<cybox:Observables xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
  xmlns:cybox="http://cybox.mitre.org/cybox-2"
  xmlns:cyboxCommon="http://cybox.mitre.org/common-2"
  xmlns:AddressObj="http://cybox.mitre.org/objects#AddressObject-2" 
  xmlns:EmailMessageObj="http://cybox.mitre.org/objects#EmailMessageObject-2" 
  xmlns:FileObj="http://cybox.mitre.org/objects#FileObject-2"
  xmlns:WinRegistryKeyObj="http://cybox.mitre.org/objects#WinRegistryKeyObject-2"
  xmlns:URIObj="http://cybox.mitre.org/objects#URIObject-2" 
  xmlns:PortObj="http://cybox.mitre.org/objects#PortObject-2" 
  xmlns:SocketAddressObj="http://cybox.mitre.org/objects#SocketAddressObject-1"
  xmlns:NetworkConnectionObj="http://cybox.mitre.org/objects#NetworkConnectionObject-2" 
  xmlns:cyboxVocabs="http://cybox.mitre.org/default_vocabularies-2"
  xmlns:IPA="http://www.ipa.go.jp/"
  xsi:schemaLocation="
    http://cybox.mitre.org/cybox-2 http://cybox.mitre.org/XMLSchema/core/2.1/cybox_core.xsd   
    http://cybox.mitre.org/common-2 http://cybox.mitre.org/XMLSchema/common/2.1/cybox_common.xsd
    http://cybox.mitre.org/objects#EmailMessageObject-2 http://cybox.mitre.org/XMLSchema/objects/Email_Message/2.1/Email_Message_Object.xsd 
    http://cybox.mitre.org/objects#FileObject-2 http://cybox.mitre.org/XMLSchema/objects/File/2.1/File_Object.xsd 
    http://cybox.mitre.org/objects#WinRegistryKeyObject-2 http://cybox.mitre.org/XMLSchema/objects/Win_Registry_Key/2.1/Win_Registry_Key_Object.xsd
    http://cybox.mitre.org/objects#URIObject-2 http://cybox.mitre.org/XMLSchema/objects/URI/2.1/URI_Object.xsd 
    http://cybox.mitre.org/objects#PortObject-2 http://cybox.mitre.org/XMLSchema/objects/Port/2.1/Port_Object.xsd
    http://cybox.mitre.org/objects#NetworkConnectionObject-2 http://cybox.mitre.org/XMLSchema/objects/Network_Connection/2.1/Network_Connection_Object.xsd 
    http://cybox.mitre.org/default_vocabularies-2 http://cybox.mitre.org/XMLSchema/default_vocabularies/2.1/cybox_default_vocabularies.xsd 
    " cybox_major_version="2" cybox_minor_version="1" cybox_update_version="0">
    <!-- 
        IPAテクニカルウォッチ 
        フリーメールからの送信が増加傾向に： 
        最近の標的型攻撃メールの傾向と事例分析 
        ～添付ファイルの詐称には手間をかけず、あえて exeファイルのままの例も～
        http://www.ipa.go.jp/files/000009392.pdf
        IPAの職員を詐称し短時間に大量に IPAに標的型攻撃メールが送られた
    -->
    <cybox:Observable id="IPA:observable_000009392_01">
        <cybox:Event>
            <cybox:Type xsi:type="cyboxVocabs:EventTypeVocab-1.0.1">Email Ops</cybox:Type>
            <cybox:Description>
                2012年7月19日、IPAの複数のメールアドレスに対して標的型攻撃メールが届きました。この攻撃では、約3分間の短い間にメール本文と添付ファイル及び差出人が同一の標的型攻撃メールが計19件送られました。この電子メールでは、実在するIPAの職員(組織幹部)の名前を詐称し、連絡網の送付という、受信者が添付ファイルを開く動機を強く与える文面でした。また、この標的型攻撃メールはフリーメールから送信されていました。ここでは、19件の中から2012/07/19 14:25:55に部門外部受付メーリングリストで受信したメールを取り上げます。(注：XXXXは伏字です)
            </cybox:Description>
            <cybox:Actions>
                <cybox:Action>
                    <cybox:Type xsi:type="cyboxVocabs:ActionTypeVocab-1.0">Receive</cybox:Type>
                    <cybox:Associated_Objects>
                        <cybox:Associated_Object id="IPA:object_ipa_email_000009392">
                            <cybox:Properties xsi:type="EmailMessageObj:EmailMessageObjectType">
                                <EmailMessageObj:Header>
                                    <EmailMessageObj:To>
                                        <EmailMessageObj:Recipient category="e-mail">
                                            <AddressObj:Address_Value>XXXX@ipa.go.jp</AddressObj:Address_Value>
                                        </EmailMessageObj:Recipient>
                                    </EmailMessageObj:To>
                                    <EmailMessageObj:Subject>Fwd: 事務系連絡網(2012.07.19)</EmailMessageObj:Subject>
                                    <EmailMessageObj:Date datatype="dateTime">2012-07-19T05:25:55Z</EmailMessageObj:Date>
                                </EmailMessageObj:Header>
                                <EmailMessageObj:Raw_Header datatype="string">
                                    各位
                                    
                                    2012.07.19版の事務系職員連絡網について、
                                    別添のとおりお送りいたします。
                                    
                                    情報処理推進機構 XXXX
                                    XXXX XXXX
                                    --------------------------------------------------
                                </EmailMessageObj:Raw_Header>
                                <EmailMessageObj:Attachments>
                                    <EmailMessageObj:File object_reference="IPA:object_ipa_email_attachment_zip_000009392"/>
                                </EmailMessageObj:Attachments>
                            </cybox:Properties>
                            <cybox:Association_Type xsi:type="cyboxVocabs:ActionObjectAssociationTypeVocab-1.0">Returned</cybox:Association_Type>
                        </cybox:Associated_Object>
                    </cybox:Associated_Objects>
                </cybox:Action>
            </cybox:Actions>
        </cybox:Event>
    </cybox:Observable>
    <cybox:Observable id="IPA:observable_000009392_02">
        <cybox:Description>
            標的型攻撃メールの添付ファイル名は、「事務系連絡網.zip」という、メール本文に関係深い日本語が使われていました。なお、このZIPファイルはパスワード無しで解凍可能でした。
        </cybox:Description>
        <cybox:Object id="IPA:object_ipa_email_attachment_zip_000009392">
            <cybox:Properties xsi:type="FileObj:FileObjectType">
                <FileObj:File_Name>事務系連絡網.zip</FileObj:File_Name>
                <FileObj:File_Extension>.zip</FileObj:File_Extension>
                <FileObj:Size_In_Bytes>326941</FileObj:Size_In_Bytes>
                <FileObj:Hashes>
                    <cyboxCommon:Hash>
                        <cyboxCommon:Type xsi:type="cyboxVocabs:HashNameVocab-1.0">MD5</cyboxCommon:Type>
                        <cyboxCommon:Simple_Hash_Value condition="Equals">40d56443238046a0fbc7f8b30ee04f42</cyboxCommon:Simple_Hash_Value>
                    </cyboxCommon:Hash>
                    <cyboxCommon:Hash>
                        <cyboxCommon:Type xsi:type="cyboxVocabs:HashNameVocab-1.0">SHA1</cyboxCommon:Type>
                        <cyboxCommon:Simple_Hash_Value condition="Equals">3e094f93b8075f1310ed3360d486897516b032ff</cyboxCommon:Simple_Hash_Value>
                    </cyboxCommon:Hash>
                </FileObj:Hashes>
            </cybox:Properties>
            <cybox:Related_Objects>
                <cybox:Related_Object idref="IPA:object_ipa_email_000009392">
                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Contained_Within</cybox:Relationship>
                </cybox:Related_Object>
                <cybox:Related_Object idref="IPA:object_ipa_email_attachment_zip_exe_000009392">
                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Compressed</cybox:Relationship>
                </cybox:Related_Object>
            </cybox:Related_Objects>
        </cybox:Object>
    </cybox:Observable>
    <cybox:Observable id="IPA:observable_000009392_03">
        <cybox:Event>
            <cybox:Type xsi:type="cyboxVocabs:EventTypeVocab-1.0.1">File Ops (CRUD)</cybox:Type>
            <cybox:Description>
                今回、IPAでは安全な検証環境を使って添付ファイルを解凍し、内容を確認しました。ZIPファイルの内容は業務で利用することの多いMicrosoft Wordの文書ファイルを思わせるアイコンでしたが、実際の拡張子がexeの実行ファイルでした。また、この不審なファイルに対してファイルハッシュ値を算出し、一般に公開されているウイルス情報サイトで調べてみたところ、登録されていませんでした。これは標的型攻撃メールを受信した時点では、多くのセキュリティ対策ソフトで既知のウイルスとして検出されないことを示すものでした。
            </cybox:Description>
            <cybox:Actions>
                <cybox:Action>
                    <cybox:Type xsi:type="cyboxVocabs:ActionTypeVocab-1.0">Open</cybox:Type>
                    <cybox:Associated_Objects>
                        <cybox:Associated_Object id="IPA:object_ipa_email_attachment_zip_exe_000009392">
                            <cybox:Properties xsi:type="FileObj:FileObjectType">
                                <FileObj:File_Name>事務系連絡網.exe</FileObj:File_Name>
                                <FileObj:File_Extension>.exe</FileObj:File_Extension>
                                <FileObj:Size_In_Bytes>675915</FileObj:Size_In_Bytes>
                                <FileObj:Hashes>
                                    <cyboxCommon:Hash>
                                        <cyboxCommon:Type>MD5</cyboxCommon:Type>
