2017年7月11日 Leave a Comment

6 月 30 日～ 7 月 7 日の 1 週間のマルウェアに関するまとめ

1 min read

TALOS Japan

本日の投稿では、6 月 30 日～ 7 月 7 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、FireSIGHT Management Center、Snort.org、または ClamAV.net を参照してください。

今週最も蔓延した脅威は次のとおりです。

Doc.Downloader.Generic-6332126-0
ダウンローダ
この種のドキュメントダウンローダは、Zbot ダウンローダのリードを追跡したことで発見されました。これらのダウンローダは、現在でも Microsoft Word 上での読み込みに成功する OOXML 形式の難読化を使用していますが、一部のサンドボックス環境では正常に動作しません。サンプル自体に含まれる CDF バイナリ内の難読化された JS コードにも依存しています。大半のサンプルでは 16 進文字列連結が繰り返し使用されており、コードの静的解析を困難にしています。
Doc.Dropper.Agent-6332127-0
Office マクロダウンローダ
難読化された Office マクロダウンローダで、Powershell を使用して悪意のあるペイロード（実行可能ファイル）をダウンロードします。これらのサンプルが次の段階のダウンロードを試みる元のホストは、現在解決されていません。
Doc.Macro.Obfuscation-6331107-0
オフィスマクロ
マルウェアの作成者は、Office ドキュメント内に保存されたマクロコードを難読化することで、検出を防ぎコードの意図を隠します。このシグネチャでは、最近多用されている検出手法から逃れるため、多くの算術演算を使用してコードを隠匿しています。
Win.Phishing.NikoLata-6332081-0
Web フィッシングフィッシング
ブラウザウィンドウを繰り返し開き、良性サイト bigpicturepop[.]com 上にホストされた悪意のあるリダイレクト http://bigpicturepop[.]com/redirect/57a764d042bf8 を開きます。これらのリダイレクトは、ポルノサイトや複数の詐欺サイトなどに解決されることで知られています。
Win.Ransomware.Nyetya-6331387-0
ランサムウェア
Psexec、WMI および SMB を介して拡散するワーム型の破壊的なマルウェアで、EternalBlue および EternalRomance をエクスプロイトします。詳しくは次のブログ記事をご覧ください。 http://blog.talosintelligence.com/2017/06/worldwide-ransomware-variant.html http://blog.talosintelligence.com/2017/07/the-medoc-connection.html.
Win.Trojan.Fileinfector-67
ワーム
ファイルシステム内のあらゆるファイルにコードを注入することで拡散するファイル感染ウイルスです。
Win.Trojan.Fynloski-6332091-0
Trojan（トロイの木馬）
感染したコンピュータに別のマルウェアを配信するトロイの木馬です。これらのサンプルは自己解凍式の Cab アーカイブであり、ドロップされたバイナリには一層の難読化が施されています。実際のコードは mov 命令でスタック上に展開されます。
Win.Trojan.Siggen-6261194-0
トロイの木馬
これは .Net マルウェアであり、VM 対策が施されています。感染した PC がネットワークに接続されており、計装環境でない場合は、別のプロセスに自身を注入して CnC サーバへの接続を試みます。

脅威

Doc.Downloader.Generic-6332126-0

侵害の兆候

レジストリ キー

ミューテックス

Local\10MU_ACBPIDS_S-1-5-5-0-61147
Local\10MU_ACBPIDS_S-1-5-5-0-58021
\Sessions\1\BaseNamedObjects\Local\10MU_ACBPIDS_S-1-5-5-0-59580

IP アドレス

119[.]28[.]71[.]78
109[.]86[.]76[.]58
37[.]115[.]165[.]159

ドメイン名

hoefnen[.]xyz
berasadot[.]top
bagrati[.]top
page[.]numberx[.]org
au[.]forestllc[.]org

作成されたファイルやディレクトリ

%TEMP%\iio322171.uu
%AppData%\Microsoft\Windows\Temporary Internet Files\Content.IE5\7N5LGTOO\lsmkk2[1].exe
%AppData%\Microsoft\Office\Recent\account_3166.LNK
%AppData%\Microsoft\Office\Recent\statement_d0bwfa.LNK
%AppData%\Microsoft\Templates\~$Normal.dotm

ファイルのハッシュ値

a825d66cf2dbc9d745ef75837b68adee35aac2620e6933876d7662bf1f815a90
ed62f5e6c396940a455a82a7a1864ac696fb00e576631b3293ec53bb4292700d
5788dbf3fef2fbf8f4dbe3edfe8ddc955c9741f6d7287f5d7427d0df53275108
e2c4800a2a925ef71fe173269fe237bd2a43706e897c2de59f96ad5064a2389e
bf544987ac6ee03cb089d54fac8c885bb4c02ef709576f46890d51335a15bef1
542abc75b0bba97deafa82b3424afb98beee71d71599345e659038a7dc969219

カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid

Umbrella

Screenshot