2017年5月9日 Leave a Comment

4 月 21 日～ 4 月 28 日の 1 週間のマルウェアに関するまとめ

1 min read

TALOS Japan

本日の投稿では、4 月 21 日～ 4 月 28 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、Talos が確認した脅威のまとめとして、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てていきます。

下記の脅威に関してここで記載する情報は、すべてを網羅しているわけではないこと、また公開日の時点では最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、FireSIGHT Management Center、Snort.org、または ClamAV.net を参照してください。

今週最も蔓延した脅威は次のとおりです。

Macro.MaliciousHeuristic-6298845-0
Office マクロ
Office マクロコードを使用して、ターゲットシステムにさらなる侵害を与えます。マクロは外部システムバイナリを利用して別のバイナリを実行するため、システムをさらに危険にさらす可能性があります。このシグネチャがコア機能を検索する際は、迷惑コードを含めることでコードを隠します。

Dropper.DarkComet-6301230-0
Trojan（トロイの木馬）/RAT Dropper
これはマルウェア型 Dropper です。現時点では DarkComet RAT のドロップに使用されています。このファイルは Windows 純正のアーカイブ解凍ツール（wextract.exe）を少し改ざんしたものです。マルウェアのペイロードはバイナリのリソースセクションに格納されます。Dropper のバイナリは実際にはマルチフォーマットファイルであり、PE 実行可能ファイルおよび CAB アーカイブファイルの両方として認識されます。改ざんされた Windows バイナリは内部からペイロードバイナリを抽出して実行します。

Trojan.ServStart
トロイの木馬
ServStart は、被害者のマシンに永続的なサービスをインストールするトロイの木馬です。このサービスは、コンピュータ名、ユーザ名、キーボード言語、コンピュータのパフォーマンス要件など、感染したマシンに関する情報を不正取得します。攻撃者がマルウェアサーバにコマンドを送信すると、ファイルをダウンロードして実行できたり、シェルコマンドを実行できたりする危険性があります。ServStart のコマンド・制御インフラストラクチャは、複数の動的 DNS プロバイダを使用して監視されています。

Trojan.Agent-6298180-0
トロイの木馬（クレデンシャルの Stealer）
このサンプルは、多数のインストール済みアプリケーションの中からクレデンシャルの収集を試みます。クレデンシャルの収集に成功すると、侵害された可能性のあるサーバ上の PHP アプリケーションに送信を試みます。

Trojan.PWS-6299789-0
パスワード窃盗型インジェクタ
PWS（「Fareit」または「Chisburg」とも呼ばれる）は、クレデンシャルや機密情報のハーベスタです。ホストに感染すると、銀行のクレデンシャルや Web ブラウザのパスワードデータベースといった一部の情報を検索します。検出したデータはすべて C2 に伝播します。以下の最近のサンプルは Armadillo パッカーで保護されており、コードインジェクタとドロップされた VBScript コードの両方に依存しています。

Dropper.Emotet-6301061-0
Dropper
この Dropper は、さまざまなメカニズムによって配信されます。ほとんどの被害者はウェブサイトにリダイレクトされ、悪意のある PDF や http iframe が挿入されます。いったんバイナリがコンピュータ上で実行されると、ボリュームディスクドライブなどの詳細を収集してプロセスをインジェクトし、それ自身をドロップします。これによりインターネットに接続して追加の実行ファイルを取得します。ランサムウェアとトロイの木馬「BANKER」は、ウェブサイトからの配布が確認されています。

脅威

Doc.Macro.MaliciousHeuristic-6298845-0

侵害の兆候

レジストリ キー

ミューテックス

IP アドレス

ドメイン名

storefronts[.]pl

ファイルのハッシュ値
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カバレッジ

検出結果のスクリーンショット

AMP

ThreatGrid

Umbrella

マルウェア