                                        <cyboxCommon:Simple_Hash_Value condition="Equals">7546277185a237cbd5d3558032112b39</cyboxCommon:Simple_Hash_Value>
                                    </cyboxCommon:Hash>
                                    <cyboxCommon:Hash>
                                        <cyboxCommon:Type>SHA1</cyboxCommon:Type>
                                        <cyboxCommon:Simple_Hash_Value condition="Equals">4a913eeac630c6607b1a25a3ea31e42d88d9859c</cyboxCommon:Simple_Hash_Value>
                                    </cyboxCommon:Hash>
                                </FileObj:Hashes>
                            </cybox:Properties>
                            <cybox:Related_Objects>
                                <cybox:Related_Object idref="IPA:object_ipa_email_attachment_zip_000009392">
                                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Compressed_By</cybox:Relationship>
                                </cybox:Related_Object>
                            </cybox:Related_Objects>
                            <cybox:Association_Type xsi:type="cyboxVocabs:ActionObjectAssociationTypeVocab-1.0">Affected</cybox:Association_Type>
                        </cybox:Associated_Object>
                    </cybox:Associated_Objects>
                </cybox:Action>
            </cybox:Actions>
        </cybox:Event>
    </cybox:Observable>
    <cybox:Observable id="IPA:observable_000009392_04">
        <cybox:Event>
            <cybox:Type xsi:type="cyboxVocabs:EventTypeVocab-1.0.1">File Ops (CRUD)</cybox:Type>
            <cybox:Description>
                不審なexeファイル(事務系連絡網.exe)を実行すると同じフォルダに、隠しファイル(cserss.exe)が作成されました。
            </cybox:Description>
            <cybox:Actions>
                <cybox:Action>
                    <cybox:Type xsi:type="cyboxVocabs:ActionTypeVocab-1.0">Create</cybox:Type>
                    <cybox:Associated_Objects>
                        <cybox:Associated_Object id="IPA:object_ipa_email_attachment_zip_exe2exe_000009392">
                            <cybox:Properties xsi:type="FileObj:FileObjectType">
                                <FileObj:File_Name>cserss.exe</FileObj:File_Name>
                                <FileObj:File_Extension>.exe</FileObj:File_Extension>
                                <FileObj:Size_In_Bytes>61481</FileObj:Size_In_Bytes>
                                <FileObj:Hashes>
                                    <cyboxCommon:Hash>
                                        <cyboxCommon:Type>MD5</cyboxCommon:Type>
                                        <cyboxCommon:Simple_Hash_Value condition="Equals">a09910b62aaf1e92e02a278469e8c4a3</cyboxCommon:Simple_Hash_Value>
                                    </cyboxCommon:Hash>
                                    <cyboxCommon:Hash>
                                        <cyboxCommon:Type>SHA1</cyboxCommon:Type>
                                        <cyboxCommon:Simple_Hash_Value condition="Equals">668ff9bbf36a0112bd235610982d7e9bc8cd83b0</cyboxCommon:Simple_Hash_Value>
                                    </cyboxCommon:Hash>
                                </FileObj:Hashes>
                            </cybox:Properties>
                            <cybox:Related_Objects>
                                <cybox:Related_Object idref="IPA:object_ipa_email_attachment_zip_exe_000009392">
                                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Created_By</cybox:Relationship>
                                </cybox:Related_Object>
                            </cybox:Related_Objects>
                            <cybox:Association_Type xsi:type="cyboxVocabs:ActionObjectAssociationTypeVocab-1.0">Affected</cybox:Association_Type>
                        </cybox:Associated_Object>
                    </cybox:Associated_Objects>
                </cybox:Action>
            </cybox:Actions>
        </cybox:Event>
    </cybox:Observable>
    <cybox:Observable id="IPA:observable_000009392_05">
        <cybox:Event>
            <cybox:Type xsi:type="cyboxVocabs:EventTypeVocab-1.0.1">Registry Ops</cybox:Type>
            <cybox:Description>
