攻撃しているのは誰か 脅威アクターを特定します

フィッシングメールが単独の出来事であることはまれです。Fortgaleは、使用されたキット（Tycoon 2FA、Mamba 2FA、Caffeine、EvilProxy、NakedPages、W3LL、Greatness）、ランディングページの構成、配信インフラ（レジストラ、ASN、証明書のフィンガープリント）、被害のパターン、そしてキャンペーンの背後にいる運用者を分析します。同じキットでも、使い方は運用者によって異なります。

• AiTMツールキット Tycoon 2FA · Mamba 2FA · Caffeine · EvilProxy · W3LL。ランディングページ、リダイレクトの連鎖、セッションCookieの乗っ取りに、それぞれ特徴的なフィンガープリントがあります。
• スピアフィッシングの運用者 LinkedInでの偵察、被害者に関するOSINT調査、文脈の作り込み（取引先のロゴ、実在の人物、業務プロセス）。
• MFA回避のアトリビューション AiTMキット、ソーシャルエンジニアリングによるSIMスワップ、自動化されたプッシュ疲れ攻撃、OAuth同意フィッシングを区別します。手法ごとに、異なる運用クラスターを示します。
• 地域を絞った攻撃か無差別型か 送信量、お客様のドメインの絞り込み、現地語として自然な文面か機械翻訳か、各国の銀行や行政機関のロゴなど、特定の地域を狙っていることを示す指標。

マルウェアは、ブロックすべきハッシュ値にとどまりません。Fortgaleは、コードの類似性（BinDiff、ssdeep、TLSH、Vector35による再利用の検出）、選ばれたパッカーとクリプター、C2プロトコル（独自か既知のフレームワークか）、永続化のパターン、言語的な痕跡（コメント、デバッグパス、PDB、エンコーディング）、PEのタイムスタンプとコンパイル時刻を分析します。技術的な選択の一つひとつが、作成者の候補を絞り込みます。

• コードの類似性と再利用 ファミリー間で共有されるコードブロックの特定（例：SystemBC、Matanbuchus、BumbleBee → 関連の多い運用者）。
• パッカー · クリプターの選択 PrivateLoader、SmokeLoader、独自のThemidaのどれを使うか → アフィリエイトのクラスター。
• C2プロトコルのフィンガープリント JA3/JA3SのTLSフィンガープリント、自己署名証明書のパターン、HTTPヘッダーの特徴、Torか平文か、ビーコンの間隔。
• 言語と文化の痕跡 文字列のエンコーディング（ロシア語のCP1251、中国語のGBK）、再利用されたオープンソース部品のコミットのタイムゾーン、ユーザー名を含むPDBパス、方言のタグ。
• 活動のリズム コンパイル時刻のパターン（特定のタイムゾーンの勤務時間帯）、再コンパイルの頻度、インフラを切り替える周期。

クラウドへの攻撃は最も急速に増えているベクターであり、多くのCTIベンダーが最も備えていない領域でもあります。Fortgaleは、IAMの列挙パターン、OAuth同意の悪用、トークン窃取の連鎖、クラウドネイティブな永続化（フェデレーションIDのバックドア、隠れたサービスプリンシパル、休眠させたアプリ登録）、正規のAPIを使ったデータの持ち出しを追跡します。

• OAuth悪用の特徴 不正なアプリ同意のパターン、要求されるスコープ（Mail.ReadWrite、offline_access、full_access_as_user）、アプリ名のパターン（Microsoftの模倣、人事ツールを装った名前）、On-Behalf-Ofフローの悪用。
• トークン窃取のアトリビューション AiTM、インフォスティーラー（RedLine、Lumma、Vidar）経由、ブラウザCookieの持ち出し、PRTの窃取を区別します。手法ごとに、異なる運用クラスターと相関します。
• クラウドでの永続化のパターン 休眠したサービスプリンシパル、フェデレーションIDの改ざん（Solorigate型）、条件付きアクセスの改変、Microsoft Graphのサブスクリプションの悪用。
• 境界としてのアイデンティティ サインインのパターン、単純ではない「あり得ない移動」、デバイス参加の異常、プライマリ更新トークン（PRT）の悪用、レガシーのアプリパスワードを使ったMFA回避の分析。
• Living-off-the-cloud（正規クラウド機能の悪用） 正規のAPI（Power Automate、Logic Apps、Lambda関数）をC2やデータの持ち出しの経路として使う手口で、2025〜2026年に大きく増えているベクターです。