2019年4月17日 Leave a Comment

3 月 29 日から 4 月 5 日の 1 週間における脅威のまとめ

4 min read

TALOS Japan

本日の投稿では、3 月 29 日～ 4 月 5 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらの JSON ファイルをご覧ください。これまでと同様に、本記事に記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは悪意があると断定できないことに留意してください。

今回ご紹介する最も一般的な脅威は次のとおりです。

Malware.Vobfus-6919817-0
マルウエア
Vobfus は、自身を外部ドライブにコピーし、autorun.inf ファイルを介して自動コード実行を試みるワームです。また、システムの起動時に自身が実行されるようにレジストリを改ざんします。インストールが完了すると、コマンドアンドコントロール（C2）サーバから後続のマルウェアをダウンロードしようと試みます。
Malware.Barys-6919339-0
マルウェア
侵入したシステムに攻撃者がファイルをアップロードするためのトロイの木馬兼ダウンローダです。
Malware.Zbot-6919277-0
マルウェア
Zbot（別名「Zeus」）は、キーロギングやフォームグラビング（Form Grabbing）などの方法により銀行のログイン情報を盗み出すトロイの木馬です。
Malware.Autoit-6919193-0
マルウェア
システム管理者の多くが使用する自動化ツール「AutoIT」（Windows 用のプログラミング言語）を悪用したマルウェアファミリです。AutoIT は豊富な機能を備えているため、完全なマルウェアを記述することもできます。このマルウェアファミリはシステムに本体をインストールし、C2 サーバに連絡して追加の指示を受けます。
Virus.Expiro-6918982-0
ウイルス
Expiro は既知のファイルインフェクタであり、情報窃取型ウィルスです。デバッグ/分析回避手口で検出を妨害します。
Winwebsec-6918829-0
トロイの木馬
正当なウイルス対策ソフトウェアになりすまして、存在しない脅威をユーザに警告するマルウェアです。Windows Defender とシステムの復元機能を無効にします。また、この（偽の）ウイルス対策ソフトウェアを購入するまで他の Web サイトやプログラムにアクセスできないようブロックする機能も備えています。
Trojan.Emotet-6918815-0
トロイの木馬
Emotet は、最近で最も活発なマルウェアファミリのひとつです。さまざまなペイロードを配布する非常に高度なモジュール型の脅威です。Emotet はマクロを含む Microsoft Office ドキュメントを介して配布されます。それらのドキュメントは通常、悪意のあるメールの添付ファイルとして送付されます。

脅威

Win.Malware.Vobfus-6919817-0

侵害の兆候

レジストリ キー

ミューテックス

Local\MSCTF.Asm.MutexDefault1
\BaseNamedObjects\A
A

マルウェアから接触があった IP?アドレス（必ずしも悪意があるとは限りません）

208[.]91[.]197[.]66

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

ns1[.]backdates1[.]net
ns1[.]backdates2[.]com
ns1[.]backdates4[.]com
ns1[.]backdates2[.]net
ns1[.]backdates11[.]com
ns1[.]backdates17[.]com
ns1[.]backdates8[.]com
ns1[.]backdates15[.]com
ns1[.]backdates3[.]net
ns1[.]backdates1[.]com
ns1[.]backdates3[.]com
ns1[.]backdates5[.]com
ns1[.]backdates1[.]org
ns1[.]backdates9[.]com
ns1[.]backdates10[.]com
ns1[.]backdates16[.]com
ns1[.]backdates1[.]net[.]example[.]org
ns1[.]backdates15[.]com[.]example[.]org
ns1[.]backdates4[.]com[.]example[.]org
ns1[.]backdates9[.]com[.]example[.]org
ns1[.]backdates8[.]com[.]example[.]org
ns1[.]backdates11[.]com[.]example[.]org
ns1[.]backdates17[.]com[.]example[.]org
ns1[.]backdates2[.]net[.]example[.]org
ns1[.]backdates16[.]com[.]example[.]org
ns1[.]backdates3[.]com[.]example[.]org
ns1[.]backdates10[.]com[.]example[.]org
ns1[.]backdates3[.]net[.]example[.]org
ns1[.]backdates1[.]com[.]example[.]org

作成されたファイルやディレクトリ

\??\E:\autorun.inf
%System32%\winevt\Logs\System.evtx
\autorun.inf
\??\E:\System Volume Information.exe
\$RECYCLE.BIN.exe
\??\E:\$RECYCLE.BIN.exe
\Secret.exe
\??\E:\Passwords.exe
\??\E:\Porn.exe
\??\E:\Secret.exe
\??\E:\Sexy.exe
\??\E:\x.mpeg
\Passwords.exe
\Porn.exe
\Sexy.exe
%HOMEPATH%\Passwords.exe
%HOMEPATH%\Porn.exe
%HOMEPATH%\Sexy.exe
%HOMEPATH%\c\Passwords.exe
%HOMEPATH%\c\Porn.exe
%HOMEPATH%\c\Secret.exe
%HOMEPATH%\c\Sexy.exe
%HOMEPATH%\Secret.exe
%HOMEPATH%\c\autorun.inf
%HOMEPATH%\seofuaj.exe
%HOMEPATH%\RCX9D65.tmp
%HOMEPATH%\RCX9DC4.tmp
%HOMEPATH%\RCX9E23.tmp
%HOMEPATH%\RCX9E91.tmp
%HOMEPATH%\RCX9EEF.tmp
%HOMEPATH%\RCX9F5E.tmp
%HOMEPATH%\c\RCXAE6C.tmp
%HOMEPATH%\c\RCXAEDA.tmp
%HOMEPATH%\c\RCXAF39.tmp
%HOMEPATH%\c\RCXAFA7.tmp
%HOMEPATH%\c\RCXB015.tmp
%HOMEPATH%\c\RCXB083.tmp
\??\E:\seofuaj.exe
\seofuaj.exe

ファイルのハッシュ値

046c299741954c07ca5feab9039d7a7208c9e5dad3fca354041acdecab550cf9
057d66787c6ee44bd9d8015f563c3b6e2eab4a83bfe2eee53e1b7d0006e0df84
05f0f24b4fc446cf95fe3be015fe0f61908d1b5cbb1706a14c2e393886454f38
0b5716a756064ebe398f0e164f8d7e0dd747ca50795e3624b5574fd78e92059d
119bb2c3b038c70448cbb9a4a8f8eeed1071d2174f5d1907a01d348f1740927e
1506a6d7439fab0a6b3c775fdde0627bacafa4760900c0f111edce4d55a03a50
1bd8db7ee7413001573a689ae4ebcb29da7652717f35ecbd735a87f3d621586b
272c48ac067319a1c8d51717c5f34b34ac4db4f970f9fccc5915d7bf77123ecb
2bd2f27610560eea9d652b3b8c44225a4b66ef349350e53fff8b42406f74ad3d
2dd8cc3597a6e411b7f258c2ecb78aacd54d9cadb3807997b2b00c1a4e07e178
368d741aef2ab6e41a4696f5d28dee169580dfff4cc69a5946faaec3d14925bb
3b6a66df8369ac8bf26e8402989d29534b7d7e1c7e460d970f50416e2afe5ffe
40466788e57d5200867dcfd7a3f2c18004b8317c19a0528af585c537edfc1201
4a67a46ce70cd36aab995cd0a04621a4050cac0488bab6c433efb1324c6b4513
4b77f7be93f7a27a30a87f5d3fd611d54ead6b62a18a12dcfca3bd65f3081e86
4cbbeba77a0e8af025aeb17352a36b6c75687a00827ecac1f9dfac206603ab52
4ce11c03c2fd40bd58f7044d9bf17fce4118e31cc058113a8cb6d68b0fe2cbc7
5312c2573551bf4ea733031528f4e79b8b1c675c2a05e4059c06cf9c2706b9e1
5ebbf7f1ffdb7f5a5483ad26971c20bf7ffdea7fd1566260d6e4875ff9a477c1
61707b56cec807908e713dd8acbcc2ee8b7359c9c3e8eb826e53fca3fa0de866
62312807fa51f896940f2480b29a133365a146eccb5c5775faf886f3238b2f9a
66c85f135b970fd774f2582202458bd083ecf71bc1f80cd195706d7b354bb601
689860f079fe900589e3c70af6932587b44135439b48cde5462537008a9537f4
6c863b2f65224fbc6d85702cf9cf48b120a851ec4c2f7e76b21c9c56b5427d82
6fc3ab28e7177cf2ca67f6d3a945979b6bdce37eea446d21cef54181a673a35c

カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella