2019年4月8日 Leave a Comment

3 月 22 日から 3 月 29 日の 1 週間における脅威のまとめ

2 min read

TALOS Japan

本日の投稿では、3 月 22 日～ 29 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらの JSON ファイルをご覧ください。これまでと同様に、本記事に記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは悪意があると断定できないことに留意してください。

今回ご紹介する最も一般的な脅威は次のとおりです。

Win.Adware.Dealply-6911925-0
アドウェア
DealPly は Web ブラウザ用にアドオンをインストールし、悪質な広告を表示するアドウェアです。
Malware.Razy-6911785-0
Malware
「Razy」は多くの場合、Windows を標的にしたトロイの木馬の一般的な検出名です。感染したホストから機密情報を収集し、データを暗号化してコマンドアンドコントロール（C2）サーバに送信します。収集される情報にはスクリーンショットが含まれる可能性もあります。サンプルでは、レジストリに値を追加することで自動起動の設定を変更し、永続性を確立します。
Malware.Emotet-6910311-0
マルウェア
Emotet はバンキング型トロイの木馬です。検出を回避する手口が継続的に進化しているため、依然として注意が必要です。一般に、悪意のある電子メールを介して拡散しています。
Packed.Zbot-6911628-0
パック処理済みマルウェア
Zbot（別名「Zeus」）は、キーロギングやフォームグラビング（Form Grabbing）などの方法により銀行のクレデンシャルなどの情報を盗み出すトロイの木馬です。
Malware.Sakurel-6911517-0
Malware
Sakurel はトロイの木馬「Sakula」（2012 年 11 月に初検出）の亜種で、侵入先のコンピュータに危険なファイルをダウンロードします。また、攻撃者からコマンドで対話し、ファイルを C2 ホストにアップロードする機能も併せ持ちます。
Malware.Triusor-6911670-0
マルウェア
Triusor は高度なポリモーフィックマルウェアファミリです。静的分析を妨害するために、すべてのバイナリが圧縮され難読化されています。マルウェアには、動的分析を複雑にするコードが含まれています。そのコードが実行されると、サンプルはコードインジェクションを実行します。
Malware.Lunam-6911603-0
マルウェア
Lunam は自動実行型ワームを含むトロイの木馬です。Windows システムに侵入するとアクセス許可を変更します。また、ウイルス対策製品や Windows ファイアウォールを無効化し、ブラウザの設定を変更します。

脅威

PUA.Win.Adware.Dealply-6911925-0

侵害の兆候

レジストリ キー

ミューテックス

マルウェアから接触があった IP?アドレス（必ずしも悪意があるとは限りません）

239[.]255[.]255[.]250
172[.]217[.]12[.]206
172[.]217[.]12[.]163
172[.]217[.]10[.]67
172[.]217[.]10[.]35
224[.]0[.]0[.]251
216[.]1[.]28[.]82
172[.]217[.]15[.]99
62[.]212[.]73[.]98
100[.]43[.]94[.]16
5[.]45[.]205[.]241
5[.]45[.]205[.]244
100[.]43[.]94[.]15
172[.]217[.]10[.]109

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

accounts[.]google[.]com
www[.]gstatic[.]com
ssl[.]gstatic[.]com
update[.]googleapis[.]com
clients2[.]google[.]com
redirector[.]gvt1[.]com
_googlecast[.]_tcp[.]local
clientservices[.]googleapis[.]com
download[.]yandex[.]ru
dl[.]xetapp[.]us
xetapp[.]com
cdn[.]yandex[.]net
cache-ash03[.]cdn[.]yandex[.]net
r7—sn-mv-2iae[.]gvt1[.]com
YBFXNRZPPP
IJTEPYX
GVJDSZTMWUXYXZ

作成されたファイルやディレクトリ

%SystemDrive%\DOCUME~1\ADMINI~1\LOCALS~1\Temp\nsk2.tmp\INetC.dll
%SystemDrive%\DOCUME~1\ADMINI~1\LOCALS~1\Temp\y_installer.exe
%TEMP%orary Internet Files\Content.IE5\X1IF8CSM\downloader[1].exe
\TEMP\Google Chrome\chrome.setup.exe
%WinDir%\Temp\gui2E57.tmp

ファイルのハッシュ値

00123316d0d50612ae581d310b722adcfe97939180f3d02034deb8a4935db073
005d28b3585939c62cdf9de3c8622d7d11a4a8e48a2066bea1a37e6bd59f19e6
01b53d747656c8975c8dc26f6d1cf869209cb1cdc91e1b1d1ab0d2421e82c6dc
03d4f4533bca92fc7f4f8b789b5406cde3dfa8e0f51587d442ab65576b051379
0584466198891f6726a8bebd13bb5566deb9eaa7f9c39086959e43558576e5eb
08aa13cd31f3a41d553f852cc15ae35104bb8fdea8ddc4183b60d3570733990c
08d3879f6a6413026a2a3c0a2af5949fabd241f26be53081b72a03f71618fe3a
08e5212e369cadc9997c0fa6ab388299424f3854c872e267b74195d2f64ff501
09fbdc8c40da22238392ffc7d45c1aaba3a1fa4073ab5177fc799b722e12f252
0b3af8d26acf742223b6dac474c571bf743bb72f58063279b408515cb3ebfbb7
0d7b69e58899e6a43eb7b2827d9d00b208c30c22ee46852d96b80dafae7a04e2
0e6a6dcb6e595f45cf8fe16af2f9bae5eaa8ce3b9169ac340d289c76957e22b1
11445175b675b5ee7b10d5b28480db8c827e2ebe768b0834733e76dbf22b8ad6
115e00754759406773da16c1b0668f88f23e5ea124e1d588a483bb2c56764b74
11732b1aac1328bae5eb1b96aa697216b8ee6f1253f151a7d757bc4542f0c791
11b4e49162f47d330544617a8f0fe6593329ce4d1cc839602460085444df70b8
1210b7eb9b7c3b8c4718c77d7cff8856982b66080ad3c2331d45e4e8deac22ab
1259006aa8f53918b989be47ca6a6cbe0e3335acea98ab1944c851879c3f42c1
126892e91774e5ad27d17b80b48b781cb47d8087e2555bb4afa4bfbcb26e2f60
12a3a0f24d76144112dbe76f48a82e41ada02464e9bb412a100a67dfb4c73165
14176d5bcf716484d40e3a53c7e9038115fe74cb0a4f13f8a2f814e6cd2b361c
15d3b56e2b9727161bca8cf336cff5db3673ba4a0d764216ab77818a2994567c
164fbcde41707cbda009ec59bc09b66c7e24a6a2725b45f235074b30952cc1d0
169a9b9d6722fa3a4336063814a5ad1ffefcb7a8f7e124fcdc2e64793201cd44
17a7101429c0d488610f9d47c489cc220db79ed501db1f362840c879cdd7f25c

カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

マルウェア