2018年12月27日 Leave a Comment

12 月 14 日～ 12 月 21 日の 1 週間における脅威のまとめ

2 min read

TALOS Japan

本日の投稿では、12 月 14 日～ 12 月 21 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

この記事に記載されている IOC と、クラスタに関連するすべてのハッシュについては、こちらの JSON ファイルをご覧ください。本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。これまでと同様に、本記事に記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは悪意があると断定できないことに留意してください。

今回紹介する最も一般的な脅威は次のとおりです。

Trojan.Ircbot-6790011-0
トロイの木馬
Ircbot（別名「Eldorado」）は、プロセスへのインジェクション、リムーバブルメディアへの拡散、および Autorun.inf ファイルを介したコマンド実行の能力を備えています。
Malware.Valyria-6788933-0
マルウェア
「Valyria」の亜種で、悪意のある Microsoft Office ファイルです。他のマルウェアを配布するための VBA マクロが埋め込まれています。
Downloader.Emotet-6787868-0
ダウンローダ
バンキング型トロイの木馬で、ウイルス対策の回避手段が進化を続けているため現在も使用されています。一般に、悪意のある電子メールを介して拡散しています。
Worm.Vobfus-6789235-0
ワーム
自身を外部ドライブにコピーし、autorun.inf ファイルを介して自動コード実行を試みます。システムの起動時に実行されるようにレジストリを改ざんします。インストールが完了すると、コマンドアンドコントロール（C2）サーバから後続のマルウェアをダウンロードしようと試みます。
Spyware.Ursnif-6788669-0
スパイウェア
感染先から機微情報を盗むだけでなく、マルウェアのダウンローダとしても機能します。一般に、悪意のある電子メールやエクスプロイトキットを介して拡散しています。
Worm.Lolbot-6787741-0
ワーム
Lolbot は「Ganelp」とも呼ばれ、リムーバブルドライブを介して拡散します。感染先に他のファイルをダウンロードまたはアップロードする能力があります。
Trojan.Zegost-6787448-0
トロイの木馬
Zegost（別名「Zusy」）は中間者攻撃によりバンキング情報を盗み出します。実行されると、「explorer.exe」や「winver.exe」などの正当な Windows プロセスに自身を挿入します。ユーザが銀行の Web サイトにアクセスすると、個人情報の入力を促す偽のフォームを表示します。
Ransomware.Gandcrab-6787437-0
ランサムウェア
ドキュメント、写真やデータベースなどの重要ファイルを、「GDCB」、「CRAB」や「KRAB」の拡張子で暗号化するランサムウェアです。複数のエクスプロイトキット（Rig や Grandsoft など）に加えて、従来のスパムキャンペーンでも拡散しています。

脅威

Win.Trojan.Ircbot-6790011-0

侵害の兆候

レジストリ キー

<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
- 値の名前：exe
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
- 値の名前：Driver Control Manager v8.1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
- 値の名前：Driver Control Manager v8.1

ミューテックス

マルウェアから接触があった IP?アドレス（必ずしも悪意があるとは限りません）

199[.]2[.]137[.]20

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

tux[.]shannen[.]cc
fghfg[.]translate-google-cache[.]com
urcdw[.]zavoddebila[.]com

作成されたファイルやディレクトリ

\Autorun.inf
%LocalAppData%\Temp\sesdessetri.exe
%LocalAppData%\Temp\explorer_smece22487.tmp
\PC\PC\Desktop.ini
\PC\PC\PCph13.exe

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella