2017年8月22日 Leave a Comment

8 月 11 日～ 8 月 18 日の 1 週間のマルウェアに関するまとめ

1 min read

TALOS Japan

本日（8月18日）の投稿では、8 月 11 日～ 8月 18 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、FireSIGHT Management Center、Snort.org、または ClamAV.net を参照してください。

今週最も蔓延した脅威は次のとおりです。

Downloader.Agent-6335676-0
Office マクロダウンローダ
難読化された Office マクロのダウンローダで、悪意のあるペイロード（実行可能ファイル）のダウンロードを試みます。典型的な実行の流れは、Word -> シェル関数 -> CMD -> PowerShell（ダウンロード・実行）です。

Dropper.Agent-6335671-0
Office マクロダウンローダ
難読化された Office マクロのダウンローダで、悪意のあるペイロード（実行可能ファイル）のダウンロードを試みます。

Macro.JunkCode-6335442-0
Office マクロ
悪意のある Office マクロの多くは、分析を妨げるために難読化されています。そのため、一部の Office マクロはノーオペレーション（ジャンク）命令となり、検出可能なアーチファクトを生成します。

Trojan.Expiro-6335658-0
Trojan（トロイの木馬）
このサンプルはトロイの木馬です。アンチデバッグ手口を採り入れており、自動解析や手動デバッグを妨げます。サンプルを実行するには、サンドボックスを適切にインストールする必要があります。

Trojan.Ovidiy-6333880-0
Trojan（トロイの木馬）
Ovidiy（別名 Ovidiy Stealer）は、現在も活発に開発されている Windows トロイの木馬で、クレデンシャルの Stealer として機能します。本質的にはモジュール式ですが、Web ブラウザセッションで生成されたクレデンシャルを主な標的にしています。これにはいくつかの C2 機能が含まれており、一部のホスト情報と共にビーコン出力します。このトロイの木馬は .NET 言語で記述されており、発見されたサンプルも多くが .NET バイナリに特化したいくつかのパッカーで保護されています。

Trojan.Tinba-6333828-1
Trojan（トロイの木馬）
Tinba はバンキングを標的にしたトロイの木馬で、Web ブラウザに注入された javascript を介して被害者の秘密情報を盗むことに重点を置いています。Tinba のソースコードは 2014 年に流出したもので、マルウェア開発者は簡単に改造できます。

脅威

Doc.Downloader.Agent-6335676-0

侵害の兆候

レジストリ キー

ミューテックス

IP アドレス

78[.]47[.]139[.]102
193[.]227[.]248[.]241
104[.]160[.]185[.]215

ドメイン名

campusassas[.]com
campuslinne[.]com

作成されたファイルやディレクトリ

%SystemDrive%\Documents and Settings\Administrator\Local Settings\Temp\qdvjnh.bat
%SystemDrive%\Documents and Settings\Administrator\Local Settings\Temp\plzea.exe

ファイルのハッシュ値

7ffabe10f4147ce48fc9ae40cdc7778d08ac7881b779743720e2c4313592445b
c2a3dcd915905c09026044e8da533455a2742196e4294cfffc000c048c1ea9cc
f756ea3c00d7a3dc3ff1c0224add01e8189375a64fbcd5c97f551d64c80cbdba

カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid

Umbrella

Screenshot