vulnerability Research Team is dedicated to providing timely mitigation and response guidelines to critical vulnerabilities. [Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for more information about our vulnerability intelligence.


## Active Exploitation of CVE-2025-31324 in SAP NetWeaver

TeamT5 has detected that a critical vulnerability (CVE-2025-31324) in SAP NetWeaver was actively exploited by China-nexus APT group, Amoeba (aka APT41). The earliest exploitation of Amoeba can be traced back to May 2025, whereas public reports suggested that the zero-day exploitation has observed in January 2025. The threat actors deployed webshell and malware, such as vshell and CobaltStrike Beacon, after successful exploitation. 

Moreover, our further investigation found that several major cloud services providers were affected. Over 100 entities, including Google Cloud, Microsoft Azure, Amazon Web Service, were compromised with webshell. The victims are in Taiwan, South Korea, China, India, the United States, Spain, Turkey, Russia, Germany, Guatemala, Saint Barthélemy, and Chile, spanning education, manufacturing, automotive, recycling, tourism, IT, food and beverage, and conglomerate. 

We conclude the attacks in **Exploitation Status** below.

### Executive Summary

We assess the severity level of CVE-2025-31324 as critical and urge our customers to use this report to mitigate the effects. CVE-2025-31324 is an unauthenticated file upload vulnerability in SAP NetWeaver Visual Composer Metadata Uploader. With a CVSS score of 9.8, successful exploitation of CVE-2025-31324 allows unauthenticated threat actor to upload webshell and implant malware.

SAP fixed the vulnerability in a security note released in May 2025 [1]. Yet, Public reports and Proof-of-Concepts of CVE-2025-31324 was published since April 2025 [2][3]. Public reports suggested that CVE-2025-31324 has been exploited as zero-day vulnerability in the wild since January 2025[4]. 

Based on our investigation and the current exploitation status of CVE-2025-31324, we depicted the **Forensic Artifacts** in this report. We also concluded the malware and IoC in **Appendix I: Malware Table** and **Appendix II: Indicators of Compromise (IoC)**. Most importantly, we prepare a comprehensive **Mitigation and Response Advisory** for our customers.

The Mitigation and Response Advisory includes:
- Official Information
- Threat Hunting Tools: We provide a YARA rule to detect generic JSP webshell.

 

### Exploitation Status

CVE-2025-31324 has been exploited by China-nexus APT group Amoeba since May 2025. 
- Amoeba exploited CVE-2025-31324 in attacks against India, Germany, Turkey, Spain, spinning recycling, automotive, and tourism industry.
 - In the attacks, Amoeba deployed webshell as initial payload and implanted malware such as CobaltStrike Beacon and vshell.
 - The C2 of the malware are 43.133.196.194 and 101.32.26.154.
- In addition to the APT activities, our further investigation found that several major cloud services providers were affected. Over 100 entities, including Google Cloud, Microsoft Azure, Amazon Web Service, were compromised with webshell.

 

### Affected Products

Product – SAP NetWeaver (Visual Composer development server)
Version – VCFRAMEWORK `7.50`

 

### Mitigation and Response Advisory

#### 1. Official Information

Successful exploitation of CVE-2025-31324 allows unauthenticated threat actors to upload webshell and implant malware. We highly recommend our client to patch the vulnerability immediately. 

SAP fixed CVE-2025-31324 in a security note released in May 2025:
- https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html

#### 2. Threat Hunting Tools

CVE-2025-31324 allows unauthenticated threat actors to upload webshell. TeamT5 vulnerability team prepare a YARA rule for our clients to detect generic JSP webshell.

The YARA rule can be downloaded from Threat Hunting Tools in our solution [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website).

 

### Forensic Artifacts

Our investigation found that the exploitation of CVE-2025-31324 will leave following traces. Our clients can use the following Forensic Artifacts for investigation.

#### 1. Webshells
Unauthorized threat actors can exploit CVE-2025-31324 to upload webshell to `./apps/sap.com/irj/root/` and `./apps/sap.com/irj/work/`. Common webshells include `cache.jsp`, `shell.jsp`, `helper.jsp`, `usage.jsp`, `user.jsp`, `readme.jsp`. 

We provide the YARA rule for our customers to detect webshell.

#### 2. Check SAP Access Log for Suspicious Activities

Exploiting CVE-2025-31324 and access webshells will generate specific content to access log. Our clients can check the access log to identify potential suspicious activities and the attacker's IPs. 
- The access log can be found in SAP installation path:`./log/system/httpaccess/responses*.trc*`.
- Exploiting CVE-2025-31324 will generate `ATTACKER_IP : POST /developmentserver/metadatauploader?CONTENTTYPE=MODEL&CLIENT=1 HTTP/1.1 200` in access log.
- Accessing webshell will generate `ATTACKER_IP : GET /irj/helper.jsp?cmd=COMMAND HTTP/1.1 200` in access log.

 

### Appendix I: Malware Table

Malware Table introduces the malware mentioned in this report.

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>

 <tr>
 <td>vshell</td>
 <td>RAT</td>
 <td>vshell is an open-source RAT that offers tunnel proxies and covert channels to emulate persistent attack behaviors within networks. With support for multiple protocols, robust compatibility, and extensive collaboration features, it enables blue teams to enhance security equipment assessment and bolster emergency response capabilities. vshell is widely used in red-blue attack and defense drills and confrontation simulations, simulating the strategies and techniques of APT threat actors.</td>
 <td>Open-source</td>
 <td>2023.09</td>
 </tr>
 <tr>
 <td>CobaltStrike Beacon</td>
 <td>RAT</td>
 <td>CobaltStrike Beacon is the payload of Cobalt Strike, a commercial penetration testing software used by various red teams, ethical hackers, and threat actors. It is highly customizable with features such as key logging, file transfer, SOCKS proxying, privilege escalation, and mimikatz. CobaltStrike is a legitimate tool used by ethical hackers, but it is also a cyber weapon employed by threat actors to launch real attacks against companies and organizations.</td>
 <td>Shared</td>
 <td>2016.05</td>
 </tr> 
</table>

 

### Appendix II: Indicators of Compromise (IoC)

```c2-IP=IP
101.32.26.154
43.133.196.194
```

```hash=hash
7ec3d703d7fa41d0f13100ea352a9afd22c0e32f3fd1b2e08a83163ddcbe56d5
d560a377ffdba0efe9905d2d84492b486b115f60ee9a9efea850f67106ca9f14
3f5fd4b23126cb21d1007b479954af619a16b0963a51f45cc32a8611e8e845b5
c7b9ae61046eed01651a72afe7a31de088056f1c1430b368b1acda0b58299e28
9fb57a4c6576a98003de6bf441e4306f72c83f783630286758f5b468abaa105d
```


##Reference

[1] SAP Security Note 
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html 

[2] Threat Brief: CVE-2025-31324 
https://unit42.paloaltonetworks.com/threat-brief-sap-netweaver-cve-2025-31324/ 

[3] Proof of Concept 
https://github.com/ODST-Forge/CVE-2025-31324_PoC 

[4] SAP NetWeaver Flaw Lets Hackers Take Full Control: CVE-2025-31324 Explained 
https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-cve-2025-31324/ 


 
 
（首圖來源：pexels）

CVE-2025-31324: SAP NetWeaver 漏洞

以下のブログ記事は、2025年上半期5月の「脆弱性インサイトレポート」に基づいています。
TeamT5の脆弱性リサーチチームは、重大な脆弱性に対して、タイムリーな緩和策と対応ガイドラインの提供に取り組んでいます。
当社の脆弱性インテリジェンスに関する詳細は、[こちらからお問い合わせください](https://teamt5.org/jp/contact-us/)。


## SAP NetWeaverにおけるCVE-2025-31324の悪用事例

TeamT5は、SAP NetWeaverに存在する重大な脆弱性（CVE-2025-31324）が、中国系APTグループ「Amoeba（別名：APT41）」によって積極的に悪用されていたことを確認しました。Amoebaによる最も早い悪用は2025年5月に遡りますが、一般公開されたレポートではこのゼロデイ脆弱性の悪用は2025年1月に観測されたとされています。攻撃者は、脆弱性を悪用後、vshellやCobaltStrike BeaconなどのWebシェルやマルウェアを展開していました。 

さらに、当社の追加調査により、複数の主要クラウドサービスプロバイダーが影響を受けていたことが判明しました。Google Cloud、Microsoft Azure、Amazon Web Servicesを含む100以上の組織においてWebシェルの侵入が確認されました。被害は、台湾、韓国、中国、インド、米国、スペイン、トルコ、ロシア、ドイツ、グアテマラ、サン・バルテルミー、チリに広がっており、対象となった業種は教育、製造、自動車、リサイクル、観光、IT、食品・飲料、コングロマリットと多岐にわたります。 

本攻撃の詳細は、以下の 悪用状況にまとめています。

### エグゼクティブサマリー

CVE-2025-31324の深刻度はクリティカル（重大）と評価しており、お客様には本レポートを活用して早急な対策を講じていただくよう強く推奨します。
CVE-2025-31324は、SAP NetWeaverのVisual Composer Metadata Uploaderに存在する、認証不要のファイルアップロード脆弱性です。CVSSスコアは9.8であり、認証されていない攻撃者がWebシェルのアップロードやマルウェアの埋め込みを可能にします。

SAPは2025年5月に本脆弱性を修正するセキュリティノートを公開しました[1]。しかし、CVE-2025-31324に関する公開レポートやPoC（概念実証コード）は2025年4月からすでに出回っており[2][3]、2025年1月からは野放しのゼロデイ脆弱性として悪用されていたとの報告もあります[4]. 

当社の調査およびCVE-2025-31324の現在の悪用状況に基づき、本レポートではフォレンジックアーティファクト（デジタル痕跡）を掲載しています。
また、付録I：マルウェア一覧および付録II：侵害の痕跡（IoC）には、確認されたマルウェアとIoCをまとめています。
さらに重要な点として、お客様向けに包括的な対策および対応ガイドも用意しています。

対策および対応ガイドには以下の内容が含まれます：
- 公式情報
- 脅威ハンティングツール：一般的なJSP形式のWebシェルを検出するためのYARAルールを提供しています。

 

### 悪用状況
CVE-2025-31324は、2025年5月以降、中国系APTグループ「Amoeba」によって悪用されています。 
- Amoebaは、CVE-2025-31324を悪用して、インド、ドイツ、トルコ、スペインのほか、リサイクル、自動車、観光業界を標的とした攻撃を行いました。
 - これらの攻撃では、最初のペイロードとしてWebシェルを展開し、CobaltStrike Beaconやvshellなどのマルウェアを埋め込みました。
 - 使用されたマルウェアのC2サーバーは 43.133.196.194 および 101.32.26.154 です。
- このAPT活動に加え、当社の追加調査により、複数の主要クラウドサービスプロバイダーも影響を受けていたことが判明しました。
Google Cloud、Microsoft Azure、Amazon Web Services を含む100以上の組織において、Webシェルによる侵害が確認されました。

 

### 影響を受ける製品

製品名：SAP NetWeaver（Visual Composer 開発サーバー） 
バージョン：VCFRAMEWORK 7.50

 

### 対策および対応ガイド

#### 1. 公式情報

CVE-2025-31324を悪用されると、認証されていない攻撃者によってWebシェルのアップロードやマルウェアの埋め込みが可能になります。
この脆弱性に対して、早急にパッチを適用することを強く推奨します。 

SAPは、2025年5月に公開されたセキュリティノートで本脆弱性（CVE-2025-31324）を修正しています：
- https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html

#### 2. 脅威ハンティングツール

CVE-2025-31324は、認証されていない攻撃者によるWebシェルのアップロードを可能にします。
TeamT5の脆弱性リサーチチームは、お客様が一般的なJSP Webシェルを検出できるように、YARAルールを用意しています。.

このYARAルールは、当社ソリューション [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website)の「Threat Hunting Tools」からダウンロード可能です。 

 

### フォレンジックアーティファクト

当社の調査により、CVE-2025-31324の悪用には以下のような痕跡が残ることが判明しました。
お客様は、これらのフォレンジックアーティファクトをインシデント調査に活用することができます。

#### 1. Webシェル
認証されていない攻撃者は、CVE-2025-31324を悪用して、以下のディレクトリにWebシェルをアップロードすることが可能です：
./apps/sap.com/irj/root/ および ./apps/sap.com/irj/work/ 
よく使用されるWebシェルのファイル名には、以下が含まれます：
`cache.jsp`、`shell.jsp`、`helper.jsp`、`usage.jsp`、`user.jsp`、`readme.jsp`

当社では、これらのWebシェルを検出するためのYARAルールをお客様向けに提供しています。

#### 2. SAPのアクセスログを確認し、不審なアクティビティを特定する

CVE-2025-31324の悪用やWebシェルへのアクセスが行われた場合、アクセスログに特定の内容が記録されます。
お客様はこれらのログを確認することで、不審なアクティビティや攻撃者のIPアドレスを特定することが可能です。 
- アクセスログはSAPのインストールパス内にあり、パスは以下の通りです：
`./log/system/httpaccess/responses*.trc*`
- CVE-2025-31324を悪用した場合、以下のようなログが記録されます：
`ATTACKER_IP : POST /developmentserver/metadatauploader?CONTENTTYPE=MODEL&CLIENT=1 HTTP/1.1 200`
- Webシェルへアクセスした場合、以下のようなログが記録されます：
`ATTACKER_IP : GET /irj/helper.jsp?cmd=COMMAND HTTP/1.1 200` 

 

### 付録 I：マルウェア一覧

本付録では、本レポート内で言及されたマルウェアについて紹介します。

<table>
 <tr>
 <th>Name</th>
 <th>Type</th>
 <th>Description</th>
 <th>Attribution</th>
 <th>First Seen</th>
 </tr>

 <tr>
 <td>vshell</td>
 <td>RAT</td>
 <td>vshell is an open-source RAT that offers tunnel proxies and covert channels to emulate persistent attack behaviors within networks. With support for multiple protocols, robust compatibility, and extensive collaboration features, it enables blue teams to enhance security equipment assessment and bolster emergency response capabilities. vshell is widely used in red-blue attack and defense drills and confrontation simulations, simulating the strategies and techniques of APT threat actors.</td>
 <td>Open-source</td>
 <td>2023.09</td>
 </tr>
 <tr>
 <td>CobaltStrike Beacon</td>
 <td>RAT</td>
 <td>CobaltStrike Beacon is the payload of Cobalt Strike, a commercial penetration testing software used by various red teams, ethical hackers, and threat actors. It is highly customizable with features such as key logging, file transfer, SOCKS proxying, privilege escalation, and mimikatz. CobaltStrike is a legitimate tool used by ethical hackers, but it is also a cyber weapon employed by threat actors to launch real attacks against companies and organizations.</td>
 <td>Shared</td>
 <td>2016.05</td>
 </tr> 
</table>

 

### 付録 II：侵害の痕跡（IoC）

```c2-IP=IP
101.32.26.154
43.133.196.194
```

```hash=hash
7ec3d703d7fa41d0f13100ea352a9afd22c0e32f3fd1b2e08a83163ddcbe56d5
d560a377ffdba0efe9905d2d84492b486b115f60ee9a9efea850f67106ca9f14
3f5fd4b23126cb21d1007b479954af619a16b0963a51f45cc32a8611e8e845b5
c7b9ae61046eed01651a72afe7a31de088056f1c1430b368b1acda0b58299e28
9fb57a4c6576a98003de6bf441e4306f72c83f783630286758f5b468abaa105d
```


## 参考資料

[1] SAP Security Note 
https://support.sap.com/en/my-support/knowledge-base/security-notes-news/may-2025.html 

[2] Threat Brief: CVE-2025-31324 
https://unit42.paloaltonetworks.com/threat-brief-sap-netweaver-cve-2025-31324/ 

[3] Proof of Concept 
https://github.com/ODST-Forge/CVE-2025-31324_PoC 

[4] SAP NetWeaver Flaw Lets Hackers Take Full Control: CVE-2025-31324 Explained 
https://onapsis.com/blog/active-exploitation-of-sap-vulnerability-cve-2025-31324/

CVE-2025-31324: SAP NetWeaver の脆弱性

As hackers’ attack tactics, techniques, and procedures (TTPs) evolve rapidly, enterprise's cybersecurity teams need a more up-to-date security defense platform that can identify the latest threats and hunt threats that attempt to bypass detection. However, to quickly and effectively defend against new types of attacks, it is not enough to rely solely on the rule-based threat detection technology used by most EDRs.

##How can we identify the latest threats in a timely manner? 
There are many known threat alarms, but the latest threats are sneaking in quietly. How can we identify them quickly and effectively?
General EDR detects the threats based on known indicators of compromise (IoC). IoCs may include information about the attack, such as malware type, C2 IPs, malware signatures, and other technical information that can help security teams determine whether an attack has occurred. At the same time, YARA rules are created per the file or memory attributes to track malicious programs.

However, for security personnel, thousands of abnormal incident alerts are received every day through EDR detection, and it is still a big challenge to effectively identify the real high-risk incidents. At the same time, if you want to successfully detect the latest threat techniques, you must frequently update IoCs to defend against zero-day attacks. This will undoubtedly become a daily burden for security personnel who have been immersed in threat identification and analysis for a long time.

##Sigma rule detection makes the latest threats invisible
Similar to Yara rules that use IoCs to help identify and classify malware, Sigma rule detection can be specified by security personnel to compare common threats in logs to enhance incident detection capabilities.

The biggest advantage of Sigma rules is that they adopt a standardized format, which breaks the barriers of different SIEM (Security Information and Event Management) platforms using specific formats or languages. It allows security personnel to write a rule once and then share and apply it through a standard format. In different SIEM solutions, there is no need to rewrite rules, which improves detection efficiency and reduces the burden on security personnel.

A Sigma rule is an open-source standard, which allows network security experts to share and improve them through sharing platforms such as GitHub. On the one hand, it encourages everyone to share knowledge and exchange through a public environment. On the other hand, it can enable novices and experts to contribute their experience and learn from each other, thereby narrowing the gap in cybersecurity skills and alleviating the pressure that corporate organizations generally face a shortage of security personnel and urgently need to improve their professional capabilities.

##Signal Pattern of ThreatSonar grasps threat "signals"
Compatible with Sigma rules, TeamT5 transforms its long-term research and analysis of hacker attack behaviors and the latest threat attack methods into ThreatSonar's latest Signal Pattern detection engine, which uses behavioral rules to instantly detect whether there are suspicious programs on the endpoints.

ThreatSonar's Signal Pattern is researched and created by TeamT5 incident response experts and analysts. It can not only respond to newly revealed threats more quickly, but is also compatible with the open source Sigma rule standard. The Signal engine combines real-time collection of endpoint behavior logs and a new type of detection mechanism. This way, TeamT5's latest incident response experience and intelligence research can be integrated with the ThreatSonar detection engine to quickly respond to new types of threats or attack methods.

##What is a Signal Pattern?
"Signal" (Sigma-based Threat Analytics Local-side Monitoring) echoes the meaning of "Sonar, " part of the name “ThreatSonar”. When using sonar to detect attacks initiated by adversaries, it can track whether there are suspicious “signals” on the endpoints. Even if the signal is weak or seems insignificant, by correlating different suspicious signals, the malicious behavior of hackers can be found in the early stage. Once a high-risk threat is identified by ThreatSonar's Signal Pattern, incident alerts are immediately sent, allowing users to take prompt action on the visualized user interface of ThreatSonar to prevent further attacks.

![](https://uploads.teamt5.org/upload/original/en_pic1_a-new-battle-to-defend-against-hackers.png)

Benefits of Signal Pattern:
- Timely defense: TeamT5’s professional team quickly updates rules to effectively defend against the latest threats and zero-day attacks.
- Supports on-premise scanning: No network restrictions, quick response to attacks.
- Visualization: If the malicious attacks are hunted by rules, the user can grasp the incident trajectory on the Incident Report page.


![](https://uploads.teamt5.org/upload/original/en_pic2_a-new-battle-to-defend-against-hackers.jpg)
<center>On ThreatSonar's incident page, the trajectory of the backdoor implanted by the attacker after the user clicked on link is visually displayed, showing that ThreatSonar successfully detected this behavior through Signal Pattern, allowing administrators to take timely responses.</center>


In summary, with the latest intelligence, significant vulnerabilities, and recent international cyber attacks that TeamT5 has obtained and researched, ThreatSonar's Signal Pattern is updated in a timely manner, allowing enterprises and organizations to immediately defend against hackers that their industry may currently encounter to reduce the risk of being hacked.

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions - https://teamt5.org/en/contact-us/.

 
 
(cover source：pexels)

A New Battle to Defend Against Hackers: Key Strategies to Strengthen Endpoint Detection!

隨著駭客攻擊戰術、技術和程序（TTP）日新月異，企業組織的資安團隊需要更與時俱進的資安防禦平台，識別出最新的威脅、獵捕企圖繞過檢測的攻擊。然而，要快速且有效達成防禦新型態的威脅攻擊，單單只依靠多數 EDR 所採用的基於規則的威脅偵測技術是不夠的。

##已知威脅告警多、最新威脅潛入卻悄聲，如何快速、有效辨識？
一般的 EDR 基於已知的入侵指標（IoC）進行偵測。IoC 可能包括攻擊的相關資料，例如惡意程式碼類型、中繼站 IP、惡意軟體簽章以及其他技術資料，這些資訊可以協助資安團隊確定是否發生了攻擊。同時藉由 YARA rule 針對檔案或記憶體的特徵，建立規則來追蹤惡意程式。
但對於資安人員來說，藉由 EDR 偵測，每天會收到上千筆異常事件告警，要能從中有效辨識出真正的高風險事件，仍是一大挑戰。同時，若要能成功偵測出最新的威脅手法，就必須時常更新 IoC 以防禦零時差攻擊，這對於長時間埋首於威脅判讀和分析的資安人員來說，無疑成為日常工作的負擔。

##基於 Sigma rule 的偵測分析，讓最新威脅無所遁形
類似於 Yara rule 使用 IoC 來幫助識別和分類惡意軟體，Sigma rule 則是透過資安人員指定的標準來比對記錄檔中常見的威脅，強化事件偵測能力。
Sigma rule 最大的好處在於其採用標準化格式，打破了不同 SIEM（Security Information and Event Management）平台各自使用特定格式或語言的藩籬，讓資安人員可以在編寫一次規則後，透過標準格式分享並應用在不同的 SIEM 解決方案，不需要再重新編寫規則，提高檢測效率，減少資安人員的負擔。
Sigma rule 的開源性質，讓網路資安專家可以透過 GitHub 等共享平台共享和改善 Sigma rule，一方面透過公共環境鼓勵大家分享知識與交流，另一方面也可藉著共享模式，讓新手和專家都可以從中貢獻經驗與彼此學習，進而縮小資安技能的落差，也減輕了企業組織普遍面臨資安人員不足、亟需提升專業能力的壓力。

##ThreatSonar Signal Pattern 即時掌握威脅「訊號」
相容於 Sigma rule，TeamT5 將長期研究駭客攻擊的行為分析以及最新的威脅攻擊手法，轉化為 ThreatSonar 最新 Signal Pattern 偵測引擎，以行為規則進行比對，即時偵測端點上是否有可疑的程式行為。

ThreatSonar 的 Signal Pattern 是由 TeamT5 事件應變處理專家與分析師共同撰寫的規則，不僅能更快速的應變新揭露的威脅，同時相容開源的 Sigma rule。TeamT5 所自行開發的 Signal 引擎，透過即時蒐集端點系統行為以及新型態掃描機制來完成。藉此，能將 TeamT5 最新的事件應變處理經驗與情資研究結合到 ThreatSonar 偵測引擎，快速反應新型態的威脅或攻擊方式。

##Signal Pattern 是什麼？
「Signal」（Sigma-based Threat Analytics Local-side Monitoring）呼應 ThreatSonar 中「Sonar」的「聲納」之意，在利用聲納探測敵方所發動的攻擊時，可追蹤端點上是否有可疑的訊號 –「Signal」，即使信號微弱、或看來微不足道，但藉著關聯不同的可疑訊號，可及早找到駭客的惡意行為。一旦經 ThreatSonar 的 Signal Pattern 辨識為高風險威脅，立即發送事件告警，讓使用者在可視化介面上做及時處置，防堵進一步的攻擊行為。

![](https://uploads.teamt5.org/upload/original/tw_pic1_a-new-battle-to-defend-against-hackers.png)

Signal Pattern 帶來的效益：
- **及時防禦**：TeamT5 專業團隊快速新增規則，有效抵禦當前最新威脅和零時差攻擊。
- **支援本地掃描**：不受網路限制，快速應變攻擊。
- **視覺化呈現**：若命中規則，使用者可在 Incident Report 頁面，掌握事件攻擊軌跡。

![](https://uploads.teamt5.org/upload/original/tw_pic2_a-new-battle-to-defend-against-hackers.jpg)
<center>在 ThreatSonar 的事件頁面上，視覺化呈現受駭者點開 lnk 後，被攻擊者植入後門的軌跡，顯示 ThreatSonar 成功透過 Signal Pattern 掃描到此行為，讓管理者可以及時採取應對。</center>

綜上所述，藉由 TeamT5 掌握到的最新情資、重大漏洞、近期國際上發生的網路攻擊事件，及時更新 ThreatSonar 的 Signal Pattern，讓企業組織可即早防禦所屬產業當前可能遭遇的駭客攻擊手法，減少被駭風險。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，了解備受客戶肯定的資安產品與服務。


 
 
（首圖來源：pexels）

駭客攻防新戰役：強化端點偵測的關鍵戰略！

ハッカーの攻撃手法、技術、戦術（TTP）は日々進化しており、企業のセキュリティチームは、最新の脅威を特定し、検知を回避しようとする攻撃を追跡するための、より進化したサイバーセキュリティ・プラットフォームを求めています。

しかし、新たな脅威に迅速かつ効果的に対応するには、多くのEDR（エンドポイント検知・対応）で採用されているルールベースの脅威検知技術だけでは不十分です。

##多くの既知の脅威アラートに紛れ、最新の脅威が静かに侵入してくる中、どうすれば迅速かつ効果的に識別できるのか？
一般的なEDRは、既知の侵害指標（IoC）に基づいて脅威を検知します。IoCには、マルウェアの種類、中継サーバーのIPアドレス、悪意あるソフトウェアの署名、その他の技術的な情報など、攻撃に関するデータが含まれており、セキュリティチームが攻撃の有無を判断するために役立ちます。また、YARAルールを用いてファイルやメモリの特徴に基づくルールを作成し、マルウェアを追跡することも可能です。

しかし、セキュリティ担当者にとって、EDRによって毎日数千件もの異常な挙動のアラートを受け取る中で、高リスクなインシデントを効果的に見極めることは大きな課題です。さらに、最新の攻撃手法を検知するためには、IoCを頻繁に更新し、ゼロデイ攻撃に備える必要があり、脅威の判別と分析に日々追われているセキュリティ担当者にとって、大きな負担となっています。


##Sigmaルールを活用した検知・分析で、最新の脅威を完全に可視化
YARAルールがIoCを利用してマルウェアの識別や分類を支援するのと同様に、Sigmaルールはセキュリティ担当者が指定した標準に基づいて、ログ内の一般的な脅威を照合し、インシデント検知能力を強化します。


Sigmaルールの最大の利点は、その**標準化されたフォーマット**にあります。これにより、各SIEM（Security Information and Event Management）プラットフォームが独自の形式や言語を用いているという壁を打ち破り、一度作成したルールを共通フォーマットで共有し、さまざまなSIEMソリューションに適用できるため、ルールの再作成が不要になり、検知の効率が向上し、セキュリティ担当者の負担が軽減されます。
また、Sigmaルールはオープンソースであるため、セキュリティの専門家がGitHubなどの共有プラットフォームを通じてSigmaルールの共有や改善を行うことができます。

 このような**公開型の環境**は、知識やノウハウの共有・交流を促進し、初心者からエキスパートまでが経験を持ち寄って学び合うことを可能にします。結果として、サイバーセキュリティにおけるスキルギャップを縮め、慢性的な人材不足や専門スキル向上の必要性に悩む企業の課題解決にも貢献します。

##ThreatSonar Signal Pattern：脅威の「シグナル」を即キャッチ
Sigmaルールとの互換性を備えた**ThreatSonar Signal Pattern**は、TeamT5が長年にわたって蓄積してきたハッカーの攻撃行動分析および最新の脅威手法をもとに開発されています。このパターンは、行動ベースのルールにより、エンドポイント上の不審なプログラム挙動をリアルタイムで検知することが可能です。

ThreatSonar Signal Patternは、TeamT5のインシデント対応専門家およびアナリストによって作成されたルールで構成されており、新たに明らかになった脅威にも迅速に対応できます。また、オープンソースのSigmaルールとも互換性があります。
TeamT5独自開発のSignalエンジンは、エンドポイントのシステム挙動をリアルタイムに収集し、新しいスキャンメカニズムを通じて脅威を検知します。これにより、TeamT5の最新インシデント対応の知見と脅威インテリジェンスをThreatSonarの検知エンジンに統合し、新たな攻撃手法や脅威に迅速に対応することが可能になります。


##Signal Patternとは？
「Signal」（Sigma-based Threat Analytics Local-side Monitoring）は、ThreatSonarにおける「Sonar（ソナー）」の意味と呼応しています。ソナーで敵の動きを探知するように、Signalはエンドポイント上で発生する**不審なシグナル**を検出・追跡します。たとえそのシグナルが微弱で一見重要でないように見えても、複数の疑わしい兆候を関連付けることで、ハッカーの悪意ある行動をいち早く特定することが可能です。

![](https://uploads.teamt5.org/upload/original/jp_update_pic1_a-new-battle-to-defend-against-hackers.jpg)

ThreatSonar Signal Patternによって**高リスクな脅威**と判定された場合、即座にアラートを発信し、ユーザーは**可視化されたインターフェース**上で迅速に対応・対処できるので、さらなる攻撃の進行を未然に防ぐことが可能です。



**Signal Pattern による主な効果：**
- **リアルタイム防御**：TeamT5の専門チームが迅速にルールを追加し、最新の脅威やゼロデイ攻撃にも効果的に対応。
- **ローカルスキャン対応**：ネットワーク環境に依存せず、オフラインでも迅速なインシデント対応が可能。
- **ビジュアル化された表示**：ルールに一致した場合、ユーザーはIncident Reportページで攻撃の軌跡を視覚的に把握可能。

 

![](https://uploads.teamt5.org/upload/original/en_pic2_a-new-battle-to-defend-against-hackers.jpg)
<center>ThreatSonar のインシデントページでは、被害者が LNK ファイルを開いた後に攻撃者によってバックドアを仕込まれた一連の攻撃の流れが視覚的に表示されます。これは、ThreatSonar が Signal Pattern を通じてこの不審な行動を検出したことを示しており、管理者が迅速に対応を取ることを可能にします。</center>

 

まとめると、TeamT5 が把握している最新の脅威インテリジェンス、重大な脆弱性、および最近の国際的なサイバー攻撃事例に基づき、ThreatSonar Signal Pattern は迅速に更新されます。これにより、企業や組織は自社の業界で頻発する特定の攻撃手法にいち早く備えることができ、サイバー攻撃によるリスクを大幅に低減することが可能となります。


>TeamT5は、アジア太平洋地域のサイバー攻撃者を最も深く理解している地理的・文化的な優位性を活かした、トップクラスのサイバー脅威アナリストで構成されています。また、主要なサイバーセキュリティカンファレンスで頻繁にインサイトを共有しており、その脅威インテリジェンスの研究とソリューションは、Frost & Sullivanより「2023～2024年 台湾脅威インテリジェンス分野 最優秀企業賞」を受賞しています。
>
>インテリジェンス主導のサイバーセキュリティソリューションについて詳しく知りたい方は、以下よりお問い合わせください。 
>[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)


 
 
(cover source：pexels)

ハッカー攻防の新たな戦い：エンドポイント検知を強化するための重要戦略！

In recent years, network attack methods have become more complex, and some have even bypassed traditional EDR defense mechanisms.

For example, the attack technique HookChain does not directly disable the API hook, but instead manipulates the API process to bypass the EDR monitoring function; this technology has an extremely high EDR detection bypass rate, with a demonstrated success rate of 88% [1]. In addition, there are various types of malware that damage EDR [2], as well as attack methods that bypass EDR defenses, such as abusing hardware breakpoints [3] and using low-privilege users [4].

[The previous article](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website) in this series has analyzed how attackers bypass EDR and invade enterprise systems; this article will further explain how enterprises and organizations can respond, particularly through the use of compromise assessments.

##How to effectively deal with attacks that bypass EDR
To effectively defend against hidden threats that bypass EDR detection, multi-faceted cybersecurity defense solutions must support and reinforce each other.

**1. "EDR" detects abnormal behavior in real time**
- Real-time detection through continuous monitoring
- Wide-range collection of OS events and process operations for further analysis
- Automatically detect and prevent suspicious behavior using rules and machine learning

**2. Active “Threat hunting”**
- Explore potential risks where necessary
- Actively discover known and unknown suspicious behaviors
- Analysts conduct detailed analysis of logs, etc. to identify undetectable threats

**3. "Rapid Forensic" for cybersecurity status check**
- When a cybersecurity incident occurs, detect it through lightweight digital forensic tools
- Sample check of memory and critical file status
- Detect anomalies early and determine whether a full investigation is needed

Therefore, in order to supplement the existing EDR detection and defense coverage, an **intelligence-driven** threat identification platform has become an indispensable solution. By collecting various data (such as logs and memory data) and analyzing the results, organizations can transform these insights into intelligence-driven threat hunting, effectively identifying latent and hidden threats that bypass EDR detection to strengthen the information cybersecurity posture.

At the same time, the threat forensics platform must be capable of collecting and analyzing live system memory data to detect traces of intrusions that traditional EDR solutions might easily overlook. From the perspective of the process from malware intrusion to execution, when the CPU is executing malware deployed in memory, EDR can detect and control suspicious behavior in real time. However, if you can identify and hunt for threats through regular memory scanning, you can prevent malicious code from being extracted into the memory early and block the execution of malicious software in advance.

TeamT5's **intelligence-driven** "[ThreatSonar - Threat Forensic Analysis Platform](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)" has memory scanning and forensics features. ThreatSonar can quickly detect APT attacks and cyber espionage activities based on the latest threat intelligence, improving cybersecurity protection effectiveness. At the same time, ThreatSonar can quickly and fully obtain critical data from disks and memory, conduct a comprehensive analysis of past and present behaviors, identify indicators of future threats, and quickly check whether there are any suspicious behaviors, allowing the cybersecurity team to effectively handle incidents. In addition, ThreatSonar does not require a cumbersome installation process and has the advantage of lightweight deployment. It can run on Windows, Linux or Mac OS, ensuring that it can be quickly deployed and used in large-scale environments.

##ThreatSonar in Action
Many companies focus on the defense against APT attacks and unknown threats. In addition to installing EDR for timely threat detection, they also conduct regular intrusion assessments. From the previous analysis of [the case of EDR bypass attack method](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website), we can see that although the enterprise had EDR and anti-virus software installed, the attacker was able to disable EDR monitoring, allowing data to be stolen undetected for up to a year. In view of this, the company used the ThreatSonar threat forensics analysis platform to uncover potential threats and planned to conduct a compromise assessment on 10,000 endpoints within two weeks to quickly identify possible hacking paths and the scope of impact. The company implemented the following detection methods:
- Detect APT attack signatures with Yara rules (including IoC)
- Investigate fake documents impersonating specific organizations, 2,268 Ruby-related malicious files, Rokrat malware variants, API hook bypass

The testing process consists of five stages: "Environment Survey", "Deployment", "Scan & Auto-Analysis", "Research and Analysis", and "Reports":
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_pic.png)


This survey shows the benefits of using a threat investigation tool like ThreatSonar:
- Accelerate investigation: In just two weeks, the main hacked devices, the scope of the hack, and the intrusion route can be identified.
- Minimize damage: Prevents the damage caused by information theft from expanding through rapid detection.

##Conclusion
In order to effectively prevent attacks that bypass EDR detection, it is imperative to adopt effective corresponding defense mechanisms. Through the ThreatSonar threat forensics analysis platform, regular threat hunting and memory forensics can be achieved to realize multi-layered cybersecurity defense, while strengthening the ability to proactively discover potential threats in normal times.

[Threat forensic analysis platform "ThreatSonar" ](https://teamt5.org/en/products/threatsonar/?utm_source=blog&utm_medium=website)is a solution developed by TeamT5 that combines threat intelligence analysis results with practical attack and defense experience to help the industry accurately grasp the source and spread of threats, hunt for unknown potential threats, strengthen in-depth defense, protect endpoint security, and avoid possible damage caused by future threats. ThreatSonar features include:
- Intelligence-driven threat forensics
- Lightweight deployment without affecting daily operations
- Offers the whole picture of the incident, shortening the investigation time
- Uncover the malicious programs hidden in the memory
- Threat hunting with visualization of correlating potential compromised endpoints


>Welcome to [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for a free trial.

 

####Reference
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/ 

 
 
(cover source：pexels)

How Cybercriminals Bypass EDR — And What Your Company Should Do (2)

近年來，網路攻擊手法更顯複雜，有些甚至繞過傳統 EDR 的防禦機制。

例如攻擊手法 HookChain 並不會直接停用 API hook，而是操縱 API 流程，進而繞過 EDR 的監控功能；該技術具有極高的 EDR 檢測繞過率，經測試證實的成功率達 88% [1]。此外，還出現各類破壞 EDR 的惡意軟體 [2]，及濫用硬體斷點 [3] 、使用低權限用戶 [4] 等繞過 EDR 防禦的攻擊手法。

在[本系列先前的文章](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)已分析過攻擊者如何繞過 EDR，入侵企業系統；本篇文章將進一步說明企業與組織如何應對，特別是透過採用入侵評估（compromise assessment）工具。

##該如何有效應對繞過 EDR 的攻擊？
要能有效防禦「繞過 EDR 偵測」的隱藏威脅，必須透過多面向的資安防禦解決方案互相支援補強。

**1. 即時偵測異常行為的「EDR」**
- 透過持續監控，實現即時檢測
- 廣泛收集作業系統事件和進程操作，進一步分析
- 利用規則和機器學習，自動偵測和預防可疑行為

**2. 化被動為主動的「威脅狩獵」**
- 在必要情況下，探索可能的潛在風險
- 主動挖掘已知與未知的可疑行為
- 分析師對日誌等進行詳細分析，以識別無法偵測到的威脅

**3. 快速檢測資安狀況的「威脅快篩」**
- 當資安事件發生，透過輕量化數位鑑識工具檢測
- 記憶體和關鍵文件狀態的樣本檢查
- 及早發現異常，並確定是否需要進行全面調查

因此，為補足現有 EDR 偵測與防禦守備範圍，**情資導向**的威脅鑑識平台成為不可或缺的解決方案。透過收集各種資料（例如日誌和記憶體資訊），並分析結果，轉化為情資導向的威脅狩獵，能夠有效找出繞過 EDR 偵測的潛伏、隱匿威脅，以強化資安態勢。

同時，威脅鑑識平台要能取得且分析正在運行中的系統記憶體資料，識別出傳統 EDR 容易忽略的入侵痕跡。從惡意軟體入侵到執行的過程來看，當 CPU 正執行部署於記憶體中的惡意軟體運作時，EDR 可以即時偵測並控制可疑行為。然而若能透過定期**記憶體掃描鑑識**，獵捕威脅，更可及早防止惡意程式碼被提取到記憶體，先一步防堵惡意軟體執行。

TeamT5 的**情資導向**「ThreatSonar 威脅鑑識分析平台」具備**記憶體掃描鑑識特色**。ThreatSonar 能依最新的威脅情資，快速偵測 APT 攻擊和網路間諜活動，提高安全防護效能。同時 ThreatSonar 能快速、充分獲取磁碟與記憶體的關鍵資料，對過去、現在的行為進行全面分析，辨識未來可能成為威脅的指標，快速檢查是否有任何可疑行為，讓資安團隊能有效處理事件。此外，ThreatSonar 無需繁瑣的安裝過程，且具有輕量部署的優勢，無論在 Windows、Linux 或 Mac OS 平台上均可運行，確保可在大規模環境快速部署使用。

##ThreatSonar 的實務應用
許多企業注重 APT 攻擊和未知威脅的防禦，除了安裝 EDR 做及時威脅偵測外，也同時定期進行入侵評估。從之前分析[繞過 EDR 攻擊方式的案例](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)中可知，企業雖安裝了 EDR 與防毒軟體，但攻擊者卻能停用 EDR 監控，致使資料被竊取長達一年的時間而未被發現。有鑑於此，企業利用 ThreatSonar 威脅鑑識分析平台挖掘潛藏威脅，計畫於兩週內，對 10,000 個端點裝置進行威脅檢測，以利快速辨識可能受駭途徑及影響範圍。該公司採取以下檢測方式：
- 以 Yara 規則（包含 IoC）檢測 APT 攻擊特徵
- 調查冒充特定組織的偽造文件、2,268 個 Ruby 相關惡意檔案、Rokrat 惡意軟體變種、API hook 繞過處理

透過「環境盤點」、「部署」、「掃描暨自動分析」、「調查與專家分析」、「報告產出」五個階段，進行完整檢測：
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_tw_pic.png)

此次調查顯見使用 ThreatSonar 此類威脅調查工具的效益：
- 快速：只需兩週，即可識別主要受駭設備、受駭範圍和入侵路線。
- 有效：藉由快速檢測，防止資訊被竊所造成的損害擴大。

##結語
要能有效防堵繞過 EDR 偵測的攻擊行為，採取有效的對應防禦機制勢在必行。透過 ThreatSonar 威脅鑑識分析平台，可達到定期威脅獵捕和記憶體鑑識，實現多層防禦的資安防禦，同時，加強平時主動發現潛在威脅的能力。

[ThreatSonar 威脅鑑識分析平台](https://teamt5.org/tw/products/threatsonar/?utm_source=blog&utm_medium=website)是 TeamT5 將威脅情資分析成果結合實務攻防經驗，落實於此解決方案，協助產業精準掌握威脅來源與擴散途徑，獵捕未知的潛在威脅，強化縱深防禦、保護端點安全，避免日後威脅發生可能帶來的損害。ThreatSonar 特點包含：
- 情資導向的威脅鑑識
- 輕量部署，不影響日常運營
- 提供事件全貌，縮短調查時間
- 發現隱藏在記憶體中的惡意程式
- 透過可視化，關聯潛在受駭端點進行威脅狩獵

>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，免費試用。

 

####參考資料
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/ 


 
 
（首圖來源：pexels）

繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(2)

近年、サイバー攻撃の手法はますます複雑化しており、中には従来のEDRによる防御を回避するものも見られます。

たとえば、「HookChain」と呼ばれる攻撃手法は、APIフックを直接無効化するのではなく、APIの処理フローを操作することでEDRの監視機能を回避します。この技術はEDRの検知を非常に高い確率ですり抜けることができ、検証テストでは成功率が88%に達したと報告されています [1]。そのほかにも、EDRを破壊するマルウェア [2] や、ハードウェアブレークポイントの悪用 [3]、低権限ユーザーの利用 [4] など、EDRの防御を回避するさまざまな攻撃手法が登場しています。

[本シリーズの前回の記事](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)では、攻撃者がどのようにEDRを回避して企業システムへ侵入するかについて分析しました。今回の記事では、企業や組織がそれにどのように対応すべきか、特に「コンプロマイズ・アセスメント（compromise assessment）」ツールを活用する方法について詳しく解説します。

##EDRを回避する攻撃にどう効果的に対応するか？

「EDRの検知を回避する」隠れた脅威を効果的に防御するためには、多角的なセキュリティ対策ソリューションを相互に補完し合う必要があります。

**1. 異常な挙動をリアルタイムで検知する「EDR」** 
- 継続的な監視により、即時の検出を実現
- オペレーティングシステムのイベントやプロセスの操作を広範囲に収集・分析
- ルールや機械学習を活用し、不審な行動を自動で検出・防止

**2. 受動的対応から能動的防御へ：「脅威ハンティング」** 
- 必要に応じて、潜在的なリスクの可能性を探る
- 既知・未知の不審な行動を積極的に発掘
- アナリストがログなどを詳細に分析し、EDRでは検出できない脅威を特定

**3. セキュリティ状況を迅速に把握する「脅威スクリーニング」** 
- セキュリティインシデント発生時に、軽量なデジタルフォレンジックツールで迅速にチェック
- メモリや重要ファイルの状態をサンプル検査
- 異常を早期に発見し、全面的な調査の必要性を判断


そのため、既存のEDRによる検知・防御の範囲を補完するために、**脅威インテリジェンス主導**の脅威分析プラットフォームは不可欠なソリューションとなっています。ログやメモリ情報など、さまざまなデータを収集・分析し、それを脅威インテリジェンスに変換して脅威ハンティングに活用することで、EDRの検知を回避する潜伏・隠れた脅威を効果的に発見し、セキュリティ体制を強化することが可能になります。

同時に、脅威分析プラットフォームには、実行中のシステムメモリデータを取得・分析し、従来のEDRが見逃しやすい侵害の痕跡を特定できる能力が求められます。マルウェアの侵入から実行までのプロセスにおいて、CPUがメモリ上に展開されたマルウェアを実行している際には、EDRは不審な動作を即時に検出・制御できます。しかし、定期的なメモリスキャンとフォレンジックを行うことで、マルウェアがメモリに読み込まれる前に脅威を捕捉し、より早い段階で実行を防ぐことが可能になります。

TeamT5が提供する**脅威インテリジェンス主導**の「ThreatSonar 脅威分析プラットフォーム」は、**メモリスキャンとフォレンジック**を備えた特長があります。ThreatSonarは最新の脅威インテリジェンスに基づき、APT攻撃やサイバースパイ活動を迅速に検出し、セキュリティの有効性を高めます。また、ディスクやメモリ上の重要データを高速かつ完全に取得し、過去と現在の挙動を総合的に分析することで、将来の脅威の兆候を特定し、不審な活動の有無を即時に確認できます。さらに、ThreatSonarは煩雑なインストール作業が不要で、軽量かつ迅速な導入が可能であり、Windows、Linux、Mac OS いずれの環境でも動作し、大規模な環境への迅速な展開を実現します。

##ThreatSonar の実務活用
多くの企業は、APTや未知の脅威に対する防御を重視しており、EDRによるリアルタイムな脅威検知に加えて、定期的にコンプロマイズ・アセスメント（侵害評価）も実施しています。過去に分析された[EDR回避攻撃の事例](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1/?utm_source=blog&utm_medium=website)からも明らかなように、企業がEDRやアンチウイルスソフトを導入していても、攻撃者がEDRの監視機能を無効化し、1年もの間、機密データが盗まれていたケースが確認されています。このような状況を受けて、企業は ThreatSonar 脅威鑑識分析プラットフォーム を活用し、潜在する脅威を洗い出すために、2週間以内に10,000台のエンドポイントデバイスを対象とした脅威スキャン を実施し、侵害の経路や影響範囲を迅速に特定しようとしています。

この企業では、以下の検出手法を採用しています：
- Yaraルール（IoCを含む） によるAPT攻撃の特徴検出
- 特定の組織になりすました偽装文書の調査、2,268件のRuby関連マルウェアファイル のスキャン、Rokratマルウェアの亜種 および API hook回避手法の分析

 

「環境の棚卸し」、「展開」、「スキャンおよび自動分析」、「調査と専門家による解析」、「レポート作成」の5つのステップを通じて、包括的な脅威検出を実施します：

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2_jp_01.jpg)

ThreatSonarのような脅威調査ツールを使用するメリットは以下です：
- **迅速さ**：わずか2週間で、主要な被害端末、被害範囲、および侵入経路を特定可能
- **有効性**：迅速な検出により、情報漏洩による被害の拡大を防止


##まとめ

EDRの検知を回避する攻撃を効果的に防ぐためには、有効な防御メカニズムを導入することが不可欠です。ThreatSonar 脅威鑑識分析プラットフォーム を活用することで、定期的な脅威ハンティングやメモリフォレンジックを実現し、多層的なセキュリティ防御を構築すると同時に、日常的に潜在的な脅威を能動的に発見する能力を強化できます。

[ThreatSonar](https://teamt5.org/jp/products/threatsonar/?utm_source=blog&utm_medium=website)は、TeamT5が脅威インテリジェンスの分析成果と実務における攻防経験を融合させて開発したソリューションであり、産業界が脅威の発生源や拡散経路を的確に把握し、未知の潜在的脅威を捕捉することを支援します。これにより、ディフェンスインデプス（縦深防御）を強化し、エンドポイントの安全を守り、将来的な脅威による被害発生を未然に防ぎます。

ThreatSonarの特徴は以下の通りです：
- インテリジェンス主導の脅威鑑識
- 軽量な導入で日常運用に影響を与えない
- インシデントの全体像を提供し、調査時間を短縮
- メモリ内に潜むマルウェアを検出
- 可視化機能により、潜在的に侵害された端末を関連付けて脅威ハンティングを支援

>お気軽に[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。無料トライアルもご利用いただけます。

####参考文献
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/ 

 
 
(cover source：pexels)

EDRを回避する攻撃手法にはどのようなものがあるのか？企業はどのように対策すべきか？(2)

In recent years, cyber attack methods have become more complex, and some have even bypassed traditional EDR defense mechanisms.

For example, the attack technique HookChain does not directly disable the API hook, but manipulates the API process, achieving an 88% success rate in circumventing EDR defensive layers, rendering them ineffective against this evasive approach [1]. In addition, there are various types of malware that damage EDR [2], as well as attack methods that bypass EDR defenses, such as exploiting hardware breakpoints [3] and leveraging masquerading and path obfuscation to disguise malicious payloads as legitimate processes [4].

In this series of articles, we will first analyze how attackers bypass EDR and invade enterprise systems; and in [the other article](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website), we will further explain the countermeasures that enterprises and organizations can take to deal with such attacks.

##Attackers’ methods of bypassing EDR detection

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_pic01.png)

<center>Attackers’ methods of bypassing EDR detection</center>

EDR consists of the following elements:
- **Agent**: The software, installed on each endpoint, monitors system operations. It is responsible for receiving telemetry data collected by sensors and sending it to the management server for analysis.
- **Management Console**: Comprehensively analyzes collected data and identifies signs of attacks and incidents.

To detect signs of attack, EDR detection mainly focuses on: application and user behavior (such as the execution of suspicious programs and unusual privilege escalation); abnormal communication between the system and external (Command & control) servers; and analysis of registry changes, script execution, and abnormal behavior in memory.

However, attackers continuously develop new evasion techniques to bypass EDR detection, such as:

**1. Stopping the Agent itself: Forcefully terminate the EDR agent** 
The specific method is to use BYOVD (Bring Your Own Vulnerable Driver), where the attacker implants a vulnerable core driver into the target system to elevate permissions. This allows the attacker to access the core, disable EDR, and then carry out malicious actions.

**2. Stopping the logging function: Disable logging and delay detection** 
Attackers may also disable Event Tracing for Windows (ETW), a mechanism to record Windows system operations, to prevent records of suspicious operations from being left behind. This will prevent EDR from detecting signs of attack and greatly affect EDR's detection capabilities.

Attackers can also interfere with normal EDR operations by:

**3. Disabling EDR monitoring: Remove endpoints from EDR monitoring scope to bypass detection** 
Since APIs are interfaces that allow programs to use functions provided by the operating system and applications, EDRs usually connect to important system APIs to monitor signs of attacks. Attackers can avoid EDR monitoring by disabling API hook techniques, thereby creating an environment where malware can run freely.

**4. Impersonating the call stack of a function: Make malware look like legitimate software** 
Call Stack Spoofing is a malicious technique that spoofs the call stack (i.e. the execution history of a program) to make the attacker's actions appear to be executed from a trusted program. Attackers use this method to make it easier for EDR and cybersecurity products to ignore anomalies and fail to detect the attacker's malicious actions.

In addition, methods to leverage areas outside of EDR monitoring include:

**5. Exploiting areas without EDR monitoring by default and then abusing certain software behaviors not typically monitored by EDR** 
An attacker could also abuse Windows fibers, a lighter-weight program switching mechanism than threads, but some EDRs do not monitor this operation. Attackers can exploit this feature to execute malicious code while avoiding EDR detection.


Finally, attackers may also resort to tactics to disrupt or block EDR server communications, such as:

**6. Block communication with EDR server: prevent the transmission of endpoint detection results and disable monitoring** 
EDRs typically send detection results when communicating with management servers, but attackers can block this communication and isolate the EDR to prevent it from reporting anomalies. This effectively prevents the management from understanding the status of the endpoint and results in a loss of monitoring capability, creating an environment in which attackers can operate more freely.


By using these methods—individually or in combination—attackers can bypass EDR detection and remain hidden for extended periods, giving them time to carry out malicious activities. The consequences can be severe, including data breaches, theft of trade secrets, ransomware-related disruptions, and damage to critical systems. Such incidents can also erode trust among customers and partners. The longer an attack goes undetected, the greater the impact, making response and recovery significantly more difficult for organizations.

##How attackers break into systems

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_pic2.png)

<center>EDR is built on the assumption that breaches are inevitable and is designed to detect advanced attacks in real time that cannot be fully prevented by traditional cybersecurity measures.</center>

From the 7 steps of the [cyber attack chain](https://teamt5.org/en/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website), you can understand how attackers who bypass EDR detection can penetrate the system and achieve their ultimate goal:

1. **Reconnaissance**: The attacker first investigates information about the target (individual or organization).
2. **Weaponization**: The attacker's preparation of attack tools and malware, as well as the means to use them after a breach.
3. **Delivery**: Delivering the prepared attack tool to the target endpoint.
4. **Exploitation**: Executing dropped malware or other attack files and exploiting vulnerabilities to penetrate the target system.
5. **Installation**: The installation of malicious programs that allow attackers to gain long-term access.
6. **Command & Control**: The attacker remotely controls the hacked endpoint through an external Command & control (C&C) server.
7. **Actions on Objectives**: The attacker's goal is to steal information, disrupt business operations, or deploy ransomware.

Traditional antivirus software and firewalls can respond to attacks from attackers using known malware or specific network routers in the above-mentioned process from "delivery" to "exploitation", while EDR can prevent attacks from happening through real-time monitoring, analysis and behavioral detection. However, attackers continue to improve methods to bypass EDR mechanisms, such as: fileless malware, attacks that abuse legitimate tools, credential theft, and lateral movement within internal networks.

From the EDR defense mechanism and the attack methods used by attackers to bypass the mechanism, we can understand the core of the EDR defense mechanism, which is to instantly detect suspicious behavior of endpoints and analyze and block malicious operations. In order to prevent the aforementioned attackers from bypassing EDR defenses, an effective threat hunting solution is needed to provide accurate and effective defense by detecting abnormal behavior of endpoints.

##Conclusion
As employees of corporate organizations use endpoint devices such as laptops more frequently to perform daily work, measures to address the aforementioned threats become even more necessary. Continue reading this series of articles "[How Cybercriminals Bypass EDR — And What Your Company Should Do (2)](https://teamt5.org/en/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)" to learn how enterprises and organizations can use compromise assessment to effectively respond and reduce cybersecurity risks.

>Welcome to [contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for a free trial.

 

####Reference
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/ 



 
 
(cover source：pexels)

How Cybercriminals Bypass EDR — And What Your Company Should Do (1)

近年來，網路攻擊手法更顯複雜，有些甚至繞過傳統 EDR 的防禦機制。

例如，攻擊手法 HookChain 並不會直接停用 API hook，而是操縱 API 流程，進而繞過 EDR 的監控功能；該技術具有極高的 EDR 檢測繞過率，經測試確認的成功率達 88% [1]。此外，還出現各類破壞 EDR 的惡意軟體 [2]，及濫用硬體斷點 [3] 、使用低權限用戶 [4] 等繞過 EDR 防禦的攻擊手法。

在此系列文章中，將首先分析攻擊者如何繞過 EDR，入侵企業系統；並在[另一篇文章](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)中，進一步說明企業與組織應對此類攻擊的對策。

##攻擊者繞過 EDR 機制的攻擊手法
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_tw_pic01.png)

<center>攻擊者繞過 EDR 機制的攻擊手法</center>

EDR 由以下組成：
- **代理程式（Agent）**：是安裝在每個端點並監控系統運作的軟體，負責接收感測器（Sensor）所收集到的遙測數據，並將其發送到管理伺服器，以進行分析。
- **管理伺服器（Management Console）**：全面分析所收集的資料，辨識攻擊和事件的跡象。

為檢測攻擊的跡象，EDR 偵測面向主要關注在：應用程式和使用者行為（如可疑程式的執行和不尋常的權限提升）；系統與外部（command & control）伺服器的異常通訊；分析 registry 的變化、腳本執行和記憶體中的異常行為。


然而，道高一尺，魔高一丈，攻擊者也持續開發新的規避手法，以繞過 EDR 監控，比如：

**1. 停止 Agent 本身運作：強制終止 EDR 的代理程式** 
具體做法為使用 BYOVD（Bring Your Own Vulnerable Driver，自帶易受攻擊的驅動程式），攻擊者將存在漏洞的核心驅動程式植入目標系統，以提升權限。藉此，攻擊者可存取核心，並停用如 EDR 等資安產品，即喪失端點的可視性，攻擊者得以進行惡意行動。 

**2. 停止紀錄功能：停用日誌紀錄並延遲偵測** 
攻擊者也會採取設法規避 Windows 事件追蹤（Event Tracing for Windows, ETW）。ETW 是 Windows 紀錄系統操作的機制，但攻擊者可以停用它，以防止留下可疑操作的紀錄；更會阻止 EDR 偵測到攻擊跡象，大幅影響 EDR 的偵測能力。 

攻擊者也可藉以下方式干擾 EDR 正常運作：

**3. 停用 EDR 監控：秘密移除 EDR 監控中的端點以繞過監控** 
由於 API 是允許程式使用作業系統和應用程式提供功能之間的接口，EDR 通常會連結重要的系統 API 來監控攻擊跡象，攻擊者可透過停用 API hook 技巧避開 EDR 監控。

**4. 偽造功能使用的歷史紀錄：使惡意軟體看起來像合法軟體** 
Call Stack Spoofing（呼叫堆疊偽造）是一種透過欺騙 Call Stack（即程式的執行歷史），使攻擊者的行為像是從受信任程式執行動作之的惡意手法，EDR 無法偵測。

此外，利用 EDR 監控範圍以外區域之方法包括：

**5. 利用 EDR 預設不監控的範圍，進而濫用某些不受 EDR 監控的軟體行為等** 
攻擊者也可能濫用纖程（Windows fiber），為一種比 thread 更輕量的程式切換機制，但有些 EDR 不監控此操作。攻擊者可以利用此特性執行惡意程式碼，同時避免 EDR 偵測。

最後，攻擊者也會採取一些策略來破壞或阻止伺服器通訊，例如：

**6. 切斷與 EDR 伺服器的通訊，阻止傳輸端點的偵測結果並停用監控** 
EDR 通常在與管理伺服器通訊時，發送偵測結果，但攻擊者可以阻止這種通訊並隔離 EDR，以阻止 EDR 回報異常情況。這實際上阻止管理層了解端點狀況，導致失去監控能力。


攻擊者透過單獨或混合使用前述方法，可以繞過 EDR 偵測，並長時間暗中潛伏，最終實現他們的惡意目標。這可能造成嚴重損害，例如客戶資料或商業機密外洩、受到勒索軟體攻擊，造成營運中斷，影響業務運作，更可能失去合作夥伴和客戶的信任。特別是如果攻擊持續較長時間，損害範圍將進一步擴大，企業與組織進行應變、復原的措施，將更顯困難。

##繞過 EDR 偵測的攻擊鏈
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_tw_pic2.png)

<center>EDR 是建立在網路入侵無可避免的假設下，設計上著重即時偵測傳統網路安全措施無法完全阻止的進階攻擊</center>

從[網路攻擊鏈](https://teamt5.org/tw/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website) 7 個步驟，可了解繞過 EDR 偵測的攻擊者如何滲透系統，達成最終目的：

1. **偵察（Reconnaissance）**：攻擊者首先調查有關目標個人或組織的資訊。
2. **武裝（Weaponization）**：攻擊者準備攻擊工具和惡意軟體，以及入侵後使用它們的手段。例如攻擊者利用帶有惡意腳本的偽造文檔，作為網路釣魚電子郵件的附件。
3. **遞送（Delivery）**：將準備好的攻擊工具傳送到目標端點。
4. **利用（Exploitation）**：執行所投放的惡意軟體或其他攻擊檔案，並利用漏洞滲透目標系統。例如當被鎖定的目標員工開啟附件，並執行惡意腳本時，惡意腳本會從外部伺服器下載並在背景執行。此時，EDR 監控功能被停用。
5. **安裝（Installation）**：安裝惡意程式，以允許攻擊者獲得長期存取權限。
6. **發令與控制（Command & Control）**：攻擊者透過外部 Command & control（C&C）伺服器，遠端控制受駭端點。例如攻擊者使用合法公有雲從外部發送指令，不易被資安產品判斷為惡意行為。
7. **針對目標的行動（Actions on Objectives）**：攻擊者入侵的目標是竊取資訊、破壞業務營運，或部署勒索軟體，最終導致該企業與業務相關的文件、個人資訊、身分驗證資訊和其他資料長期被竊取。


傳統的防毒軟體和防火牆可以在上述的「遞送」到「利用」過程中，應對攻擊者使用已知惡意軟體或特定網路路由器的攻擊，而 EDR 可藉由即時監控、分析及行為偵測，避免攻擊發生。然而，攻擊者不斷改進方法，以繞過 EDR 的機制，如：無檔案惡意軟體（fileless malware）、濫用合法工具的攻擊、憑證盜竊、內部網路的橫向移動。

從 EDR 的防禦機制、攻擊者繞過該機制的攻擊手法，可了解 EDR 防禦機制核心，為即時偵測端點的可疑行為，並分析、阻擋惡意操作。為了防禦前述攻擊者繞過 EDR 防禦，需要有效的威脅狩獵解決方案，透過偵測端點的異常行為等，精準且有效防禦。


##結語

當企業組織員工更頻繁使用筆電等端點裝置進行日常工作，應對前述威脅的措施更顯必要。繼續閱讀本系列文章「[繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(2)](https://teamt5.org/tw/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)」，瞭解企業與組織如何採用入侵評估（compromise assessment），進行有效應對，降低資安風險。


>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，免費試用。

 

####參考資料
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/ 


 
 
（首圖來源：pexels）

繞過 EDR 防禦的攻擊手法有哪些？企業該如何應對？(1)

近年、サイバー攻撃の手法はますます複雑化しており、中には従来のEDRの防御機能を回避するものも存在します。
 
たとえば、「HookChain」という攻撃手法は、APIフックを直接無効化するのではなく、APIの処理フローそのものを操作することで、EDRの監視機能を回避します。この技術は非常に高いEDR回避率を誇り、検証の結果、成功率は88%に達することが確認されています [1]。
 さらに、EDRを破壊する各種マルウェアの出現 [2]、ハードウェアブレークポイントの悪用 [3]、低権限ユーザーの利用 [4] など、EDRの防御をすり抜けるさまざまな攻撃手法が報告されています。
 
本シリーズでは、まず攻撃者がどのようにEDRを回避して企業システムに侵入するのかを分析し、[続く記事](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)にて、企業や組織がこのような攻撃にどのように対処すべきかを詳しく解説します。

##攻撃者がEDRを回避する主な攻撃手法

![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_jp_01.jpg)
<center>図解：攻撃者がEDRの仕組みを回避する攻撃手法</center>

 

EDR（エンドポイント検出・対応）は、以下の主要なコンポーネントで構成されています：
- **エージェント（Agent）**：各エンドポイントにインストールされるソフトウェアで、システムの動作を監視します。センサー（Sensor）が収集したテレメトリーデータを受け取り、それを管理サーバーに送信して解析を行います。
- **管理サーバー（Management Console）**：収集されたデータを総合的に分析し、攻撃やインシデントの兆候を識別します。

EDRは攻撃の兆候を検出するため、以下のような観点に重点を置いて監視を行います：
- アプリケーションやユーザーの挙動（例：不審なプログラムの実行や異常な権限昇格）
- システムと外部のC2（command & control）サーバーとの異常通信
- レジストリの変更、スクリプトの実行、メモリ上の不正動作の分析

 

しかし、「道高ければ魔盛んなり（＝技術が進歩すれば攻撃者もそれに対抗して進化する）」と言われるように、攻撃者もEDRの監視を回避するために、日々新たな手法を開発しています。たとえば：

**1. エージェント自体の停止：EDRエージェントの強制終了** 
攻撃者は、EDRのエージェント（Agent）プロセスを直接停止させることで、EDRの監視機能を無力化することがあります。
 具体的な手法としては、「BYOVD（Bring Your Own Vulnerable Driver）」が用いられます。これは、既知の脆弱性を持つカーネルドライバーを攻撃者自身が持ち込み、対象システムに導入することで権限昇格を行うものです。
 この方法により、攻撃者はカーネル空間へのアクセスを獲得し、EDRなどのセキュリティ製品を停止・無効化できます。これによってエンドポイントの可視性が失われ、攻撃者は気付かれずに悪意のある行動を取ることが可能になります。
 
** 2. ログ記録機能の無効化：イベントログの停止と検知の遅延** 
攻撃者は、Windowsのイベントトレース機構である「ETW（Event Tracing for Windows）」の回避を試みることがあります。
 ETWは、システム操作のログを収集・記録する仕組みであり、EDRが不審な挙動を検知するための重要な情報源です。
 しかし、攻撃者がETWを無効化すると、不審な行動の記録が残らなくなり、EDRの検出能力が大幅に低下します。これにより、攻撃の兆候がログに残らず、検知までの時間が遅延し、被害が拡大する恐れがあります。
 
攻撃者がEDRの正常な機能を妨害するその他の手法： 
**3. EDRの監視を無効化：監視対象のエンドポイントを密かに除外** 
EDRは、攻撃の兆候を検出するために、重要なシステムAPIをフック（hook）して監視を行います。APIとは、プログラムがOSやアプリケーションの機能を利用するためのインターフェースです。

攻撃者は、これらのAPIフックを無効化することで、EDRの監視を回避できます。このようにして、EDRがエンドポイントの動作を追跡できなくなり、攻撃の痕跡を隠すことが可能になります。

**4. 機能使用履歴の偽装：マルウェアを正規ソフトに見せかける** 
「Call Stack Spoofing（コールスタック偽装）」は、攻撃者の行為をあたかも信頼されたプログラムから実行されたかのように見せかける手法です。
 この手法では、プログラムの実行履歴である「コールスタック」を改ざんし、EDRが不審な動作として検知しにくくします。結果として、悪意のある挙動が正規の操作に見えるため、EDRの監視をすり抜けることができます。

**5. EDRの監視外を利用した攻撃：未監視領域の悪用** 
一部の攻撃者は、EDRがデフォルトで監視していない範囲を悪用することもあります。
 たとえば、「Windows Fiber（ファイバー）」と呼ばれる、スレッドよりも軽量な実行単位を使った切り替え機構を用いる手法です。
 多くのEDRはファイバーの挙動を監視していないため、攻撃者はこの技術を利用して悪意のあるコードを実行し、検知を回避できます。

最後に、攻撃者はサーバーとの通信を妨害・遮断するための戦略を取ることもあります。例えば： 
**6. EDRサーバーとの通信を遮断し、検知結果の送信を妨害・監視を無効化** 
EDRは通常、各エンドポイントで検知した情報を管理サーバーに送信することで、攻撃の兆候をリアルタイムで報告します。
 しかし、攻撃者はこの通信を遮断・妨害することで、EDRをネットワーク上で孤立させ、異常の報告を不能にします。これにより、管理者はエンドポイントの状態を把握できなくなり、実質的に監視機能が無力化されてしまいます。

攻撃者は、ここまで紹介したようなEDR回避手法を**単独または組み合わせて使用**することで、EDRによる検知をすり抜け、長期間にわたりネットワーク内に潜伏することが可能になります。

 その結果、最終的な悪意ある目的を達成するに至ることも少なくありません。

このような攻撃が成功した場合、企業・組織には以下のような**深刻な被害**が及ぶ可能性があります：

- 顧客情報や企業秘密の流出
- ランサムウェア攻撃による業務停止
- サービス提供の中断による売上損失
- 顧客や取引先からの信頼喪失
- コンプライアンス違反による法的責任や制裁

特に、攻撃が長期間継続した場合には、被害の範囲はさらに拡大し、対応・復旧にかかる時間とコストは膨大になります。企業の信用や競争力の低下にもつながりかねず、抜本的な対応策が求められます。

##EDR検知を回避する攻撃チェーン
![](https://uploads.teamt5.org/upload/original/how-cybercriminals-bypass-edr-and-what-your-company-should-do-1_jp_02.jpg)

<center>図解：EDRは、「侵入は完全には防げない」という前提に基づいて設計されており、従来のネットワークセキュリティでは防ぎきれない高度な攻撃を、リアルタイムで検知することに重点を置いている。</center>

[ネットワーク攻撃チェーン](https://teamt5.org/jp/posts/what-is-cyber-kill-chain/?utm_source=blog&utm_medium=website)の7つのステップから、EDR（エンドポイント検知・対応）を回避して攻撃者がどのようにシステムに侵入し、最終目的を達成するかを理解できます：

**1.偵察（Reconnaissance）：**
攻撃者は最初に、対象の個人または組織に関する情報を収集します。
 
**2.武装（Weaponization）：**
攻撃者は攻撃に使用するツールやマルウェアを準備し、それらを侵入後にどのように使うかを計画します。たとえば、攻撃者は悪意のあるスクリプトを含んだ偽の文書を作成し、フィッシングメールの添付ファイルとして使用します。

**3.配信（Delivery）：**
 準備した攻撃ツールをターゲットのエンドポイントへ送信します。

**4.悪用（Exploitation）：**
送られたマルウェアや他の攻撃ファイルが実行され、脆弱性を突いてターゲットのシステムへ侵入します。たとえば、標的となった社員が添付ファイルを開き、悪意あるスクリプトを実行すると、そのスクリプトが外部サーバーからマルウェアをダウンロードし、バックグラウンドで実行されます。この時点で、EDRの監視機能は無効化されています。

**5.インストール（Installation）：**
マルウェアがインストールされ、攻撃者が長期間にわたってアクセスできる状態が構築されます。
 
**6.指令と制御（Command & Control）：**
攻撃者は外部のC&C（Command & Control）サーバーを通じて、侵入したエンドポイントを遠隔操作します。たとえば、攻撃者は正規のパブリッククラウドを利用してコマンドを送信するため、セキュリティ製品による悪意ある行為の検知を回避しやすくなります。
 
**7.目的達成のための行動（Actions on Objectives）：**
攻撃者の最終目的は、情報の窃取、業務の破壊、またはランサムウェアの展開です。これにより、企業の業務関連文書、個人情報、認証情報などのデータが長期にわたって窃取される恐れがあります。

従来のアンチウイルスソフトやファイアウォールは、「配信」から「悪用」の過程において、既知のマルウェアや特定のネットワークルーターを狙った攻撃に対応可能です。一方で、EDRはリアルタイムの監視、分析、および振る舞い検知を通じて攻撃を未然に防ぎます。しかし、攻撃者はEDRの仕組みを回避する手法を絶えず進化させています。例えば、ファイルレスマルウェア（fileless malware）、正規ツールの悪用、認証情報の窃取、内部ネットワークでの横移動などが挙げられます。

EDRの防御メカニズムと、それを回避しようとする攻撃者の手法を理解することで、EDRの核となる役割が明らかになります。それは、エンドポイント上の疑わしい振る舞いをリアルタイムに検知し、解析し、悪意ある動作を阻止することです。前述の攻撃者によるEDR回避を防ぐためには、効果的な脅威ハンティング（Threat Hunting）ソリューションが必要です。これはエンドポイント上の異常な振る舞いを検出し、精度高くかつ効果的に防御する手段となります。


##まとめ
企業や組織の従業員がノートパソコンなどのエンドポイント機器を日常業務でより頻繁に使用する中で、前述の脅威に対する対策の重要性はますます高まっています。
本シリーズ記事「[EDR防御を回避する攻撃手法とは？企業はどう対応すべきか？（2）](https://teamt5.org/jp/posts/how-cybercriminals-bypass-edr-and-what-your-company-should-do-2/?utm_source=blog&utm_medium=website)」をぜひご覧いただき、企業や組織がどのように侵害評価（Compromise Assessment）を活用し、効果的に対処してサイバーリスクを低減できるかご参照ください。

>お気軽に[お問い合わせ](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)ください。無料トライアルもご利用いただけます。


####参考文献
[1] Cyber Security News, https://cybersecuritynews.com/hookchain-edr-evasion-technique/ 
[2] DARKREADING, https://www.darkreading.com/cyberattacks-data-breaches/novel-edr-killing-ghostengine-malware-stealth 
[3] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-detection-hardware-breakpoints/ 
[4] Cyber Security News, https://cybersecuritynews.com/bypassing-edr-as-standard-user/ 

 
 
(cover source：pexels)

EDRを回避する攻撃手法にはどのようなものがあるのか？企業はどのように対策すべきか？ (1)

Cybersecurity incidents occur frequently. [The Global Risks Report 2024 of the World Economic Forum (WEF)](https://www.weforum.org/publications/global-risks-report-2024/) predicts that cyber insecurity will be the main source of risk in the technology field between 2025 and 2026. Over the two-year period, cyber insecurity will be ranked fourth among top 10 severe global risks.

Since cybersecurity risks must not be ignored, enterprises and organizations should seek appropriate security measures. The endpoints, such as the desktops and laptops, are part of a defense-in-depth strategy for security controls. Regardless of Windows, MacOS or Linux operating systems, all endpoints are all likely to be targeted and invaded by attackers.

In order to reduce cybersecurity risks for enterprises and organizations, Managed Security Service Providers (MSSPs) need efficient endpoint detection and response tools (EDR) to help cybersecurity teams quickly defend against evolving threats, prevent cybersecurity attacks from disrupting daily operations, and reduce possible operational risks.

To achieve efficient cybersecurity measures with simplicity, EDR needs to have the following 3 key features: 

**1. Automatically track potential threats, simplify the troubleshooting process, and improve threat hunting efficiency**

EDR monitors endpoints and detects threats in real time, automatically tagging abnormal behaviors (such as malware execution or unusual logins) without complex manual analysis. Compared with conventional multi-layered tools, EDR has an easy-to-use interface that allows security teams to quickly focus on high-risk issues.

**2. Visualized display of cybersecurity situation, easy to grasp potential risks**

Transform complex suspicious paths into understandable information with EDR’s threat event timeline and visualized reports. Compared with the lengthy logs generated by conventional tools, visualized endpoints associated with high-risk events can help teams quickly determine the compromised scope to facilitate further response measures.

**3. Automatically generate summary reports to improve management efficiency**

Automatically generate summary reports that summarize key information about cybersecurity incidents, such as threat sources, lists of high-risk endpoints, and other related information. This saves cybersecurity teams efforts in manually sorting through large amounts of data, making it ideal for managers to quickly understand endpoint status.

 
##ThreatSonar Anti-Ransomware: User-friendly Interface, Easy Management, Quick Response

The intuitive interface of the [ThreatSonar Anti-Ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) can help the cybersecurity team to easily manage and quickly handle cybersecurity incidents.

 

###Visualized Dashboard: Understand the endpoints status and potential risks at a glance

![](https://uploads.teamt5.org/upload/original/en_1_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

To allow users to comprehensively grasp potential threats, the dashboard has the following features:

**1. Visualize key indicators to easily overview the cybersecurity posture**

- Display the current status of important endpoints by easy-to-understand charts, saving time in collecting data and statistics, and improving management efficiency.

**2. Flexible interface design for easy customization to meet diverse demands in different management scenarios**

- Users can easily add or remove widgets from the dashboard. 

**3. Interactive user-centric design to better present information**

- Easy-to-use intuitive design enables users to preview advanced information of each section by hovering, quickly grasping key information.
- If further details are needed, users can click on the links to be directed to the relevant pages.

 

###Threat Tracer: Automatically track potential threats, simplify the troubleshooting process, and improve threat hunting efficiency

![](https://uploads.teamt5.org/upload/original/en_2_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

With pre-defined threat hunting rulesets, the cybersecurity team can save time on processing threat hunting routines, focusing on potential threats in the environment, and quickly reviewing the status of automatic threat hunting. The rulesets can assist the team accurately grasp threat risks to facilitate subsequent incident investigation and analysis.

The main threat hunting rule types of ThreatSonar include:
- **Cyber Hygiene**: Check whether there is any software that may pose a security threat, such as remote desktop software (RDS) and portable software.
- **Suspicious Files**: Check whether there are suspicious programs that disguise as system files, files with suspicious creation times, suspicious files being located and deleted, etc.
- **Suspicious Processes**: Check whether there are any injected suspicious processes, auto-run programs, suspicious ransomware behaviors, etc.
- **Suspicious Dynamic Link Libraries**: Check whether there are suspicious dynamic link libraries (DLLs) with path hijack, suspicious DDLs with hidden file attributes, etc.
- **Others**: Check whether the credentials are used by SoftEther VPN attackers to penetrate the intranet.

Users can also use the chart to view the trend of the total number of endpoints, file names, and hashes that match the rulesets within a specific time period. This feature can automatically track potential threats over a long term, helping users to quickly understand significant changes. This can also benefit MSSP to save workforces and time on dealing with cybersecurity incidents.

 

##Summary Report: Automatically generated, save your time and efforts

![](https://uploads.teamt5.org/upload/original/en_3_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

This function can help users to review the cybersecurity situation based on their needs, list high-risk endpoints that need attention, and automatically generate summary reports. It can also set up scheduled reports and group emails.

> For Managed Security Service Providers (MSSPs), this feature includes a "Customer" option, allowing them to easily identify which reports belong to which customer. This enables MSSPs to monitor the status of all customers on a single screen without the need to switch views.

Summary reports automatically compile a variety of statistical data and present them in charts, eliminating the need for cybersecurity teams to manually sort through large amounts of data. At the same time, users can customize summary report items and schedules to facilitate MSSPs to manage endpoint monitoring for different customers, view potential threat risks of all endpoints, and improve response efficiency.

Examples: 

**1. Threat Level Stat. CA/Anti-Ransomware**: Display the number of endpoints that have Level 1 ~ Level 5 threat incidents. Users can have the overview of endpoints with different threat levels from the chart.

![](https://uploads.teamt5.org/upload/original/en_4_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

**2. CA High-Level Analysis: **
Display the number of endpoints that have Level 4 and Level 5 threat incidents for further analysis or status checking. The Level-5 and Level-4 endpoint list with detailed information, including hostname, IP, OS version and other information regarding "Threats", "Network" and "Event log". 

The "Threats" information displays the attributes and file paths; "Network" displays the IP and domain; "Event log" displays the attributes, Windows Event ID and related information.

![](https://uploads.teamt5.org/upload/original/en_5_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

 

##Summary
Since cyber threats have become a challenge that enterprises and organizations must address, it is imperative to adopt highly effective protection strategies. To minimize these risks, it is crucial to deploy an excellent EDR, which not only can enable efficient defense in an easy-to-use and easy-to-understand manner, but also facilitates enterprises to seize the opportunity and respond quickly to cybersecurity incidents.

TeamT5's endpoint detection and response solution "[ThreatSonar Anti-Ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)" delivers all the capabilities an effective EDR shall have, which are "Automatically track potential threats", "intuitive and visualized display of cybersecurity situation", "automatically generated summary reports to better management efficiency". It was honored with the [COMPUTEX Best Choice Award - Golden Award](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2), making it the best choice for enterprises and organizations. The intelligence-driven solution continues to help enterprises and organizations to cope with frequent cybersecurity attacks.

[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) for a free trial.



>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions - [https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website).


 
 
(cover source: pexels)

Simplify Complex Cybersecurity: Smarter Endpoint Monitoring & Management

資安事件頻繁發生，世界經濟論壇（World Economic Forum, WEF）的[《2024年全球風險報告》（The Global Risks Report 2024）](https://www.weforum.org/publications/global-risks-report-2024/)即預測於 2025-2026 年間，資訊安全風險（cyber insecurity）是科技領域中最主要的風險來源；而在此期間，資訊安全風險更在所有類型的風險中名列第 4。

資安風險不容忽視，企業與組織應尋求良好的應對與管理方法。端點為縱深防禦的一環，範圍涵蓋員工使用的桌上型電腦、筆記型電腦；且不論是 Windows、MacOS 或 Linux 作業系統，皆有遭受攻擊者鎖定與入侵的可能性。

要為企業與組織降低資安風險，資安託管服務廠商（Managed Security Service Providers, MSSP）需要高效的端點偵測與應變工具（Endpoint Detection and Response, EDR），協助資安團隊快速應對不斷進化的威脅，避免資安攻擊影響企業日常運作，降低可能的營運風險。

要達到上述「事半功倍」之效，EDR 需具備以下三項關鍵特點： 
**1. 自動追蹤潛在威脅，簡化排查流程，提升威脅狩獵效率**
能即時監控端點與偵測威脅、自動標記異常行為（如惡意軟體執行或異常登入），且無需複雜的手動分析。相較於傳統的多層次工具堆疊，EDR 介面易於使用，有助於資安團隊迅速聚焦問題核心。

**2. 視覺化呈現資安態勢，易於掌握潛在風險**
藉由 EDR 的威脅事件時間軸和視覺化報告，將複雜的可疑路徑轉化為易懂的資訊。相較於傳統工具的冗長日誌，以圖像化方式呈現與高風險事件相關聯的端點，可協助團隊快速判斷遭駭範圍，並進一步採取應變處置。

**3. 自動產生摘要報告，提升管理效率**
自動產生摘要報告，將資安事件的關鍵資訊（包括威脅來源、高風險端點清單等）彙整呈現，資安團隊無需從大量數據中手動整理，有助於管理者快速掌握端點狀況。

 

##ThreatSonar Anti-Ransomware 易於使用、方便管理、快速應變

[ThreatSonar Anti-Ransomware 威脅鑑識與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)的直覺式介面設計，可協助資安團隊方便管理，快速應對資安事件。

 

###儀表板（Dashboard）視覺化呈現資安態勢，易於掌握場域端點狀況與潛在風險

![](https://uploads.teamt5.org/upload/original/tw_1_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)


為讓使用者全方位掌握可能潛在威脅，儀表板具備下列特點：

**1. 視覺化呈現關鍵指標數據，一次綜覽場域安全態勢**
- 以圖表呈現重要端點現況，節省資料彙整統計時間，提升管理效率。

**2. 彈性化介面設計，可按需求客製化，滿足不同管理情境需求**
- 使用者可新增或移除 Widget（小工具），因應各種管理需求。

**3. 使用者導向的互動式設計，提升資訊易讀性**
- 介面採易於使用的互動式設計，使用者移動游標即可預覽各區段的進階資訊，快速掌握重要資訊。
- 如需更多詳細資訊，可透過各相關功能頁面的連結，跳轉到詳細資訊頁面。

 

###威脅追蹤：自動追蹤潛在威脅，簡化排查流程，提升威脅狩獵效率

![](https://uploads.teamt5.org/upload/original/tw_2_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

使用者可訂閱固定使用的威脅狩獵規則，讓資安團隊可持續監控威脅狩獵的例行項目、關注環境中的潛在威脅，並快速調閱自動化端點威脅狩獵情況，精準掌握威脅風險以利後續事件調查與分析。

ThreatSonar 的主要威脅狩獵規則類型包括：
- **網路衛生**：檢視是否存在遠端桌面軟體（Remote desktop software, RDS）、可攜式軟體（portable software）等各種可能造成資安威脅的軟體。
- **可疑檔案**：檢視是否存在偽裝系統檔案的可疑程式、可疑建立時間檔案、已刪除的可疑檔案等。
- **可疑處理程序**：檢視是否存在被注入的可疑程序（Process）、自啟動及連網功能的程序、可疑的勒索軟體行為等。
- **可疑動態連結程式庫**：檢視是否存在具有特殊路徑劫持能力的可疑動態連結函式庫 （DLL）、具隱藏檔案屬性的可疑動態連結函式庫等。
- **其他**：如檢視是否有 SoftEther VPN 攻擊者將憑證用於內網穿透等情況。

同時，使用者也可藉由命中狩獵規則總數的趨勢圖，查看特定期間內命中該規則的端點、檔案名稱、Hash 總數的變化趨勢。運用此功能，使用者能以自動化方式長期追蹤潛在威脅，快速掌握顯著的趨勢變化，使 MSSP 節省管理的人力與時間。

 

###摘要報告：自動產生摘要報告、彙整監控結果，節省管理人力與時間

![](https://uploads.teamt5.org/upload/original/tw_3_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

此功能可協助使用者按照需求綜覽場域資安情況，列出需要關注的高風險端點，並自動產生摘要報告，還可排定報告產生時程和設定群組寄信。

> 針對資安託管服務廠商（MSSP），本功能提供「客戶」選項，協助廠商快速辨識個別報告隸屬的客戶；透過單一畫面，無需切換即可掌握所有客戶狀況。

摘要報告自動彙整多種統計數據，並以圖表呈現，省卻資安團隊手動整理大量數據的心力。使用者也可自訂摘要報告項目和排程，方便 MSSP 管理不同客戶的端點監控，盤點所有端點的潛在威脅風險，提升應對處置的效率。


範例： 
**1. 威脅等級統計 CA/威脅等級統計 Anti-Ransomware**：統計每日 Level 1 ~ Level 5 事件的端點數，使用者可從圖表了解各風險等級的端點總數。

![](https://uploads.teamt5.org/upload/original/tw_4_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

**2. 端點威脅列表 CA**：呈現最高等級（Level 5 與 Level 4）的端點清單，詳列端點主機名稱、IP、作業系統版本等資訊，並列出偵測到的「威脅」、「網路」與「事件紀錄」。

「威脅」資訊中顯示 Level 4 以上威脅事件的屬性與檔案路徑；「網路」則顯示 IP 與網域；「事件紀錄」則顯示屬性、Windows 事件日誌 ID 與相關資訊。

![](https://uploads.teamt5.org/upload/original/tw_5_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

 

##結語

有鑑於資安威脅已成為企業與組織無法忽視的挑戰，採取效果卓著的防護策略勢在必行。為將這些風險降至最低，部署一套出色的端點偵測與應變工具（Endpoint Detection and Response, EDR）至關重要；這套工具必須要易於操作，提供的資訊易於理解，才能讓企業掌握時機，快速應對資安事件，實現高效防禦。

TeamT5 推出的端點偵測與應變解決方案「[ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)」符合上述 EDR 必備優點，即「自動追蹤潛在威脅，提升威脅狩獵效率」、「視覺化呈現資安態勢，易於掌握潛在風險」、「自動產生摘要報告，提升管理效率」，是企業與組織最佳選擇。這項方案榮獲[台北國際電腦展 Computex 之 Best Choice Award - Golden Award](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2) 肯定，以領先情資持續預測未來攻擊，為企業與組織應對層出不窮的資安攻擊事件。

歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，免費試用。



> 杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。

>歡迎[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，了解備受客戶肯定的資安產品與服務。 


 
 
（首圖來源：pexels）

馭繁為簡：資安事件頻傳，有效監測、高效率管理端點安全的關鍵

サイバーセキュリティインシデントは世界的に頻発しており、世界経済フォーラム（World Economic Forum, WEF）が発表した[『2024年版グローバルリスク報告書（The Global Risks Report 2024）』](https://www.weforum.org/publications/global-risks-report-2024/)によると、2025～2026年において「サイバーセキュリティリスク(cyber insecurity）」は、テクノロジー分野で最も重大なリスク要因になると予測されています。さらに、サイバーセキュリティリスクはすべてのリスクカテゴリーの中で第4位に位置づけられています。

こうしたリスクは決して軽視できるものではなく、企業や組織は、的確な対策と管理体制の整備が求められています。

サイバー攻撃への防御において、エンドポイントは多層防御の中核を担います。エンドポイントとは、社員が使用するデスクトップPC、ノートPCなどを指し、Windows、macOS、LinuxといったOSを問わず、攻撃対象となる可能性があります。


企業のセキュリティリスクを低減するためには、MSSP（Managed Security Service Provider）による高性能なEDR（Endpoint Detection and Response）ツールの導入が不可欠です。 これにより、サイバーセキュリティチームは、絶え間なく進化する脅威への迅速な検知と対応を可能にし、日常業務の中断や事業リスクの拡大を防ぐことができます。
「少ない労力で大きな効果」を実現するために、EDRが以下の3つの重要な特長を備えていることが求められます：

**1. 潜在的な脅威を自動追跡し、調査プロセスを簡素化** 
EDRは、エンドポイントのリアルタイム監視と脅威検知を行い、マルウェアの実行や異常ログインなどの挙動を自動的に識別・タグ付けします。 従来のような複雑な手動分析は不要で、直感的なインターフェースにより、セキュリティチームが問題の核心にすばやくフォーカスできるため、脅威ハンティングの効率が大幅に向上します。