                不審なexeファイル(事務系連絡網.exe)を実行すると、起動時に自動実行するために、レジストリに値が書き込まれました。
            </cybox:Description>
            <cybox:Actions>
                <cybox:Action>
                    <cybox:Type xsi:type="cyboxVocabs:ActionTypeVocab-1.0">Create</cybox:Type>
                    <cybox:Associated_Objects>
                        <cybox:Associated_Object id="IPA:object_ipa_email_attachment_zip_exe2exe_reg_000009392">
                            <cybox:Properties xsi:type="WinRegistryKeyObj:WindowsRegistryKeyObjectType">
                                <WinRegistryKeyObj:Subkeys>
                                    <WinRegistryKeyObj:Subkey>
                                        <WinRegistryKeyObj:Key>\Software\Microsoft\Windows\CurrentVersion\Run</WinRegistryKeyObj:Key>
                                        <WinRegistryKeyObj:Hive>HKEY_LOCAL_MACHINE</WinRegistryKeyObj:Hive>
                                        <WinRegistryKeyObj:Values>
                                            <WinRegistryKeyObj:Value>
                                                <WinRegistryKeyObj:Name>printfjava</WinRegistryKeyObj:Name>
                                                <WinRegistryKeyObj:Data>cserss.exe</WinRegistryKeyObj:Data>
                                                <WinRegistryKeyObj:Datatype>REG_SZ</WinRegistryKeyObj:Datatype>
                                            </WinRegistryKeyObj:Value>                                       
                                            </WinRegistryKeyObj:Values>
                                    </WinRegistryKeyObj:Subkey>
                                </WinRegistryKeyObj:Subkeys>
                            </cybox:Properties>
                            <cybox:Related_Objects>
                                <cybox:Related_Object idref="IPA:object_ipa_email_attachment_zip_exe_000009392">
                                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Created_By</cybox:Relationship>
                                </cybox:Related_Object>
                            </cybox:Related_Objects>
                            <cybox:Association_Type xsi:type="cyboxVocabs:ActionObjectAssociationTypeVocab-1.0">Affected</cybox:Association_Type>
                        </cybox:Associated_Object>
                    </cybox:Associated_Objects>
                </cybox:Action>
            </cybox:Actions>
        </cybox:Event>
    </cybox:Observable>
    <cybox:Observable id="IPA:observable_000009392_06">
        <cybox:Event>
            <cybox:Type xsi:type="cyboxVocabs:EventTypeVocab-1.0.1">App Layer Traffic</cybox:Type>
            <cybox:Description>
                隠しファイル(cserss.exe)が起動され、インターネットエクスプローラ(iexplorer.exe)に寄生し、自身は終了しました。その後、tw.####.com(IPアドレス：AAA.AAA.1.114)、hk.####.com(IPアドレス：BBB.BBB.118.33)のポート番号443/TCPへの接続が試みられました。(注：####、AAA、BBBは伏字です)
            </cybox:Description>
            <cybox:Actions>
                <cybox:Action>
                    <cybox:Type xsi:type="cyboxVocabs:ActionTypeVocab-1.0">Connect</cybox:Type>
                    <cybox:Associated_Objects>
                        <cybox:Associated_Object idref="IPA:object_ipa_email_attachment_zip_exe2exe_000009392">
                            <cybox:Association_Type xsi:type="cyboxVocabs:ActionObjectAssociationTypeVocab-1.0">Initiating</cybox:Association_Type>
                        </cybox:Associated_Object>
                        <cybox:Associated_Object idref="IPA:object_ipa_email_attachment_zip_exe2exe_candc_domain1_000009392">
                            <cybox:Association_Type xsi:type="cyboxVocabs:ActionObjectAssociationTypeVocab-1.0">Utilized</cybox:Association_Type>
                        </cybox:Associated_Object>
                        <cybox:Associated_Object idref="IPA:object_ipa_email_attachment_zip_exe2exe_candc_domain2_000009392">
                            <cybox:Association_Type xsi:type="cyboxVocabs:ActionObjectAssociationTypeVocab-1.0">Utilized</cybox:Association_Type>
                        </cybox:Associated_Object>
                    </cybox:Associated_Objects>
                </cybox:Action>
            </cybox:Actions>
        </cybox:Event>
    </cybox:Observable>
