脅威インテリジェンスフィードを 再販せず、自ら生成しています

C2（コマンド&コントロール）フレームワークは、現代の侵入のほぼすべてにおいて攻撃活動の中核です。Fortgaleは、主要なC2フレームワークの設定、ウォーターマーク、証明書のフィンガープリント、Malleableプロファイル、TLSシグネチャを継続的に追跡しています。対象は、流出した商用製品（Cobalt Strike、Brute Ratel）とオープンソース（Sliver、Havoc、Mythic）の両方です。

• Cobalt Strikeの設定解析 sleep_time、jitter、spawn_to、Malleable HTTPプロファイル、ウォーターマーク、サーバー証明書を自動抽出。流出版（ウォーターマーク0）とクラック版ビルダーを識別。
• TLS / JA3フィンガープリント 証明書のサムプリント、JA3/JA3Sシグネチャ、独自CAのパターンを追跡。正規の利用（契約に基づくレッドチーム）と犯罪インフラを区別。
• Sliver C2の指標 インプラントの設定、ビーコンの間隔、通信方式（mTLS、HTTPS、DNS、WireGuard）、ステージングURIのパターン。Sliverはオープンソースの代替として2024〜2026年に大きく拡大。
• Brute Ratel C4 2022年に流出し、現在は広く悪用されている商用ツール。ライセンスのフィンガープリント、プロファイルのシグネチャ、デフォルトURIのパターンを追跡。
• Havoc · Mythic · オープンソースC2 プロファイルのフィンガープリント、デフォルトポートのパターン、証明書生成のパターン、エージェント設定の追跡。

インフォスティーラー（情報窃取型マルウェア）は、犯罪マーケットで売買される認証情報の主な供給源であり、ランサムウェアによる侵入の最も多い入口です。Fortgaleは、キャンペーン、C2パネル、ビルドのバージョン、設定、配布インフラを追跡しています。

• Lumma Stealer（LummaC2） 2024〜2025年の主要なインフォスティーラー。Telegramで配布されるMaaS。C2パネル、ビルドID、データ送信先エンドポイント、販売者のTelegramチャネル、ペイロード配布のパターンを追跡。
• RedLine · Vidar · StealC 2025〜2026年も活動が続く既存のファミリー。C2 IPアドレス、設定のデコーダー、暗号鍵、ミューテックスのパターン、ビルドIDの系列を追跡。
• Atomic / macOS向けインフォスティーラー AMOS、Banshee、Cthulhuなど、macOS向けのエコシステムが急速に拡大。偽インストーラー（Homebrew、クラック版アプリ、Google広告のスポンサー枠）による配布、C2エンドポイント、データ持ち出しのパターンを追跡。
• 配布インフラ 偽のCAPTCHAページ（ClickFix）、SEOポイズニング、Google広告を使ったマルバタイジング、GitHubリリースの悪用、YouTubeの説明欄リンク。
• 窃取ログ市場のマッピング Russian Market、Genesis Market（摘発後）、Telegramのログ販売チャネルを追跡し、インフォスティーラーのビルドと販売中のログを相関分析。

現代のAiTMフィッシング（中間者型フィッシング）キットは、多要素認証（MFA）を回避し、セッションCookieを傍受し、Microsoft / Googleの認証フローを再現します。Fortgaleは、キット、配布インフラ、管理パネル、運営者を追跡しています。フィッシング対策協議会の「フィッシングレポート2026」によると、2025年のフィッシング報告件数は2,454,297件で、過去最多となりました。

• Tycoon 2FA 2024〜2026年の代表的なAiTMキット。Microsoft 365 / Google Workspaceを標的とする。ランディングページのシグネチャ、リダイレクトチェーン、Cloudflare Workersの悪用、ブランド素材の再利用を追跡。
• Mamba 2FA · EvilProxy · W3LL Tycoonと直接競合するキット。ランディングページの構造、セッション乗っ取りの流れ、独自のJavaScriptインジェクターに、それぞれ異なるフィンガープリントがある。
• Caffeine · Greatness · NakedPages 現在も活動する、比較的古いPhaaS（フィッシング・アズ・ア・サービス）キット。テンプレート、管理パネルのURLパターン、販売者のTelegramチャネルを追跡。
• 配布インフラ 好んで使われるレジストラ（Namesilo、Reg.ru）、Cloudflareトンネルのパターン、侵害されたWordPressのホスティング、Let's Encrypt証明書の新規発行を追跡。
• 欧州を標的とするキット 機械翻訳ではない欧州各国の言語で書かれ、欧州の銀行（Intesa、Unicredit、Poste、BPER、BNP、Deutsche Bank）、各国の税務・社会保障機関、電子IDの仕組みを装ったキット。

ワーム、ローダー、初期アクセスブローカー（IAB）のツールは、主要なランサムウェアグループ（RansomHub、Akira、LockBit）が好んで使う初期侵入の経路です。これらを追跡することは、侵入がランサムウェア被害に発展する7〜30日前にその兆候をつかむことに相当します。

• Raspberry Robin USBワームからIABへ発展。msiexecの悪用パターン、Tor onionのC2、fodhelper.exeによる永続化、後続のダウンローダー（FakeUpdates、IcedID、BumbleBee）を追跡。
• SystemBC SOCKS5プロキシ型マルウェア。RansomHub、LockBit、Cl0pと組み合わせて使われることが多い。C2 IPアドレスのローテーション、設定の抽出、暗号鍵を追跡。
• Matanbuchus · BumbleBee · IcedID 後続のマルウェア（Cobalt Strike、ランサムウェア）を配布するMaaS型ローダー。パッカー、C2プロトコルのフィンガープリント、設定サーバーのパターンを追跡。
• PrivateLoader · SmokeLoader 2025〜2026年も活動が続く汎用ローダー。アフィリエイトID、C2パネル、トラフィック配分を追跡。
• FakeUpdates / SocGholish 偽のブラウザ更新で、大規模な侵入経路となっている。侵害されたWordPress、ペイロードURLのパターン、侵入後の永続化を追跡。

国家関連のAPTグループが開発した、またはその依頼で開発されたツールです。独自のバックドア、署名付きRAT、高度な永続化キット、横展開のフレームワークなどが含まれます。Fortgaleは、実際のインシデントで観測された技術的アーティファクトや、CERT・研究コミュニティが公開したアーティファクトを追跡しています。IPAの「情報セキュリティ10大脅威 2026」（組織編）でも、「地政学的リスクに起因するサイバー攻撃（情報戦を含む）」が6位に挙げられています。

• ロシア関連のツール GoldMax、GoldFinder、SombRAT、言語的痕跡を含む独自RAT。ビルダーのシグネチャ、C2プロトコル、永続化のパターンを追跡。
• 中国関連のツール PlugX、ShadowPad、Korplugの亜種、独自のDLLサイドローディング。ローダーのハッシュ、復号鍵のパターン、ミューテックスの命名を追跡。
• イラン関連のツール DEV-0270、MuddyWaterのツール、独自のPowerShellフレームワーク。難読化のパターン、C2エンドポイントを追跡。
• 北朝鮮関連のツール Lazarusのツール群（Manuscrypt、BeaverTail、AppleJeus）、JavaScriptによる配布、npm/PyPI経由のサプライチェーン攻撃。
• 欧州を標的とする独自ツール 欧州の標的向けに開発されたツール。BrokerLoader（Nebula Broker）や、独自の能力を持つ非国家の攻撃者のツール。