**2. セキュリティ状況を可視化し、リスクの把握を容易に** 
EDRによって提供される脅威イベントのタイムラインやビジュアルレポートを活用することで、複雑な攻撃経路や挙動をわかりやすく可視化できます。 従来の冗長なログ情報とは異なり、高リスクイベントと関連するエンドポイントをグラフィカルに表示することで、侵害範囲の迅速な特定と対応判断が可能になります。

**3. インシデント概要の自動レポート化で、管理効率を向上** 
EDRは、脅威の発生源や高リスク端末の一覧など、重要な情報を自動的にまとめたサマリーレポートを生成します。セキュリティチームは膨大なデータを手作業で整理する必要がなくなり、管理者は端末のセキュリティ状況を迅速かつ包括的に把握できます。


##ThreatSonar Anti-Ransomware ― 使いやすく、管理しやすく、迅速に対応可能

[ThreatSonar Anti-Ransomware](https://teamt5.org/jp/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) は、直感的なインターフェース設計により、セキュリティチームが簡単に管理でき、サイバーセキュリティインシデントへの迅速な対応を可能にする、脅威分析および対応プラットフォームです。

##視覚化されたダッシュボードにより、エンドポイントのセキュリティ状況や潜在的なリスクをひと目で把握


![](https://uploads.teamt5.org/upload/original/en_1_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

ダッシュボードは以下の特長を備えており、ユーザーが現場のセキュリティ状況を直感的に把握できる設計となっています。

**1. 重要指標を視覚化して一目でセキュリティ状況を把握** 
エンドポイントの稼働状況やリスク指標など、重要なセキュリティデータをグラフやチャートで分かりやすく可視化するので、データ集計の手間を削減し、管理効率を向上させます。

**2. 柔軟なインターフェースで、ニーズに応じたカスタマイズが可能** 
ウィジェット（小型表示機能）を自由に追加・削除できる柔軟な設計により、
 管理者の運用スタイルやシナリオに応じた表示内容の最適化が可能です。

**3. ユーザー視点のインタラクティブなデザインで情報の可読性を向上** 
インターフェースは直感的に操作できるインタラクティブ設計を採用しており、マウスカーソルを合わせるだけで、各エリアの詳細情報をプレビュー表示でき、重要情報をすばやく把握できます。さらに、必要に応じて関連機能ページへのリンクから詳細情報へ直接アクセス可能です。

 

###脅威の追跡：潜在的な脅威を自動追跡し、調査プロセスを簡素化。脅威ハンティングの効率を向上

![](https://uploads.teamt5.org/upload/original/en_2_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

ユーザーは、定期的に利用する脅威ハンティングルールを登録することで、セキュリティチームは環境内の潜在的な脅威や日常的なハンティング対象を継続的に監視することが可能になります。また、自動化されたエンドポイント脅威ハンティングの実行状況を迅速に確認できるため、脅威リスクを正確に把握し、その後のインシデント調査や脅威分析にスムーズに対応できます。

ThreatSonar の主な脅威ハンティングルールのカテゴリ：

**1. ネットワーク衛生** 
リモートデスクトップソフトウェア（RDS）やポータブルソフトウェアなど、セキュリティ上のリスクとなる可能性のあるソフトウェアの存在を検出。


**2. 不審なファイル** 
システムファイルを装った疑わしいプログラム、不審な作成日時のファイル、削除された痕跡のある不審ファイルなどの存在をチェック。


**3. 不審なプロセス** 
プロセスインジェクション（他プロセスへのコード挿入）が疑われるプロセス、自動起動・通信機能を持つプロセスや、ランサムウェア特有の挙動を検出。


**4. 不審な動的リンクライブラリ（DLL）** 
特殊なパスを利用したハイジャックが可能なDLLや、隠しファイル属性を持つ不審なDLLの存在を確認。


**5. その他** 
SoftEther VPN を悪用して攻撃者が証明書を用い内部ネットワークへのアクセスを行っているか、などの確認。

また、ユーザーは脅威ハンティングルールのヒット件数に関する推移グラフを通じて、
 特定期間内に該当ルールに一致したエンドポイント、ファイル名、ハッシュ値の変化傾向を確認できます。この機能を活用することで、潜在的な脅威を自動的かつ継続的に追跡し、顕著な傾向変化を迅速に把握することができ、MSSP（マネージド・セキュリティ・サービス・プロバイダー）は運用コストと工数の削減を実現できます。

 

###サマリーレポート：監視結果を自動集約し、管理工数と時間を削減

![](https://uploads.teamt5.org/upload/original/en_3_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

この機能により、ユーザーは必要に応じて現場のセキュリティ状況を総覧でき、
 注視すべき高リスク端点を一覧化し、さらに自動でサマリーレポートを生成できます。
 レポートの作成スケジュール設定やグループへの自動送信も可能です。

>MSSP向けには「顧客」オプションを提供し、レポートがどの顧客に紐づくかを素早く判別できるよう支援します。単一画面上で複数顧客の状況を切り替えなしに一括把握できるため、運用効率が大幅に向上します。

サマリーレポートは複数の統計データを自動で集約し、グラフなどで視覚的に表示。
 これによりセキュリティチームが大量のデータを手作業で整理する負担を軽減します。
 また、ユーザーはレポート項目や作成スケジュールをカスタマイズ可能で、MSSPが複数顧客のエンドポイント監視を効率的に管理し、潜在的脅威の把握と迅速な対応に役立てられます。
 
例： 
**1. 脅威レベル統計 CA／脅威レベル統計 Anti-Ransomware：**
毎日のレベル1〜レベル5のインシデントが発生したエンドポイント数を統計化。
ユーザーはグラフを通じて、各リスクレベルに該当するエンドポイントの総数を把握できます。

![](https://uploads.teamt5.org/upload/original/en_4_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

 

**2. エンドポイント脅威リスト CA：**最高レベル（レベル5およびレベル4）のエンドポイント一覧を表示し、エンドポイントのホスト名、IPアドレス、OSバージョンなどの情報を詳しく記載します。また、検知された「脅威」、「ネットワーク」、および「イベントログ」を一覧で確認できます。

「脅威」情報には、レベル4以上の脅威イベントの属性やファイルパスが表示され、「ネットワーク」情報には、IPアドレスやドメイン名が表示されます。また、「イベントログ」情報には、属性、WindowsイベントログID、関連情報が表示されます。

![](https://uploads.teamt5.org/upload/original/en_5_simplify-complex-cybersecurity-smarter-endpoint-monitoring-and-management.png)

##まとめ

サイバー脅威が企業や組織にとって重大な課題となっている現在、非常に効果的な保護戦略を採用することが不可欠です。これらのリスクを最小限に抑えるためには、使いやすく、分かりやすい方法で効率的な防御を可能にし、サイバーセキュリティインシデントへの迅速な対応を支援する優れたEDR（エンドポイント検出および対応）を導入することが重要です。

TeamT5のエンドポイント検出および対応ソリューション「[ThreatSonar Anti-Ransomware](https://teamt5.org/jp/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)」は、効果的なEDRに必要なすべての機能を備えています。これには、「潜在的な脅威を自動的に追跡」「直感的で可視化されたサイバーセキュリティ状況の表示」「管理効率を高めるための自動生成レポート」が含まれます。本ソリューションは[COMPUTEX ベストチョイスアワード](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2) – ゴールデンアワードを受賞しており、企業や組織にとって最良の選択肢です。このインテリジェンス主導のソリューションは、頻発するサイバー攻撃への対応を引き続き支援しています。

無料トライアルをご希望の方は、お気軽にお問い合わせください。[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

> TeamT5は、アジア太平洋地域のサイバー攻撃者を最も深く理解している地理的・文化的な優位性を活かした、トップクラスのサイバー脅威アナリストで構成されています。また、主要なサイバーセキュリティカンファレンスで頻繁にインサイトを共有しており、その脅威インテリジェンスの研究とソリューションは、Frost & Sullivanより「2023～2024年 台湾脅威インテリジェンス分野 最優秀企業賞」を受賞しています。

> インテリジェンス主導のサイバーセキュリティソリューションについて詳しく知りたい方は、以下よりお問い合わせください。
[https://teamt5.org/jp/contact-us/](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)




 
 
(cover source：pexels)

複雑さを制したシンプルなサイバーセキュリティ：効果的なエンドポイント管理の鍵

In today’s rapidly evolving cyber landscape, defenders must move faster than attackers. Whether it’s identifying threats, tracking APTs, or mitigating vulnerabilities, security teams need relevant, contextualized intelligence specific to where they stand. This is especially true in the Asia-Pacific region, one of the most dynamic and complex cyber threat environments in the world. With a strong APAC focus, TeamT5’s ThreatVision intelligence platform is recognized by the [Best Choice Award at COMPUTEX TAIPEI in 2025](https://teamt5.org/en/posts/apac-threat-intelligence-leading-brand-teamt5-s-threatvision-solution-awarded-computex-best-choice-award-golden-award?utm_source=blog&utm_medium=website), empowering defenders to stay ahead of targeted and sophisticated adversaries operating within the region.

##Why APAC Intelligence Matters
The APAC region is home to a wide range of state-sponsored and cybercriminal actors that often deploy tactics and malware tailored specifically for local targets. Many of these threats are not captured by global feeds, leaving a critical blind spot for organizations in or interacting with the region. ThreatVision closes this gap by providing intelligence shaped by TeamT5’s 20+ years of deep focus on APAC cyber activities. Our research tracks APT groups, malware, and underground ecosystem trends—offering users timely, contextual insights that enable smarter, region-aware decision-making.

##Intelligence That Supports Every Layer and Role

ThreatVision delivers role-specific intelligence that supports security teams from strategy to incident response. Here’s how different users apply it:

**Decision-makers:**
- Use APT Threat Landscape in Asia to stay informed on the overall threat landscape in APAC.
- When reviewing current security measures or analyzing activities of adversaries, Campaign Tracking Report and Cyber Affairs Biweekly Report are key references.


**Risk Managers:**
- Vulnerability Insights Reports (VIR) combines technical analysis with suggestions to help organizations focusing on exploited vulnerabilities and setting up effective remediations.
- Patch Management Reports (PMR) help organizations to be notified timely of potentially exploitable vulnerabilities and prioritize patching to quickly mitigate emerging risks.

**Incident Responders:**
- Apply Indicators of Compromise Feeds and the Malware Database to quickly identify related threats.
- Use threat hunting tools and sample analysis features to facilitate threat response and triage time.

![](https://uploads.teamt5.org/upload/original/TV-en-from-apt-tracking-to-deep-and-dark-web-monitoring-threat-vision-leads-in-apac-threat-intelligence.jpg)

##Deep & Dark Web Monitoring: Reveal Threat Hidden in the Shadows
One of the most distinctive features of ThreatVision is its Deep & Dark Web (DDW) Monitoring service. Designed to uncover early warning signals and data leaks, which covers:
- 1.5+ billion of leaked sensitive data
- 30+ million compromised devices
- 40+ deep and dark web forums and markets, including Chinese-speaking underground communities
- 400+ monitored Telegram channels, where threat actors coordinate or distribute stolen data
- Social media and forum activity relevant to cybercrime operations and breach chatter, especially in Chinese

What sets this apart is not just the scope of monitoring, but how it’s delivered—in one centralized, intuitive interface for easy browsing and searching. With weekly automated alerts and tailored analysis reports, organizations gain timely visibility into threats as they emerge, not after they escalate.

![](https://uploads.teamt5.org/upload/original/DDW-en-update-from-apt-tracking-to-deep-and-dark-web-monitoring-threat-vision-leads-in-apac-threat-intelligence.png)


###Threats Don’t Wait, Neither Should Your Defense
ThreatVision provides a critical edge for organizations defending against advanced, targeted threats in APAC. By combining technical depth, regional intelligence, and underground visibility, it enables security teams to detect threats early, prioritize what matters, and respond effectively. ThreatVision transforms threat intelligence into a practical asset, helping organizations not just see through the chaos, but gain an upper hand in today’s high-stakes cyber landscape.

 

>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us: [link](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

From APT Tracking to Deep & Dark Web Monitoring: ThreatVision Leads in APAC Threat Intelligence

在瞬息萬變的網路威脅環境中，資安防守者必須比攻擊者更快一步。無論是識別威脅、追蹤進階持續性攻擊（APT）或是修補漏洞，資安團隊都需要掌握所在地區直接相關的威脅脈絡與情資，這對亞太地區企業與組織尤其重要，因為這裡是全球網路威脅事件數量最多、型態最複雜的地區之一。杜浦數位安全公司（下稱「TeamT5」）聚焦亞太的 ThreatVision 威脅情資平台，榮獲 [2025 年台北國際電腦展（COMPUTEX TAIPEI）Best Choice Award 金獎](https://teamt5.org/tw/posts/apac-threat-intelligence-leading-brand-teamt5-s-threatvision-solution-awarded-computex-best-choice-award-golden-award?utm_source=blog&utm_medium=website)的肯定，能協助資安團隊有效因應攻擊族群的複雜威脅，搶得防禦先機。

##為何亞太威脅情資如此重要？
在亞太地區，眾多由國家支持的活躍攻擊族群與網路犯罪集團，其使用的攻擊手法與惡意程式往往根據地區環境量身打造，且未被全球情資來源完整掌握，因此使得身處或與本地區往來的各種組織面臨高風險的情資盲點。ThreatVision 奠基於 TeamT5 深耕亞太逾 20 年累積的研究成果，內容涵蓋 APT 族群、惡意程式，以及地下網路活動的發展趨勢。透過及時且具脈絡的在地情資，使用者能更快辨識威脅，並做出更精準的資安決策。

##支援所有層級與角色的威脅情資
ThreatVision 提供的情資內容可依各種角色需求在不同情境下運用，協助組織實行戰略規劃到事件應變的全方位防護。

**資安決策者：**
- 透過威脅綜覽季報（APT Threat Landscape in Asia）全面掌握亞太威脅態勢
- 評估現行防護措施或分析威脅族群活動時，威脅族群活動分析（Campaign Tracking Report）和亞太區域網路政策分析（Cyber Affairs Biweekly Report）是關鍵資料來源

**風險管理者：**
- 透過漏洞情資暨應對緩解雙週報（VIR）聚焦已遭利用的漏洞，結合技術分析與緩解建議，幫助組織確立有效的處置方案
- 漏洞修補管理週報（PMR）即時掌握可能被利用的漏洞資訊，協助組織排序修補優先順序，迅速緩解現有風險

**事件應變團隊：**
- 透過即時更新的入侵指標（IoC）與惡意程式資料庫，快速辨識關聯威脅
- 運用威脅偵測工具與樣本分析功能，提升因應威脅的效率，加快應變與處置流程

![](https://uploads.teamt5.org/upload/original/TV-tw-from-apt-tracking-to-deep-and-dark-web-monitoring-threat-vision-leads-in-apac-threat-intelligence.jpg)

##深暗網威脅情資監控：揭露暗處隱藏的威脅
ThreatVision 提供針對中文地下網路的深暗網（Deep & Dark Web, DDW）監控服務，專為組織偵測早期警訊與資料外洩風險而設計，監控範圍包括：
- 1.5 億筆外洩機密資料
- 3,000+ 萬台遭駭裝置
- 超過 40 個深暗網論壇與交易市場，包括中文地下社群
- 監控超過 400 個 Telegram 頻道，掌握駭客活動或資料兜售行為
- 社群媒體與論壇的犯罪相關活動與外洩資料，特別是以中文交流的內容

這項服務的獨特之處，不只是涵蓋中文網路的監控範圍，更以單一介面呈現情資，便於瀏覽和查找；搭配每週自動告警和客製化監控分析報告，讓組織能在威脅醞釀時就掌握狀況，無須等到威脅成為實際風險時，才著手應變。

![](https://uploads.teamt5.org/upload/original/DDW-tw-newupdate-from-apt-tracking-to-deep-and-dark-web-monitoring-threat-vision-leads-in-apac-threat-intelligence.png)


##威脅不等人，防禦先機不可失
ThreatVision 為亞太地區的企業與組織提供關鍵優勢，能有效應對高度針對性的威脅；基於深度技術分析、在地威脅情資與對地下網路動態的深入掌握，協助資安團隊及早偵測威脅、因應重大風險並迅速應變。ThreatVision 將威脅情資轉化為可實際運用的防禦利器，讓組織在當前風險高漲的網路環境中，洞察混亂背後的先機，搶佔防禦主導地位。

 

>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過 20 年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。並獲國際顧問公司 Frost & Sullivan 肯定為台灣最佳威脅情資公司(2023- 2024 Taiwanese Threat Intelligence Company of the Year Award)。
>
>聯絡我們：[連結](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)

從 APT 追蹤到深暗網監控：亞太威脅情資首選 ThreatVision

In late March, TeamT5 detected that the China-nexus APT group exploited the critical vulnerability in Ivanti Connect Secure VPN appliances to infiltrate multiple entities around the globe. The victims include nearly twenty different industries across twelve countries. We believe that the actor still maintained control over the victim's network at the time of analysis.

## Victimology
**The victim countries** include Austria, Australia, France, Spain, Japan, South Korea, Netherlands, Singapore, Taiwan, the United Arab Emirates, the United Kingdom, and the United States. **The targeted industries** include Automotive, Chemical, Conglomerate, Construction, Information Security, Education, Electronics, Financial Institution, Gambling, Government, Intergovernmental Organizations (IGO), Information Technology, Law Firm, Manufacturing, Materials, Media, Non-Governmental Organizations (NGOs), Research Institute, Telecommunication.

## Threat Details
Our analysis assessed with high confidence that the actor was exploiting the vulnerabilities of Ivanti Connect Secure VPN appliances to launch attacks around the globe. The actor possibly exploited CVE-2025-0282[1] or CVE-2025-22457[2] to conduct initial access.

Both CVE-2025-0282 and CVE-2025-22457 are stack buffer overflow vulnerabilities in Ivanti Connect Secure VPN with a CVSS score of `9.0`. Successful exploitation allows the threat actor to achieve remote code execution, leading to intrusion of the internal network and malware implantation.

In the attack, the actor deployed a shared weapon among Chinese threat groups, SPAWNCHIMERA. SPAWNCHIMERA is developed specifically for Ivanti Connect Secure VPN and has all the functionalities of the notorious SPAWN family, including SPAWNANT (installer), SPAWNMOLE (socks5 tunnler), SPAWNSNAIL (SSH backdoor), and SPAWNSLOTH (log wiper).

Moreover, our analysis suggests that other threat actors might also obtain the vulnerability information and start campaigns targeting Ivanti VPN appliances. We have observed massive exploitation attempts against Ivanti VPN appliances since April. Although most exploitation attempts failed, many Ivanti VPN appliances became paralyzed and unstable. 

TeamT5 strongly recommends that affected organizations conduct a thorough incident investigation. Given the versatile TTPs of the actor, such as multi-layers of C2 infrastructure, evasion of monitor mechanism, and the usage of log wiper, without additional technical support, it would be a challenge to detect the actor’s malicious traces inside the network. 

Contact us for assistance - [https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website).

 
 

[1]
[CVE-2025-0282](https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-0282-CVE-2025-0283?language=en_US)

[2] 
[CVE-2025-22457](https://forums.ivanti.com/s/article/April-Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-22457?language=en_US)

 
 
(cover source: pexels)

China-nexus APT exploits Ivanti Connect Secure VPN vulnerability to infiltrate multiple entities

3 月底，TeamT5 的遙測察知中國相關 APT 族群利用 Ivanti Connect Secure VPN 高風險漏洞發動攻擊，受害單位橫跨全世界 12 個國家，近 20 個不同產業。截至分析時，我們確信攻擊者仍持續控制受害者的網路。

## 受害單位
**受害國家**奧地利、澳洲、法國、西班牙、日本、南韓、荷蘭、新加坡、台灣、英國、美國、阿拉伯聯合大公國。而**受害產業**則包括汽車、化學、電信、營造、資安、教育、電子、金融、博弈、政府、法律、製造、媒體、企業集團、跨政府組織、非政府組織、資訊科技、研究機構。

## 威脅細節
我們的分析持高度信心攻擊者是利用 Ivanti Connect Secure VPN 相關的高風險漏洞展開攻擊。根據我們目前掌握的資訊，攻擊者可能是利用 CVE-2025-0282[1] 或 CVE-2025-22457[2] 取得初步存取權限。

CVE-2025-0282 和 CVE-2025-22457 都是 Ivanti Connect Secure VPN 的堆疊緩衝區溢位（stack buffer overflow）漏洞，CVSS 分數為 `9.0`。漏洞成功利用後，威脅行動者便得以實現遠端程式碼執行，進而入侵內部網路和部署惡意程式。

在這起攻擊中，攻擊者部署的是中國威脅族群的共用惡意程式 SPAWNCHIMERA。SPAWNCHIMERA 是專為 Ivanti Connect Secure VPN 所開發，具備 SPAWN 家族惡意程式的所有功能，包括 SPAWNANT （安裝程式）、SPAWNMOLE（socks5 網路隧道程式）、SPAWNSNAIL（SSH 後門程式）和 SPAWNSLOTH（記錄抹除程式）。

此外，我們的分析研判，其他威脅行動者可能也有取得漏洞相關資訊，並著手展開針對 Ivanti VPN 設備的攻擊行動。自 4 月以來，我們發現針對 Ivanti VPN 設備的大規模漏洞攻擊嘗試。雖然絕大多數的漏洞攻擊嘗試都以失敗告終，但卻也造成這些 Ivanti VPN 設備被癱瘓且變得不穩定。

TeamT5 建議受影響單位應即刻展開完整的事件調查。基於攻擊者手法的多變性，如多層次 C2 基礎架構、監控機制迴避與使用記錄抹除程式，若缺乏額外的技術協助，恐不易深入調查內部網路的攻擊者足跡。若需任何進一步的技術協助，可[直接聯繫 TeamT5](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)。

 
 

[1]
[CVE-2025-0282](https://forums.ivanti.com/s/article/Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-0282-CVE-2025-0283?language=en_US)

[2] 
[CVE-2025-22457](https://forums.ivanti.com/s/article/April-Security-Advisory-Ivanti-Connect-Secure-Policy-Secure-ZTA-Gateways-CVE-2025-22457?language=en_US)


 
 
