脅威リサーチ
4 月 5 日～ 4 月 12 日における脅威のまとめ
本日の投稿では、4 月 5 日～ 4 月 12 日の 1 週間で Talos が確認した、最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。
下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。
本記事では、脅威カテゴリごとに 25 個の関連ファイル ハッシュと最大 25 件の IOC のみを含めています。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちら
の JSON ファイルをご覧ください。これまでと同様に、本記事に記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは悪意があると断定できないことに留意してください。
今回ご紹介する最も一般的な脅威は次のとおりです。
- Malware.Eyooun-6931755-0
マルウェア
Eyooun は、悪意のあるプログラムおよび悪意のないプログラムを追加でダウンロードしてインストールします。 - Malware.Sagent-6932497-0
マルウェア
Sagent は Microsoft Office ドキュメントのマクロを介して PowerShell を起動します。その後、PowerShell がリモート Web サイトから望ましくないソフトウェアをダウンロードします。 - Malware.Emotet-6933520-0
マルウェア
Emotet はバンキング型トロイの木馬です。ウィルス検出を避ける技術が進化し続けていることから依然として猛威を振るっています。通常は、メールの悪意のある添付ファイルやリンクを介して拡散します。 - Worm.Scar-6934835-0
ワーム
Scar はシステムにファイルをダウンロードして実行します。同時に、他のマシンに拡散するためリムーバブル メディアに本体をコピーします。 - Worm.Aspxor-6935052-0
ワーム
Aspxor ボットネットには、スパムを送信し、他のサンプルをダウンロードして実行する機能があります。このボットネットは、感染したコンピュータから認証情報を収集することで知られています。 - Malware.Vbkeylog-6935273-0
マルウェア
このジェネリック ファミリーは、感染システムのユーザを騙し、金銭または個人データを受け取るよう仕向けます。 - Malware.Zbot-6935412-0
マルウェア
Zbot（別名「Zeus」）は、キーロギングやフォーム グラビング（Form Grabbing）などの方法により銀行のログイン情報を盗み出すトロイの木馬です。 - Ransomware.Cerber-6935713-0
ランサムウェア
Cerber は、ドキュメント、写真やデータベースなどの重要ファイルを「.cerber」の拡張子で暗号化するランサムウェアです。 - Trojan.Winwebsec-6935682-0
トロイの木馬（Trojan）
Winwebsec は偽のマルウェア対策ソフトウェアとして、侵入先のシステムにインストールされます。デスクトップ リンクを作成し、さまざまな手口（Windows サービスやレジストリ キーの改ざんなど）により永続化します。「システム上でマルウェアが発見された」という偽の警告によりユーザを騙し、その対策としてサービスを購入するよう仕向けます。 - Malware.Tovkater-6936213-0
マルウェア
ファイルをダウンロード/アップロードして悪意のあるコードをインジェクトし、追加のマルウェアをインストールします。
脅威
Win.Malware.Eyooun-6931755-0
侵害の兆候
| レジストリ キー | 発生 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\TCPIP6\PARAMETERS Value Name: DisabledComponents |
34 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER Value Name: GlobalAssocChangedCounter |
23 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\APPLICATIONDESTINATIONS Value Name: MaxEntries |
18 |
| <HKLM>\SOFTWARE\MICROSOFT\TRACING\WCLGSITA_RASAPI32 Value Name: FileDirectory |
8 |
| <HKLM>\SOFTWARE\MICROSOFT\TRACING\WCLGSITA_RASMANCS Value Name: FileDirectory |
8 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\DIRECTDRAW\MOSTRECENTAPPLICATION Value Name: ID |
7 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\INTERNET EXPLORER\MAIN\FEATURECONTROL\FEATURE_BROWSER_EMULATION Value Name: svchost.exe |
5 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\LYPWXAWN Value Name: WOW64 |
2 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\ISFCQMJB Value Name: DisplayName |
2 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\IUGPWHEJ Value Name: WOW64 |
2 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\OJIKFFNJ Value Name: name |
2 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\PSCEGPBN Value Name: DisplayName |
2 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\QSWARNLV Value Name: WOW64 |
2 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\ATDUWYIG Value Name: WOW64 |
2 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\OTMYZEPH Value Name: DisplayName |
2 |
| ミューテックス | 発生 |
| CommLogDbgStrMutex | 61 |
| \BaseNamedObjects\CommLogDbgStrMutex | 61 |
| DBWinMutex | 32 |
| 8Bc0E7-2F5D-49c0-A6D6-appadvert | 19 |
| Local\MSIMGSIZECacheMutex | 14 |
| openbox | 12 |
| adkuai8_client_newdown | 11 |
| adkuai8_newdown | 11 |
| 04AEB7B0-04A8-04A82810F7B640-8A4A82810F7B6 | 10 |
| Local\__DDrawCheckExclMode__ | 7 |
| Local\__DDrawExclMode__ | 7 |
| Local\DDrawDriverObjectListMutex | 7 |
| Local\DDrawWindowListMutex | 7 |
| Local\InternetExplorerDOMStoreQuota | 2 |
| Local\http://www.baidu.com/ | 2 |
| Local\DirectSound DllMain mutex (0x00000174) | 1 |
| fc23890639e7d704fbd1b52b749200a5 | 1 |
| fccb83f4591c45a062aa5389a08b9eef | 1 |
| 8e92460d25c534d048fd1c88e802f7e8 | 1 |
| dbc843e527e2b5c81be3562287f89d3c | 1 |
| 5d25335e7777648b50dc7504f83b06da | 1 |
| Local\DirectSound DllMain mutex (0x000005AC) | 1 |
| 73b50e38332dbd8c708884de7b44d0f0 | 1 |
| efc928dd753ae98b928ed12919a305ca | 1 |
| 53279609cec7acce6827bdec60299b7d | 1 |
| IOC の詳細については JSON を参照してください | |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生 |
| 18[.]223[.]92[.]145 | 42 |
| 116[.]28[.]63[.]214 | 42 |
| 122[.]152[.]212[.]224 | 32 |
| 218[.]65[.]30[.]41 | 30 |
| 117[.]41[.]234[.]92 | 30 |
| 122[.]224[.]34[.]103 | 25 |
| 150[.]138[.]92[.]62 | 24 |
| 18[.]218[.]183[.]21 | 23 |
| 222[.]214[.]218[.]239 | 20 |
| 113[.]105[.]164[.]31 | 20 |
| 120[.]55[.]244[.]212 | 19 |
| 175[.]126[.]163[.]124 | 14 |
| 42[.]62[.]4[.]62 | 13 |
| 47[.]92[.]249[.]152 | 12 |
| 120[.]77[.]171[.]37 | 12 |
| 47[.]107[.]83[.]212 | 12 |
| 219[.]150[.]218[.]119 | 12 |
| 125[.]88[.]158[.]212 | 11 |
| 219[.]145[.]240[.]86 | 11 |
| 219[.]145[.]240[.]85 | 11 |
| 219[.]145[.]240[.]84 | 11 |
| 106[.]122[.]250[.]212 | 10 |
| 150[.]138[.]92[.]106 | 10 |
| 219[.]150[.]218[.]44 | 9 |
| 59[.]110[.]185[.]104 | 9 |
| IOC の詳細については JSON を参照してください | |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生 |
| wj[.]center[.]oldlist[.]info | 61 |
| ecount[.]2019cn[.]com | 54 |
| nj9qq[.]cn | 42 |
| top[.]sefcg[.]com | 23 |
| pack[.]1e5[.]com | 22 |
| ad[.]uuuwin[.]com | 19 |
| ks2[.]we2019[.]com | 14 |
| imgwx4[.]2345[.]com | 13 |
| tv[.]2345[.]com | 13 |
| imgwx3[.]2345[.]com | 13 |
| imgwx2[.]2345[.]com | 13 |
| imgwx1[.]2345[.]com | 13 |
| imgwx5[.]2345[.]com | 13 |
| mini[.]sefcg[.]com | 13 |
| log2[.]nagirl[.]cn | 13 |
| LOG2[.]NAGIRL[.]CN | 13 |
| union[.]lm33[.]com | 12 |
| liosm231[.]com | 12 |
| list[.]adkuai8[.]com | 11 |
| p2p[.]adkuai8[.]com | 11 |
| down02[.]adkuai8[.]com | 11 |
| ipaddress[.]adkuai8[.]com | 11 |
| tongji[.]adkuai8[.]com | 11 |
| log[.]uinfo[.]soomeng[.]com | 10 |
| next[.]91xiaba[.]com | 10 |
| IOC の詳細については JSON を参照してください | |
| 作成されたファイルやディレクトリ | 発生 |
| %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\C5MZMU22\desktop.ini | 59 |
| %TEMP%\SSL | 40 |
| %TEMP%\SSL\cert.db | 40 |
| %TEMP%\SSL\Small DigiCert Baltimore Root 2.cer | 34 |
| %SystemRoot%\SysWOW64\Log | 31 |
| %TEMP%\h2u31tg4.exe | 30 |
| %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\config[1].zip | 30 |
| \PC*\MAILSLOT\NET\NETLOGON | 23 |
| %HOMEPATH%\Desktop\¿³°×Öí±¬9999¼¶ÉñÆ÷.lnk | 23 |
| %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\190[1].ico | 23 |
| %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\215[1].ico | 23 |
| \DosDevices\C:\Windows\System32\wfp\wfpdiag.etl | 23 |
| %System32%\wfp\wfpdiag.etl | 23 |
| %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\procelist[1].ini | 22 |
| %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\018[1].exe | 19 |
| %LOCALAPPDATA%\Microsoft\Windows\WebCache\V0100009.log | 14 |
| %LOCALAPPDATA%\Microsoft\Windows\WebCache\V010000B.log | 14 |
| %LOCALAPPDATA%\Microsoft\Windows\WebCache\V010000D.log | 14 |
| %LOCALAPPDATA%\Microsoft\Windows\WebCache\V010000F.log | 14 |
| %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\mini[1].htm | 13 |
| %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\hideconfig[1].zip | 13 |
| %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\6YL4T24G\classicTv_tvHotMini[1].htm | 12 |
| %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\7V3XNPL2\LOLO[1].png | 12 |
| %SystemRoot%\api-ms-win-cx0-l1-01-19.dll | 12 |
| %SystemRoot%\SysWOW64\del.bat | 12 |
| IOC の詳細については JSON を参照してください | |
ファイルのハッシュ値
- 002a3ee5d238a80bd8c3759d8478d7d9098af54cbcbd264bcd78ad172c7fded5
- 0066dccf58f6d2ea4e303e870aea20c25d0c945a4b5c6796548acb20ae2dd268
- 015d9a05e3595d8902031dda87e999396a9a2b5267195e35f3752cef08a37b50
- 0181a703fa74afdd4640b52de9338b0dd6e14446c0635bebf8883999cfa0be01
- 090f9030986cdb1413bc9f5c6901952e23be5f6c48b7ce0f9858e92e91142d26
- 09d3b0027fba2e0419841177734b811e506aed12d758d75d77a1f71ebb1b16bf
- 09f0116a571ccf405cf2b83507fb2d3c139a8f9fe7ce9fc77595c7c66d4f9a53
- 0f0d5f033b1096e209857c255edb94e30306087a172edb5816f4464c92a9870c
- 1029ddb2e83f17e8318199afb81a4434de65e12728552f66255cd7814b7cce0f
- 159a0f8cc9ed369de6b89806b3d29a287183dc15deb59ea916d246d736385684
- 179662d10fbf28f36e7fbf9d61e20ecf01ea0efe03223e19aad2e24a4ae56bb0
- 19fb21319fb6479eb23cf06f3298f991466dbd1954c320db749e6f4ee727a27c
- 1ac81f029e1fc5c7c11045d910ba3882946bd6535369675c6b443c35ef2e5c18
- 1f78e240a8cdfda72e443b39cbfdf4faab1ed8092cdf9b02bdc7456dffbe1f47
- 1fb5ec3d10289d0f00460070da92853ba1d90dbebd6dc6a8266a09ad3c36a154
- 208d2e1fdf8b87f1b37644e57f340b984c8d68de8ba02525c61b6158b9d6e539
- 24b4b426368e29fe933d6b427d1ae47e31fb346b2392e2161a67add890bae196
- 2d60ced2eef863bc23232f4c3a80be8545902f2efa4dd9eab7f680a5643d8289
- 2ec0873e6ce50626bccb3217c8fe10fd421604dd5fe45fa58c6f54b90b369d6b
- 30944e432f0f25fda774cfe7090a9cef872b02bd754636a1176e98f7298c5780
- 3291d369e4f69353b221ef184731f93c80f3762de2114d4b4f1a6b200f66aab8
- 388259027de10322e1da522901d84a83bc8a5585d2d61a47b4ecd9c87cc30d26
- 3960aa9d31ec0dacc0f11edbebc8820e4f929bdfc2943aec52dea840c456e264
- 39d8b6f916b96060c7e55c468fb066a51ccd5a8c1e0f3d43fa29dc12dad129f0
- 3a328a6515c449cf1f1807ede10f790014b5905cda161828d3eea7750a7d2264
- IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Umbrella
Doc.Malware.Sagent-6932497-0
侵害の兆候
| レジストリ キー | 発生 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS Value Name: AutoDetect |
10 |
| <HKCR>\WOW6432NODE\INTERFACE\{8BD21D22-EC42-11CE-9E0D-00AA006002F3} | 10 |
| <HKCR>\INTERFACE\{8BD21D22-EC42-11CE-9E0D-00AA006002F3} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{8BD21D32-EC42-11CE-9E0D-00AA006002F3} | 10 |
| <HKCR>\INTERFACE\{8BD21D32-EC42-11CE-9E0D-00AA006002F3} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{8BD21D42-EC42-11CE-9E0D-00AA006002F3} | 10 |
| <HKCR>\INTERFACE\{8BD21D42-EC42-11CE-9E0D-00AA006002F3} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{8BD21D52-EC42-11CE-9E0D-00AA006002F3} | 10 |
| <HKCR>\INTERFACE\{8BD21D52-EC42-11CE-9E0D-00AA006002F3} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{8BD21D62-EC42-11CE-9E0D-00AA006002F3} | 10 |
| <HKCR>\INTERFACE\{8BD21D62-EC42-11CE-9E0D-00AA006002F3} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{7B020EC2-AF6C-11CE-9F46-00AA00574A4F} | 10 |
| <HKCR>\INTERFACE\{7B020EC2-AF6C-11CE-9F46-00AA00574A4F} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{7B020EC7-AF6C-11CE-9F46-00AA00574A4F} | 10 |
| <HKCR>\INTERFACE\{7B020EC7-AF6C-11CE-9F46-00AA00574A4F} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{79176FB2-B7F2-11CE-97EF-00AA006D2776} | 10 |
| <HKCR>\INTERFACE\{79176FB2-B7F2-11CE-97EF-00AA006D2776} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{4C5992A5-6926-101B-9992-00000B65C6F9} | 10 |
| <HKCR>\INTERFACE\{4C5992A5-6926-101B-9992-00000B65C6F9} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{796ED650-5FE9-11CF-8D68-00AA00BDCE1D} | 10 |
| <HKCR>\INTERFACE\{796ED650-5FE9-11CF-8D68-00AA00BDCE1D} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{47FF8FE0-6198-11CF-8CE8-00AA006CB389} | 10 |
| <HKCR>\INTERFACE\{47FF8FE0-6198-11CF-8CE8-00AA006CB389} | 10 |
| <HKCR>\WOW6432NODE\INTERFACE\{47FF8FE1-6198-11CF-8CE8-00AA006CB389} | 10 |
| <HKCR>\INTERFACE\{47FF8FE1-6198-11CF-8CE8-00AA006CB389} | 10 |
| ミューテックス | 発生 |
| Global\I98B68E3C | 10 |
| Global\M98B68E3C | 10 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生 |
| 89[.]188[.]124[.]145 | 10 |
| 190[.]117[.]82[.]103 | 10 |
| 190[.]0[.]32[.]206 | 10 |
| 104[.]18[.]35[.]163 | 7 |
| 104[.]18[.]34[.]163 | 3 |
| 43[.]229[.]62[.]186 | 1 |
| 104[.]2[.]2[.]153 | 1 |
| 201[.]165[.]102[.]49 | 1 |
| 187[.]189[.]210[.]143 | 1 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生 |
| xoso[.]thememanga[.]com | 10 |
| 作成されたファイルやディレクトリ | 発生 |
| \EVENTLOG | 10 |
| %APPDATA%\Microsoft\Forms | 10 |
| %APPDATA%\Microsoft\Forms\WINWORD.box | 10 |
| %HOMEPATH%\80.exe | 10 |
| \REGISTRY\MACHINE\SOFTWARE\Classes\.doc | 1 |
| %System32%\WindowsPowerShell\v1.0\Certificate.format.ps1xml | 1 |
| %SystemRoot%\SysWOW64\A7Nx4PQT5.exe | 1 |
| %SystemRoot%\SysWOW64\N6yvu6lNl.exe | 1 |
