2019年3月13日 Leave a Comment

2 月 22 日から 3 月 1 日の 1 週間における脅威のまとめ

1 min read

TALOS Japan

本日（3 月 1 日）の投稿では、2 月 22 日～ 3 月 1 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらの JSON ファイルをご覧ください。これまでと同様に、このドキュメントに記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは必ずしも悪意があるとは限らないことに留意してください。

今回紹介する最も一般的な脅威は次のとおりです。

Malware.Bladabindi-6872031-8
マルウェア
njRAT（別名「Bladabindi」）は、感染済みホストでのコマンド実行や、キーストロークのロギング、さらには被害者の Web カメラやマイクのリモート操作を許可するリモートアクセスのトロイの木馬です。Sparclyheason グループによって開発されました。このマルウェアが不正利用された大規模な攻撃は 2014 年まで遡ります。
Malware.Vbtrojan-6871444-0
マルウェア
Visual Basic 5 のエクスプロイトに使用される悪意のあるツールです。
Malware.Ekstak-6871246-0
マルウェア
「localNETService」という名の新しいサービスとして自身をインストールすることで、システム権限を維持し続けます。
Trojan.Zbot-6871232-0
トロイの木馬
Zbot（別名「Zeus」）は、キーロギングやフォームグラビング（Form Grabbing）などの方法により銀行のクレデンシャルなどの情報を盗み出すトロイの木馬です。
Trojan.Bifrost-6871028-0
トロイの木馬
Bifrost は 10 以上の亜種を持つバックドア型マルウェアです。Bifrost は、標準的なサーバ、サーバビルダー、クライアントバックドアプログラムの構成を使って、（そのクライアントを使用する）攻撃者がリモートから標的マシン上で任意のコードを実行できるようにします。Bifrost には標準の RAT 機能（ファイルマネージャ、スクリーンキャプチャユーティリティ、キーロギング、ビデオ録画、マイクとカメラの監視、プロセスマネージャ）が備わっています。システム内で自身を指すために、「Bif1234」または「Tr0gBot」という名のミューテックスを使用します。
Malware.Emotet-6866090-1
マルウェア
Emotet は、最近で最も拡散された活発なマルウェアファミリの 1 つです。さまざまなペイロードを配布する非常に高度なモジュール型の脅威です。Emotet はマクロを含む Microsoft Office 文書を介して配布されます。それらの文書は通常、悪意のあるメールの添付ファイルとして送付されます。

脅威

Win.Malware.Bladabindi-6872031-8

侵害の兆候

レジストリ キー

<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
- 値の名前：exe
<HKLM>\System\CurrentControlSet\Services\NapAgent\Shas
<HKLM>\System\CurrentControlSet\Services\NapAgent\Qecs
<HKCU>\Software\Microsoft\Windows\CurrentVersion\Explorer\StartPage2
<HKLM>\System\CurrentControlSet\Services\NapAgent\LocalConfig
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\NAPAGENT\LOCALCONFIG\Enroll\HcsGroups
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\NAPAGENT\LOCALCONFIG\UI
<HKCU>\Software\76cbed672042da4827cdb3dabad9650b
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
- 値の名前：76cbed672042da4827cdb3dabad9650b
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
- 値の名前：76cbed672042da4827cdb3dabad9650b

ミューテックス

マルウェアから接触があった IP?アドレス（必ずしも悪意があるとは限りません）

75[.]115[.]14[.]18

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

aaasssddd[.]ddns[.]net

作成されたファイルやディレクトリ

%AppData%\Microsoft\Windows\Start Menu\Programs\Startup\5489098719807719809090807918.exe
%LocalAppData%\Temp\rat.exe
%AppData%\Microsoft\Windows\Start Menu\Programs\Startup\76cbed672042da4827cdb3dabad9650b.exe
%SystemDrive%\Documents and Settings\Administrator\Start Menu\Programs\Startup\5489098719807719809090807918.exe

ファイルのハッシュ値