2019年2月21日 Leave a Comment

2 月 1 日から 2 月 8 日の 1 週間における脅威のまとめ

2 min read

TALOS Japan

本日（2 月 8 日）の投稿では、2 月 1 日～ 2 月 8 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらの JSON ファイルをご覧ください。これまでと同様に、このドキュメントに記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは必ずしも悪意があるとは限らないことに留意してください。

今回紹介する最も一般的な脅威は次のとおりです。

Win.Adware.Softpulse-6848587-0
アドウェア
SoftPulse は悪意のあるソフトウェアをインストールし、仮想マシン回避テクニックを活用するアドウェアです。ローカルブラウザから機密扱いの可能性のある情報にアクセスする恐れがあります。
Downloader.Emotet-6846065-0
ダウンローダ
Emotet は、最近で最も拡散された活発なマルウェアファミリの 1 つです。さまざまなペイロードを配布する非常に高度なモジュール型の脅威です。Emotet はマクロを含む Microsoft Office 文書を介して配布されます。それらの文書は通常、悪意のあるメールの添付ファイルとして送付されます。
Win.Adware.Razy-6847375-0
アドウェア
Razy は、Windows を標的としたトロイの木馬の一般的な検出名として頻出します。このサンプル群のリソースセクションには暗号化されたコードが含まれており、このコードが正規のプロセスに注入される危険性があります。
Win.Trojan.00519ead-6847245-0
トロイの木馬
PUA.Win.Trojan.00519ead は一連の悪意のあるアドウェアサンプルを指します。AppInit DLL テクニックを使って永続化を達成し、DNS クエリを実行する可能性があります。
Win.Adware.Sanctionedmedia-6818436-0
アドウェア
このサンプル群含まれる .NET アドウェアサンプルには、コードを注入する、着信接続をリッスンするためにポートを開く、システム復元を無効化する、システムディレクトリ内のファイルを変更する、ブラックリストに登録されているドメインに接続する、レジストリを変更する、さらには、自身を USB ドライブにコピーするなどの機能があります。
Ransomware.Gandcrab-6843341-0
ランサムウェア
Gandcrab は、ドキュメント、写真やデータベースなどの重要ファイルを、「GDCB」、「CRAB」や「KRAB」の拡張子で暗号化するランサムウェアです。複数のエクスプロイトキット（Rig や GrandSoft.など）に加えて、従来のスパムキャンペーンでも拡散しています。

脅威

PUA.Win.Adware.Softpulse-6848587-0

侵害の兆候

レジストリ キー

<HKLM>\SYSTEM\CONTROLSET001\CONTROL\NETWORK\{4D36E972-E325-11CE-BFC1-08002BE10318}\{9EB90D23-C5F9-4104-85A8-47DD7F6C4070}\CONNECTION
- 値の名前：PnpInstanceID
- <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP
- 値の名前：ProxyBypass
- <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\ZONEMAP
- 値の名前：IntranetName

ミューテックス

マルウェアから接触があった IP?アドレス（必ずしも悪意があるとは限りません）

該当なし

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

6nu2bfmath[.]mrzp97cmg3[.]com

作成されたファイルやディレクトリ

%LocalAppData%\Temp\~DF38A714DABA77BAE2.TMP

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid

Umbrella

マルウェア