ZIP内も展開検査し、次の組み合わせを高リスクと判定します。

ZIP
 ├─ LNK
 ├─ VBS
 ├─ MSI
 ├─ おとりPDF
 └─ 正規EXE＋DLL＋DAT

二重拡張子も検知します。

invoice.pdf.lnk
document.docx.exe
~del.vbs.bat

Group-IBは、_CL_######形式の入れ子フォルダ、~del.vbs.bat、スタートアップフォルダ内の正規EXE・DLL・暗号化ファイルの組み合わせを探索するよう推奨しています。

SOC・IPSでの推奨スコアリング

Low

• NucleiなどのUser-Agentを1回確認

• .envや.gitへ単発アクセス

• 存在しない管理画面への単発アクセス

対応：

記録のみ

Medium

• 1IPから複数の秘密ファイルを探索

• 多数の異なるポートを短時間に調査

• Java管理画面やJMX関連パスへ接続

• User-Agentとスキャン挙動が一致

対応：

Managed Challenge
レート制限
SOCアラート

High

• Webプロセスからシェルが起動

• /tmpや/dev/shmから不審バイナリを実行

• スタートアップへEXE・DLL・DATが同時作成

• 署名付きEXEがユーザー書き込み可能領域から起動

• 正規EXEが同一フォルダの不審DLLをロード

対応：