2019年3月20日 Leave a Comment

3 月 1 日から 3 月 8 日の 1 週間における脅威のまとめ

1 min read

TALOS Japan

本日の投稿では、3 月 1 日～ 3 月 8 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらの JSON ファイルをご覧ください。これまでと同様に、このドキュメントに記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは必ずしも悪意があるとは限らないことに留意してください。

今回ご紹介する最も一般的な脅威は次のとおりです。

Malware.Bypassuac-6876875-0
マルウェア
Driverpack は 7zip を利用して、HTA ファイル（HTML）形式のマルウェアをシステムにインストールします。この HTML ファイルは Javascript を利用して悪意のあるアクションを実行します。
Malware.Swisyn-6877070-0
マルウェア
リモートアクセスツールを含む、悪意のあるソフトウェアをシステムにインストールするローダーです。侵害されたシステムでは、攻撃者が不正操作を意のままに実行できます。
Malware.Autoit-6877140-0
マルウェア
システム管理者の多くが使用する有名な自動化ツール「AutoIT」（Windows 用のプログラミング言語）を悪用したマルウェアです。AutoIT は豊富な機能を備えているため、完全なマルウェアを記述することもできます。このマルウェアファミリはシステムに本体をインストールし、C2 サーバに連絡して追加の指示を受けます。
Malware.Upatre-6877602-0
マルウェア
Upatre は本体をインストールし、コマンドアンドコントロール（C2）サーバに連絡するトロイの木馬です。感染したシステム上では、遠隔の攻撃者がさまざまな不正操作を実行できます。
Worm.Vobfus-6877836-0
ワーム
本体をシステムにインストールし、実行可能ファイルを作成して autorun.inf ファイルを別のファイルに書き込むことで、外付け USB ドライブに拡散しようとするトロイの木馬です。「System Volume Information.exe」などのファイル名を使用して本体を偽装し、Windows の更新を無効にするようシステム構成を変更します。また、コマンドアンドコントロール（C2）サーバに連絡して攻撃者からの指示を受け取ります。感染したシステムでは攻撃者が不正操作を実行する可能性があります
Malware.Tinba-6877885-0
マルウェア
銀行の認証情報を詐取するだけでなく、他のマルウェアもインストールするといった悪質な動作で有名なトロイの木馬です。
Downloader.Emotet-6878774-0
ダウンローダ
よく知られている悪意のあるダウンローダです。一般に Microsoft Word ドキュメントの形式で電子メールを介して拡散し、ユーザに添付ファイルを開くように促します。ユーザがファイルを開くと即座に感染します。

脅威

Win.Malware.Bypassuac-6876875-0

侵害の兆候

レジストリ キー

<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CurrentVersion
<HKU>\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders

ミューテックス

Local\DDrawDriverObjectListMutex
Local\DDrawWindowListMutex

マルウェアから接触があった IP?アドレス（必ずしも悪意があるとは限りません）

104[.]200[.]23[.]95

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

www[.]aieov[.]com
5isohu[.]com

作成されたファイルやディレクトリ

%SystemDrive%\DOCUME~1\ADMINI~1\LOCALS~1\Temp\7ZipSfx.000\bin\Tools\Icon.ico
%SystemDrive%\DOCUME~1\ADMINI~1\LOCALS~1\Temp\7ZipSfx.000\bin\Tools\patch.reg
%SystemDrive%\DOCUME~1\ADMINI~1\LOCALS~1\Temp\7ZipSfx.000\bin\drp.js
%SystemDrive%\DOCUME~1\ADMINI~1\LOCALS~1\Temp\7ZipSfx.000\bin\prepare.js
%SystemDrive%\DOCUME~1\ADMINI~1\LOCALS~1\Temp\7ZipSfx.000\bin\run.hta

ファイルのハッシュ値

019df18c50002faa5704c94a01896f745677cdc643adc48ae9257031c539f7a6
0eff6bd81b1bdc44924a5e662c3902c66b97a2542016574ace670edb135f7bc5
108cedab59d537fca166fec822b22039a19dcdc700e17d9ef39949ca1d3063e6
15c72f8cc77837cccede6e5f239bad225cd4abc65630470f779e8141d5e36987
1e8caa9a82f5170227c8ddfbb8c8dda8a89e1d0ca4a8ce517b7214a30ceb5b75
30f5055191f1b545cb56fb066b256238eea105343ca08a946e7e0b5644e5eb57
3c389aec59d31f2801ac82ee5eb1c31f1ece8abbfad2e3010e5cbbbb9d51109c
3faafbde8739f8900fdf4fec2a3be5d8c802ded73cea96e8e5d502a265ce9ed7
5a3224c6a47f10ed893e44a22e52cf41713fd284966675d59d8ca38f926313d1
5c382af6790fd2da04306edd283bce8cf84a7177417a33085e531043d9e381be
6b42155af6114d7098e4078fcf3e39543c9c9f1fd19d8151812bfb3da9a9fb16
791a4d46420633e62ad01fae3afe3078ec94c6714a242cee9fd6da688ff54b3d
79e11a42cbabf436cab208e2bcf8026f8cd3a8cf6a37179b18248db3de5ee5ec
7ab57ad3e74391934dcc5b47e2953a2061722c86bba878534a43fdc59dc84b3d
7badc0500d9eed34ed2b1ed51fa5312aed4d64d145f7f019c8fc00f2674163df
7bf1388b2c1d681687c57b55e60bfe32dae62f2c2f97a90e4c9c7385742f2a70
7fc66452efaccea5892fb62ab8c98c543d6ee2bd4b8f3d90a315cb569b3fa176
876ce89d537c1ef53ea7c8664208b93951e5a4069b09ce0a438955d70619bdc5
916bacb16aebc630b7dada021467e71c4368ad72174e332d4ae00afebdcf66eb
91b0f5e2ba392fae46a6ee0b19d7f54ae507619e698cab005ae69168af8b1015
a93958ecd999fb16047e16c18412efa04cbf4bb2bd4fed0cda18dee4e244b8b3
aa1c060f33a382cb9cbd6a6bec709242255f0923b3b0e644bd2762ed06625f74
ab06d9f7f47870915f54101acbce0eb3d75995775c661a4d4547deb87d0d2661
ba9fee32734436ab17269197b2ec2a48ca31f7bedbade06d6e79bd450e30fc81
be96c668c75e1f119ef9ec9e7ead125f92171186f4d7dab78b96cf68afdea206

カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid

Umbrella