2017年4月5日 Leave a Comment

3 月 24 日～ 31 日の 1 週間のマルウェアに関するまとめ

2 min read

TALOS Japan

本日の投稿では、3 月 24 日～ 31 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、Talos が確認した脅威のまとめとして、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てていきます。

下記の脅威に関してここで記載する情報は、すべてを網羅しているわけではないこと、また、公開日の時点で最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、FireSIGHT Management Center、Snort.org、または ClamAV.net を参照してください。

今週最も蔓延した脅威は次のとおりです。

Ransomware.Cerber-6162243-1
Windows 向けのランサムウェア
「Cerber」は流行しているランサムウェアファミリです。開発も盛んに行われているため、今後も蔓延が続く見通しです。このランサムウェアは、デスクトップの壁紙や警告表示などの形で複数の身代金要求メッセージを表示します。残念ながら、最近のサンプルは Crypter によって強固に保護されています。
Trojan.Wabot-6113548-0
バックドア
Delphi で記述された IRC ワームです。コードは難読化されていません。これは system32 ディレクトリに複数のファイルを生成するだけでなく、ASCII アートで書かれた「marijuana」という単語を含むテキストファイルをシステムドライブのルートに格納します。その後しばらくしてから IRC サーバに接続し、チャネル「#HelloThere」への参加を試みます。このチャネルからはバックドアコマンドを受信します。
Macro.HeuristicReplaceFuncs-6169546-0
マクロ難読化手法
すぐに解読され、一般的なセキュリティソフトウェアにより検出されることを防ぐため、悪意のあるマクロの作成者はさまざまな難読化手法を駆使してマクロの機能を隠します。
Macro.ReplaceFuncs-6171292-0
マクロ
このサンプルは、マクロを使用して PowerShell スクリプトを起動する Microsoft Word 文書です。スクリプトが実行されると別の実行可能ペイロードをダウンロードして実行します。残念ながら、本項の執筆時にはこのセカンダリペイロードを入手できませんでした。
Trojan.Diplugem
アドウェア
このファミリは、ユーザの許可なくブラウザにエクステンションをインストールします。主な機能は、タブを勝手に開くなどの手口で広告を表示することです。これは通常のブラウザ操作を妨害する可能性があります。
Macro.ObfuscatedObj
マクロ難読化手法
この難読化技法ではマクロ文字列による演算を利用しており、SHELL の文字列が直接かつ静的に検出されることを防いでいます。WSCRIPT.SHELL は Office システムの外部でコマンドを実行するためのオブジェクトです。難読化手法であるこれらのドロッパーについては、あらゆる種類やサイズのペイロードを生成していることが確認されています。
Trojan.VBCryptLaser
トロイの木馬/Infostealer
このマルウェアは情報を盗み出すことが主な目的で、サンドボックスなどのセキュリティ機構を検出する能力も備えています。マルウェアは正規のプロセスに自身を挿入し、JavaScript か mshta を呼び出すことで永続化（再起動後も保持）します。このファミリは高度に難読化されており、動作を踏まえるとトロイの木馬「Kovter」の亜種であると考えられます。
Virus.Virut-6171773
ウイルス
このウイルスはzief.pl の IRC サーバを使用し、TCP ポート 80 にバックドアを開くことでよく知られています。攻撃が成功すると、リモートの攻撃者が追加のファイルをダウンロードして実行できるようになります。ファイアウォールやウイルス対策のインスタンスが特定されるだけでなく、ホストファイルや Internet Explorer のプロキシ設定も変更されてしまいます。
Ransomware.Spora-6172235
ランサムウェア
このランサムウェアはファイルを暗号化しますが、特定の拡張子は追加しません。また、システム復元ポイントを無効化するためにボリュームのシャドウコピーを削除します。起動リンクをインストールし、Internet Explorer のプロキシを変更し、動的ファイル名を持つ html ファイルを作成します。他のランサムウェアとの違いの 1 つは、すべてがローカルで行われるためネットワークトラフィックが生成されないことです。

Win.Ransomware.Cerber-6162243-1

侵入の痕跡

レジストリ キー

ミューテックス

該当なし

IP アドレス

87.5.88

ドメイン名

api[.]blockcypher[.]com
hjhqmbxyinislkkt[.]1efxa8[.]top

作成されたファイルやディレクトリ

%APPDATA%\Microsoft\Outlook\<RANDOM_FILENAME>.8a2a
%APPDATA%\Microsoft\Outlook\_HELP_HELP_HELP_1YI7CF_.hta
%APPDATA%\Microsoft\Outlook\_HELP_HELP_HELP_2NN4UMV_.png
%USERPROFILE%\Desktop\_HELP_HELP_HELP_J81LBSA_.hta
%USERPROFILE%\Desktop\_HELP_HELP_HELP_L1JAF_.png
%APPDATA%\Microsoft\Outlook\_HELP_HELP_HELP_6MTGJWJ_.png
%APPDATA%\Microsoft\Outlook\_HELP_HELP_HELP_LKCGK3Y_.hta

ファイルのハッシュ値

dc184001af08dd043150c350c94304041b2c8e995ce62f05f846d776b450f80f
57288de46d603910b1d6eb88390a4b7083b3f060e75bd76023a8a13f7c40633f
c0ab4ccdef7ad4fb6b1af396a29cbb4220dc720acfec091fa5d6484656fec63f
ca7d955a40f2d7a969245884fffd0189402b05af3f9896d10e476cbdaa1b0829

カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid

Umbrella

マルウェアのスクリーンショット