JSAC2026 開催レポート～DAY 1～

概要：JPCERT/CCがJSAC2026（9回目、トレーニングを加え3日間）のDAY 1 Main Track講演9件を紹介したレポートである。DNS改ざんによる偽アップデート配布（Tropic Trooper）、i-Soon関連とされるEarth Lusca／Krahangの活動、複数活動クラスターの帰属分析、Earth Kurma、Tianwu、Ivanti機器への攻撃、Graph API等を使うC2、KonniのGSRATなどを扱う。

時期：出典の公表日は2026/02/20、カンファレンス開催は2026年1月21〜23日。各講演が述べる活動時期は2024年10月ごろ、2025年2月以降、同年5月ごろなど。

実被害：講演者の報告として、Ivanti Connect Secure等でSPAWNファミリーを伴う侵入170台（25地域）、2025年5月の国内金融機関関連組織への標的型メール、正規アプリ更新を契機としたインシデントなどがある。損失額や被害組織名の記載はない。

悪用の観測：公開サーバーの脆弱性悪用、スピアフィッシング、正規クラウドサービスの悪用などが観測されたとされる。帰属の確度は講演ごとに中〜高、低と評価が分かれる。

実証コード：言及なし。

CVE：CVE-2025-55182（React2Shell、WILYCODEキャンペーンで使用）のみ明記。Ivanti事例は「CVE悪用起点」とされるが番号は記載なし。

対策：フルトンネルVPN、DoT／DoH、端末監視、クラウド通信監視、ログオンスクリプト保護、YARA／Sigma、AppLocker／WDACによるAutoIt制限など。

不明点：Talos講演はTLP:REDのため非公開。Ivanti事例のCVE番号、具体的な被害規模や損失は未確認。