| %SystemRoot%\SysWOW64\g6iqfJhcB0Xc88E.exe | 1 |
| %SystemRoot%\SysWOW64\f9XnJqVa5Bt6Sf.exe | 1 |
| %SystemRoot%\SysWOW64\9yMQn0Zw.exe | 1 |
| %SystemRoot%\SysWOW64\c33fB.exe | 1 |
| %SystemRoot%\SysWOW64\aThVJIMunDfvC.exe | 1 |
| %SystemRoot%\SysWOW64\SqxzR9tB3STZYB9o1.exe | 1 |
| %SystemRoot%\SysWOW64\WyFb5EUyZBFDn5Gb.exe | 1 |
| %SystemRoot%\SysWOW64\TYVGTeXwXGD.exe | 1 |
ファイルのハッシュ値
- 310c672343531ecc8fb2bc22b979a34f6e3c3d6c56eaad0dadeecade3e6c64d9
- 60973bfc7ccac458d9ac4b7192a40774316b04d86cdb106b0c205d75778b7c65
- b3ff81bf64f077e1b466d3696c3528f9c644d503b515473b16803610f240dd05
- d1d756451258f60d10e1c46540438f9a7c9ad84bfe7b4a1cb944ae02e456d3aa
- dfcb889cbff15a54eab56367f8f5da6855cf534ad732938eb4cc472a77c231a0
- e39863e66ab0f1bf0b8d35f2715d3de220f6bb3d0c28b68d8f14d53ed1acb7e4
- e8ca6c66c79cca9404a9f6a6920ff02010dc799435381a97fd5c57cf0c3abb41
- e9a0aabcf4e854ca4b16e9ebd2d228b2e581abc12d27ef34b9f8a5978d224128
- eba143b8f9ea163949037b683622c1cf9672e9a4e63513ecd20ebe1aff4e3ff5
- f4282b6fc250485ebd045d3008195a5c3e2b385c5caaada93ea221f53326d3ec
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Umbrella
マルウェア
Win.Malware.Emotet-6933520-0
侵害の兆候
| レジストリ キー | 発生 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS Value Name: AutoDetect |
16 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\CONNECTIONS Value Name: SavedLegacySettings |
16 |
| <HKU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon | 16 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\sourcebulk | 16 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\SOURCEBULK Value Name: Description |
16 |
| <HKLM>\SOFTWARE\Microsoft\ESENT\Process\guiddefribbon\DEBUG | 16 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A} Value Name: WpadDecisionTime |
16 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\A4-E3-E4-11-EC-FD Value Name: WpadDetectedUrl |
1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\2c-28-30-ca-41-e3 | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A}\2c-28-30-ca-41-e3 | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\c0-21-36-0e-b0-2b | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A}\c0-21-36-0e-b0-2b | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\c8-7c-48-93-48-f7 | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A}\c8-7c-48-93-48-f7 | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\24-f7-27-10-2d-94 | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A}\24-f7-27-10-2d-94 | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\dc-35-3c-bc-55-73 | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A}\dc-35-3c-bc-55-73 | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\46-b9-fc-8e-0c-36 | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A}\46-b9-fc-8e-0c-36 | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\e2-85-af-73-a1-bc | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A}\e2-85-af-73-a1-bc | 1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\46-B9-FC-8E-0C-36 Value Name: WpadDecisionTime |
1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\E2-85-AF-73-A1-BC Value Name: WpadDecisionTime |
1 |
| <HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\24-F7-27-10-2D-94 Value Name: WpadDecisionTime |
1 |
| ミューテックス | 発生 |
| Global\I98B68E3C | 16 |
| Global\M98B68E3C | 16 |
| \BaseNamedObjects\Global\M3C28B0E4 | 16 |
| \BaseNamedObjects\Global\I3C28B0E4 | 16 |
| Global\Nx534F51BC | 1 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生 |
| 43[.]229[.]62[.]186 | 15 |
| 190[.]0[.]32[.]206 | 15 |
| 187[.]189[.]210[.]143 | 15 |
| 201[.]165[.]102[.]49 | 15 |
| 89[.]188[.]124[.]145 | 15 |
| 104[.]2[.]2[.]153 | 15 |
| 190[.]117[.]82[.]103 | 15 |
| 208[.]100[.]26[.]251 | 1 |
| 5[.]196[.]133[.]206 | 1 |
| 198[.]187[.]30[.]249 | 1 |
| 104[.]236[.]135[.]119 | 1 |
| 71[.]78[.]158[.]190 | 1 |
| 190[.]219[.]231[.]69 | 1 |
| 208[.]180[.]217[.]173 | 1 |
| 181[.]31[.]182[.]138 | 1 |
| 201[.]249[.]117[.]123 | 1 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生 |
| 該当なし | – |
| 作成されたファイルやディレクトリ | 発生 |
| %SystemRoot%\SysWOW64\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat | 16 |
| %System32%\guiddefribbon.exe (copy) | 2 |
| %SystemRoot%\SysWOW64\SBp2VS8N7jU.exe | 1 |
| %SystemRoot%\SysWOW64\yXRDTc.exe | 1 |
| %SystemRoot%\SysWOW64\LvO5IJ1Sr5t.exe | 1 |
| %SystemRoot%\SysWOW64\5kQW.exe | 1 |
| %SystemRoot%\SysWOW64\Nsa7bjsedHZNrMyW.exe | 1 |
| %SystemRoot%\SysWOW64\MZ5WK.exe | 1 |
| %SystemRoot%\SysWOW64\FxiHy64z3NDOiHEgC.exe | 1 |
| %SystemRoot%\SysWOW64\hlaVhqNG.exe | 1 |
| %SystemRoot%\SysWOW64\Ahfk9lC4PqeGiyhY.exe | 1 |
| %SystemRoot%\SysWOW64\xdm5D3NLE.exe | 1 |
| %SystemRoot%\SysWOW64\2o75cQI.exe | 1 |
| %SystemRoot%\SysWOW64\oxJI2FKrOP.exe | 1 |
| %SystemRoot%\SysWOW64\MoSv9WL5Pn2Rd22eN.exe | 1 |
| %SystemRoot%\SysWOW64\LQRA42.exe | 1 |
| %SystemRoot%\SysWOW64\MVED6NriD.exe | 1 |
ファイルのハッシュ値
- 07bb6313dc4e4e47fffe542787f7e5f085f7a0b827a3614a666b8ba122895a5b
- 1317735faa4586cd57e311b7fa5462675b19b6767898bbc9fd1ea438e9b269a1
- 1cfb22555921bcd42ea2976527cedebe9b0a70a24ca2f4695d61496956a9fb65
- 34dc74f395344d40e6ce6e08f73ea822d83107c276e230862aa7f20ec24677d9
- 5bcbb702d1936de97fc26a33767f7d1b1973455d7a783dae80246fae99024b98
- 6123a5957f13a02e1752a9242f68f2cec27443ea0e4fbea65edde4c05a48ec38
- 642b1802bb2c429da4521e8fd159498cf814ab43df41d2213ccf4c8e7bf3a58f
- 67121ec06c244e75ba3c217b6ec7c9ea795f71bb673c87ced115a7bae939b6a2
- 67b8cdfe8f7b193723a6db03fb8f2246710ba6b4bfd2681134175f98150d307a
- 7581c79cd28ae473538de22e69f00d8a0642937621a08d6a304e7bae7cc1f467
- 86630ccb5c7e8d248e28446f27f2faf21d2712e18b3b6fb7749c9dd0d82c2752
- 87989bca4fcdaf8bde36f1893ce293da2f11c330cdd0f9746956241d6fac63da
- a8caf1e24c6972c1338eb4cc5d061fe7b6618657720b375e43385c9118b3aad9
- bdc575561b7b6ccd315cc5aa6c0f05d346201917e05490ff9203ee804b9d4fd7
- c6f1c07bbf320307ab784db15f0dc7ecc09c2f96150cda7126569a2d77935b2a
- e1226793b90a2c765d227e365b24271282c85ba9b7b5eb642f9f4b145ba0b932
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Win.
Worm.Scar-6934835-0
侵害の兆候
| レジストリ キー | 発生 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN Value Name: Microsoft |
32 |
| ミューテックス | 発生 |
| DSKQUOTA_SIDCACHE_MUTEX | 32 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生 |
| 175[.]126[.]123[.]219 | 20 |
| 67[.]228[.]31[.]225 | 3 |
| 64[.]186[.]131[.]47 | 1 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生 |
| byvolker[.]co[.]cc | 19 |
| canappe[.]co[.]cc | 1 |
| getvolkerdns[.]co[.]cc | 1 |
| killervolk-dns[.]co[.]cc | 1 |
| 作成されたファイルやディレクトリ | 発生 |
| \??\E:\autorun.inf | 32 |
| \autorun.inf | 32 |
| \AUTORUN.INF | 32 |
| \??\E:\AUTORUN.INF | 32 |
| %System16%\svcrcs.exe | 32 |
| \??\E:\UsbDrivers.exe | 23 |
| \UsbDrivers.exe | 23 |
| \??\E:\Setup.exe | 8 |
| \Setup.exe | 8 |
| \??\E:\open=Setup.exe | 1 |
| \open=Setup.exe | 1 |
ファイルのハッシュ値
- 0801e6c88de29d1418e3c7e89c72ff0e9147607f1c36ea657f60c557bc2ca91c
- 08c755993f57b3c2adb4893504683394b81e9dba822ccd6bdad9dc9710155078
- 096b4a3371120250dbd0c85c19730f92d0beaa3af16d73a44c6c81e81e0371f8
- 11566d54a186019e24e0fe51ecfcc8a6e954c3ff0ec58e89130c81c2c9fe3652
- 18bc9b638b1770d6b76de5be46ecc50d2b2a428053b131b02cf76d9feac9566f
- 22afe3eae9acd98fa25f5e06a7f3fa2716aa6af527d1232e5ba4c95e199b851b
- 25fb8e7a4039c200fa74246ae62629e6a1db5400e2c8ebe14b041f0dc2bc60f7
- 391483fc42fa770ae9a6e0bb615536b9c3f1a908931d5222d4f1eab68a50c91f
- 3b62f8abfdb792b3419ac346fcbc5d004a9b67dc1b5a93b2eda4da53fc27263d
- 3be4799debfab2081853244700668d7303752272978941b551d21e6cfc476a69
- 424c3baead90385b2fd8cc6ef98534119ce5ea41f9488c0e64d1829ae61ec957
- 453b4a1818de6d3e8d67632e31bcca085cd8f5e44e775a7959246eaa4c925d2d
- 4a800c7c54850630561ffe6d54a3390a93192c7fa6301f5d6ea9368f2c6421bb
- 4ec4bcca36e92304469192ab25d97cacb192413f4092a37a5f1e76575beaa0de
- 55562749de33d7cc4f93d0342514467c31b975907d9f0dcd8ec78f735ce6b1d8
- 5b642baf8e06c96a72ee7e8e55f98bd25a6180fce57fa25c2691782a23c76794
- 5efacdb03391aa114a6dcac90a6f8f8562c0a2e666185f1f8f63065364993143
- 6178e5bcda89cd0c4760545b3208cf56ce26fc9fe51551d1389505d30de75830
- 621bc4bb35821d5a7784bda820acd368d863b2430974952f83a14051693c2fda
- 75504f094939ab33f14cdf1a6c1be3cad5ae7f89d48d925fca65222062ea27e5
- 8320a5187226606270a82f0acf50449a11d3bc6bfed10618e7a7d79ea4564401
- 86ebccdb2f90a5b5ca49911155eac4d05769138d8f72856d4cd9be2323037b29
- 871aaaf9a80009c78539d2a8b1bbfee432c1afc08511d25e057373731f06a061
- 8fd6c4a70953f044073299ad6ba883d94d7be1a723d8aaa908435318509cda05
- 915c2d8d8bf3391aee7ee8a4d732cd861aa30eba8219b240b66041a860a32cc0
- IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
マルウェア
Win.Worm.Aspxor-6935052-0
侵害の兆候
| レジストリ キー | 発生 |
| 該当なし | – |
| ミューテックス | 発生 |
| 2GVWNQJz1 | 25 |
| Djjwy&22bsqobnaHhdGwemvt(&11839) | 25 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生 |
| 217[.]115[.]50[.]228 | 17 |
| 93[.]186[.]181[.]62 | 15 |
| 194[.]85[.]183[.]2 | 14 |
| 46[.]55[.]222[.]24 | 12 |
| 222[.]124[.]166[.]12 | 10 |
| 82[.]116[.]211[.]16 | 10 |
| 209[.]170[.]120[.]163 | 9 |
| 186[.]115[.]122[.]67 | 8 |
| 216[.]218[.]206[.]69 | 1 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生 |
| 該当なし | – |
| 作成されたファイルやディレクトリ | 発生 |
| %SystemRoot%\SoftwareDistribution\DataStore\Logs\tmp.edb | 1 |
| %HOMEPATH%\Local Settings\Application Data\ksgxpasi.exe | 1 |
| %HOMEPATH%\Local Settings\Application Data\joorwdum.exe | 1 |
| %HOMEPATH%\Local Settings\Application Data\unfdefqq.exe | 1 |
| %HOMEPATH%\Local Settings\Application Data\ahnatfuo.exe | 1 |
| %LOCALAPPDATA%\ffueegqn.exe | 1 |
| %LOCALAPPDATA%\hahxwkrq.exe | 1 |
| %LOCALAPPDATA%\erhipkjf.exe | 1 |
| %LOCALAPPDATA%\qrfcduvn.exe | 1 |
| %LOCALAPPDATA%\bbpikrlh.exe | 1 |
| %LOCALAPPDATA%\gbmscrrf.exe | 1 |
| %LOCALAPPDATA%\uhotvrfs.exe | 1 |
| %LOCALAPPDATA%\vwaffned.exe | 1 |
| %LOCALAPPDATA%\wscftndd.exe | 1 |
| %LOCALAPPDATA%\fapgaxbx.exe | 1 |
| %LOCALAPPDATA%\kselhlpe.exe | 1 |
| %LOCALAPPDATA%\lupjoaow.exe | 1 |
| %LOCALAPPDATA%\oxhojtxr.exe | 1 |
| %LOCALAPPDATA%\bgnifxtm.exe | 1 |
| %LOCALAPPDATA%\annimrmg.exe | 1 |
| %LOCALAPPDATA%\teconvea.exe | 1 |
| %LOCALAPPDATA%\jwclsdrd.exe | 1 |
| %LOCALAPPDATA%\txfqjufq.exe | 1 |
| %LOCALAPPDATA%\ridhufao.exe | 1 |
| %LOCALAPPDATA%\ndfgutar.exe | 1 |
| IOC の詳細については JSON を参照してください | |
ファイルのハッシュ値
- 0212de9641f40da0e6bdad747f807eca71356ddc298263c20676321863326f70
- 098631c475084bd57815d245af1252c70bb4b918df059844aa167ec189bc955b
- 0c5634fd44849ef51ac6f7133cdea66da960a64a6c165bf038f17d97610ce5d9
- 195b4c47c63c9d6fbd745da31721b086e931c0d60c1759e414c564cea4e1d6c2
- 1ccb17748bc70035a00a5ea94d223e1e425163e191bfb92271d191d7ced3347d
- 1f5286c16b783ebbcf24cd92cae2f1eb50d69e6f4cc0d0c97408f03abe1de161
- 29614ffd96412f26a5cf2fee3648e4954c2ac095543b3633e03dfaab12d1ff60
- 29de1a963a1f1bf15435da9020a2eadfa9d3054160e545b49b89135a6eaac2a9
- 2c85e5a8a1c3e5c0e6fcf4902780824c9014298ff01f823ae8f4d2633f64c0b4
- 2ebd4a5e0954ef8cfa8f338caf6bc6763e6519c9be2b71e31186f91b29312e13
- 37d5963a73acccd5b60d59e27c19fc30c1806679724338e1d4962d04748934f9
- 386ecf6b47b1f1d71b3797adb0335a806452d3346e108b758594f07dfcb49f97
- 3b03b188ac995d7fcab65e70b9ada8d2b126313318a981ec396a2111a34bfd64
- 40ebfa0f7b15bd9a0827c9c597340b1ab91a0b352232052094dbbf6e951617b9
- 4ad58e6014e62529af11bdc456bd4fec94ee3138f6e8c679a963512709a72452
- 5147b90fa72506bd6c47bed8b03f82f8eab5e6ab6f6216289680429ed915422e
- 543cb5dba99c251147551c65e8db498b1b16f2084933596159006482ce1be633
- 5d19478d27e1697220d54e158ecbe4190287c34f507d46717f06195acee8507d
- 601d8a181beb7451b6d45b6938a398b8c09bfba4d858b5de52d79ad55ff733fc
- 64816d8573edd50f3ba63d0c1b9e491e461dea9f4dab78b85986959346d7769c
- 65f8b7cf030977bb60ae0e21b3514d4407090de968c505ccdaed0ea73d2b882d
- 66bff41b7bad9cd835e0e698cfc574a576caf819a3c9abecc473eb8ec31a53a2
- 68e6f59b6c52c804dcebebbc2eb54ad7a00c9e0302f429bfef2300d33abdc4a3
- 6d610fd8891c60bd39978d90f76e803a878fd1bb36061e7a970ad79af20accd2
- 70d71ecfbb763f5e97379bc3d75412e56aec4574affadc1d4bcb09a2fc70d923
- IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Win.Malware.Vbkeylog-6935273-0
侵害の兆候
| レジストリ キー | 発生 |
| <HKCU>\SOFTWARE\MICROSOFT\DIRECT3D\MOSTRECENTAPPLICATION Value Name: Name |
5 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\SHELL EXTENSIONS\CACHED Value Name: {FFE2A43C-56B9-4BF5-9A79-CC6D4285608A} {00000122-0000-0000-C000-000000000046} 0xFFFF |
5 |
| ミューテックス | 発生 |
| 該当なし | – |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生 |
| 該当なし | – |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生 |
| 該当なし | – |
| 作成されたファイルやディレクトリ | 発生 |
| \TEMP\NewBitmapImage.bmp | 2 |
| \TEMP\taximg.bmp | 1 |
| \TEMP\tooooos.txt | 1 |
| \TEMP\jon.bmp | 1 |
| \TEMP\SureTools.txt | 1 |
| \TEMP\rum.txt | 1 |
| \TEMP\SLIPUSD124.985,67(1).jpg | 1 |
| \TEMP\TAXFILE.bmp | 1 |
| \SureTools.txt | 1 |
| \rum.txt | 1 |
| \tooooos.txt | 1 |
ファイルのハッシュ値
- 44414ef55e3f6368f1df92f06a5f29f4dda15554720b7cb4a7ad22ef73023ce6
- 5164b6fd11a2fb210d88ee920b95a62e8ba0904797c015f2edf20fe519678777
- 64ab1d27afd0c17215e56c0c97b2de6e8862573cf8663e60832d5d14ab9f635c
- 940f6e0c84f2ea9db97ce376fdfd8b111f3fd50ddcac3d303b5b9d69a7a89dd5
- 98408e5c6a013289ce93486234965b89f164c568f5f772d9082d6ddbfab7c506
- 99773cfde40fbf0a2e681cbb27b64616c4e401b47ad88255be843c3084e41e29
- b698ccf0db3ef9d598333cdb998beabbc0e59ba6a528e02a2870687b863ff0a3
- dce28ef0578d3d8d14159a098ef4f8f15995996c2c2e512caa456d8c0f5114dd
- f0b0138e46957c77c6b40f7c2ed6b16bf7aea25cd02ac62e4298b559de2b385b
- f1632ccc48b023eeab044ed42093e748e501c0afdde9b97d22d27ad09b01dbea
- f51e016793c920faad2abe8da9d14a6d6ecd1f73b8ccd68d583b4ddcbf9341fa
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
マルウェア
Win.Malware.Zbot-6935412-0
侵害の兆候
| レジストリ キー | 発生 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINDOWS Value Name: LoadAppInit_DLLs |
25 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\COMPATIBILITYADAPTER\SIGNATURES Value Name: aybbmte.job.fp |
25 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TREE\AYBBMTE Value Name: Index |
25 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TASKS\{FF46FC7D-1E0D-46F8-87EC-94D0FDA83668} Value Name: DynamicInfo |
14 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\HANDSHAKE\{F2B28AC6-1443-43F4-9832-8315397F35E8} Value Name: data |
14 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TASKS\{088B2EE3-A639-491E-B1E6-84AE447D785F} Value Name: DynamicInfo |
7 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\HANDSHAKE\{94669170-5F40-43E0-9D77-69BC9146DF72} Value Name: data |
7 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TASKS\{9C9693B0-E894-414D-8675-6B58133E665B} Value Name: DynamicInfo |
2 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\HANDSHAKE\{6E1FF505-4705-412B-825D-ECE026885614} Value Name: data |
2 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TASKS\{48716312-C151-484D-9EC0-E5B4883DF1B7} Value Name: DynamicInfo |
1 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\HANDSHAKE\{90EA3D0B-BA3B-4356-A2CD-915E5BB4CF7B} Value Name: data |
1 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TASKS\{65579417-B766-4127-BD16-88A7D90F9ADD} Value Name: DynamicInfo |
1 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\HANDSHAKE\{E4AA06C0-45E2-4E4D-B133-96D82B197EA1} Value Name: data |
1 |
| ミューテックス | 発生 |
| 該当なし | – |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生 |
| 該当なし | – |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生 |
| 該当なし | – |
| 作成されたファイルやディレクトリ | 発生 |
| %ProgramData%\Mozilla\thfirxd.exe | 25 |
| %System32%\Tasks\aybbmte | 25 |
| %ProgramData%\Mozilla\lygbwac.dll | 25 |
| %HOMEPATH%\APPLIC~1\Mozilla\kvlcuie.dll | 25 |
| %HOMEPATH%\APPLIC~1\Mozilla\tfbkpde.exe | 25 |
| %SystemRoot%\Tasks\kylaxsk.job | 25 |
ファイルのハッシュ値
- 038925296d4fdaa55efcfa1ad8c02ce08d6f3673bc042fed1bd20d9f29fad5d3
- 0ca97f5d0c9e6de090568cb7285db362d7210c45e2213be617fdd4ba2ae8dc7d
- 109de4dba47129449293624f674a90a8d6381d5f827e4192f1efc97e4b08748e
- 4155d902b22a775b172e7d86d4958e9088d571bfda7810fd6eceaa5bfb44e847
- 56d02ae6de618c67968b5c6ca583372e1388c89424f2c2118aac6a8548b909ce
- 5880016db066b6d864c72234d1404cb0ac8953a0ca35b1edae8fc1c8c6c8a7b2
- 591e2322c4e4a65b02694f0066ef6c18ceff25c50ea0c118591170af3e4e9cce
- 5a48b66eb3c6581073bd8b85f9a8151364f089dd91997d82ec42709f3f813def
- 697000ba4047468f1005194dcbd2ae90e444a7e1a8b52c3904a3001358387af9
- 89a3ecc59f1bd6d62f71b2dccbf03e433d99cee9f9e8d961e19d5e3ca7bb3f15
- 95ce736766aa931ba16df831dabc530f64e9e9a6d1a134e6931987fa1c8fd544
- a3309cb7bf90a6f6220bbf9a6b018d5f41334407a431b5101874e4d3436382ff
