2018年9月21日 Leave a Comment

8 月 31 日から 9 月 7 日における脅威のまとめ

2 min read

TALOS Japan

前回と同様、8 月 31 日から 9 月 7 日の 1 週間にかけて最も蔓延した脅威を、Talos の観察結果を踏まえて公開します。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性とセキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。?

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

今回紹介する最も一般的な脅威は次のとおりです。

Dropper.Generickdz-6671833-0
Dropper
マルウェアをラッピングする BobSoft Delphi アプリケーションです。現在のキャンペーンでは、スパイウェアの「HawkEye」がインストールされます。マルウェアはプロセスの中断を利用して検出を逃れ、Windows レジストリに自動起動キーを作成して自身を永続化（再起動後も実行）します。
Dropper.Kovter-6669952-0
Dropper
Visual Basic で作成された Dropper で、電子メールで配布されています。レジストリ内の PowerShell スクリプトおよび大型のオブジェクトを使用して、埋め込まれたマルウェアを隠します。
Dropper.Upatre-6669126-0
Dropper
ThreatGrid サンドボックス内では、Word ドキュメントによってドロップされることが確認されました。今回のサンプルはコードインジェクションを実行し、PAGE_EXECUTE_READWRITE 権限で割り当てられたメモリページを介して Windows の DEP を回避できる機能を備えています。
Dropper.Valyria-6668024-0
Dropper
悪意のある Word ドキュメントで、マルウェアをドロップします。現在のキャンペーンでは Emotet マルウェアを拡散させています。
Dropper.Chronos-6667983-0
Dropper
悪意のある Word ドキュメントです。ThreatGrid サンドボックス内で実行可能ファイルをドロップしたことで発見されました。現在のキャンペーンではバンキング型トロイの木馬を配布しています。これは、マルウェアのプロキシを通じてインターネットトラフィックをリダイレクトし、銀行の認証情報を盗もうとします。
Packed.Generic-6667111-0
パッカーにより圧縮（Packed）されたマルウェア
Visual Basic で書かれた実行可能ファイルです。標的マシン上でプロキシ設定を改ざんし、インターネットトラフィックを検査して情報を盗もうとします。また、ブラウザのパスワードデータベースからローカルパスワードを流出させます。

脅威

Win.Dropper.Generickdz-6671833-0

侵害の兆候

レジストリ キー

<HKCU>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\33fd244257221b4aa4a1d9e6cacf8474
<HKCU>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\3517490d76624c419a828607e2a54604
<HKCU>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\4c8f4917d8ab2943a2b2d4227b0585bf
<HKCU>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676\00000001
<HKCU>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676\00000002
<HKLM>\SOFTWARE\Wow6432Node\Mozilla\Mozilla Firefox\
<HKLM>\SOFTWARE\Wow6432Node\Mozilla\Mozilla Thunderbird\
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
- 値の名前：MJOXV418GJ

ミューテックス

8-3503835SZBFHHZ
59802CRW6VIZ62Az

IP アドレス

141[.]8[.]225[.]75
43[.]230[.]143[.]219
198[.]46[.]86[.]224
122[.]14[.]210[.]142
52[.]5[.]251[.]20

ドメイン名

www[.]americasculturalstudies[.]net
www[.]danhbaviet[.]com
www[.]kegodanang[.]com
www[.]www970234[.]com
www[.]vhecha[.]com
www[.]sevbizleadservices[.]com

作成されたファイルやディレクトリ

%AppData%\59802CRW\598log.ini
%AppData%\59802CRW\598logim.jpeg
%AppData%\59802CRW\598logrc.ini
%AppData%\59802CRW\598logri.ini
%AppData%\59802CRW\598logrv.ini
\TEMP\2995593463.exe

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella