2017年7月25日 Leave a Comment

7 月 14 日～ 7 月 21 日の 1 週間のマルウェアに関するまとめ

1 min read

TALOS Japan

本日の投稿では、7 月 14 日～ 7 月 21 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

今週最も蔓延した脅威は次のとおりです。

Doc.Downloader.Agent-6333860-0
難読化されたドキュメントマクロ
この種のドキュメントダウンローダは Excel ワークシートに潜んでおり、難読化されたマクロを使用してシェル関数を起動し、CMD から PowerShell を呼び出します。典型的な実行の流れは、Excel -> CMD -> PowerShell（ダウンロード・実行）です。
Doc.Dropper.Agent-6333859-0
Office マクロダウンローダ
難読化された Office マクロのダウンローダで、悪意のあるペイロード（実行可能ファイル）のダウンロードを試みます。
Doc.Macro.Obfuscation-6332451-0
Office マクロ
マルウェアの多くは、Office ドキュメントを足がかりに標的システムを侵害します。こうしたマルウェアでは、アンチウイルス対策として難読化を施しています。今回確認されたクラスタは、配列を使用してデータに間接的にアクセスし、評価できるデータへと再構成します。
Js.Dropper.sPowerShell-6333821-0
Dropper
sPowerShell は PowerShell スクリプトで記述された JavaScript Dropper で、ランサムウェアとスティーラーの両方をドロップします。スクリプト自体は Base64 でエンコードされており、元の JS スクリプトによりデコードされます。ランサムウェアがデコードされると、リストに含まれる拡張子のファイルを暗号化します。暗号化されたファイルの拡張子は変更されず、身代金が自動的に表示されることもありません。このため、ファイルが暗号化されたことや、残された身代金メッセージに気付かない場合もあります。
Win.Trojan.Agent-1388716
Trojan（トロイの木馬）
今回のサンプルはポリモーフィック型の Dropper です。永続性を担保するために、ランダムな名前と共に本体のコピーをハードドライブ上に複数作成します。悪意のあるペイロードには幅広く対応しているため、さまざまな脅威用途で活用される危険性があります。
Win.Trojan.AutoIT-6333854-0
Trojan（トロイの木馬）
自己実行型の RAR アーカイブに含まれる AutoIT マルウェアです。プロセスの空洞化を悪用してデバッガから本体を隠し、リモート Web サーバと通信します。Firefox のパスワードストアからパスワードを盗み出し、永続性を担保するために自動実行レジストリキーを追加する機能も備えています。
Win.Trojan.DelphiSpamDown-6333856-0
ダウンローダ
このサンプルは Delphi ダウンローダで、現在多用されており、大規模なスパムキャンペーンでも使用されています。バイナリは Delphi で記述されており、デバッグ・アンチウイルス対策も施されています。リモートサーバに接続し、追加リソースのダウンロードを試みます。
Win.Virus.Virlock-6332874-0
ウイルス
「VirLock」とその亜種はポリモーフィック型のランサムウェアで、システム上のファイルを暗号化するだけでなく、各ファイルの先頭に独自の改造コードを挿入することでファイルを感染させる能力も併せ持ちます。感染したシステム上ではファイルを実行ファイルに置き換えますが、元のファイルと同じアイコンを使用し exe の拡張子を隠すことで、感染ファイルを元のファイルとして偽装します。いったん実行されるとシステムに感染し、元のファイルの内容を表示します。画面をロックして、ユーザに身代金を支払うように要求するようになります。VirLock はcom に接続し、google.co.uk や google.au などのローカライズページにリダイレクトされるかどうかを確認しようとします。ネットワーク共有やクラウドストレージプラットフォームへの感染も試みます。これにより被害が拡大し、（感染した共有ファイルを誤って開くかもしれない）他のユーザに感染する危険性も高くなります。

脅威

Doc.Downloader.Agent-6333860-0

侵害の兆候

レジストリ キー

ミューテックス

IP アドレス

52[.]14[.]80[.]76
52[.]173[.]193[.]166

ドメイン名

farmona[.]co

作成されたファイルやディレクトリ

%TEMP%\CVR668.tmp.cvr
%AppData%.exe

ファイルのハッシュ値

01c4f96c8117df219cf9f50723454ace242edcf2d22b09e8e72c5d0c92aad540
01ed6302a7ea8d4c54d439b7016b99b6dca275f85d22611811bac8c135309d41
0634216b34baf0fdc293002632932312293fc4854701b143c6f4735e8cd98b45
070e56e7170fc63c1c42c3b0b37df5a25f5c7e2e0a5fd454e8e8e63de2b71bdf
07aa3365d733098e11e91ece1628130217414488d3fce0e2e261bfb29ab6fed9
0be6e5bb277cbe815beced059aa5fb5160954dc8fd3fef918746caf276cc82a3
0fc8af1a3deb4d2895b9bb202278299369a16950239288577472bc06fbf07e4b
13fd575d1474ae579f55615733f75fa50231447b8653e6eb58678103ee82e99e
1b01632e1a44445124165ed61592527fe649a32ed889ee75fdb73d07bf396812
2248f89b848781c0405cc0cead60172ec75e035aca12e8c147818192fde2266d
204ecc72a94c1d1ef60a08ccb132a5123d2e8dcfc16ef1cacebb20887049ec2d

カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid

Umbrella

Screenshot