2018年5月25日 Leave a Comment

5 月 4 日～ 5 月 11 日の 1 週間におけるマルウェアのまとめ

2 min read

TALOS Japan

本日の投稿では、5 月 4 日～ 5 月 11 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

今回紹介する最も一般的な脅威は次のとおりです。

Win.Dropper.Zbot-6533101-0
Dropper
Zeus（Zbot とも呼ばれる）は、多くの悪意ある犯罪行為を遂行するために使用される、トロイの木馬マルウェアのパッケージです。これはしばしば、Man in the Browser によるキーストロークのロギングやフォームの乗っ取りによってバンキング情報を盗むために悪用されるものです。
Win.Dropper.Khalesi-6535750-0
Dropper
トロイの木馬は、オペレーティングシステムへの特権アクセスを取得し、目的の機能を実行しているように見せかけて、実際には悪意のあるペイロードをドロップするプログラムです。このペイロードの多くは、システムへの不正アクセスを許可するバックドアです。トロイの木馬は情報を盗んだり、ホストシステムを感染させたりする可能性があります。これらは一般的に、スパム、ドライブバイダウンロード、ゲームやインターネットのアプリケーションに組み込まれて拡散されます。
Win.Dropper.Gandcrab-6530134-0
Dropper
Gandcrab はドキュメント、写真、データベース、その他重要ファイルを、「GDCB」や「CRAB」の拡張子を使用して暗号化するランサムウェアです。Gandcrab は Rig や Grandsoft などを含む複数の悪用キットと同様、従来の両スパムキャンペーンを介して広がっています。

脅威

Win.Dropper.Zbot-6533101-0

侵入の痕跡

レジストリ キー

<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
- 値： ProxyServer
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
- 値： AutoDetect
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
- 値： ProxyOverride
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
- 値： ProxyEnable
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
- 値： AutoConfigURL
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\CONNECTIONS
- 値： SavedLegacySettings
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\CONNECTIONS
- 値： DefaultConnectionSettings
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\ACTION CENTER\CHECKS\{E8433B72-5842-4D43-8645-BC2C35960837}.CHECK.104
- 値： CheckSetting
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\ACTION CENTER\CHECKS\{E8433B72-5842-4D43-8645-BC2C35960837}.CHECK.103
- 値： CheckSetting
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\ACTION CENTER\CHECKS\{E8433B72-5842-4D43-8645-BC2C35960837}.CHECK.102
- 値： CheckSetting
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\ACTION CENTER\CHECKS\{E8433B72-5842-4D43-8645-BC2C35960837}.CHECK.101
- 値： CheckSetting
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\ACTION CENTER\CHECKS\{E8433B72-5842-4D43-8645-BC2C35960837}.CHECK.100
- 値： CheckSetting
<HKU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
<HKU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
<HKCU>\SOFTWARE\MICROSOFT\INTERNET EXPLORER\PRIVACY
- 値： CleanCookies
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
- 値： internat.exe
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
- 値： {1BBA4DA8-81FD-E86C-47AD-DE1A52F353F7}
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\5.0\CACHE\HISTORY
- 値： CachePrefix
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\NETBT\PARAMETERS\INTERFACES\TCPIP_{9EB90D23-C5F9-4104-85A8-47DD7F6C4070}
- 値： DhcpNetbiosOptions
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\NETBT\PARAMETERS\INTERFACES\TCPIP_{9EB90D23-C5F9-4104-85A8-47DD7F6C4070}
- 値： DhcpNameServerList
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\TCPIP\PARAMETERS\INTERFACES\{9EB90D23-C5F9-4104-85A8-47DD7F6C4070}
- 値： DhcpDefaultGateway
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\TCPIP\PARAMETERS\INTERFACES\{9EB90D23-C5F9-4104-85A8-47DD7F6C4070}
- 値： DhcpDomain
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\TCPIP\PARAMETERS\INTERFACES\{9EB90D23-C5F9-4104-85A8-47DD7F6C4070}
- 値： DhcpNameServer
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\TCPIP\PARAMETERS\INTERFACES\{9EB90D23-C5F9-4104-85A8-47DD7F6C4070}
- 値： DhcpSubnetMaskOpt
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\TCPIP\PARAMETERS\INTERFACES\{9EB90D23-C5F9-4104-85A8-47DD7F6C4070}
- 値： DhcpInterfaceOptions
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\5.0\CACHE\CONTENT
- 値： CachePrefix
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\TCPIP\PARAMETERS
- 値： DhcpDomain
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\TCPIP\PARAMETERS
- 値： DhcpNameServer
<HKCU>\SOFTWARE\MICROSOFT\NAEGOP
- 値： Kypuubb
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP
- 値： UNCAsIntranet
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP
- 値： AutoDetect
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP
- 値： ProxyBypass
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP
- 値： IntranetName
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\NETBT\PARAMETERS
- 値： DhcpScopeID
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP
- 値： ProxyBypass
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP
- 値： IntranetName
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\5.0\CACHE\COOKIES
- 値： CachePrefix
<HKU>\Identities\{20DF22BC-6CEF-4DC3-9D67-B017F18A4D87}\Software\Microsoft\Outlook Express\5.0
<HKU>\Software\Microsoft\Bole
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONES\4
- 値： 1609
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONES\4
- 値： 1406
<HKU>\Software\Microsoft\Internet Explorer\PhishingFilter
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONES\2
- 値： 1609
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONES\2
- 値： 1406
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONES\1
- 値： 1609
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONES\1
- 値： 1406
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MPSSVC\PARAMETERS\PORTKEYWORDS\DHCP
- 値： Collection
<HKCU>\SOFTWARE\MICROSOFT\Naegop
<HKCU>\SOFTWARE\Microsoft\Naegop
<HKU>\Software\Microsoft\Internet Explorer\Privacy
<HKCU>\Software\Microsoft\Windows\Currentversion\Run
<HKU>\Software\Microsoft\WAB\WAB4
<HKU>\Software\Microsoft\Windows\CurrentVersion\Run
<HKCU>\Software\Microsoft\Internet Explorer\Privacy
<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings
<HKCU>\SOFTWARE\Microsoft
<HKU>\Software\Microsoft\Bole

ミューテックス

\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-A687-6AA2864FE740}
\BaseNamedObjects\Local\{A3B40D9B-F602-0E7A-E1A6-CDF8C16E401A}
\BaseNamedObjects\Local\{A3B40D98-F601-0E7A-E1A6-CDF8C16E401A}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-0E81-6AA22E49E740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-AE83-6AA28E4BE740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-FE84-6AA2DE4CE740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-E682-6AA2C64AE740}
\BaseNamedObjects\Local\{881268A9-9330-25DC-E1A6-CDF8C16E401A}
\BaseNamedObjects\Global\{C252BB8C-4015-6F9C-E1A6-CDF8C16E401A}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-6680-6AA24648E740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-8A81-6AA2AA49E740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-4E82-6AA26E4AE740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-D287-6AA2F24FE740}
\BaseNamedObjects\Global\{C252BB8D-4014-6F9C-E1A6-CDF8C16E401A}
\BaseNamedObjects\Global\{2A12683C-93A5-87DC-E1A6-CDF8C16E401A}
\BaseNamedObjects\Global\{CEBE6CB8-9721-6370-E1A6-CDF8C16E401A}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-9283-6AA2B24BE740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-2683-6AA2064BE740}
\BaseNamedObjects\Global\{CEBE6CB7-972E-6370-E1A6-CDF8C16E401A}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-9A82-6AA2BA4AE740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-368F-6AA21647E740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-5E8A-6AA27E42E740}
\BaseNamedObjects\Global\{A86A58AE-A337-05A4-E1A6-CDF8C16E401A}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-BE86-6AA29E4EE740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-2E8D-6AA20E45E740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-8E85-6AA2AE4DE740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-C684-6AA2E64CE740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-4686-6AA2664EE740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-1A83-6AA23A4BE740}
\BaseNamedObjects\Global\{D1EC3E61-C5F8-7C22-9284-6AA2B24CE740}
\BaseNamedObjects\Global\{320B4DE2-B67B-9FC5-E1A6-CDF8C16E401A}
\BaseNamedObjects\Global\{3D11D76B-2CF2-90DF-E1A6-CDF8C16E401A}

IP アドレス

185[.]24[.]234[.]54

ドメイン名

作成されたファイルやディレクトリ

%LocalAppData%\Temp\tmp60e9fbcd.bat
%AppData%\Neku
%AppData%\Neku\amto.exe
%AppData%\Leolo
%AppData%\Leolo\peogh.vus

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

Threat Grid