自動隔離候補
担当者へ即時通知
関連端末・IPの調査
Critical
JadeProx IOCへ通信
Webシェル経由でトンネル確立
内部DB、PACS、管理ネットワークへ横展開
スタートアップ永続化とC2通信が同時成立
suo5、iox、Neo-reGeorgなどの実行と外部接続が成立
対応：
通信遮断
端末隔離
プロセス停止
認証情報失効
インシデント宣言
IPS運用で重要な設定
IPSでは、状態を次のように分けて管理します。
detect_only
検知のみ
block_candidate
遮断候補
waf_enforced
CloudflareやWAFでは遮断済み
sensor_ack_pending
センサーへの反映確認待ち
active_block
IPSまたはFirewallで実遮断中
expired
IOC期限切れ
false_positive
誤検知確認済み
特に、
WAFで遮断済み
と
IPSセンサーへ反映済み
は同じ状態ではありません。
ダッシュボード上で分離しないと、実際にはセンサー未反映なのに「防御済み」と誤認する危険があります。
IOCルールには次の項目を持たせます。
IOC値
種別
情報源
初回確認日
最終確認日
有効期限
信頼度
対応アクション
対象センサー
反映状態
誤検知除外
感染が疑われる場合の初動
1. ネットワークから隔離する
LANケーブルを抜くだけではなく、EDRまたはスイッチ側で隔離します。
2. 電源をすぐに切らない
メモリ上だけで動作しているペイロードや通信情報が失われる可能性があります。
3. 証拠を保全する
メモリ
プロセス一覧
ネットワーク接続
DNSキャッシュ
Startupフォルダ
Temp、AppData
Windowsイベントログ
Sysmonログ
EDRタイムライン
メール原本
ダウンロード元URL
4. IOCを全社検索する
IP
ドメイン
ハッシュ
ファイル名
フォルダ名
証明書
親子プロセス
5. 永続化を確認する
Startup
Runキー
Scheduled Task
サービス
WMI永続化
DLLサイドローディング
Webシェル
cron
systemd
6. 認証情報を変更する
感染端末だけでなく、その端末から利用したVPN、クラウド、管理画面、SSH鍵なども対象にします。
7. 初期侵入経路を修正する
マルウェアだけ削除しても、脆弱なJMXやWebアプリが残っていれば再侵入されます。
まとめ
JadeProxの危険性は、単に「偽Claudeから感染する」という点だけではありません。
この攻撃クラスタは、次の異なる侵入経路を並行して使用しています。
脆弱性スキャン
標的型メール
偽ソフトウェア
Webシェル
トンネリング
DLLサイドローディング
防御側がIOCだけに依存すると、攻撃者がIPやドメインを変更した時点で検知できなくなります。
そのため、次の多層防御が必要です。
Cloudflare
公開面のスキャンと管理画面を防御
Nginx
秘密ファイル探索と大量アクセスを遮断
IPS
IOC通信、DNS、TLS、HTTPを遮断
EDR
DLLロード、スタートアップ、スクリプト実行を検知
App Control
ユーザー領域からの不正実行を防止
SOC
複数ログを攻撃チェーンとして相関分析
最も重要なのは、正規署名付きEXEを無条件に信用しないことです。
正規EXE
＋
不審DLL
＋
暗号化DAT・LOG
＋
ユーザー書き込み可能フォルダ
＋
外部通信
この組み合わせを高優先度で検知することで、JadeProxだけでなく、PlugX、ShadowPadなど類似のDLLサイドローディング型攻撃にも対応できます。
FAQ
JadeProxは中国政府の攻撃組織ですか？
現時点では断定できません。中国系APTで使われるツール、インフラ、標的傾向との重なりから、Group-IBは中国との関連が疑われるクラスタと評価しています。
ウイルス対策ソフトだけで防げますか？
不十分です。正規署名付きEXE、暗号化ファイル、メモリ実行、コールバックAPIなどを使用するため、ファイル単体の検査だけでなく、EDR、IPS、DNS監視、アプリケーション制御が必要です。
公開IOCを遮断すれば安全ですか？
IOC遮断は必要ですが、それだけでは不十分です。ドメインやIPは変更されるため、DLLサイドローディング、スタートアップ永続化、Webシェル、トンネル、異常な外部通信などの挙動も検知する必要があります。
出典・最終確認（2026年7月31日）
Group-IBのJadeProx技術報告
名称、感染チェーン、活動主体の評価は公開時点のGroup-IB調査に基づきます。帰属は新しい証拠によって変わり得る分析結果です。