（首圖來源：pexels）

中國相關威脅行動者利用 Ivanti Connect Secure VPN 漏洞滲透多國單位

[Case Study] CrazyHunter Ransomware Attacks Targeted Taiwan Hospitals

【案例分析】針對近期醫療院所面對 CrazyHunter 勒索軟體攻擊事件技術過程探討說明

>近期醫療院所遭遇勒索軟體攻擊的事件頻傳，衛福部發出[公告](https://www.mohw.gov.tw/cp-16-81726-1.html)，將此事件定義為「系統性攻擊」，不排除其他醫院可能成為下一個目標。
>本篇文章說明應變勒索軟體的重要原則，協助企業與組織有效應變。

 
繼 2 月初馬偕醫院遭勒索軟體組織 CrazyHunter 攻擊後，3 月初彰化基督教醫院也遭勒索攻擊。經衛福部召集相關廠商調查確認後，證實亦為 CrazyHunter 勒索軟體組織。TeamT5 對於此一連續攻擊事件，均及時掌握威脅情況，並彙整惡意程式 IoC 情資，由 TeamT5 MDR 團隊主動協助雲端客戶，完成清查所屬場域端點狀況，目前均無遭勒索惡意程式攻擊的跡象。

面對勒索軟體攻擊，企業第一時間應隔離受駭設備，防止病毒擴散；接下來評估影響範圍，確認是否有可用備份，並向資安專家團隊或執法單位尋求協助。同時呼籲切勿輕易支付贖金，因為此舉不僅無法保證資料解鎖、系統恢復，還可能助長攻擊者的勒索行為。

最重要的是，企業應強化資安防禦，例如採用端點偵測及回應軟體（EDR），全時監控企業組織內的端點；若偵測到異常行為，EDR 可即時阻擋勒索軟體惡意攻擊。

臺灣在地廠商 TeamT5 自主研發的 [ThreatSonar Anti-Ransomware 威脅鑑識分析與回應平台](https://teamt5.org/tw/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website)，專為協助阻擋勒索軟體而設計，藉由引擎自我學習機制，自動判斷常用程式或新進惡意程式，有效掃描被加密檔案。該平台更獲得[國際大展 COMPUTEX - Best Choice Award 金獎肯定](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2)，能為企業與組織提供及時偵測、立即攔截威脅攻擊、掌握攻擊路徑，以利快速應對資安事件，並採取防護措施。

完成 ThreatSonar Anti-Ransomware 簡易部署後，企業即可有效防禦勒索軟體，避免近期頻傳的同類資安事件發生。下方說明 ThreatSonar Anti-Ransomware 如何成功防堵勒索攻擊。

 

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_1.JPG)

<center>ThreatSonar Anti-Ransomware 預設勒索軟體偵測機制，可自動發出即時告警、移除程式等。</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_2.png)

<center>當偵測到勒索軟體開始執行， ThreatSonar Anti-Ransomware 立即阻斷，終止程式執行。</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_3.JPG)

<center>ThreatSonar Anti-Ransomware 掌握到勒索攻擊後，於「事件」報告頁面顯示攻擊路徑。</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_4.JPG)

<center>ThreatSonar Anti-Ransomware 即時阻擋，成功防堵勒索軟體攻擊。</center>

 

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/G2BD3PE2mO4?si=qKWiasWIty352h2K" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen></iframe>
</center>

<center>ThreatSonar Anti-Ransomware 即時偵測阻擋 CrazyHunter 勒索軟體攻擊【示範影片】</center>

 

面對未知且嚴重的勒索軟體攻擊事件，TeamT5 建議仍須提前因應，以下為預防、偵測與應變處理的各項對應措施：
- 檢視外部系統及 VPN 設備之權限控管狀態是否嚴謹。
- 針對網路存取規則及帳號權限原則，確認是否符合最小權限設計。
- 確認資料備份還原機制是否完善，且無法遭攻擊者控制清除。
- 落實系統、設備弱點管理與修補作業，並強化端點防護機制。
- 關注網路威脅情資，及早因應並強化可能遭受攻擊的弱點。
- 建立事件應變處理計畫。

 


>TeamT5 已協助多家國內外企業處理勒索事件攻擊，由獲獎團隊偕同企業一同應變，防禦多元的惡意程式入侵、抵擋持續演進的攻擊手法。 
>今天就[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，洽詢試用。

>- [防禦交給專家 威脅精準應對：TeamT5 威脅偵測應變代管服務獲資安精品獎殊榮](https://teamt5.org/tw/posts/teamt5-cybersecurity-managed-service-wins-2024-cyber-security-innovation-award-for-helping-enterprises-respond-to-cyber-threats/?utm_source=blog&utm_medium=website) 
>- [TeamT5 威脅偵測應變代管服務（MDR）介紹](https://teamt5.org/tw/service/mdr/?utm_source=blog&utm_medium=website)

TeamT5 及時掌握 CrazyHunter 勒索軟體攻擊事件【示範影片】

>Recently, medical institutions in Taiwan have been frequently attacked by ransomware. The Ministry of Health and Welfare (MOHW) has issued a [notice](https://www.mohw.gov.tw/cp-16-81726-1.html) defining this incident as a "systemic attack" and does not rule out the possibility that other hospitals may become the next target.

>This article explains the important principles of responding to ransomware to help companies and organizations respond effectively.

 

After Mackay Memorial Hospital was attacked by the ransomware organization CrazyHunter in early February, Changhua Christian Hospital was also attacked by ransomware in early March. After MOHW convened relevant vendors for investigation and confirmation, it was confirmed that the March attack was also done by CrazyHunter. TeamT5 has promptly grasped the threat situation and compiled IoC intelligence of the malware for the serial attacks. The TeamT5 Managed Detection and Response (MDR) team proactively assisted cloud customers to complete a thorough scanning covering all endpoints in their environments. Currently, there are no signs of ransomware attacks.

When faced with a ransomware attack, companies should first isolate the compromised devices to prevent the malware from spreading; then assess the scope of impact, confirm whether there are available backups, and seek assistance from cybersecurity expert teams or law enforcement agencies. At the same time, we would like to urge everyone not to pay the ransom in the first place, because doing so will not only be unable to guarantee data decryption and system recovery, but may also encourage attackers' extortion behavior.

Most importantly, companies should strengthen their cybersecurity defenses, such as using endpoint detection and response (EDR) software to monitor endpoints within the organization at all times. If abnormal behavior is detected, EDR can immediately block malicious ransomware attacks.

The [ThreatSonar Anti-Ransomware](https://teamt5.org/en/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) are independently developed by Taiwan local cybersecurity company TeamT5, which are designed specifically to help block ransomware. Through the engine's self-learning mechanism, it automatically determines commonly used programs or new malware and effectively scans encrypted files. The platform has also won the [Gold Award of Computex Best Choice Award](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2) at the international exhibition COMPUTEX TAIPEI. It provides companies and organizations with timely detection, immediate interception of threat attacks, as well as visibility into attack paths, facilitating quick response to incidents and taking protective measures.

After completing the simple deployment of ThreatSonar Anti-Ransomware, companies can effectively defend against ransomware and avoid similar incidents that have occurred recently. The video below shows how ThreatSonar successfully blocks a ransomware attack.


![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_1.JPG)
<center>ThreatSonar Anti-Ransomware has a default ransomware detection mechanism 
that can automatically issue real-time alerts, remove programs, etc.</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_2.JPG)
<center>When the ransomware is detected to start running, 
ThreatSonar Anti-Ransomware immediately blocks it and terminates the program execution.</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_3.JPG)
<center>Once ThreatSonar Anti-Ransomware detects a ransomware attack, 
it displays the attack path on the "Incidents" page.</center>

![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_4.JPG)
<center>ThreatSonar Anti-Ransomware blocks ransomware attacks in real time.</center>

 
<center>How Does ThreatSonar Anti-Ransomware Block CrazyHunter Ransomware Attacks? [Demo Video]</center>

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/El8a6CubpkI?si=mqSEAYV5hMfvlJ34" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen></iframe>
</center>

 

In the face of unknown and serious ransomware attacks, TeamT5 urges companies and organizations to prepare in advance. 

The following are the measures for prevention, detection and response:
- Check whether the permission control status of external systems and VPN devices is solid.
- Confirm whether network access rules and account permission policies comply with the least privilege principles.
- Confirm whether the mechanism of data backup and restoration is complete and is not likely to be controlled and cleared by attackers.
- Implement vulnerability and patch management processes for system and device, and strengthen endpoint protection measures.
- Stay informed on cyber threat intelligence, prepare in advance and rectify weaknesses that may be attacked. 
- Establish an incident response process.

 

>TeamT5 has assisted many local and international companies in dealing with ransomware attacks. The award-winning team is the most reliable partner for companies in responding to incidents, defending diverse malware intrusions and shielding against the evolving attacks.

>[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) today for a free trial.

TeamT5 Timely Copes with CrazyHunter Ransomware Attacks [Demo Video]

>近年、台湾の医療機関はランサムウェアによる攻撃を頻繁に受けています。[衛生福利部（MOHW）はこのインシデントを「組織的な攻撃」](https://www.mohw.gov.tw/cp-16-81726-1.html)と定義する通達を発表しており、他の病院が次の標的となる可能性もあります。
>
>この記事では、企業や組織がランサムウェアに効果的に対応するための重要な原則について解説します。


2月上旬に馬偕記念病院がランサムウェア組織CrazyHunterの攻撃を受けた後、3月上旬にも彰化基督教病院がランサムウェアの攻撃を受けました。MOHWが関連ベンダーを招集して調査と確認を行った結果、3月の攻撃もCrazyHunterによるものであることが確認されました。TeamT5はこの脅威状況を迅速に把握し、連続攻撃のマルウェアのIoCインテリジェンスをまとめました。TeamT5のMDR（Managed Detection and Response）チームは、クラウド顧客が環境内のすべてのエンドポイントを網羅する徹底的なスキャンを完了できるよう、積極的に支援しました。なお、現在はランサムウェア攻撃の兆候はありません。


ランサムウェア攻撃に直面した場合、企業はまずマルウェアの拡散を防ぐために感染したデバイスを隔離し、影響が及ぶ範囲を想定、そして利用可能なバックアップがあるかどうかの確認を行い、サイバーセキュリティの専門家チームや法執行機関に支援を求める必要があります。なぜなら、身代金を支払うことは、データの復号化とシステムの回復を保証できないだけでなく、攻撃者の恐喝行為を助長する可能性があるからです。


最も重要なことは、企業はサイバーセキュリティの防御を強化することです。例えば、エンドポイント検出応答（EDR）ソフトウェアを使用して、組織内のエンドポイントを常時監視することです。EDRは異常な動作が検出された場合、悪意のあるランサムウェア攻撃を即座にブロックすることが可能です。


[ThreatSonar Anti-Ransomware](https://teamt5.org/jp/products/threatsonar-anti-ransomware/?utm_source=blog&utm_medium=website) は、台湾の現地サイバーセキュリティ企業TeamT5が独自に開発したもので、ランサムウェアのブロックに特化して設計されています。エンジンの自己学習メカニズムにより、頻繁に使用されるプログラムや新しいマルウェアを自動的に判断し、暗号化されたファイルを効果的にスキャンします。このプラットフォームは、[国際展示会COMPUTEX TAIPEIでComputex Best Choice Awardの金賞](https://bcaward.computex.biz/WinnerYearDetail.aspx?index=9390&awtype=000000001&year=2024&sort=2)も受賞しています。また、同プラットフォームは、企業や組織にタイムリーな検知、脅威攻撃の即時遮断、攻撃経路の可視化を提供しており、インシデントへの迅速な対応と保護措置を促進します。




ThreatSonar Anti-Ransomware の導入は簡単に行うことができ、企業はランサムウェアから効果的に防御し、最近発生した同様のインシデントを回避することができます。以下のビデオでは、ThreatSonarがランサムウェア攻撃のブロックに成功した例を紹介しています。

 
![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_1.JPG)
<center>ThreatSonar Anti-Ransomware はランサムウェア検出メカニズムを持っており、自動的にリアルタイムのアラートを発したり、プログラムを削除したりすることができます。</center>

 
![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_2.JPG)
<center>ランサムウェアが検出されると、ThreatSonar Anti-Ransomware は直ちにランサムウェアをブロックし、プログラムの実行を終了します。</center>

 
![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_3.JPG)
<center>ThreatSonar Anti-Ransomware がランサムウェア攻撃を検出すると、「インシデント」ページに攻撃パスが表示されます。</center>

 
![](https://uploads.teamt5.org/upload/original/how-hospitals-deal-with-ransomware-attacks_en_4.JPG)
<center>ThreatSonar Anti-Ransomware は、ランサムウェア攻撃をリアルタイムでブロックします。</center>

 

<center>
<iframe width="560" height="315" src="https://www.youtube.com/embed/NLNU_I10C5o?si=NK2UIek8QCvr7arI" title="YouTube video player" frameborder="0" allow="accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share" referrerpolicy="strict-origin-when-cross-origin" allowfullscreen></iframe>
</center>

<center>ThreatSonar Anti-RansomwareはどのようにCrazyHunterランサムウェア攻撃をブロックするのでしょうか？</center>

 

TeamT5は企業や組織に向け、未知で深刻なランサムウェア攻撃に対し事前対策を取ることを推奨します。予防、検知、対応策として以下が挙げられます：
- 外部システムやVPNデバイスの権限管理状況がしっかりしているかの確認
- ネットワークアクセスルールとアカウント権限ポリシーが最小権限の原則に準拠しているかの確認
- データのバックアップやリストアの仕組みが万全で、攻撃者に制御・消去される可能性がないかの確認
- システムやデバイスの脆弱性対策やパッチ管理プロセスを実施し、エンドポイント保護対策を強化
- サイバー脅威インテリジェンスに関する情報を収集して事前準備を行い、攻撃される可能性のある弱点を是正
- インシデント対応プロセスを確立

 

>TeamT5は、ランサムウェア攻撃への対応において、国内外の多くの企業を支援してきました。受賞歴のある当社チームは、インシデントへの対応、多様なマルウェアの侵入や進化する攻撃からの防御に秀でており、企業にとって最も信頼できるパートナーです。

>[無料トライアルはこちらから](https://teamt5.org/jp/contact-us/?utm_source=blog&utm_medium=website)

TeamT5、CrazyHunterランサムウェア攻撃に適時対処

基於「Never Trust, Always Verify（永不信任，一律驗證）」的原則，零信任策略假設威脅可能存在於內外部網路，因此在驗證前，不應預設信任任何使用者、系統或裝置。而端點，被視為主要攻擊面，對於整個組織的資安態勢而言非常重要。確保端點安全必要的早期偵測，能在威脅擴散前及時阻止，並維護資料與系統的完整性。若缺乏有效的端點安全，將無法完整實現零信任策略，且易遭受攻擊。因此，端點安全的重要性對於網路安全來說，是一層不可或缺的防護。

##終端設備遭受攻擊事件數急遽上升
根據TeamT5 的研究，在過去三年，終端設備經常被攻擊者當作初始入侵的目標，特別是來自中國的 APT 攻擊者。終端設備作為串接資料中心與真實世界的介面，負責收集資訊，卻經常被攻擊者用來滲透其目標。此外，我們也發現在過去兩年，中國 APT 攻擊者能挖掘端點漏洞，並能利用終端設備的零時差漏洞來進行攻擊。

利用漏洞進行攻擊的案例層出不窮。根據 [TeamT5 的分析研究](https://teamt5.org/tw/posts/alerts-of-exploiting-zyxel-zywall-usg-20-50/?utm_source=blog&utm_medium=website)，自 2023 年 7 月以來，威脅攻擊者已利用 Zyxel ZyWall USG 20/50 防火牆設備的兩關鍵漏洞進行攻擊，攻擊目標特別針對台灣企業組織。攻擊者在駭侵端點後，隨即部署殭屍網路，以用於進一步的指揮與控制（Command & Control）。

為了緩解和應對終端設備被攻擊的情況，漏洞修補仍然是目前最佳的解決方案。然而，對於那些尚未有漏洞修補的零時差漏洞，我們能採取哪些措施呢？

##該如何應對零時差漏洞？
我們建議使用以下對策來應對零時差漏洞：
###威脅情資：了解攻擊者，就如同攻擊者了解你的終端設備一樣。

由於多數攻擊者能挖掘零時差漏洞，並為受駭終端設備客製化後門，我們應更加了解攻擊者會如何利用漏洞，並採取相應的措施。

TeamT5 提供的《漏洞情資暨應對緩解雙週報》（Vulnerability Insights Report, VIR），其中包含對重大漏洞及近期網路威脅的詳細分析。每份報告聚焦分析一個關鍵且極易被利用的漏洞，並提供漏洞利用情境及全球事件精華。而除了漏洞修補建議外，在使用者無法立即漏洞修補時，《漏洞情資暨應對緩解雙週報》更提供實用的緩解策略，協助使用者能主動保護其系統，並降低漏洞被利用帶來的風險。

隨著暗網威脅的日益增加，例如販售零時差漏洞、具針對性的漏洞利用，以及外洩的組織憑證或資料，讓採取更積極的防禦措施以制敵機先，顯得至關重要。

TeamT5 提供[深暗網威脅情資](https://teamt5.org/tw/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)，其中包括：
1. **深暗網定期監控告警**：每週深暗網自動掃描，監控深暗網中是否有外洩的憑證或資料。
2. **深暗網監控分析報告**：由 TeamT5 分析團隊提供專屬的威脅風險分析、最新威脅趨勢洞察，以及緩解建議。

### 端點威脅狩獵：主動狩獵隱藏威脅
作為亞太威脅情資的領導廠商，TeamT5 具備主動威脅狩獵技術，並且能夠提供零信任策略中的關鍵：以情資為導向的威脅狩獵。

TeamT5 的 ThreatSonar 內建數千種 APT（進階持續性威脅）後門特徵，將最新的威脅情資帶到每個端點，以協助進行威脅鑑識。此外，可匯入外部情資至 ThreatSonar，例如雜湊值、IP 位址、網域、Yara 規則和 IoC（入侵指標），以精準防禦針對性強的潛在威脅。


###結論
在無法完全避免安全漏洞的世界中，必須一律驗證，並切勿預設有安全無虞的網路存在。為了有效執行零信任策略，企業和組織必須：

- **了解攻擊者**：無論是透過 APT 威脅情資或暗網活動，了解攻擊者的手段能幫助企業強化零信任策略。
- **漏洞修補優先順序**：先處理最至關重要的漏洞，特別是那些正被攻擊者積極利用的漏洞。
- **暗網情資**：利用對暗網的洞見，以防範資料被竊和攻擊於未然。
- **主動威脅狩獵**： 即便採用了所有零信任策略，也不能忘記「永不信任，一律驗證」的原則，並隨時使用威脅狩獵工具來檢查網路安全狀態。



 
 
（首圖來源：pexels）

「Never Trust, Always Verify」－該如何強化零信任策略？

Based on the principle of "Never trust, always verify," the Zero-trust strategy assumes that threats exist both inside and outside the network, and therefore no users, systems, and devices should be trusted by default. Endpoint, often being the primary attack surface, is crucial for security posture of the entire organization. Endpoint security provides the early detection necessary to stop threats before they spread and maintains the integrity of data and systems. Without effective endpoint security, the Zero-trust strategy would be incomplete and vulnerable to exploitation, making it an indispensable layer in cybersecurity.

##Exploitation of Edge Device Surges 
According to TeamT5’s research, in the past 3 years, edge devices have been targeted as an initial compromise entry, especially by Chinese APT actors. Acting as the interface between the data center and the real world to collect information, edge devices are often exploited by actors to infiltrate their intended targets. We also find that in the past 2 years, Chinese APT actors are capable of finding the vulnerabilities of endpoints and exploit Zero-days on the edge devices.

Consider this case of vulnerability exploitation. According to [TeamT5’s analysis research](https://teamt5.org/en/posts/alerts-of-exploiting-zyxel-zywall-usg-20-50/?utm_source=blog&utm_medium=website), two critical vulnerabilities of the Zyxel ZyWall USG 20/50 firewall devices have been exploited by threat actors since July 2023, primarily targeting entities in Taiwan. After compromising the endpoint, the actors installed botnets for further command and control.

To mitigate and respond to edge device exploitation, applying the patch is still the best solution. However, for those Zero-days in the wild, since there is no patch available, what can we do?

##How to Respond to Zero-days? 
To respond to Zero-days, we suggest having the following countermeasures:

###Threat Intelligence: Understand actors like actors understand your edge devices.

Since the actors have the capability to find Zero-days and tailor backdoors for the compromised edge devices, we should know more about how the actors exploit the vulnerabilities and respond accordingly. 

TeamT5 provides the biweekly Vulnerability Insights Report (VIR) with a detailed analysis of severe vulnerabilities and recent cyber threats. Each VIR focuses on a single critical and highly exploitable vulnerability, offering exploit scenarios and global incident highlights. Besides remediation solutions, VIR also provides practical mitigation strategies when immediate fixes are not possible, enabling users to proactively protect their systems and mitigate identified vulnerabilities. 

As threats from the dark web are also rising, such as selling Zero-day exploits, target vulnerabilities and leaked credentials or data of the organizations, it is necessary to have more active defense to stay ahead of threats.

TeamT5 offers [Deep and Dark Web Risk Intelligence](https://teamt5.org/en/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website). One is the [Deep & Dark Web Risk Alert](https://teamt5.org/en/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website), discovering leaked credentials or data in the deep and dark web by automated scans. The other is the Deep & Dark Web Risk Tailored Report, including additional threat risk analysis, recent findings and mitigation suggestions provided by TeamT5’s analyst team.

###Endpoint Threat Hunting: Actively hunt for hidden threats

TeamT5, as the leading company in APAC threat intelligence with proactive threat hunting technology, can provide intelligence-driven threat hunting, the critical part of the Zero-trust strategy.

TeamT5’s ThreatSonar, with built-in thousands of APT backdoor signatures, provides the latest intelligence to every endpoint for threat forensics. Additionally, ThreatSonar allows the import of external intelligence such as hashes, IPs, domains, Yara rules, and IoCs to precisely defend against potential targeted threats.

##Conclusion
In a world where breaches are inevitable, always verify and never assume that any part of your network is completely safe. To conduct an effective Zero-trust strategy, businesses and organizations must:
- **Know Your Adversaries**: No matter it’s through threat intelligence on APT or dark web activities, understanding the enemy’s tactics can facilitate the enhancement of the Zero-trust strategy.
- **Prioritize Vulnerability for Patching**: Address the most critical vulnerabilities first, especially those that are actively being exploited.
- **Dark Web Intelligence**: Leverage insights from the dark web to prevent stolen data and attacks before they happen.
- **Proactive Threat Hunting**: Even adopting all the Zero-trust strategies, don’t forget the principle “Never Trust, Always Verify” and always use the threat hunting tool to verify your cyber security status.

 
 
(cover source：pexels)

“Never Trust, Always Verify” – How to Enhance Zero-trust Strategy?

ゼロトラスト戦略は、「Never trust, always verify」（信頼せず、常に検証する）という原則に基づき、脅威はネットワークの内外に存在するため、常時いかなるユーザー、システム、デバイスも信頼すべきではないという前提に立っています。エンドポイントは、しばしば主要な攻撃対象となるため、組織全体のセキュリティ態勢にとって極めて重要です。エンドポイントセキュリティは、早期検知によって脅威が広がる前に食い止め、データとシステムの完全性を維持します。効果的なエンドポイントセキュリティがなければ、ゼロトラスト戦略は不完全なものとなり、攻撃を受けやすくなります。したがって、エンドポイントセキュリティの重要性は、ネットワークセキュリティにとって必要不可欠な防御層と言えます。

##急増するエンドポイントへの攻撃

TeamT5の調査によると、過去3年間、エンドポイントは中国発のAPTアクターなどの攻撃者によって、常に侵害の入り口として狙われてきました。エンドポイントは、データセンターと実世界の間のインターフェイスとして機能し、情報を収集するため、しばしば攻撃者によってターゲットに侵入するために悪用されます。また、過去2年間で、中国のAPTアクターはエンドポイントの脆弱性を発見し、エンドポイントのゼロデイを悪用する能力があることが分かっています。

脆弱性悪用の事例が多数発生しており、[TeamT5の分析調査](https://teamt5.org/jp/posts/alerts-of-exploiting-zyxel-zywall-usg-20-50/?utm_source=blog&utm_medium=website)によると、2023年7月以降、Zyxel ZyWall USG 20/50ファイアウォールデバイスの2つの重大な脆弱性が、主に台湾の企業組織を標的とする脅威アクターによって悪用されています。攻撃者はエンドポイントを侵害した後、ボットネットをインストールし、コマンド＆コントロールを行いました。

脆弱性パッチは、エンドポイントへの攻撃を緩和し、対応するための最善のソリューションであることに変わりはありません。 しかし、未だパッチが提供されていないゼロデイ脆弱性についてはどうすればよいのでしょうか？

##ゼロデイ脆弱性にどう対応するか？
ゼロデイ脆弱性に対応するためには、次のような対策が必要です： 

###脅威インテリジェンス：攻撃者が標的とするエンドポイントを知るように、攻撃者を知ることが可能
多くの攻撃者はゼロデイ脆弱性を見つけ、侵害されたエンドポイントにバックドアを作る能力を持っているため、攻撃者がどのように脆弱性を悪用するのかをもっと知り、それに応じて対応するべきです。

TeamT5は、深刻な脆弱性と最近のサイバー脅威の詳細な分析をまとめたVulnerability Insights Report（VIR）を隔週で提供しています。各VIRは、1つの重大で悪用される可能性の高い脆弱性に焦点を当て、悪用シナリオや世界的なインシデントのハイライトを提供しています。また、復旧ソリューションに加え、即時の修正が不可能な場合の実用的な緩和戦略も提供し、ユーザーが積極的にシステムを保護し、特定の脆弱性を緩和することを可能にします。
ダークウェブからの脅威も増加しており、例えば、ゼロデイエクスプロイト、標的の脆弱性、組織の漏えいした認証情報やデータの販売などがあります。

TeamT5が提供[するディープ＆ダークウェブインテリジェンス](https://teamt5.org/jp/products/deep-dark-web-intelligence/?utm_source=blog&utm_medium=website)は以下を含みます：

**1. Weekly Alert**：ディープウェブとダークウェブを自動スキャンし、漏えいした認証情報やデータを監視します。

**2. Tailored Report**：脅威のリスク評価、最新の調査結果、緩和策の提案など、より深いレベルの分析を提供します。

###エンドポイント脅威ハンティング： 隠れた脅威を積極的に特定

TeamT5は、プロアクティブな脅威ハンティング技術を持つアジア太平洋地域の脅威インテリジェンスのリーディングカンパニーとして、ゼロトラスト戦略の重要な部分であるインテリジェンス主導の脅威ハンティングを提供することができます。

TeamT5のThreatSonarは、何千ものAPTバックドアシグネチャを内蔵しており、脅威フォレンジックのために最新のインテリジェンスを各エンドポイントに提供します。また、ハッシュ、IP、ドメイン、Yaraルール、IoCなどの外部インテリジェンスのインポートを可能にし、潜在的な標的型脅威を的確に防御します。

##結論

セキュリティ侵害を完全に避けることが難しい世界において、ネットワークのあらゆる部分が安全であるように常に検証することが不可欠です。 ゼロトラスト戦略を効果的に実施するために、企業や組織は次のことが推奨されます：
- **敵を知る**： APT脅威インテリジェンスやダークウェブの活動であろうと、攻撃者の戦術を理解することで、ゼロトラスト戦略の強化を促進することができます。
- **パッチを適用する脆弱性の優先順位付け**： 最も重要な脆弱性、特に積極的に悪用されている脆弱性に最初に対処します。
- **ダークウェブインテリジェンス**： 盗まれたデータや攻撃を未然に防ぐために、ダークウェブからの知見を活用します。
- **プロアクティブな脅威ハンティング**： ゼロトラスト戦略を採用しても、「Never Trust, Always Verify（信頼せず、常に検証する）」という原則を忘れず、常に脅威ハンティングツールを使用してサイバーセキュリティの状態を検証します。

 
>TeamT5は、世界トップクラスのサイバー脅威アナリストで構成されているセキュリティベンダーであり、地理的・文化的優位性を活かし、極東アジアのサイバー攻撃者に特化しています。また、国際的なサイバーセキュリティカンファレンスにも頻繁に招待され、研究や見識を共有しています。当社の脅威インテリジェンス研究の専門知識とソリューションは、フロスト＆サリバンから2023、2024年度台湾脅威インテリジェンス分野の年間最優秀企業賞（Taiwanese Threat Intelligence Industry Company of the Year Award）を受賞しました。
>
>TeamT5のサイバーセキュリティ製品とサービスの詳細については、弊社までぜひお問い合わせください。 https://teamt5.org/jp/contact-us/

 
 
(cover source：pexels)

“Never Trust, Always Verify”－ゼロトラスト戦略を強化するには？

>TeamT5 杜浦數位安全為專精亞太地區威脅情資的領導品牌。於此篇文章中，我們總結 2024 年亞太地區進階持續性威脅（APT）的威脅態勢，不僅提出年度觀察，更指出未來一年值得留意的資安威脅。

>本篇文章為節錄版，摘述關鍵數據與威脅情資分析。**欲取得完整《2024年威脅態勢回顧: 網路攻擊的模糊地帶》報告，您可以直接填寫文章末尾表格，我們將透過電子郵件、寄送給您。**

>欲探索更多亞太地區的威脅情資，立刻申請獲得國際顧問公司肯定的威脅情資平台 ThreatVision 試用機會。請在 [ThreatVision 頁面](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website) 說明您希望申請試用。

##Threat Statistics in 2024: Data & Observations

In 2024, until the end of November, TeamT5 actively tracked 30 new vulnerabilities being exploited in the wild, along with around 500 attack operations across 42 countries, which we attributed to 73 known adversaries and more than 200 malware / hacking tools being used. 

We also identified 45 victims being compromised in 9 countries and tried to notify through our trustworthy partners. And helped 33 IR cases for our customers. You could imagine all the above data contributing to our intelligence reports. Generally speaking, most of them show a tendency of increasing.

TeamT5 is actively tracking vulnerability exploitation attacks in the wild. In 2024, 30 widespread attacks were tracked by TeamT5, around 400 victim hosts across 21 countries were identified to be compromised.

We would like to highlight that 5 of them are email system related and 14 are exploiting edge devices, indicating they are high priorities of threat actors to access targets. Our research also shows EtherBei (aka Flax Typhoon) to be the most active threat actors to adopt these exploits.

During the course of our research, we also discovered some threat actors built their botnet or so called Operation Relay Box network by implanting malware like GobRAT, NatWalk and GenSeven.

Lastly, there’s also a tendency that more management services of edge devices are being exploited, such as FortiManager, Versa Director or Palo Alto Firewall, e.t.c., meaning that threat actors might compromise multiple entities by intruding on one device. We believe this is a threat that management service providers or big enterprises should be aware of.

![](https://uploads.teamt5.org/upload/original/pic1_apt-threat-landscape-in-apac-2024.png)

 

>本篇文章為節錄版，摘述關鍵數據與威脅情資分析。欲取得完整《2024年威脅態勢回顧: 網路攻擊的模糊地帶》報告，您可以直接填寫文章末尾表格，我們將透過電子郵件、寄送給您。

>欲探索更多亞太地區的威脅情資，立刻申請獲得國際顧問公司肯定的威脅情資平台 ThreatVision 試用機會。請在 [ThreatVision 頁面](https://teamt5.org/tw/products/threatvision/?utm_source=blog&utm_medium=website) 說明您希望申請試用。

2024年威脅態勢回顧: 網路攻擊的模糊地帶【英文威脅情資報告】

>TeamT5 is a leading brand in delivering Asia Pacific intelligence. In this article, we summarize the threat landscape of advanced persistent threats (APT) in the Asia-Pacific region in 2024, not only provide annual observations, but also point out the cyber threats worth paying attention to in 2024.

>This article is an excerpt version which summarizes key statistics. **To obtain the complete threat intelligence report, you may fill up the form at the bottom to obtain the “APT Threat Landscape in APAC 2024: Blurred Lines of Cyber Attacks” report.**

>To discover similar cyber threat intelligence which is focused in the Asia-Pacific region, please sign up for the trial of our award-winning threat intelligence platform ThreatVision. Please indicate on the [ThreatVision page](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) that you would like to apply for trial.

##Threat Statistics in 2024: Data & Observations

In 2024, until the end of November, TeamT5 actively tracked 30 new vulnerabilities being exploited in the wild, along with around 500 attack operations across 42 countries, which we attributed to 73 known adversaries and more than 200 malware / hacking tools being used. 

We also identified 45 victims being compromised in 9 countries and tried to notify through our trustworthy partners. And helped 33 IR cases for our customers. You could imagine all the above data contributing to our intelligence reports. Generally speaking, most of them show a tendency of increasing.

TeamT5 is actively tracking vulnerability exploitation attacks in the wild. In 2024, 30 widespread attacks were tracked by TeamT5, around 400 victim hosts across 21 countries were identified to be compromised.

We would like to highlight that 5 of them are email system related and 14 are exploiting edge devices, indicating they are high priorities of threat actors to access targets. Our research also shows EtherBei (aka Flax Typhoon) to be the most active threat actors to adopt these exploits.

During the course of our research, we also discovered some threat actors built their botnet or so called Operation Relay Box network by implanting malware like GobRAT, NatWalk and GenSeven.

Lastly, there’s also a tendency that more management services of edge devices are being exploited, such as FortiManager, Versa Director or Palo Alto Firewall, e.t.c., meaning that threat actors might compromise multiple entities by intruding on one device. We believe this is a threat that management service providers or big enterprises should be aware of.

![](https://uploads.teamt5.org/upload/original/pic1_apt-threat-landscape-in-apac-2024.png)

>This article is an excerpt version which summarizes key statistics. To obtain the complete threat intelligence report, you may fill up the form at the bottom to obtain the “APT Threat Landscape in APAC 2024: Blurred Lines of Cyber Attacks” report.

>To discover similar cyber threat intelligence which is focused in the Asia-Pacific region, please sign up for the trial of our award-winning threat intelligence platform ThreatVision. Please indicate on the [ThreatVision page](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) that you would like to apply for trial.


APT Threat Landscape in APAC 2024: Blurred Lines of Cyber Attacks

>TeamT5は、アジア太平洋地域(APAC)における脅威インテリジェンスを専門とするセキュリティベンダーです。 本記事では、2024年のAPACにおけるAPT（Advanced Persistent Threats：高度標的型攻撃）の脅威状況をまとめ、毎年恒例のレビューだけでなく、今後1年間注意すべきセキュリティ脅威についてもご紹介します。

>本記事は、主要データと脅威インテリジェンス分析を要約したものです。 **「2024年脅威ランドスケープのレビュー：曖昧になるサイバー攻撃の境界線」全文の閲覧をご希望の方は、下部のフォームにご記入ください**。

>アジア太平洋地域の脅威インテリジェンスについてさらに詳しく知りたい方は、国際的なコンサルタントから受賞歴のある脅威インテリジェンスプラットフォームThreatVisionのトライアルを申し込むことが出来ます。[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website)のページよりトライアルを希望する旨をご記入ください。

##Threat Statistics in 2024: Data & Observations

In 2024, until the end of November, TeamT5 actively tracked 30 new vulnerabilities being exploited in the wild, along with around 500 attack operations across 42 countries, which we attributed to 73 known adversaries and more than 200 malware / hacking tools being used. 

We also identified 45 victims being compromised in 9 countries and tried to notify through our trustworthy partners. And helped 33 IR cases for our customers. You could imagine all the above data contributing to our intelligence reports. Generally speaking, most of them show a tendency of increasing.

TeamT5 is actively tracking vulnerability exploitation attacks in the wild. In 2024, 30 widespread attacks were tracked by TeamT5, around 400 victim hosts across 21 countries were identified to be compromised.

We would like to highlight that 5 of them are email system related and 14 are exploiting edge devices, indicating they are high priorities of threat actors to access targets. Our research also shows EtherBei (aka Flax Typhoon) to be the most active threat actors to adopt these exploits.

During the course of our research, we also discovered some threat actors built their botnet or so called Operation Relay Box network by implanting malware like GobRAT, NatWalk and GenSeven.

Lastly, there’s also a tendency that more management services of edge devices are being exploited, such as FortiManager, Versa Director or Palo Alto Firewall, e.t.c., meaning that threat actors might compromise multiple entities by intruding on one device. We believe this is a threat that management service providers or big enterprises should be aware of.

![](https://uploads.teamt5.org/upload/original/pic1_apt-threat-landscape-in-apac-2024.png)

>本記事は、主要データと脅威インテリジェンス分析を要約したものです。 「2024年脅威ランドスケープのレビュー：曖昧になるサイバー攻撃の境界線」全文の閲覧をご希望の方は、下部のフォームにご記入ください。

>アジア太平洋地域の脅威インテリジェンスについてさらに詳しく知りたい方は、国際的なコンサルタントから受賞歴のある脅威インテリジェンスプラットフォームThreatVisionのトライアルを申し込むことが出来ます。[ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website)のページよりトライアルを希望する旨をご記入ください。


2024年脅威ランドスケープのレビュー：曖昧になるサイバー攻撃の境界線【脅威インテリジェンスレポート(英語ver.)】

Despite the evolution of cybersecurity tools, one persistent threat continues to challenge cybersecurity measures and exploit vulnerabilities: Remote Access Trojans (RATs). These malicious programs grant cybercriminals unauthorized access and control over targeted systems, posing significant risks to both individual users and organizations. Understanding RATs, their mechanisms, and their implications is crucial in fortifying cybersecurity defenses.

## What is a RAT?
A Remote Access Trojan (RAT) is a type of malware designed to give an attacker complete control over a target computer. Once a RAT infects a system, it establishes a backdoor, allowing the attacker to perform a wide range of malicious activities, such as:

- **Keylogging**: Capturing and recording the keystrokes of the user to steal sensitive information like passwords and credit card details.
- **Screen Capture**: Taking screenshots or live video of the user’s activities.
- **File Access**: Uploading, downloading, or deleting files from the infected system.
- **Remote Control**: Executing commands and running programs on the victim’s computer.
- **Monitoring**: Using the system’s microphone or webcam to spy on the victim.

##How Do RATs Spread?
RATs can spread through various methods, including:

- **Phishing Emails**: Cybercriminals often use deceptive emails to trick users into downloading and executing malicious attachments.
- **Malicious Downloads**: Infected software or files from untrustworthy websites can carry RATs.
- **Exploiting Vulnerabilities**: Attackers exploit security weaknesses in software or operating systems to deploy RATs without user interaction.
- **Social Engineering**: Manipulating users into performing actions that lead to RAT infection, such as clicking on malicious links or downloading compromised files.

##The Threat Posed by RATs
The dangers of RATs are multifaceted and far-reaching. For individuals, RATs can lead to identity theft, financial loss, and privacy invasion. For organizations, the consequences can be even more severe, including data breaches, intellectual property theft, and significant financial damage. Moreover, RATs are often used as tools for advanced persistent threats (APTs), where cybercriminals maintain long-term access to a network, conducting prolonged and targeted attacks.

##Detection and Prevention
Detecting and preventing RAT infections involves a combination of proactive and reactive cybersecurity measures:
- **Regular Updates**: Keeping operating systems and software up to date to patch security vulnerabilities.
- **Antivirus and Anti-malware**: Using robust security software to detect and remove threats.
- **Firewalls**: Implementing network firewalls to monitor and control incoming and outgoing traffic.
- **User Education**: Training users to recognize phishing attempts and avoid suspicious downloads.
- **Intrusion Detection Systems (IDS)**: Deploying IDS to identify unusual activity that may indicate a RAT infection.

##TeamT5’s Expertise and ThreatVision Platform
In the Asia-Pacific region, the need for localized cyber threat intelligence is paramount. TeamT5, with its decade-long dedication to researching Asia-Pacific cyber threats, offers unparalleled expertise in this domain. Our team’s proficiency in the Chinese language and deep understanding of regional APT hacker groups, particularly those from China, sets us apart.

Our [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blogs&utm_medium=website) platform is a comprehensive solution that goes beyond redistributing open-source intelligence. By conducting in-house research and analysis, ThreatVision provides up-to-date, accurate intelligence tailored to the unique challenges faced by organizations in the Asia-Pacific region.

###Key Features of ThreatVision
- **Rich Library**: Includes Indicators of Compromise (IOCs) for swift threat identification, Threat Hunting Tools for direct detection, and Intelligence Reports for in-depth analysis of hacker behavior.
- **Customized Services**: The Request For Information (RFI) Service offers tailored reports and customized analysis.
- **Integration Capabilities**: The API Service facilitates automation and enhances threat response efficiency.
 

For detailed information about all known RATs and other cyber threats, explore the ThreatVision platform by TeamT5. Stay ahead of cybercriminals with our localized and specialized threat intelligence solutions.

 
![pic_what-are-remote-access-trojans-rats.jpg](https://uploads.teamt5.org/upload/original/pic_what-are-remote-access-trojans-rats.jpg)
<center>ThreatVision’s Malware Gallery, filtered to only show RATs</center>

##Summary
Remote Access Trojans (RATs) represent a significant and ongoing threat in the cybersecurity landscape. By understanding their mechanisms, spread methods, and the damage they can cause, individuals and organizations can better prepare and protect themselves. TeamT5, with its extensive experience and specialized ThreatVision platform, is dedicated to providing the necessary intelligence to combat these threats effectively. Embrace proactive cybersecurity measures and leverage localized threat intelligence to secure your digital future.

 
 

>Learn more about [ThreatVision](https://teamt5.org/en/products/threatvision/?utm_source=blog&utm_medium=website) and enhance your cybersecurity strategy with TeamT5 today. 
>
>[Contact us](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website) to schedule a consultation.

 
 
(cover source:pexels)

What are Remote Access Trojans (RATs)?

