2017年3月8日 Leave a Comment

2 月 27 日～ 3 月 3 日の 1 週間のマルウェアに関するまとめ

1 min read

TALOS Japan

本日の投稿では、この 1 週間で Talosが最も蔓延していると認めた脅威を垣間見ていきます。他の投稿とは異なり、この記事は詳細な分析を目的とするものではありません。ここでは、Talos が確認した脅威のまとめとして、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てていきます。

下記の脅威に関してここで記載する情報は、すべてを網羅しているわけではないこと、また、公開日の時点で最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、FireSIGHT Management Center、Snort.org、または ClamAV.net を参照してください。

Win.Ransomware.Cerber-5901829-0

ランサムウェア

Cerber はランサムウェアの亜種で、Office 文書、写真、音楽などのユーザの個人データを暗号化します。Cerber はブラウザ履歴を盗もうともします。C2 サーバの特定ドメインに到達できないと、Cerber は TCP を介して 6892 のポートで特定の IP アドレス範囲を ping します。

セキュリティ侵害の指標

レジストリキーの作成

キー	値の名前（Value Name）	値データ（Value Data）
HKEY_USERS\Software\Microsoft\ Windows\ShellNoRoam\MUICache	C:\WINDOWS\system32\ mshta.exe	Microsoft (R) HTML Application host
HKEY_LOCAL_MACHINE\SYSTEM\Cont rolSet001\Control\Session Manager	PendingFileRenameOper ations	\??\C:\001984854a008441d5a8804 10dd582a0ee6f68bbc0068abeab1f4 df1ae0b8af9.exe

レジストリキーの変更

Mutex の作成

{3EB72F14-EB8C-7844-D6B0-CDB105275440}

ファイルの作成

Cerber はファイルを暗号化したすべての場所と、以下の場所のディスク上に README.hta というファイルをドロップします。

%HOMEDRIVE%\README.hta
%APPDATA%\Microsoft\Windows\Cookies\Low\README.hta
%ALLUSERSPROFILE%\Sample Pictures\README.hta
%ALLUSERSPROFILE%\Cookies\README.hta
%HOMEPATH%\Contacts\README.hta
%HOMEPATH%\Desktop\README.hta
%TEMP%\README.hta

このリストが完全なものではない点に留意してください。

IP アドレス

16.149.172
165.16.0/24
165.17.0/24
165.18.0/24
165.19.0/24

ドメイン名

使用中のホストとドメイン名の生成には DGA アルゴリズムが使用されています。コンタクトされたホストは現在次のように表示されます。

[a-z0-9]{6}.(bid | top)
blockr.io

次の正規表現を使って、さらに一般的なドメインを特定できます：:[a-z0-9]{16}.[a-z0-9]{6}.(top|bid)

例：

1mvku2[.]top

ファイルのハッシュ値
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カバレッジ

検出エンジン

ThreatGrid

Umbrella

マルウェアのスクリーンショット