HAZY_TIGER__2020__JSAC2020_3_takai_jp.pdf

このレポートは、標的型攻撃キャンペーン「Operation Bitter Biscuit」として報告された活動の詳細解析をまとめたもので、ACE形式の圧縮添付からWordアドインのドロッパー（word.wll）を経て3段階のバックドア（csrcc.exe、Acrobat.exe、conime.exe）へ感染する多段階攻撃を技術的に記述しています。通信プロトコルやカスタム暗号化（128長SBOXのRC4変種）、C2ドメイン（changeip系含む）、コマンド一覧、ネットワークキャプチャ、攻撃者の横展開・データ窃取の試行（ブラウザ／メール／OS資格情報、MS17-010を用いたファイルアップロード等）、および多数のIOC（MD5、ドメイン、YARAルール）と検出対策を提示しています。