儘管網路安全工具不斷發展革新，已存在許久的威脅──遠端存取木馬（Remote Access Trojans, RATs），仍然持續挑戰著安全措施，並嘗試利用系統中每個潛在漏洞。遠端存取木馬使網路犯罪者能未經授權存取，並控制目標系統，無論對個人用戶或企業組織來說，皆構成重大風險。理解 RATs 的運作機制及其深遠影響，對加強網路安全防護至關重要。

 
##什麼是 RATs？
遠端存取木馬 （RATs） 是一種惡意軟體，讓攻擊者能夠未經授權，遠端控制目標電腦。一旦 RATs 感染系統，它會在電腦中建立後門，允許攻擊者透過後門執行各種惡意活動，例如：

- **鍵盤紀錄**：捕捉和記錄使用者的電腦按鍵操作，竊取帳戶密碼和信用卡資訊等敏感資訊。
- **螢幕截圖**：截取使用者的螢幕截圖或進行實時錄影。
- **文件存取**：上傳、下載或刪除受感染系統上的機密文件。
- **遠端控制**：在受害者的電腦上，遠端執行指令並運作惡意程式。
- **非法監控**：使用受感染設備的麥克風或網路攝影機，監視受害者。

 
##RATs 如何傳播？
RATs 可以透過多種方法傳播，包括：
- **釣魚郵件**：網路犯罪者經常使用詐騙電子郵件，誘使使用者下載和執行惡意附件。
- **惡意下載**：從不受信任的網站下載的惡意軟體或文件，可能包含 RATs。
- **漏洞利用**：無需使用者互動，攻擊者利用作業系統或應用程式的安全漏洞來部署 RATs。
- **社交工程**：透過人性弱點，操控使用者執行某些操作，例如點擊惡意連結或下載受損文件等，導致 RATs 感染。

 
##RATs 帶來的威脅
RATs 帶來多面向的危險，且會造成深遠影響。對個人而言，RATs 可能導致身份盜竊、財務損失和隱私侵犯。對組織而言，後果將會更加嚴重，包含機密資料外洩、知識產權遭竊以及重大經濟損失。此外，RATs 經常被用作進階持續性威脅 （APT）的工具，網路犯罪者可透過 RATs 長期存取網路，進行持續且有針對性的攻擊。

 
##檢測與預防
檢測和預防 RATs 感染，需要採取主動和被動的網路安全措施：

- **定期更新**：保持作業系統和應用程式的最新版本狀態，以避免未知的安全漏洞。
- **防毒軟體和防惡意軟體**：使用強大的防毒軟體，檢測和刪除電腦環境中潛藏的威脅。
- **防火牆**：使用網路防火牆，監測並控制進出的可疑流量。
- **網路安全培訓**：進行網路安全培訓，確保使用者能夠識別釣魚攻擊並避免可疑下載。
- **入侵偵測系統（IDS）**：部署入侵偵測系統，識別並警告 RATs 感染的異常活動。

 
##TeamT5 的專業知識與 ThreatVision 平台
要有效地理解和應對威脅，需要精確、及時且具有豐富情境背景的情資，尤其在飽受駭客攻擊的亞太地區，對在地情資的需求至關重要。TeamT5 憑藉其超過二十年的亞太網路威脅研究，提供了無與倫比的專業知識。我們的團隊精通中文，並對區域性 APT 駭客組織擁有深厚了解，使我們具有威脅情資的獨特優勢。

我們的 [ThreatVision](https://teamt5.org/tw/products/threatvision/?utm_source=blogs&utm_medium=website) 平台是一個全面性的解決方案，不僅僅是重新派送已存在的公開情資，透過 TeamT5 專業分析師團隊的內部研究和分析，ThreatVision 針對亞太地區組織所面對的獨特網路威脅，提供最新、最精確的情資，幫助企業和機構更有效地應對。

##ThreatVision 的主要功能
- **豐富的資料庫**：包括快速識別威脅入侵指標 （IOCs）、直接檢測環境中潛在漏洞的威脅狩獵工具，和深入分析駭客行為的情資報告。
- **客製化服務**：透過資訊需求服務（RFI），TeamT5 提供客製化的報告與分析。
- **整合能力**：API 服務支援快速整合平台資源，促進服務自動化，提高威脅檢測和事件處理的效率。

若需了解所有已知的 RATs 和其他網路威脅的詳細資訊，您可以瀏覽 TeamT5 的 ThreatVision 平台，透過我們在地化和專業化的威脅情資解決方案，始終領先於網路犯罪族群。

 

![pic_what-are-remote-access-trojans-rats.jpg](https://uploads.teamt5.org/upload/original/pic_what-are-remote-access-trojans-rats.jpg)
<center>ThreatVision 的惡意軟體庫，透過篩選後顯示遠端存取木馬 （RATs）</center>

 
##總結
遠端存取木馬 （RATs）在網路安全領域中，構成重大且持續的威脅。通過了解其運作機制、傳播方式及可能造成的損害，個人用戶和企業組織能更完善做好準備，並保護自身的資料安全。TeamT5 憑藉其豐富的經驗和專業的 ThreatVision 平台，致力於提供應對這些威脅所需的情資。採取積極的防禦安全措施，並利用在地化的威脅情報，保護您的數位未來。

 
 
>請即刻[聯絡我們](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)，進一步安排諮詢，強化企業資安防禦。

 
 
（首圖來源：pexels）

什麼是遠端存取木馬 （RATs）？

サイバーセキュリティツールが進化しているにもかかわらず、セキュリティ対策を脅かし、脆弱性を悪用し続ける脅威が 1 つあります。それがリモートアクセス型トロイの木馬 (RAT) です。これらの悪意のあるプログラムは、サイバー犯罪者に標的のシステムへの不正アクセスと制御を許可し、個人と組織の両方に重大なリスクをもたらします。RATとそのメカニズム、そして影響を理解することは、サイバー防御を強化する上で非常に重要です。

##RAT とは?
リモートアクセス型トロイの木馬(RAT) は、攻撃者が標的のコンピュータを完全に制御できるように設計されたマルウェアの一種です。RAT がシステムに感染すると、バックドアが確立され、攻撃者は次のようなさまざまな悪意のある活動を実行できるようになります。

- **キーロギング**: ユーザーのキー入力をキャプチャして記録し、パスワードやクレジットカードの詳細など、機密情報を盗みます。
- **スクリーンキャプチャ**: ユーザーのアクティビティのスクリーンショットまたはライブ ビデオを撮影します。
- **ファイルへのアクセス**: 感染したシステムからファイルをアップロード、ダウンロード、または削除します。
- **リモートコントロール**: 被害者のコンピュータ上でコマンドを実行したり、プログラムを実行します。
- **監視**: システムのマイクまたは Web カメラを使用して被害者を監視します。

##RAT はどのように拡散されるのか?
RAT は、次のような方法で拡散されます。
- **フィッシングメール**: サイバー犯罪者は、詐欺メールを使用してユーザーを騙し、悪意のある添付ファイルをダウンロードさせることで実行します。
- **悪意のあるダウンロード**: 信頼できない Web サイトにある感染したソフトウェアまたはファイルには、RAT が含まれている可能性があります。
- **脆弱性の悪用**: 攻撃者は、ソフトウェアまたはオペレーティングシステムのセキュリティ上の弱点を悪用して、ユーザーの操作なしで RAT を展開します。
- **ソーシャルエンジニアリング**: 悪意のあるリンクをクリックしたり、危険なファイルをダウンロードしたりするなど、ユーザーを操作して RAT 感染につながる行為を実行させます。

##RAT がもたらす脅威
RAT の危険性は多面的で広範囲にわたります。個人の場合、RAT は個人情報の盗難、金銭的損失、プライバシー侵害につながる可能性があります。組織の場合、デー​​タ侵害、知的財産の盗難、多大な経済的損害など、さらに深刻な結果を招く可能性があります。さらに、RATは高度で持続的な脅威（APT）のツールとして使用されることが多く、サイバー犯罪者はネットワークへの長期的なアクセスを維持し、長期にわたる標的型攻撃を行います。

##検出と予防
RAT 感染の検出と予防には、事前および事後対策を組み合わせたサイバーセキュリティ対策が必要です。
- **定期的な更新**: オペレーティングシステムとソフトウェアを常に最新の状態に保ち、セキュリティの脆弱性にパッチを当てます。
- **ウイルス対策とマルウェア対策**: 堅牢なセキュリティソフトウェアを使用して、脅威を検出・除去します。
- **ファイアウォール**: ネットワーク・ファイアウォールを導入し、送受信トラフィックを監視および制御します。
- **ユーザー教育**: フィッシング詐欺を認識し、疑わしいダウンロードを回避するようユーザーを教育します。
- **侵入検知システム (IDS)**: IDS を導入して、RAT 感染を示す可能性のある異常な活動を特定します。

##TeamT5 の専門知識と ThreatVision プラットフォーム
アジア太平洋地域では、ローカライズされたサイバー脅威インテリジェンスが極めて重要です。TeamT5 は、アジア太平洋地域におけるサイバー脅威の調査に10 年以上携わっており、この分野において比類のない専門知識を提供しています。当社の最大の強みとして、調査チームは言語的、地政学的優位性を有しており、地域の APT ハッカー グループ、特に中国のグループを深く理解していることが特徴です。

当社の [ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) プラットフォームは、オープンソースのインテリジェンスを再配信する以上の包括的なソリューションです。自社で調査と分析を実施することにより、アジア太平洋地域の組織が直面する独自の課題に合わせて調整された、最新かつ正確なインテリジェンスを提供します。

##ThreatVision の主な機能
- **豊富なライブラリ**: 脅威を迅速に特定するための侵害指標 (IOC)、直接検出のための脅威ハンティング ツール、ハッカーの行動を詳細に分析するためのインテリジェンス レポートが含まれています。
- **カスタマイズサービス**: 情報提供依頼 (RFI) サービスでは、カスタマイズされたレポートとカスタマイズされた分析が提供されます。
- **統合機能**: API サービスにより、自動化が促進され、脅威への対応効率が向上します。


既知のすべての RAT およびその他のサイバー脅威に関する詳細情報については、TeamT5 の [ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) プラットフォームをご覧ください。ローカライズされた専門の脅威インテリジェンスソリューションで、サイバー犯罪者に先手を打ちましょう。

 
![pic_what-are-remote-access-trojans-rats.jpg](https://uploads.teamt5.org/upload/original/pic_what-are-remote-access-trojans-rats.jpg)
<center>_ThreatVisionのマルウェアギャラリー。RATのみを表示するようにフィルタリングされています。_</center>

##まとめ
リモートアクセス型トロイの木馬 (RAT) は、サイバーセキュリティにおける重大かつ継続的な脅威となっています。RAT のメカニズム、拡散方法、および RAT が引き起こす可能性のある被害を理解することで、個人や組織はより適切に備え、自らを守ることができます。TeamT5 の豊富な経験と専門的な [ThreatVision](https://teamt5.org/jp/products/threatvision/?utm_source=blog&utm_medium=website) プラットフォームは、これらの脅威に効果的に対抗するために必要なインテリジェンスを提供することに専念しています。プロアクティブなサイバー セキュリティ対策を採用し、ローカライズされた脅威インテリジェンスを活用して、デジタル、そして皆様の未来を守りましょう。

 
 
(cover source:pexels)

リモートアクセス型トロイの木馬 (RAT) とは?

本文匯集[TeamT5 杜浦數位安全的團隊](https://teamt5.org/tw/about-us/?utm_source=blog&utm_medium=website)逾20年的資安防禦專業經驗，旨在與企業分享資安防禦的關鍵知識，並分析挑選資安解決方案和服務時，需要注意的重要事項。希望對企業有所幫助，共同打造資安韌性 !


## 企業進行資安防禦的關鍵
初步可參考 NIST 資安框架，其由美國國家標準與技術研究所提出，透過有系統、有架構的標準，協助企業檢視自身資安防禦的不足，並針對特定項目進行補強。更多說明請見此文章〈[如何依據 NIST 資安框架，檢查企業資安防禦狀況?](https://teamt5.org/tw/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)〉。

進一步來說，資安防禦如同企業與惡意攻擊者的長期比賽，唯有知己知彼，方能百戰百勝。而「威脅情資」即是防禦關鍵，我們特別撰寫白皮書，協助讀者了解威脅情資如何協助企業掌握惡意攻擊者的動機、目標和攻擊行為的脈絡，使企業能夠預防和識別可能遭濫用的數位資產，[立刻下載](https://teamt5.org/tw/posts/whitepaper-tw-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)。


而在日常營運中，我們特別強調企業採用威脅狩獵（threat hunting）策略，有助企業採取主動積極的防禦措施，強化企業的資安韌性，確保業務營運不中斷。更多說明請見此文章〈[企業採納威脅狩獵策略的 5 個好處](https://teamt5.org/tw/posts/5-benefits-of-threat-hunting-strategies-for-enterprises/?utm_source=blog&utm_medium=website)〉。


##企業宜掌握商業機密、機敏資料是否外洩至暗網
隨著數位時代的發展，企業愈來越依賴網路進行業務營運。然而，「暗網（dark web）」的存在對企業資安構成嚴峻挑戰。我們建議企業應進一步了解暗網對企業資安的影響，並採取積極措施。

關於暗網，你需要了解的事情有：
- [什麼是暗網？](https://teamt5.org/tw/posts/what-is-the-dark-web/?utm_source=blog&utm_medium=website)
- [暗網對企業資安的影響是什麼?](https://teamt5.org/tw/posts/the-impact-of-dark-web-on-enterprise-cybersecurity/?utm_source=blog&utm_medium=website)
- [暗網影響企業的真實案例 及 企業應如何預防?](https://teamt5.org/tw/posts/real-cases-of-how-the-dark-web-has-affected-enterprises-and-how-they-could-have-prevented-it/?utm_source=blog&utm_medium=website)


## 企業宜依據產業特性，規劃資安防禦策略
而依據產業特性，我們也建議企業為本身需求，量身規劃有效的資安策略，以達到最佳防禦效果。下列為常遭受惡意攻擊的產業，分別說明建議對策。

- 金融業：[閱讀資安防禦對策](https://teamt5.org/tw/industry/finance/?utm_source=blog&utm_medium=website)

- 醫療院所：[閱讀資安防禦對策](https://teamt5.org/tw/industry/medical/?utm_source=blog&utm_medium=website)

- 科技製造業：[閱讀資安防禦對策](https://teamt5.org/tw/industry/high-tech/?utm_source=blog&utm_medium=website)

- 政府機關：[閱讀資安防禦對策](https://teamt5.org/tw/industry/government/?utm_source=blog&utm_medium=website)



## 企業選購資安服務與產品的重點

協助企業達成其資安防禦策略目標的產品與服務非常多元，我們以自身專長的類別，為企業提供評估與選購指南。企業可以依據其目標，了解資安事件應變服務、威脅偵測應變代管服務（MDR）、端點檢測和回應解決方案（EDR）和威脅情資平台（TIP）的評估與採購重點。


####威脅偵測應變代管服務（MDR）評估與採購重點
Managed Detection and Response（MDR）服務供應商為企業提供外包的威脅偵測和應變服務，協助企業識別、分析和應對資安威脅。然而，挑選和採購合適的 MDR 服務供應商是一個重大的決策，影響企業數位資產與資訊系統能否獲得妥善防禦服務。
[閱讀 MDR 白皮書](https://teamt5.org/tw/posts/whitepaper-managed-detection-and-response-mdr/?utm_source=blog&utm_medium=website) & 
[閱讀採購指南](https://teamt5.org/tw/posts/key-considerations-for-evaluating-managed-detection-and-response-mdr-solution/?utm_source=blog&utm_medium=website)


####資安事件應變服務 評估與採購重點
IR 服務旨在協助企業，針對資訊安全事件、事故，進行即時回應和調查，以幫助企業降低損害。然而，在挑選和採購 IR 服務時，企業需要謹慎考慮 5 個關鍵因素。
[閱讀採購指南](https://teamt5.org/tw/posts/key-considerations-for-evaluating-incident-response-service-ir/?utm_source=blog&utm_medium=website)


####端點檢測和回應解決方案（EDR） 評估與採購重點
EDR（Endpoint Detection and Response）解決方案是一種強大的工具，可以幫助企業及早檢測和應對端點威脅。然而，在挑選和採購 EDR 解決方案時，企業需要注意 6 個關鍵重點，以確保所選擇的解決方案符合其資訊安全需求，更能協助資訊系統能長期穩定運作。
[閱讀採購指南](https://teamt5.org/tw/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)

####威脅情資平台（TIP）評估與採購重點
威脅情資平台提供了關鍵的威脅情資，幫助企業識別、分析和應對威脅。然而，在挑選和採購威脅情資平台時，企業需要謹慎考慮 5 個關鍵因素 。
[閱讀採購指南](https://teamt5.org/tw/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/?utm_source=blog&utm_medium=website)

##結語
隨著數位時代的來臨，企業面臨著越來越複雜的資安威脅。企業宜依自身需求與策略目標，選擇合適的資安服務、產品，方能建立資安韌性，達成全面資安防禦。



>杜浦數位安全 TeamT5 為網路威脅狩獵專家，團隊具備超過20年的惡意程式與進階持續性威脅（APT）的經驗，基於地緣和語言優勢，我們有效掌握亞太地區的駭客攻擊，更經常受邀參加世界級資安會議、發表研究成果。
>
>歡迎聯絡我們，了解備受客戶肯定的資安產品與服務 
>[https://teamt5.org/tw/contact-us/](https://teamt5.org/tw/contact-us/?utm_source=blog&utm_medium=website)


 
 
（首圖來源：pexels）

企業資安防禦指南【2025 最新版】

This article brings together [TeamT5](https://teamt5.org/en/about-us/?utm_source=blog&utm_medium=website) ’s 20+ years of professional experience in cybersecurity defense for enterprise. Also, we analyze the key points that should be paid attention to when selecting cybersecurity solutions and services. We hope it will be helpful and we can assist you to build cybersecurity resilience!


## The key to enterprise cybersecurity defense
As a preliminary reference, you may refer to the NIST Cybersecurity Framework, which was proposed by the National Institute of Standards and Technology in the United States. Through systematic and structured standards, it helps enterprises review the deficiencies of their own cybersecurity defenses and strengthen them for specific projects. See this article for more details - “[How to Check the Cybersecurity Defense Status of the Enterprise according to the NIST Cybersecurity Framework?](https://teamt5.org/en/posts/how-to-check-cyber-resilience-of-the-enterprise-based-on-nist-cybersecurity-framework/?utm_source=blog&utm_medium=website)”.

Furthermore, cybersecurity defense is like a long-term competition between enterprises and malicious attackers. We believe that cyber threat intelligence is the fundamental of all cybersecurity strategies. It provides insights into the tactics, techniques, and procedures (TTPs) of adversaries, enabling organizations to prepare, prevent, and identify cyber threats that could exploit valuable resources. Please see this whitepaper for more details - “ [【Whitepaper】Understanding Threat Intelligence & The Threat Landscape with TeamT5](https://teamt5.org/en/posts/whitepaper-understanding-threat-intelligence-and-the-threat-landscape-with-team-t5/?utm_source=blog&utm_medium=website)”.

In daily operations, we particularly emphasize that enterprises adopt threat hunting strategies to help enterprises take proactive defensive measures, strengthen their cybersecurity resilience, and ensure uninterrupted business operations. See this article for more details - ”[The benefits of threat hunting: The key to greater security resilience for enterprise](https://teamt5.org/en/posts/the-benefits-of-threat-hunting-the-key-to-greater-security-resilience-for-enterprise/?utm_source=blog&utm_medium=website)”.

##Enterprises should know whether business secrets and sensitive information are leaked to the dark web

With the development of the digital age, enterprises are increasingly relying on the Internet for business operations. However, the existence of the "dark web" poses severe challenges to corporate cybersecurity. We recommend that companies should further understand the impact of the dark web on corporate information security and take proactive measures.

Here’s what you need to know about the dark web:
- [What is the Dark Web?](https://teamt5.org/en/posts/what-is-the-dark-web/?utm_source=blog&utm_medium=website)
- [The Impact of Dark Web on Enterprise Cybersecurity](https://teamt5.org/en/posts/the-impact-of-dark-web-on-enterprise-cybersecurity/?utm_source=blog&utm_medium=website)
- [Real Cases of How the Dark Web Has Affected Enterprises and How They Could Have Prevented It](https://teamt5.org/en/posts/real-cases-of-how-the-dark-web-has-affected-enterprises-and-how-they-could-have-prevented-it/?utm_source=blog&utm_medium=website)


## Cyber incidents in daily operations
Various cyber incidents might happen in daily operations. We provide case studies and suggestions for enterprises below. 

#### Cyber Incident: Advanced persistent threat attack
As hacker attack technology continues to evolve, advanced persistent threat (APT) techniques are becoming even more complex. More and more malicious programs are able to bypass EDR (Endpoint Detection and Response) and use legitimate tools to control endpoints.

To deal with endless APT attacks, how should enterprises or organizations effectively deal with them? The following case reveals how TeamT5 actually assists enterprise organizations to handle APT attacks. In this case, you may understand hacker attack techniques and how incident response measures reduce the losses to strengthen future cybersecurity defense.

- Case Study: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-advanced-persistent-threat-apt/?utm_source=blog&utm_medium=website)


####Cyber Incident: Ransomware
When an enterprise or organization faces a destructive cyber attack, time is of the essence in order to be able to respond and recover from it. If the attacker group can be detected at an early stage when they have infiltrated the victim organization's network, there is still a chance to effectively block the attacker group's behavior immediately, with less impact on the enterprise or organization.

How can enterprises or organizations respond to ransomware effectively? Through the following sharing of the case in which TeamT5 assists enterprises and organizations in cybersecurity incidents you may learn how to strengthen cybersecurity defense, not only prevent malicious attacks, but also minimize the losses caused by cyber threats.

- Case Study: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-ransomware-attack/?utm_source=blog&utm_medium=website)

####Cyber Incident: Personal information leaked
Hackers often use various network attack methods, such as zero-day attacks, phishing, brute force attacks, social engineering, malware, etc., in an attempt to gain system access and sensitive data. Then, the data is used to target enterprises, governments, or individuals. All these cyber threat events pose a major threat. Taking the leakage of personal information as an example, it causes people to lose money due to fraud and directly damages the reputation of enterprises.

How should companies or organizations effectively deal with cybersecurity incidents caused by malicious attacks? The following is a case in which TeamT5 actually assists companies and organizations in handling personal data breach. In this case, you may learn (1) how hackers obtain sensitive personal data through network attacks; (2) the emergency response measures required to deal with the incident; (3) how to reduce the losses caused by the incident threat to the minimum, and plan the defense priorities for future.

- Case Study: [link](https://teamt5.org/en/posts/ir-use-case-how-to-respond-to-private-data-breach/?utm_source=blog&utm_medium=website)



## Key points for enterprises to purchase cybersecurity services and solutions

There are a wide variety of products and services that help enterprises achieve their cybersecurity defense strategic goals. We provide enterprises with evaluation and purchasing guides based on the categories of our expertise. Enterprises can understand the evaluation and procurement priorities for security incident response (IR), endpoint detection and response solutions (EDR), and threat intelligence platforms (TIP) based on their goals.


####Incident Response (IR): Key Considerations for Procurement
Incident Response services are designed to assist enterprises with immediate response and investigation of cybersecurity incidents and accidents to help them reduce damage. However, when selecting and procuring IR services, businesses need to carefully consider 5 key factors.

[Read the guide](https://teamt5.org/en/posts/key-considerations-for-evaluating-incident-response-service-ir/?utm_source=blog&utm_medium=website)

####Threat Intelligence Platform (TIP) : Key Considerations for Procurement
The threat intelligence platform provides critical threat intelligence to help enterprises identify, analyze and respond to threats. However, when selecting and purchasing a threat intelligence platform, enterprises need to carefully consider 5 key factors.

[Read the guide](https://teamt5.org/en/posts/key-considerations-for-evaluating-threat-intelligence-platform-tip-solution/?utm_source=blog&utm_medium=website)

####Endpoint Detection and Response (EDR) Solution: Key Considerations for Procurement
EDR (Endpoint Detection and Response) solution is a powerful tool that can help enterprises detect and respond to endpoint threats early. However, when selecting and purchasing EDR solutions, enterprises need to pay attention to 6 key points to ensure that the chosen solution meets their cybersecurity needs and can help the information system operate stably in the long term.

[Read the guide](https://teamt5.org/en/posts/key-considerations-for-evaluating-endpoint-detection-and-response-edr-solutions/?utm_source=blog&utm_medium=website)

##Conclusion
With the advent of the digital age, enterprises are facing increasingly complex cyber threats. Enterprises should choose appropriate cybersecurity services and solutions based on their own needs and strategic goals in order to build cyber security resilience and achieve the defense goals.



>TeamT5 consists of top cyber threat analysts. Leveraging our geographic and cultural advantages, we have the best understanding of cyber attackers in Asia Pacific. TeamT5 is frequently invited to share insights at top cybersecurity conferences. Our threat intelligence research expertise and solutions are recognized as the 2023-2024 Company of the Year Award in Taiwanese Threat Intelligence by Frost & Sullivan.
>
>Contact us and know more of intelligence-driven cybersecurity solutions 
>[https://teamt5.org/en/contact-us/](https://teamt5.org/en/contact-us/?utm_source=blog&utm_medium=website)

 
 
(cover source：pexels)