2019年3月7日 Leave a Comment

2 月 15 日から 2 月 22 日の 1 週間における脅威のまとめ

1 min read

TALOS Japan

本日（2 月 22 日）の投稿では、2 月 15 日～ 2 月 22 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらの JSON ファイルをご覧ください。これまでと同様に、このドキュメントに記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは必ずしも悪意があるとは限らないことに留意してください。

今回紹介する最も一般的な脅威は次のとおりです。

Downloader.Emotet-6861668-0
ダウンローダ
Emotet は、最近で最も拡散された活発なマルウェアファミリのひとつです。さまざまなペイロードを配布する非常に高度なモジュール型の脅威です。Emotet はマクロを含む Microsoft Office 文書を介して配布されます。それらの文書は通常、悪意のあるメールの添付ファイルとして送付されます。
Packed.Nymaim-6860565-0
パック処理済み
Nymaim は、ランサムウェアやその他の悪意のあるペイロードを配布するために使用されるマルウェアです。ドメイン生成アルゴリズムを利用して、別のペイロードに接続するための潜在的なコマンドアンドコントロール（C2）ドメインを生成します。
Malware.Icloader-6860563-0
マルウェア
Icloader はアドウェアと挙動が非常に似ている一般的なマルウェアです。このサンプルは圧縮されており、分析を妨害して実際のアクティビティを隠すために回避チェックを実施します。このファミリは、他のプロセスのアドレス空間にコードをインジェクションし、リモートサーバにファイルをアップロードすることができます。
Malware.Bublik-6860562-0
マルウェア
Bublik は Windows ホストを標的にするダウンローダです。主にさまざまなバンキング型トロイの木馬を配布するマルウェアとして使用されますが、ホストから機密情報を抽出または窃取する能力も備えています。
Ransomware.Razy-6860532-0
ランサムウェア
Razy は、Windows を標的としたトロイの木馬の一般的な検出名として頻出します。感染したホストから機密情報を収集し、データをフォーマットし暗号化して C2 サーバに送信します。この場合、特定クラスタの一部のサンプルが Cerber サンプルを起因することがあります。ただし、検出に変化はありません。
Worm.Vobfus-6860533-0
ワーム
自身を外部ドライブにコピーし、autorun.inf ファイルを介して自動コード実行を試みます。また、システムの起動時に自身が実行されるようにレジストリを改ざんします。インストールが完了すると、コマンドアンドコントロール（C2）サーバから後続のマルウェアをダウンロードしようと試みます。

脅威

Doc.Downloader.Emotet-6861668-0

侵害の兆候

レジストリ キー

ミューテックス

Global\PowerShell_CommandAnalysis_Lock_S-1-5-21-2580483871-590521980-3826313501-500

マルウェアから接触があった IP?アドレス（必ずしも悪意があるとは限りません）

189[.]236[.]235[.]73
70[.]184[.]86[.]103
76[.]113[.]130[.]72
117[.]52[.]20[.]53
66[.]216[.]234[.]131

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

bazee365[.]com
serhatevren[.]godohosting[.]com
mediarox[.]com

作成されたファイルやディレクトリ

%UserProfile%\405.exe
%WinDir%\SysWOW64\E7LYsu6obSo.exe
%LocalAppData%\Temp\kfcdv0jf.wos.psm1
%LocalAppData%\Temp\lu4nllxj.0of.ps1
%UserProfile%\Documents\20190218\PowerShell_transcript.PC.gVgu3PJN.20190218204843.txt

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid

Cisco Umbrella

マルウェア