- b28ca331d6466f83028b9e8c4e9fd6511dad0a599859ea21f8dd02618eabc1d4
- c27265eca8f4f1d0606e3e6acc971721410f7430d3b8c487b128fee5a910f8cd
- c6b0d5b496baca826833a12e9863292ecdd92931ce682d61a74ee62e97c39382
- cf9e75a01b1ee5093c7ca244f5568becd535c6e9f56885a11a25dc1e9621d502
- d5587aef2b6a77a22904f8cff993d6e35a832f7552f8f3124c772b1700077622
- d7fb034de95b8ef46570d15391cb1c8181e2145076831813563a947d8d1616db
- dc68ea18ef5b981d2fefd632a9e7fe51bc03c5058dcff708b9aa255e9ebbfe06
- e1c784eada950c0b8a9ff1a533d95252bf4cf36314b8b52aaef1ce51c3fe3704
- eb84091df0b6ea62d38e2240201dc93fbb5db4b878c595937cd9ff77508dacc1
- ec5dd84f2cd6083165187eff18bb55f382719977092eaeea642868d062926970
- ed8887e64560574df7491a6ba7feff32433fed157e02f39ce86fb8689d5a2207
- f443021ba52b571fa16f440f171e85430eb6d925882bdffc339de6917b6e13b6
- f4fd6c5f9fdeb3196e09b5ee9854f0c06d320c8cfe8c7fc04e234c35cfcc26b7
- IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Win.Ransomware.Cerber-6935713-0
侵害の兆候
| レジストリ キー | 発生 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER Value Name: Run |
54 |
| <HKCU>\SOFTWARE\MICROSOFT\COMMAND PROCESSOR Value Name: AutoRun |
54 |
| <HKCU>\CONTROL PANEL\DESKTOP Value Name: SCRNSAVE.EXE |
54 |
| <HKCU>\PRINTERS\DEFAULTS\{21A3D5EE-E123-244A-98A1-8E36C26EFF6D} Value Name: Component_00 |
54 |
| <HKU>\Control Panel\Desktop | 42 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\TASKCACHE\TASKS\{F95BF9F7-D3F3-4AC5-8A3F-4B59850DD369} Value Name: DynamicInfo |
31 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\HANDSHAKE\{99EF6702-6773-48D3-992B-6F4C187FAC71} | 17 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\SHELL EXTENSIONS\CACHED Value Name: {FBF23B40-E3F0-101B-8488-00AA003E56F8} {000214FA-0000-0000-C000-000000000046} 0xFFFF |
12 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{18DF081C-E8AD-4283-A596-FA578C2EBDC3}\IEXPLORE Value Name: Blocked |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{72853161-30C5-4D22-B7F9-0BBC1D38A37E}\IEXPLORE Value Name: Blocked |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{B4F3A835-0E21-4959-BA22-42B3008E02FF}\IEXPLORE Value Name: Blocked |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\INTERNET EXPLORER\MAIN Value Name: Window_Placement |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CD BURNING\STAGINGINFO\VOLUME{509D0DCA-5840-11E6-A51E-806E6F6E6963} Value Name: Active |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CD BURNING\DRIVES\VOLUME{509D0DCA-5840-11E6-A51E-806E6F6E6963}\CURRENT MEDIA Value Name: Set |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\IEXPLORE Value Name: LoadTimeArray |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{DBC80044-A445-435B-BC74-9C25C1C588A9}\IEXPLORE Value Name: LoadTimeArray |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN Value Name: ipconfig |
2 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE Value Name: ipconfig |
2 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\COMPATIBILITYADAPTER\SIGNATURES Value Name: ipconfig.job.fp |
2 |
| ミューテックス | 発生 |
| shell.{381828AA-8B28-3374-1B67-35680555C5EF} | 54 |
| Local\VERMGMTBlockListFileMutex | 14 |
| Local\!BrowserEmulation!SharedMemory!Mutex | 14 |
| Local\URLBLOCK_DOWNLOAD_MUTEX | 14 |
| Local\URLBLOCK_HASHFILESWITCH_MUTEX | 14 |
| cversions.1.m | 14 |
| GeneratingSchemaGlobalMapping | 14 |
| cversions.2.m | 14 |
| _SHuassist.mtx | 13 |
| {5312EE61-79E3-4A24-BFE1-132B85B23C3A} | 13 |
| Local\Shell.CMruPidlList | 13 |
| Local\InternetShortcutMutex | 13 |
| Local\ExplorerIsShellMutex | 13 |
| CDBurnNotify | 13 |
| Global\CDBurnExclusive | 13 |
| {C20CD437-BA6D-4ebb-B190-70B43DE3B0F3} | 12 |
| !PrivacIE!SharedMem!Mutex | 11 |
| ALTTAB_RUNNING_MUTEX | 11 |
| {66D0969A-1E86-44CF-B4EC-3806DDDA3B5D} | 8 |
| _!SHMSFTHISTORY!_ | 5 |
| Local\URLBLOCK_FILEMAPSWITCH_MUTEX_1388 | 3 |
| \BaseNamedObjects\shell.{3AFC1C93-3B52-BB89-3222-3835B13B7C57} | 3 |
| Local\URLBLOCK_FILEMAPSWITCH_MUTEX_1084 | 2 |
| \BaseNamedObjects\shell.{2DA495A3-711D-597E-268E-77F8D29EB324} | 2 |
| \BaseNamedObjects\shell.{37AB6120-3C1B-909E-8A46-BA7ED26D587E} | 2 |
| IOC の詳細については JSON を参照してください | |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生 |
| 31[.]184[.]235[.]95 | 31 |
| 31[.]184[.]235[.]94 | 31 |
| 31[.]184[.]235[.]93 | 31 |
| 31[.]184[.]234[.]90 | 31 |
| 31[.]184[.]235[.]92 | 31 |
| 31[.]184[.]234[.]91 | 31 |
| 31[.]184[.]235[.]91 | 31 |
| 31[.]184[.]234[.]92 | 31 |
| 31[.]184[.]235[.]90 | 31 |
| 31[.]184[.]234[.]93 | 31 |
| 31[.]184[.]234[.]94 | 31 |
| 31[.]184[.]234[.]95 | 31 |
| 31[.]184[.]234[.]96 | 31 |
| 31[.]184[.]234[.]97 | 31 |
| 31[.]184[.]234[.]98 | 31 |
| 31[.]184[.]234[.]99 | 31 |
| 31[.]184[.]235[.]99 | 31 |
| 31[.]184[.]235[.]98 | 31 |
| 31[.]184[.]235[.]97 | 31 |
| 31[.]184[.]235[.]96 | 31 |
| 31[.]184[.]235[.]214 | 31 |
| 31[.]184[.]235[.]215 | 31 |
| 31[.]184[.]235[.]212 | 31 |
| 31[.]184[.]235[.]213 | 31 |
| 31[.]184[.]235[.]218 | 31 |
| IOC の詳細については JSON を参照してください | |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生 |
| ipinfo[.]io | 54 |
| onion[.]to | 23 |
| cerberhhyed5frqa[.]onion[.]to | 23 |
| ip-api[.]com | 19 |
| freegeoip[.]net | 18 |
| en[.]wikipedia[.]org | 5 |
| www[.]collectionscanada[.]ca | 5 |
| alpha3[.]suffolk[.]lib[.]ny[.]us | 5 |
| www[.]archives[.]gov | 5 |
| www[.]vitalrec[.]com | 5 |
| www[.]cdc[.]gov | 5 |
| 4kqd3hmqgptupi3p[.]u57u1e[.]top | 1 |
| 4kqd3hmqgptupi3p[.]hlu8yz[.]top | 1 |
| 4kqd3hmqgptupi3p[.]58na23[.]top | 1 |
| 4kqd3hmqgptupi3p[.]132z80[.]top | 1 |
| 4kqd3hmqgptupi3p[.]asd3r3[.]top | 1 |
| 4kqd3hmqgptupi3p[.]h9ihx3[.]top | 1 |
| 4kqd3hmqgptupi3p[.]ep493u[.]top | 1 |
| 4kqd3hmqgptupi3p[.]h079j8[.]top | 1 |
| 4kqd3hmqgptupi3p[.]fgkr56[.]top | 1 |
| 4kqd3hmqgptupi3p[.]azwsxe[.]top | 1 |
| 作成されたファイルやディレクトリ | 発生 |
| %HOMEPATH%\NTUSER.DAT | 54 |
| %HOMEPATH%\ntuser.dat.LOG1 | 54 |
| %APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2} | 54 |
| %LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\json[1].json | 54 |
| %HOMEPATH%\ntuser.ini | 38 |
| %APPDATA%\Microsoft\Office\Recent\# DECRYPT MY FILES #.html | 37 |
| %APPDATA%\Microsoft\Office\Recent\# DECRYPT MY FILES #.txt | 37 |
| %APPDATA%\Microsoft\Office\Recent\# DECRYPT MY FILES #.url | 37 |
| %APPDATA%\Microsoft\Office\Recent\# DECRYPT MY FILES #.vbs | 37 |
| %HOMEPATH%\# DECRYPT MY FILES #.html | 37 |
| %HOMEPATH%\# DECRYPT MY FILES #.txt | 37 |
| %HOMEPATH%\# DECRYPT MY FILES #.url | 37 |
| %HOMEPATH%\# DECRYPT MY FILES #.vbs | 37 |
| %APPDATA%\Adobe\Acrobat\9.0\JavaScripts\glob.settings.js | 36 |
| %APPDATA%\Adobe\Acrobat\9.0\TMGrpPrm.sav | 36 |
| %APPDATA%\Microsoft\Outlook\Outlook.xml | 36 |
| %APPDATA%\Adobe\Acrobat\9.0\# DECRYPT MY FILES #.html | 36 |
| %APPDATA%\Adobe\Acrobat\9.0\# DECRYPT MY FILES #.txt | 36 |
| %APPDATA%\Adobe\Acrobat\9.0\# DECRYPT MY FILES #.url | 36 |
| %APPDATA%\Adobe\Acrobat\9.0\# DECRYPT MY FILES #.vbs | 36 |
| %APPDATA%\Adobe\Acrobat\9.0\JavaScripts\# DECRYPT MY FILES #.html | 36 |
| %APPDATA%\Adobe\Acrobat\9.0\JavaScripts\# DECRYPT MY FILES #.txt | 36 |
| %APPDATA%\Adobe\Acrobat\9.0\JavaScripts\# DECRYPT MY FILES #.url | 36 |
| %APPDATA%\Adobe\Acrobat\9.0\JavaScripts\# DECRYPT MY FILES #.vbs | 36 |
| %APPDATA%\Microsoft\Outlook\# DECRYPT MY FILES #.html | 36 |
| IOC の詳細については JSON を参照してください | |
ファイルのハッシュ値
- 0209aa718b9b606b5cad5f9783ef1eb441ab1b6ff63283855e8b6d74f4649ec5
- 03050ca0e3c1e6fc7a9782b5791aeccc77a1f07a7a8a675feb6e756226174410
- 04043499a4936537e774dc6a381ccaeab8bb853d84819b9be12de2931d6646de
- 0468b2231ea7059a58566e1a77d170f9c3a7e417d0221e8d7ca0747607bba2c3
- 0680c78425029623806a8fd8f305523564e52bb68779ccffd698b78e218e249e
- 087fa7d28264fc9c06eb7031891b68794c67b7b571176194e313c227437a1ea8
- 09b4791e9e2eed217cf3df60f0386b010dccfc12a0b8c67b3cd2007fdbfb8e74
- 0adb55a70a4c9f9e2bfcd33bb7c7b7b2f5d309b5ad006e7364aca2fbcda6c505
- 0ca6bf5961f23df78cd48d7cde29d58b7d23e22598f784d04a1ca0676a466c0a
- 0cf92c126ff4860a912d3e5d9d21c546edf434b46a1ea8bdddaf1eace91bc7ce
- 0d7b033bd7734735b8e101b820be42c37e6957dd556da8b26f05f50edc3cb96f
- 0dc0bfebad2716cfc4eb1b6d2853929d110fa2589af4d662d0c35231e9e1e291
- 0eb148582c01d74361a630671d8c4d7f2577cbf09bea123f16df962e4b7d3df8
- 0fa00710b9232318f7288b3723436ccc51714089030fabe581a00cd057b71865
- 0fcb3e096368ecbe9d96c2c88ef721c29b596db298a6790a27ccab7bffe5a12b
- 103517b74d9bc58c6a54d0a635ef45417540aeb5d8b5809ad110abb4685b0c2b
- 10de95456a338a6f0edc9cd277ed314380a335dcc8e921e6eb7b40b526bca0fc
- 130cd09e0e050acf6b75411b57c1146cd6f177f765e8cde272bd45b641e068d8
- 13f983ebe9787626f1fe2e6615ad9c8cbc997b363ad9c2f91a1295a9a1db65db
- 1677324000e28746b206c781a6b653f87b69e144c18d5f366aa9f0f2af83a8b7
- 1768e3f32fe5c938f3baed815000b18020b10dd8ac440aa4bef7258cab863395
- 177644a4e59f0f0b468e176972895a55b724fc19db205f555e98c06851982084
- 179f11a15d4a284bf8e10002663f744bee9903bb2c8eae9e22308a49bca9ff03
- 17f46c0701439f25126d59dd4b3b8c4cb131e260cc199bb8bb61414128fd3aef
- 18adeddd8205122987da070c640e8eaf72e2e4bc5f2f58491a5e83f7ed6c2c25
- IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Umbrella
マルウェア
Win.Trojan.Winwebsec-6935682-0
侵害の兆候
| レジストリ キー | 発生 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER Value Name: UpdatesDisableNotify |
10 |
| <HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer | 10 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\WSCSVC Value Name: Start |
10 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\WINDEFEND Value Name: Start |
10 |
| <HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\System | 10 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\SYSTEM Value Name: ConsentPromptBehaviorAdmin |
10 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER Value Name: HideSCAHealth |
10 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\WUAUSERV Value Name: Start |
10 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER\svc | 10 |
| <HKLM>\System\CurrentControlSet\Services\luafv | 10 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\LUAFV Value Name: Start |
10 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SYSTEMRESTORE Value Name: RPSessionInterval |
10 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS DEFENDER Value Name: DisableAntiSpyware |
10 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE Value Name: 98BE0FA9BB7E8E3C000098BD76F2948C |
10 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE Value Name: 98BE0FA9BB7E8E3C000098BD76F2948C |
10 |
| <HKLM>\SYSTEM\CONTROLSET001\ENUM\WPDBUSENUMROOT\UMB\2&37C186B&0&STORAGE#VOLUME#_??_USBSTOR#DISK&VEN_GENERIC&PROD_HARDDISK&REV_2.5+#1-0000:00:1D.7-2&0# Value Name: CustomPropertyHwIdKey |
3 |
| <HKCU>\Software\Microsoft\Installer\Products\98BE0FA9BD7E903C000098BD76F2968C | 3 |
| <HKCU>\SOFTWARE\MICROSOFT\INSTALLER\PRODUCTS\98BE0FA9BD7E903C000098BD76F2968C | 3 |
| ミューテックス | 発生 |
| 98BE0FA9BB7E8E3C000098BD76F2948C | 10 |
| 98BE0FA9BC7E8F3C000098BD76F2958C | 3 |
| 98BE0FA9BCBE8F7C000098BD76F295CC | 3 |
| 98BE0FA9BD7E903C000098BD76F2968C | 3 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生 |
| 123[.]108[.]108[.]42 | 10 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生 |
| 該当なし | – |
| 作成されたファイルやディレクトリ | 発生 |
| %ProgramData%\98BE0FA9BB7E8E3C000098BD76F2948C | 10 |
| %ProgramData%\98BE0FA9BB7E8E3C000098BD76F2948C\98BE0FA9BB7E8E3C000098BD76F2948C.exe | 10 |
| %ProgramData%\98BE0FA9BB7E8E3C000098BD76F2948C\98BE0FA9BB7E8E3C000098BD76F2948C.ico | 10 |
| %ProgramData%\98BE0FA9BB7E8E3C000098BD76F2948C\98BE0FA9BB7E8E3C000098BD76F2948C | 3 |
| %APPDATA%\Microsoft\Windows\Start Menu\Programs\System Care Antivirus\System Care Antivirus.lnk | 3 |
| %HOMEPATH%\Desktop\System Care Antivirus.lnk | 3 |
| %APPDATA%\Microsoft\Windows\Start Menu\Programs\System Care Antivirus | 3 |
ファイルのハッシュ値
- 10b34c1a0b739cd6c12e2926372afcd0cbf6f95be9d1b45038144bd3efb5eb79
- 1a448e78d2668f4dad016aca5092107f4d1ee19dadf8886e8a0ec4e2b550b317
- 26a08a46deffe995ba67d9aaf547b55a265fe513a8293d51f3f9f0b3d944808c
- 72f94e87b1fa1393360d9cacbdebb1ffebd5754c7d93121e0e887eacb8529c87
- 8725d076eb421b4e4737792ad07647db9a263e4da2f0436bccd6c8ff9f752d39
- b18e5830f0e557d72ba6ba2dbb59da23cf8e2539148efc51ed01a0364210b06d
- b4b5fdc7fcf6f86a9ffba97a9d2e159f0078e9ffc090deb948660a3c8e5cdd07
- d45ba937d7d532907d5da3fc979a96b1efa5e9c9a4c6b5c45f683925a9524ac2
- d54730e93be5c4d17de56a904aa56610c06fdf425083277343c9ece4ecc922df
- e165145377ae247117657cb0172fd7767907dd1ee5d4a698cbf58a6f4af03624
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Win.Malware.Tovkater-6936213-0
侵害の兆候
| レジストリ キー | 発生 |
| <HKLM>\System\CurrentControlSet\Control\Session Manager | 14 |
| <HKLM>\SYSTEM\CONTROLSET001\CONTROL\SESSION MANAGER Value Name: PendingFileRenameOperations |
14 |
| <HKLM>\SYSTEM\ControlSet001\Control\Session Manager | 10 |
| ミューテックス | 発生 |
| 該当なし | – |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生 |
| 185[.]53[.]178[.]6 | 1 |
| 185[.]147[.]15[.]5 | 1 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生 |
| MIRRACLEZ[.]CLUB | 10 |
| mirraclez[.]club | 10 |
| zaltzburgopportunity[.]top | 4 |
| binocularhearing[.]top | 4 |
| CARIBZ[.]CLUB | 2 |
| flowergroup[.]top | 1 |
| binoculuz[.]club | 1 |
| BINOCULUZ[.]CLUB | 1 |
| backverge[.]top | 1 |
| gaslight[.]metimes[.]ru | 1 |
| BACKVERGE[.]TOP | 1 |
| frock[.]encours[.]ru | 1 |
| caribz[.]club | 1 |
| lurk[.]ecolleague[.]ru | 1 |
| simpledrive[.]top | 1 |
| 作成されたファイルやディレクトリ | 発生 |
| masrra11.exe | 8 |
| imasrr13.exe | 4 |
| %LocalAppData%\Temp\nsnD405.tmp | 2 |
| %LocalAppData%\Temp\nscD4B1.tmp\nsJSON.dll | 1 |
| %LocalAppData%\Temp\nsnD010.tmp\INetC.dll | 1 |
| %LocalAppData%\Temp\nsnD010.tmp\Y gamemonitor.dll | 1 |
| %LocalAppData%\Temp\nsnD010.tmp\cmutil.dll | 1 |
| %LocalAppData%\Temp\nsnD010.tmp\colbact.dll | 1 |
| %LocalAppData%\Temp\nsnD010.tmp\icrub.exe | 1 |
| %LocalAppData%\Temp\nsnD010.tmp\nsJSON.dll | 1 |
| %LocalAppData%\Temp\nsiD435.tmp\INetC.dll | 1 |
| %LocalAppData%\Temp\nsiD435.tmp\X shmgrate.exe | 1 |
| %LocalAppData%\Temp\nsiD435.tmp\Y gamemonitor.dll | 1 |
| %LocalAppData%\Temp\nsiD435.tmp\Z shmgrate.exe | 1 |
| %LocalAppData%\Temp\nsiD435.tmp\cmutil.dll | 1 |
| %LocalAppData%\Temp\nsiD435.tmp\colbact.dll | 1 |
| %LocalAppData%\Temp\nsiD435.tmp\msimn.exe | 1 |
| %LocalAppData%\Temp\nsiD435.tmp\nsJSON.dll | 1 |
| %LocalAppData%\Temp\nsiD435.tmp\shmgrate.exe | 1 |
| %LocalAppData%\Temp\nsiD435.tmp\xantacla.exe | 1 |
| %LocalAppData%\Temp\nsiDC21.tmp\INetC.dll | 1 |
| %LocalAppData%\Temp\nsiDC21.tmp\X shmgrate.exe | 1 |
| %LocalAppData%\Temp\nsiDC21.tmp\Y gamemonitor.dll | 1 |
| %LocalAppData%\Temp\nsiDC21.tmp\Z shmgrate.exe | 1 |
| %LocalAppData%\Temp\nsiDC21.tmp\cmutil.dll | 1 |
| IOC の詳細については JSON を参照してください | |
ファイルのハッシュ値
- 4f8cf035324575449ee73dcfcc1ecededc5d1f3f8a4cec2f0e85455516207eb0
- 9fc837165be91f7c7042e1dbcc4db8dd38d002f9214b861db6214c636055bac4
- a40c7290af61e7f34282faf839982f9fbb33db423751ce59d11a156140e711ef
- bd9f2de34957bcd509e47fcd7cd7e7f2af01b0e5078c0823680cdcd1d753341a
- c880d5254c7e1d5723862100c2d57bd3cbcaad6560437ac59bd1071172980197
- cd69efb3bb139a1675b90690635f8584896fc10c1f85be17f92206f8d856289d
- d6dc00609f709cc451cb61f1d77fc84e8572494ebc3ba0de80518f7ab234384e
- e82dd6108b2272e13f6365d75943de81b4196cfa4d885a78a2ac3665249ba2c5
- f102bc0d0ebe8adf4486b0567c9ab493faa619aa1ae48ac3572ecb23b2de9836
- f997bc9973d1bac7be25513c9ef80783949069a00732fd630e74876a3019dd3b
- fcec660083595a7956cc13f9815ce23edcfbfa3e82c150a2f0fe6c0449433ce0
- fd7696f075bb712bd4d7f14dad9c297d99669d3b1c61e51ee2dae4cfa897b9ff
- fdac4b0e291a27c91cd3050c4e811d4fe33bb2189e44015d0d5a88f168441815
- fef0d09e80bce24d232f60977972934eb9b1a984f4b42fac5a9d9ebd93757127
カバレッジ
時のスクリーンショット
AMP
Threat Grid
Umbrella
Tags:本稿は 2019年4月12日に Talos Group
コメントを書く