    <cybox:Observable id="IPA:observable_000009392_07">
        <cybox:Description>tw.####.com(IPアドレス：AAA.AAA.1.114)</cybox:Description>
        <cybox:Object id="IPA:object_ipa_email_attachment_zip_exe2exe_candc_ip1_000009392">
            <cybox:Properties xsi:type="AddressObj:AddressObjectType" category="ipv4-addr">
                <AddressObj:Address_Value>AAA.AAA.1.114</AddressObj:Address_Value>
            </cybox:Properties>
        </cybox:Object>
    </cybox:Observable>
    <cybox:Observable id="IPA:observable_000009392_08">
        <cybox:Description>tw.####.com(IPアドレス：AAA.AAA.1.114)</cybox:Description>
        <cybox:Object id="IPA:object_ipa_email_attachment_zip_exe2exe_candc_domain1_000009392">
            <cybox:Properties xsi:type="URIObj:URIObjectType" type="URL">
                <URIObj:Value condition="Equals">tw.####.com</URIObj:Value>
            </cybox:Properties>
            <cybox:Related_Objects>
                <cybox:Related_Object idref="IPA:object_ipa_email_attachment_zip_exe2exe_candc_ip1_000009392">
                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Resolved_To</cybox:Relationship>
                </cybox:Related_Object>
                <cybox:Related_Object idref="IPA:object_ipa_email_attachment_zip_exe2exe_candc_port443_000009392">
                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Listened_On_By</cybox:Relationship>
                </cybox:Related_Object>
            </cybox:Related_Objects>
        </cybox:Object>
    </cybox:Observable>
    <cybox:Observable id="IPA:observable_000009392_09">
        <cybox:Description>hk.####.com(IPアドレス：BBB.BBB.118.33)</cybox:Description>
        <cybox:Object id="IPA:object_ipa_email_attachment_zip_exe2exe_candc_ip2_000009392">
            <cybox:Properties xsi:type="AddressObj:AddressObjectType" category="ipv4-addr">
                <AddressObj:Address_Value>BBB.BBB.118.33</AddressObj:Address_Value>
            </cybox:Properties>
        </cybox:Object>
    </cybox:Observable>
    <cybox:Observable id="IPA:observable_000009392_10">
        <cybox:Description>hk.####.com(IPアドレス：BBB.BBB.118.33)</cybox:Description>
        <cybox:Object id="IPA:object_ipa_email_attachment_zip_exe2exe_candc_domain2_000009392">
            <cybox:Properties xsi:type="URIObj:URIObjectType" type="URL">
                <URIObj:Value condition="Equals">hk.####.com</URIObj:Value>
            </cybox:Properties>
            <cybox:Related_Objects>
                <cybox:Related_Object idref="IPA:object_ipa_email_attachment_zip_exe2exe_candc_ip2_000009392">
                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Resolved_To</cybox:Relationship>
                </cybox:Related_Object>
                <cybox:Related_Object idref="IPA:object_ipa_email_attachment_zip_exe2exe_candc_port443_000009392">
                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Listened_On_By</cybox:Relationship>
                </cybox:Related_Object>
            </cybox:Related_Objects>
        </cybox:Object>
    </cybox:Observable>
    <cybox:Observable id="IPA:observable_000009392_11">
        <cybox:Description>接続先ポート番号443/TCP</cybox:Description>
        <cybox:Object id="IPA:object_ipa_email_attachment_zip_exe2exe_candc_port443_000009392">
            <cybox:Properties xsi:type="PortObj:PortObjectType">
                    <PortObj:Port_Value>443</PortObj:Port_Value>
                    <PortObj:Layer4_Protocol>TCP</PortObj:Layer4_Protocol>
            </cybox:Properties>
            <cybox:Related_Objects>
                <cybox:Related_Object idref="IPA:object_ipa_email_attachment_zip_exe2exe_candc_domain1_000009392">
                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Listened_On</cybox:Relationship>
                </cybox:Related_Object>
                <cybox:Related_Object idref="IPA:object_ipa_email_attachment_zip_exe2exe_candc_domain2_000009392">
                    <cybox:Relationship xsi:type="cyboxVocabs:ObjectRelationshipVocab-1.0">Listened_On</cybox:Relationship>
                </cybox:Related_Object>
            </cybox:Related_Objects>
        </cybox:Object>
    </cybox:Observable>
</cybox:Observables>