Infostealer Exposure はどのように企業を保護するのか？
Infostealer Exposure は、マルウェア「インフォスティーラー」によってマシンが侵害され、そこから窃取されたデータが Deep Web および Dark Web 上で共有された場合に、それを検知します。
マルウェアログに、監視対象アセットに関連する認証情報やアクセス情報が含まれている場合、Axur Platform は、証拠および情報源のコンテキストとともに、Data Leakage ワークスペースの Infostealer タブに検知結果を登録します。
単に漏洩した認証情報を表示するのではなく、各検知結果から、データが窃取されたマシンとマルウェアログを特定できます。これにより、セキュリティチームや不正対策チームは、以下の対応が可能になります。
感染したデバイスと侵害されたIDの特定 – どのマシンが感染し、そこからどの認証情報、Cookie、その他のデータが収集されたかを確認できます。
情報漏洩の調査 – 元の証拠を使用して、どのように、いつ、どのマシンからデータが窃取されたかを確認できます。
侵害への対処 – パスワードのリセットに加えて、感染したマシンへの対処（ウイルス対策ソフトによるスキャンや再インストールなど）を実施できます。
感染パターンの特定 – マルウェアファミリー、情報源、マシンごとに検知結果を比較できます。
このモニタリングのメリットを受けられる企業は？
感染したマシンから企業の認証情報やセッション情報が窃取されることを懸念するあらゆる組織が、このモニタリングのメリットを受けられます。特に、以下のようなニーズを持つ企業に適しています。
従業員の認証情報やセッション情報がマルウェアによって窃取されたタイミングと、その窃取元のデバイスを把握したい企業。
侵害されたマシンやアカウントのブロックにおいて、SOC、ID・アクセス管理チーム、不正対策チームを支援する必要がある企業。
サードパーティ製ツールやSaaSプラットフォームを利用しており、それらのログインに使用する認証情報の窃取状況を可視化したい企業。
企業システムにアクセスしている個人所有または未承認のデバイスを特定したい企業。
Infostealer Exposure は他の Axur 製品とどのように異なるのか？
Infostealer Exposure
マルウェアによって収集され、元の形式（Stealer Log）で共有されたデータのみを対象とします。
情報漏洩をより詳細に可視化し、感染したマシンへの対処や、感染源の可能性を特定するために利用できます。
Credentials Exposure
より広範な範囲を対象とし、Combolist やデータベースダンプなど、さまざまな形式の認証情報を検知します。
検知から対応までのスピードと、認証情報への対処（パスワードのリセット、アカウントのブロックなど）に重点を置いています。
Mentions in Data Breach
ランサムウェアによる情報漏洩や情報侵害ファイルの中から、企業の機密情報を特定します。
Threat Hunting
アナリストが Axur の脅威インテリジェンスデータセット全体を手動で検索し、特定の調査に関連するインジケーターを探すことができます。
Credentials タブで検知された認証情報の中には、Infostealer タブに対応する検知結果が存在しないものもあります。
多くの認証情報は、Combolist（url:login、login）やCSVテーブルなどの形式で共有されます。これらはマルウェアログとは見なされないため、インフォスティーラーによって認証情報が収集された場合であっても、Infostealer の検知結果には表示されません。
検知ルール
監視対象アセット | 照合対象 |
Domain | 窃取された認証情報のメールアドレスのドメイン。例えば、ormus.com の場合、[email protected] という認証情報は、使用されたサイトに関係なく一致します。一致判定は完全一致であり、大文字と小文字が区別されます。 |
Third-Party Login Page | 窃取された認証情報のアクセス先ホストまたはドメイン。承認済みのアセットのみが監視対象となります。 |
IP address | 感染したマシンのIPアドレス。 |
IP range (CIDR) | IPアドレスが指定された範囲内にある感染マシン。 |
別のドメインのメールアドレス（例：[email protected]）を使用して自社Webサイトにログインした場合、その認証情報は Domain アセットとは一致しません。
一致したアセットは、検知結果の Assets 列に表示されます。
検知結果で確認できる情報
各検知結果に含まれるデータ量は、マルウェアファミリー、脅威アクター、およびログが公開された形式によって異なります。そのため、すべての検知結果にすべての情報が含まれるわけではありません。
検知結果には、以下の情報が含まれる場合があります。
Malware – マルウェアファミリー、配布元、マルウェアの保存先パス、ログのアップロード日。
System – オペレーティングシステム、マシン名、ユーザーアカウント、ハードウェア情報、インストール済みソフトウェア、ウイルス対策ソフト、地域設定。
Network – IPアドレス、地理的位置、ISP。
Browser data – Cookie、認証情報（URL、ログインID、パスワード）、決済情報、自動入力・フォームデータ、実行中のプロセス。
Files on disk – 一般的な保存場所にあるファイル、アプリケーションのローカル設定ファイル、暗号資産ウォレットファイル。
Screenshots – スクリーンショット。
Source – 情報漏洩が公開されたURLまたはチャネル、公開日、投稿者（情報がある場合）。
マルウェアファミリー
Axur は、一般的な複数のマルウェアファミリーを処理しており、新しいファミリーも確認され次第追加されます。
現在、以下のファミリーに対応しています。
Acreed
ArechClientV2
Astris
AuraStealer
Lumma Stealer
MacSync
Phemedrone
Raccoon Stealer
Raven
Redline Stealer
Remus
Rhadamanthys Stealer
RisePro Stealer
Stealc Stealer
Stealerium
Vidar Stealer
WhiteSnake
XFiles
ファミリーがまだ特定されていない場合でも、ファミリー情報が割り当てられない状態でログは検知されます。
重複ログ
Infostealer のログは重複排除されません。新しい検知結果は、マシンが依然として感染している、または再感染した可能性を示すためです。
ただし、収集されたアーカイブの内容が、すでに処理済みのアーカイブと完全に同一である場合、取り込み前に破棄されます。
例えば、同じ .zip ファイルが2つのTelegramチャネルで共有された場合、最初の1件のみが処理されます。
監視対象ソース
Telegram
Deep Web および Dark Web のフォーラム
脅威アクターグループのWebページ
Axur の Threat Intelligence チームが監視するその他のソース
モニタリングの設定方法
Infostealer Exposure は、Data Leakage のアセットを使用します。モニタリングは、Monitoring Settings > Asset management からアセットごとに有効化します。
対応アセット：
Domain
Third-Party Login Page
IP address
IP range (CIDR)
Monitoring Settings > Asset management にアクセスし、Digital Risk タブを開きます。
監視したいアセット（例：Domain アセット）をクリックします。アセットの編集ページが開きます。
Monitoring setup セクションの Data Leakage 内にある Infostealer exposure を有効にします。
Save asset をクリックします。
過去の検知結果
Infostealer のログは、この機能のリリース日（2026年4月）以降のものが利用可能です。
それ以前に収集されたログは利用できません。また、新しいアセットでモニタリングを有効にしても、有効化前に処理されたログについて検知結果が作成されることはありません。
検知結果へのユーザーアクセス権限の付与
Infostealer の検知結果には、感染したマシンに関する機密情報が含まれるため、アクセス権限はユーザーごとに管理されます。
Manager は、各ユーザーのアクセス権限を有効または無効にできます。
Settings（歯車アイコン）をクリックし、My team を選択します。
変更したいユーザーを探し、三点リーダー（3つの点）をクリックして Edit を選択します。
権限設定で Infostealer の権限を有効または無効にします。
Infostealer はデフォルトで有効になっています。
ユーザーの Data Leakage 検知結果へのアクセスが特定の検知タイプに制限されている場合、そのユーザーが Infostealer の検知結果を表示するには、対象リストで Infostealer を選択する必要があります。
検知結果の管理
検知結果には、Data Leakage ワークスペースの Infostealer タブからアクセスできます。
テーブルには、デフォルトで以下の列が表示されます。
Creation date
Status
Assets
Hardware ID
Computer IP
Computer hostname
OS name
Tags
Export CSV を使用して、これらの情報をエクスポートできます。
検知結果の証拠を調査する方法
各検知結果は、1台の感染したマシンと、そのマルウェアによって窃取されたデータを表します。
サイドパネルには、Axur がログから抽出できたすべての情報がまとめられており、以下の4つの質問に回答するために利用できます。
誰が影響を受けたのか。
どのデバイスが感染したのか。
どのような情報が漏洩したのか。
どのように、いつデータが流出したのか。
検知結果をクリックすると、詳細情報を含むサイドパネルが開き、以下の3つのタブに整理されています。
Details: 検知結果、マシン、元のログに関する情報。
Notes: 検知結果に独自のメモを追加できます。例えば、チケット番号、調査担当者、実施した対応などを記録できます。
Events history: 検知結果の変更履歴。時間の経過とともにどのような変更が行われたかを確認できます。
データ量はマルウェアファミリーやログの公開形式によって異なるため、一部のフィールドが空欄（「-」）になる場合があります。
分析を行う際は、Details タブの以下のセクションを使用してください。
Summary: 検知ID、ステータス、日付、一致したアセット、タグ。Assets フィールドには、一致した監視対象アセットが表示されます。これにより、情報漏洩が自社ドメイン、サードパーティのログインページ、またはIPアドレスに関連するものかを確認できます。日付情報は、情報漏洩の公開から検知までのタイムラインを作成する際に役立ちます。
Records: 種類別に、マシンから窃取されたデータを一覧表示します。調査の中心となるセクションです。詳細については、以下の「レコードの調査」を参照してください。
Malware: Stealer のファミリー、マルウェアの配布元、Stealer の実行ファイルのパス。ファミリーと配布元を使用して脅威を把握し、複数の検知結果に共通するキャンペーンを特定できます。実行ファイルのパスは、デバイス上のマルウェアを検索・削除するためのインジケーターとして使用できます（例：EDRまたはウイルス対策ソフトのコンソール）。
Machine: ハードウェアID、ホスト名、IPアドレス、MACアドレス、CPU、GPU、RAM、ディスク、画面サイズ。ホスト名、IPアドレス、MACアドレスを使用して、アセットインベントリ、EDR、またはMDMからデバイスを特定できます。マシンがインベントリに登録されていない場合、ハードウェア情報は、企業リソースにアクセスしているデバイスが個人所有または未承認のデバイス（Shadow IT）であるかを特定するのに役立ちます。
Operating system: OS名とバージョン、ユーザー、管理者権限の有無、言語、キーボード、タイムゾーン、インストール済みウイルス対策ソフト、インストール日。OSユーザー情報は影響を受けた人物の特定に役立ちます。管理者権限の有無は、マルウェアがどの程度の制御権限を持っていた可能性があるかを示します。また、インストール済みのウイルス対策ソフトから、どのような保護が導入されていたにもかかわらず感染を防げなかったのかを確認できます。
Geolocation: マシンの国、地域、都市。ユーザーの想定される所在地と比較し、予期しないデバイスを特定できます。
File: ログが見つかった圧縮ファイルの名前、サイズ、ソースパッケージ。同じパッケージに由来する複数の検知結果を関連付けたり、元のファイル内の証拠を検証したりする際に役立ちます。
Source: 情報漏洩が公開された場所と日時（名前、URL、ソース上での公開日）。公開日を使用して、データが犯罪者にどのくらいの期間利用可能な状態にあったかを推定し、対応の優先順位を決定できます。
Message: Telegram などのメッセージングアプリで共有された情報漏洩の場合、メッセージおよびチャットの詳細（チャット名と種類、投稿者、日付）が表示されます。ログがどのような状況で、どの程度広範囲に配布されたかを確認できます。
Folder: 検知結果に対応するパッケージ内のフォルダー。1つのパッケージに数千件のログが含まれ、それぞれが異なるマシンに由来する場合があります。各検知結果は、1つのフォルダーを参照します。
Leak and Mega: Leak および Mega のソースから検知された場合にのみ生成される、情報漏洩の詳細情報。
Other information: 検知結果に関する追加の識別情報。
レコードの調査
Records セクションには、すべてのレコードタイプが一覧表示されます。
Credentials、Credit cards、Cookies、Autofill、Software、Processes、Files の各タイプがあり、レコードが存在するタイプには View table リンクが表示されます。レコードが存在しない場合は「-」と表示されます。
各タイプから、異なる情報を確認できます。
Credentials（URL、ログインID、パスワード）: 企業システムやサードパーティ製ツールを含め、どのアカウントやサービスの情報が漏洩したかを確認できます。これらの情報を使用して、リセットが必要なパスワードや確認が必要なアカウントを特定します。
Cookies: セッションCookieを使用すると、攻撃者がパスワードなしでアカウントにアクセスできる可能性があります。パスワードがすでに変更されている場合でも、漏洩したアカウントのセッションを無効化してください。
Autofill: 名前、住所、電話番号、その他の識別情報など、ブラウザーのフォームに保存されたデータです。ユーザーのどの個人情報が漏洩したかを確認できます。
Credit cards: ブラウザーに保存されていた決済情報（存在する場合）です。影響を受けたカードの利用停止に役立ちます。
Software: マシンにインストールされているアプリケーションです。未承認のソフトウェアがデバイス上で実行されているか、また感染がどのように始まった可能性があるかを特定するのに役立ちます。
Processes: データ収集時にマシン上で実行されていたプログラムです。デバイス上のマルウェアやその他の不審なアクティビティを特定するのに役立ちます。
Files: ドキュメント、アプリケーションの設定ファイル（VPN、FTP、パスワードマネージャー、メールなど）、暗号資産ウォレットなど、マシンから収集されたファイルです。企業の機密情報や、無効化が必要なアクセス認証情報が含まれていないか確認してください。
レコードの操作方法：
View: レコードタイプを選択すると、マルウェアログ内で見つかった該当タイプのすべてのレコードを確認できます。1つの検知結果に数千件のレコードが含まれる場合があります。
Search: レコード一覧内の検索フィールドを使用して、ドメイン、企業システム名、ユーザー名などの特定の値を検索できます。一覧全体をスクロールする必要はありません。
Validate: レコードについて、検出元の元ファイルをプレビューまたはダウンロードし、元の証拠と比較して、対応を行う前に情報漏洩を確認できます。
ファイルへのアクセスと調査の実施
サイドパネルから、以下の操作が可能です。
個別のファイルをダウンロードする。
元のパッケージ（検知結果に関連付けられた圧縮アーカイブ全体）をダウンロードする。
ファイルは、ダウンロードの利用制限および法的な制約に従い、収集後1年間利用可能です。許可されていない自動ダウンロードや一括ダウンロードは禁止されています。
すべてのファイルは収集された状態のまま提供されており、マルウェアの検査は実施されていません。
Axur は、調査時に Sandbox 環境を利用することを強く推奨します。
検知後に実施すべきこと
検知結果に含まれるマシン情報、IPアドレス、ハードウェア情報を使用して、感染したマシンを特定します。
マシンへの対処（ウイルス対策スキャンや再インストールなど）を実施し、企業システムへのアクセスをブロックします。
漏洩したアカウントのパスワードをリセットし、セッションを無効化します。
元のファイルを使用して証拠を検証します。
メモを追加し、進捗状況を反映するようステータスを更新します。
API & Integrations
Exposure API: Infostealer の検知結果は、Exposure API の infostealer カテゴリーで利用できます（検索、件数取得、ステータス、メモ、タグ）。詳細については、Axur API Documentation を参照してください。
Integration feeds: Infostealer タイプのフィードは、API & Integrations 画面から Pull モードおよび Push モードで利用できます。詳細については、Feeds を参照してください。
Axur Data Connector for Splunk は、Infostealer Exposure には対応していません。
Webhooks
Webhooks 2.0（Feed Push）は、API & Integrations 画面で Infostealer タイプのフィードを使用して設定します。詳細については、Feeds を参照してください。
Notifications
Infostealer の検知結果に関するメールアラートは、現時点では利用できません。現在開発中です。
Safelist
Infostealer Exposure には Safelist 機能はありません。