脅威リサーチ

9 月 22 日～ 9 月 29 日の 1 週間におけるマルウェアのまとめ

TALOS Japan
2017年10月5日

本日（9 月 29 日）の投稿では、9 月 22 日～ 9 月 29 日の 1 週間で Talos が確認した、最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

今回紹介する最も一般的な脅威は次のとおりです。

Doc.Downloader.Jrat-6336393-1
ダウンローダ
OLE オブジェクトが埋め込まれた、悪意のある Office ドキュメントです。OLE オブジェクトは実行可能ファイルまたは Java JAR モジュールのいずれかで、特定のドメインに接続して悪意のあるコードを追加ダウンロードするのが主な目的です。
Doc.Dropper.Agent-6336814-0
Office マクロダウンローダ
難読化された Office マクロのダウンローダで、悪意のあるペイロード（実行可能ファイル）のダウンロードを試みます。
Doc.Macro.DownloadExe-6336397-0
Office マクロ
一連のダウンローダから構成されており、ハードコードされた URL からサンプルをダウンロードして実行します。VBA は難読化されていませんが、タスクを達成するのに十分な機能は備えています。
Doc.Macro.VBSDownloader-6336817-0
ダウンローダ
これらの Word ドキュメントのマクロは base64 でエンコードされており、実行すると難読化された URL リストから悪質な追加ファイルをダウンロードします。
Win.Ransomware.TorrentLocker-6336835-0
ランサムウェア
TorrentLocker は感染したホスト上のファイルを AES で暗号化し、Bitcoin で身代金を要求します。コードは、文字の置換、選択的なサブセットの解析、および（後で実行するためにスタックに書き込まれる）最終変換によって、一連の文字列から解凍されます。その後、生成された子プロセスが実行され、追加のバイナリがドロップされます。
Win.Spyware.CCBkdr-6336251-2
APT サプライチェーン攻撃
CCleaner バージョン33 はベンダー署名が付与される前に侵害されたため、バックドアモジュールが組み込まれた状態で配布されました。詳細については、http://blog.talosintelligence.com/2017/09/avast-distributes-malware.html および http://blog.talosintelligence.com/2017/09/ccleaner-c2-concern.html のブログ記事をご覧ください。
Win.Trojan.Beeldeb-6336738-0
Trojan（トロイの木馬）
Trojan.Beeldeb-6336738-0 は自己実行型 AutoIT スクリプトです。マルウェアのペイロードは、ドロップされた実行可能ファイルに注入されます。さらに、スタートアップフォルダにマルウェア自体を追加することで永続化を図ります。
Win.Trojan.Cossta-237
Trojan（トロイの木馬）
Trojan.Costa-237 はトロイの木馬で、追加ファイルをダウンロードします。攻撃者からの指示を実行する機能もあります。
Win.Worm.Untukmu-5949608-0
ワーム
非常に危険性の高いワームで、アンチデバッグ技術や SafeBoot による駆除を回避するための分析回避手法も複数含まれています。感染すると永続化し、CMD とレジストリエディタを無効化します。

脅威

Doc.Downloader.Jrat-6336393-1

侵害の兆候

レジストリ キー

ミューテックス

IP アドレス

ドメイン名

mike22[.]linkpc[.]net

作成されたファイルやディレクトリ

%AppData%\Microsoft\Office\Recent\ITT Tender – ABB -3600002386- Provision of Supply and Installation.LNK

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella