2018年8月29日 Leave a Comment

8 月 17 日～ 8 月 24 日の 1 週間における脅威のまとめ

2 min read

TALOS Japan

前回と同様、8 月 17 日から 8 月 24 日の 1 週間に最も蔓延した脅威を、Talos の観察結果を踏まえて公開します。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性とセキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。?

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

今回紹介する最も一般的な脅威は次のとおりです。

Dropper.Delf-6652911-0
Dropper
このファミリは一般的なマルウェアで、通常はこの感染を皮切りに深部まで感染していきます。ペイロードがマシン上で実行されると、新たなバイナリをダウンロードして実行します。このマルウェアは認証情報をターゲットとしており、Outlook、Thunderbird、Firefox などの有名なアプリケーションに狙いを定めます
Malware.Generic-6652641-0
マルウェア
一般的なトロイの木馬で、AutoRun キーを使って永続性を確立し、コマンドアンドコントロール（C2）サーバに接続し、感染したホストから情報を盗もうとします。
Dropper.Generickdz-6652226-0
Dropper
このファミリは一般的なマルウェアで、通常はこの感染を皮切りに深部まで感染していきます。ペイロードがマシン上で実行されると、Gandcrab などの新しいバイナリをダウンロードして実行します。
Dropper.Ponystealer-6652151-0
Dropper
このマルウェアは PonyStealer の Dropper です。PonyStealer とは、Web ブラウザ、メールクライアント、インスタントメッセージアプリケーションなどのソフトウェアからパスワードを盗もうとするボットです。
Dropper.Zbot-6651705-0
Dropper
Zeus（Zbot とも呼ばれる）は、多くの悪意ある行為を遂行するために使用される、トロイの木馬マルウェアのパッケージです。Man in the Browser によるキーストロークのロギングやフォームの乗っ取りによってバンキング情報を盗むために頻繁に悪用されます。
Win.Adware.Ibryte-6651661-0
アドウェア
Ibryte はアドウェアのドロッパーと考えられます。インストールされると、アドウェアをダウンロードしてインストールしようとします。対象にはウィルス対策プログラムやメディアプレーヤーも含まれます。
Dropper.Razy-6651608-0
Dropper
「Razy」は、Windows 向けトロイの木馬の一般的な検出名として頻出します。しかしより最近のケースでは、暗号化したファイルを拡張子「.razy」でディスクに書き込むランサムウェアが発見されており、こちらも「Razy」と呼ばれています。ただし、今回のサンプルは前者です。感染したホストから機密情報を収集し、データをフォーマットし暗号化して C2 サーバに送信します。
Dropper.Cloud-6651616-0
Dropper
初期バイナリには AutoIt スクリプトが含まれています。スクリプトは難読化されています。AutoIt の DllStructCreate と DllStructSetData によって、複数のインメモリ DLL 構造体を作成します。スクリプトは、これらの DLL 構造に挿入されたシェルコードを実行します。
Win.Adware.Dotdo-6651541-0
アドウェア
プロキシをセットアップしてマシンのブラウザに広告を配信します。一部の亜種では、セキュリティソフトウェアのダウンロードを阻止して、アドウェアの削除を妨害します。
Dropper.Fareit-6651429-0
Dropper
Fareit は、格納済みログイン情報などの機密情報を盗む目的で作られたマルウェアです。詳細については、Talos のブログ記事 [英語] をご覧ください。

脅威

Win.Dropper.Delf-6652911-0

侵害の兆候

レジストリ キー

ミューテックス

3749282D282E1E80C56CAE5A

IP アドレス

216[.]146[.]43[.]71
103[.]63[.]2[.]227

ドメイン名

checkip[.]dyndns[.]org
ajmanz[.]gq

作成されたファイルやディレクトリ

%LocalAppData%\Temp\P8g.exe
%LocalAppData%\Temp\-1260536341.bat

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella