脅威リサーチ

3 月 20 日～ 24 日の 1 週間のマルウェアに関するまとめ

TALOS Japan
2017年3月30日

本日の投稿では、この 1 週間で Talosが最も蔓延していると認めた脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、Talos が確認した脅威のまとめとして、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てていきます。

下記の脅威に関してここで記載する情報は、すべてを網羅しているわけではないこと、また、公開日の時点で最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、FireSIGHT Management Center、Snort.org、または ClamAV.net を参照してください。

今週最も蔓延した脅威は次のとおりです。

Trojan.Bladabindi-6016609-0
この脅威はバックドアとクレデンシャルスティーラを組み合わせたものです。実行ファイルは .Net バイトコードで、異なる難読化ツールで難読化されています。このマルウェアはアクティベートされるとファイアウォールポートを開きます。マルウェアの作成者はそこから感染したマシンに接続できるようになります。
Trojan.VBTrojan3-6118226-0
このファミリはinf ファイルを作成し、自身を「Secret.exe」、「Porn.exe」、「Sexy.exe」、「Passwords.exe」などの名前でドライブ上のさまざまな場所に複製することで、接続されている USB ドライブを感染させようとします。また、Windows Update を無効にし、自身を %USERPROFILE% に複製してスタートアップで実行するように設定します。実行されたファイルは、C&C サーバに接続して指示を受信します。
Downloader.Gen-6115940
このマルウェアはインターネットのプロキシ設定に対する変更を行い、悪意のあるドメインと通信し、認証局のルート証明書をインストールします。クリップボードのデータコンテンツの変更、外部アプリケーションの実行、スクリーンショットの記録を実行できます。
Trojan.Tinba-6136046
Tinba またはTiny Banker は銀行取引の詳細情報を盗むことに特化したマルウェアとして有名です。通常、ドメイン生成アルゴリズムを使用して C&C サーバに接続し、指示を取得します。自身をexe、ctfmon、winver などのプロセスに忍び込ませ、中間者に扮して銀行取引情報を収集します。このバイナリはファイル/ディレクトリ機能、レジストリクエリ機能をフックして存在を隠すことができます。
Trojan.Iparmor-6136596-0
このトロイの木馬はリモートサーバに接続してバックドアとして機能し、標的となるコンピュータの所定のポートをバインドすることで攻撃者に被害者のマシンへのフルアクセス権を与えます。さらに、アンチ VM やアンチデバッグの技術を使用して分析を妨害し、他のプロセスに忍び込むことができます。
Trojan.Dridex
説明：Dridex は銀行を狙うトロイの木馬として知られています。感染したホストから送信された銀行取引用のクレデンシャルを傍受することが目的です。AtomBombing と呼ばれるコードインジェクション技術を活用して、サンプルが自動動的分析の検出を回避できるようにします。最新バージョンには、以前のコンポーネントにいくつかのアップデートが加えられています。作成者および関連キャンペーンは依然としてこのファミリを活用し、財務の機密情報を収集することが狙いです。
Trojan.Fareit Fareit
Fareit は機密情報（銀行取引のクレデンシャルを含む）を集中的に収集するトロイの木馬です。最新の亜種はNET でコーディングされています。残念ながら逆コンパイルされた p-code はかなり難読化されています。このマルウェアはランタイム中に C&C サーバと通信してステージ 2 のバイナリをダウンロードします。
Packer.RC465
このパッカーは、4 つのファイル（[a-z0-9]{6}.vbs, [a-z0-9]{4}.dll, p, x）が入った自己解凍型 RAR アーカイブで配布されます。VBS スクリプトがexe を使用して DLL を実行します。ペイロード実行ファイルの復号と読み込みには RC4 の変更されたバージョンが使用されます。
Macro.DeleteMacro-6096859-0
この脅威に関連するサンプルにはマクロコードを追加することでマクロの GUI ボタンを削除したり、デフォルトの Word テンプレートを変更したりする能力があります。
Downloader.Donoff-6152250-0
Donoff はペイロードを配布する Office ドキュメントです。Windows コマンドシェルを使用して Powershell の 1 行を起動し、実行ファイルをダウンロードおよび実行します。Donoff が配布するペイロードの一部で、Crypt0L0cker を含むランサムウェアのダウンロードが確認されています。

Win.Trojan.Bladabindi-6016609-0

Mutex の作成

Mutex は無作為に作成されます。以下は所定のサンプルで作成された Mutex です。

\BaseNamedObjects\82a189c74c3e9fd038b3ac06323ec594
\BaseNamedObjects\5a3497b38e5f17baf6d068415ba44fc3
\BaseNamedObjects\5660a10368a656b0823e959b24f70f8e
\BaseNamedObjects\c611ee3fd342ce91082e2af52cd56103

ドメイン名

zapto.org
ddns.net

ファイル ハッシュ値

以下は一部のサンプルに過ぎません。ハッシュ値はマルウェアのパラメータ化によって変化します。

fa616b946ba80eba844f22f946120a2fee4c5d9996ad1e7d542785d4ad9c6b61
fc6bea4b3f1cd01c3796a1c665a48584ba187a44420fe03016f1a884046096d8
79e5dae1654922e5ed38ebf456fb787a062fb2dea88c4caca851fe9198266e73
21e10f4c80e076376e4a65cc6a316badd1a23840ef2b90c411eb525759e2b0f8

ファイアウォール バイパス

マルウェアは netsh を実行してホストのファイアウォールにセキュリティホールを作ります。

netsh firewall add allowedprogram %TEMP%\\server.exe server.exe ENABLE

カバレッジ

検出エンジン

ThreatGRID

AMP

Umbrella

Win.Trojan.VBTrojan3-6118226-0

レジストリ キーの作成

このファミリはレジストリを変更して、少なくとも隠しファイルの表示を無効にします。また、システムリブート後にマルウェアを開始することで再起動後も活動を続け、Windows Update を無効にします。

USER\$UUID\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
USER\$UUID\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\ADVANCED
HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU

ドメイン

musicmixb.co
musicmixc.com
musiczipz.com
musicmixa.org
musicmixa.net

ファイルのハッシュ値

B86289e538509cf601471b8f63d21e47223740ce64341c1c8ea9511cfd396326
8cd348be4596e65fcd9a756a184179dce348533b37bd089a4aaaacbe5c08617c
8fc063601cb80b0e64e611766eaeb8fb2ba16cdbed99d297d31089298941bc1e
517ec51154ee27bcf69963f8ca6958bc4a16f1ca646d02c6c3a8572edc6b0536

カバレッジ

AMP

ThreatGRID

Umbrella

Win.Downloader.Gen-6115940

ドメイン名

checkforfiles.com

ファイルのハッシュ値

9e8ba41bb1ef5e23dd56b0f5003d7a7851463791974ffb1f7c64727997554e06
68a4d57ea1c3f0fd3bb9feadebfa748be22ad3bfeb4b1e88650d59d39b0e3af7
f66b9bfc9d22e078f44477d396dd25a36aca553e29fb79c45da90b8681de82e8
233a535156360292cf65a0e7ca6e0c6f85970c9c9a13e338cf0b8987d41dbb8a
793985b655fe2b6206029639301c93de4cb057cf20126fff9f4bb8c99cb006a5
9308e8b84e4252acf6d37c8f0df0080eab416d8ca6767a226b0282c71b0a169d

カバレッジ

ThreatGRID

Umbrella

AMP

Win.Trojan.Tinba-6136046

レジストリ キー

HKCU\Software\Microsoft\Windows\CurrentVersion\Run containing path to binary present into %APPDATA%\[A-Z0-9]{8}\bin.exe

ドメイン名

pw/li>

ファイルのハッシュ値

33ace28769703d2a3bdb7da221fe547c36a6063d3e31b6f82ea13dd6295d550e

カバレッジ

ThreatGRID

Umbrella

AMP

Win.Trojan.Iparmor-6136596-0

IP アドレス：

255.255.255

ファイルのハッシュ値
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カバレッジ

ThreatGrid

AMP

Win.Trojan.Dridex

ファイルのハッシュ値

6ee8f4eabd118de4a86825dfd3d5389c607cbecec00bee45d2d2cded7d591b14
8bfeacd98b5a469c5039889f76ef55874a3358578f439ecc17d6498ccdb094b6
ffbd79ba40502a1373b8991909739a60a95e745829d2e15c4d312176bbfb5b3e

カバレッジ

AMP

ThreatGRID

Win.Trojan.Fareit

レジストリ キー

USER\S-1-5-21-1202660629-583907252-1801674531-500\Software\WinRAR
USER\S-1-5-21-1202660629-583907252-1801674531-500\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
USER\S-1-5-21-1202660629-583907252-1801674531-500\SOFTWARE\Microsoft\Protected Storage System Provider\S-1-5-21-1202660629-583907252-1801674531-500

文字列