2019年2月25日 Leave a Comment

2 月 8 日から 2 月 15 日の 1 週間における脅威のまとめ

1 min read

TALOS Japan

本日（2 月 15 日）の投稿では、2 月 8 日～ 2 月 15 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらの JSON ファイルをご覧ください。これまでと同様に、このドキュメントに記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは必ずしも悪意があるとは限らないことに留意してください。

今回紹介する最も一般的な脅威は次のとおりです。

Virus.Expiro-6854765-0
ウイルス
Expiro は、デバッグ回避および分析回避テクニックで分析を妨害する既知のファイルインフェクタであり、情報窃取型ウィルスです。
Malware.Swisyn-6854761-0
マルウェア
このファミリはパック処理済みで、自身の挙動を隠すための分析回避の手口を備えています。バイナリが別の実行可能ファイルをドロップし、それが実行されると、他のプロセスのアドレス空間に悪意のあるコードを注入します。
Dropper.Ribaj-6855378-0
ドロッパー
このファミリは .NET で記述され、非常に悪質です。実行されると、これらのサンプルは Windows ディレクトリにファイルをドロップし、他のアプリケーションを修正して複数の子ファイルを生成します。これらのバイナリは、被害マシンのインターネット設定や証明書を変更することが Windows レジストリのアクティビティから確認されています。
Malware.Valyria-6855449-0
マルウェア
「Valyria」の亜種で、悪意のある Microsoft Word ファイルです。他のマルウェアを配布するための VBA マクロが埋め込まれています。
Malware.Cgok-6854725-0
マルウェア
これらのバイナリは仮想マシンおよび試験環境を検出することができます。逆アセンブル回避およびデバッグ回避テクニックを使って分析を複雑にすることもできます。このファミリは、追加のソフトウェアをインストールして情報をリモートサーバにアップロードすることが可能です。
Malware.Noon-6854584-0
マルウェア
このファミリは、非常に悪質で他のバイナリを実行します。これらのサンプルはリモートサーバに接続して被害マシンで収集した情報をアップロードします。永続性があります。

脅威

Win.Virus.Expiro-6854765-0

侵害の兆候

レジストリ キー

<HKCU>\Software
<HKCU>\Software\Microsoft\SystemCertificates\MY
<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1
<HKU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Connections
<HKU>\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders
<HKU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0
<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Setup

ミューテックス

TermService_Perf_Library_Lock_PID_194
kkq-vx_mtx87
\BaseNamedObjects\gazavat-svc
\BaseNamedObjects\kkq-vx_mtx1
\BaseNamedObjects\kkq-vx_mtx29
\BaseNamedObjects\gazavat-svc_29

マルウェアから接触があった IP?アドレス（必ずしも悪意があるとは限りません）

該当なし

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

該当なし

作成されたファイルやディレクトリ

\ROUTER
\MSOCache\All Users\{90140000-0115-0409-0000-0000000FF1CE}-C\DW20.EXE
\MSOCache\All Users\{90140000-0115-0409-0000-0000000FF1CE}-C\dwtrig20.exe
\MSOCache\All Users\{91140000-0011-0000-0000-0000000FF1CE}-C\ose.exe
%ProgramFiles%\Outlook Express\msimn.exe
%ProgramFiles%\Outlook Express\wab.exe
\SfcApi
%ProgramFiles%\Java\jre7\bin\java.exe
%System32%\tlntsvr.exe
\net\NtControlPipe14
%ProgramFiles%\Internet Explorer\iexplore.exe
%ProgramFiles%\Outlook Express\msimn.vir
%ProgramFiles%\Outlook Express\wab.vir
%System32%\narrator.exe
%System32%\utilman.exe

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid