脅威リサーチ

7 月 28 日～ 8 月 4 日の 1 週間のマルウェアに関するまとめ

TALOS Japan
2017年8月8日

本日の投稿では、7 月 28 日～ 78月 4 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、FireSIGHT Management Center、Snort.org、または ClamAV.net を参照してください。

今週最も蔓延した脅威は次のとおりです。

Doc.Dropper.Agent-6334774-0
Office マクロダウンローダ
難読化された Office マクロのダウンローダで、悪意のあるペイロード（実行可能ファイル）のダウンロードを試みます。
Doc.Macro.Obfuscation-6334622-0
Office マクロ
重度に難読化された短い VB マクロです。自動検出を防ぐために、間接的に関数を呼び出します。
Vbs.Downloader.Trickbot-6333852-0
ダウンローダ
Trickbot はバンキング型トロイの木馬です。悪意のある複数のスパムキャンペーンを通じて流通しており、拡散度は最近急増しています。これらのキャンペーンの多くは、VBS スクリプトといった配布型ダウンローダに依存しています。Trickbot のダウンローダには、重度の難読化、文字列の分割、および正当なデータベースツール名の広範な使用（検出を回避する目的があると考えられる）といった特徴があります。
Win.Downloader.Psys-6334750-0
ダウンローダ
Adobe 社のアップデートソフトウェアを装い、埋め込まれた Tor クライアントを使用してファイルをダウンロードします。侵害されると、ビットコインマイニングソフトウェアや他のマルウェアをダウンロードして実行します。
Win.Downloader.Upatre-6333840-1
ダウンローダ
エクスプロイトキットやフィッシングキャンペーンで多用される、悪意のあるダウンローダです。感染すると、バンキングマルウェアなどの悪質な実行ファイルをダウンロードして実行します。
Win.Packer.VbPack-0-6334882-0
Visual Basic でパックされた実行可能ファイル
WEbPack の実行可能ファイルは制御フローを難読化します。この際に、保存されたリターンアドレスが文字列を参照するコール文を使用します。これら一連のコール文により、WIN32 API を悪用してライブラリ名やエクスポート関数などの文字列アーティファクトを収集し、悪意のあるペイロードの実行を準備します。
Win.Trojan.DownloadGuide-6335034-0
ダウンローダ
C++ で書かれた Trojan（トロイの木馬）型ダウンローダで、アプリケーションインストーラとして機能します。このマルウェアファミリは動的分析を妨げる手口を採用しており、プロキシを設定する機能も持ち合わせています。感染すると追加のコンポーネントがダウンロードされ、実行されます。
Win.Trojan.Madangel-1
Trojan（トロイの木馬）
ネットワーク共有を介して自身を複製し、最終的には C2 サーバに接続して他の実行ファイルを取得し、システムにインストールするトロイの木馬です。
Win.Trojan.Nitol-6335025-0
Trojan（トロイの木馬）
このマルウェアファミリは DDoS 攻撃を実行します。「\Windows」ディレクトリに本体をコピーし、レジストリキーに追加することで永続化します。さらに、元の実行可能ファイルを削除することで本体を隠す機能もあります。

脅威

Doc.Dropper.Agent-6334774-0

侵害の兆候

レジストリ キー

ミューテックス

IP アドレス

95[.]110[.]231[.]145
186[.]103[.]161[.]204

ドメイン名

kalorsystem[.]com

作成されたファイルやディレクトリ

%SystemDrive%\~$7661883.doc
\TEMP\Attach_ID547.doc
%SystemDrive%\DOCUME~1\ADMINI~1\LOCALS~1\Temp\743234.cvr
%AppData%\Microsoft\Office\Recent\Local Disk (C).LNK
%AppData%\Microsoft\Office\Recent\Attach_ID547.LNK
\TEMP\~WRL0053.tmp
%System32%\config\TxR\{016888cc-6c6f-11de-8d1d-001e0bcde3ec}.TxR.blf
%AppData%\jottingstributarysthesauri.exe
%System32%\Tasks\services update
\Users\Administrator\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.Word\~WRS{71906E9D-AD49-4D65-BCF8-C606DEC3CF07}.tmp
\TEMP\~$tach_ID547.doc
%AppData%\Microsoft\Office\Recent\267661883.doc.LNK
%AppData%\Microsoft\Office\Recent\sanctumscutlassesinstrumented.LNK
%AppData%\winapp\insshmfrsqhatsaqxrsgdratqh.exe
%TEMP%\CVRB190.tmp.cvr

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid

Umbrella