Categories: 脅威リサーチ

脅威情報ニュースレター（2020 年 12 月 3 日）

 

Talos 読者の皆様、こんにちは。

今年は特にランサムウェアが注目を集めましたが、不正な暗号通貨マイナーがどこかに消えたわけではありません。Talos は最近、感染先のマシン上で Monero をマイニングする新しい暗号通貨マイナー「Xanthe」を発見しました。Xanthe のメインペイロードは Monero マイニングプログラム「XMRig」の亜種で、多く存在するプロセス検出ツールからマイニングプロセスの存在を隠蔽する共有オブジェクトによって保護されています。 

さらに今週から（可能であれば毎週 1 本のペースで）今年 1 年を振り返る「Beers with Talos（Talos とビールを）」のエピソードもお届けする予定です。今週のエピソードは QR コードについてです。QR コードに関して何か気を付けるべき点はあるのかや、ロボットが人間に反乱を起こす場合に QR コードが悪用され得る方法などについて論じています。

1 週間のサイバーセキュリティ概況

最近の注目すべきセキュリティ問題

件名：Docker を標的とする暗号通貨マイナー Xanthe

説明：Cisco Talos は最近、「Xanthe」という暗号通貨マイニングボットによる攻撃キャンペーンを発見しました。Xanthe は、Docker 関連の脅威を追跡するためにシスコが設置したセキュリティハニーポットの 1 つを侵害しようとしていました。感染プロセスは、ダウンローダモジュールによってメインのインストーラモジュールがダウンロードされるところから開始されます。インストーラモジュールには、ローカルおよびリモートネットワーク上の他のシステムに拡散する機能も含まれています。メインモジュールは、クライアント側証明書を盗み出し、パスワードなしで他のホストに接続することにより外部への拡散を試みます。また、2 つの bash スクリプトを実行してセキュリティサービスを終了し、競合する他のボットネットを削除します。さらに、スケジュール設定された cron ジョブを作成し、システム起動スクリプトの 1 つを変更することにより永続性を確保します。メインペイロードは Monero マイニングプログラム「XMRig」の亜種で、プロセスを列挙するさまざまなツールからマイナープロセスの存在を隠蔽する共有オブジェクトによって保護されています。

OSQuery：https://github.com/Cisco-Talos/osquery_queries/blob/master/packs/linux_malware.conf

ClamAV：Unix.Coinminer.Xanthe-9791859-0、Unix.Coinminer.Xanthe-9791860-0、Unix.Coinminer.Xanthe-9791861-0

 

件名：WebKit がメモリ解放後使用（use-after-free）およびコード実行の脆弱性を修正

詳細：WebKit ブラウザエンジンには、さまざまなソフトウェア機能に起因する複数の脆弱性が存在します。悪意のある Web ページ内のコードにより複数の解放済みメモリ使用（use-after-free）エラーが引き起こされ、リモートなどで任意コードを実行される危険性があります。攻撃者はユーザを欺き、WebKit を利用するブラウザから悪意のある Web ページにアクセスさせることにより、これらの脆弱性をエクスプロイトできます。WebKit は主に Apple の Safari Web ブラウザで使用されていますが、すべての iOS Web ブラウザと一部の PlayStation コンソールでも使用されています。

Snort SID：55844、55845、56126、56127、56379 ～ 56382

今週最も多く見られたマルウェアファイル

SHA 256：9f1f11a708d393e0a4109ae189bc64f1f3e312653dcf317a2bd406f18ffcc507

MD5：2915b3f8b703eb744fc54c81f4a9c67f

一般的なファイル名：vid001.exe

偽装名：なし

検出名：Win.Worm.Coinminer::1201

 

SHA 256：586d6b581a868f71c903097a3b7046f61a0797cda090a36687767189483e2360

MD5：7e0bc1c01f44c7a663d82e4aff71ee6c

一般的なファイル名：dfsvc.exe

偽装名：なし

検出名：Auto.586D6B.232349.in02

 

SHA 256：100318042c011363a98f82516b48c09bbcdd016aec557b009c3dd9c17eed0584

MD5：920823d1c5cb5ce57a7c69c42b60959c

一般的なファイル名：FlashHelperService.exe

偽装名：Flash Helper Service

検出名：W32.Variant.23mj.1201

 

SHA 256：8b4216a7c50599b11241876ada8ae6f07b48f1abe6590c2440004ea4db5becc9

MD5：34560233e751b7e95f155b6f61e7419a

一般的なファイル名：SAntivirusService.exe

偽装名：A n t i v i r u s S e r v i c e

検出名：PUA.Win.Dropper.Segurazo::tpd

 

SHA 256：85B936960FBE5100C170B777E1647CE9F0F01E3AB9742DFC23F37CB0825B30B5

MD5：8c80dd97c37525927c1e549cb59bcbf3

一般的なファイル名：Eternalblue-2.2.0.exe

偽装名：なし

検出名：Win.Exploit.Shadowbrokers::5A5226262.auto.talos

 

最新情報を入手するには、Twitter で Talos をフォローしてください。Snort、ClamAV および Immunet の独自アカウントもぜひフォローし、最新情報をご確認ください。また、こちら（またはお使いのポッドキャストアプリ）から『Beers with Talos』のポッドキャストを購読することもできます。『脅威情報ニュースレター』を未購読であれば、ぜひこちらからご登録ください。

 

本稿は 2020 年 12 月 03 日に Talos Group のブログに投稿された「Threat Source newsletter (Dec. 3, 2020)」の抄訳です。

 

Tags: 特集脅威情報ニュースレター
2020年12月10日
TALOS Japan

Talos は、ネットワーク脅威の専門家集団です。Talos が提供する脅威インテリジェンスの情報は、既知および未知の脅威からお客様のネットワークを保護するためにシスコのセキュリティ製品によって活用されています。

Related Post

  • 脅威環境に関するサマリーレポート：Cisco Talos 2022 年の総括

    ウクライナへの継続的な支援と Log4j の脆弱性への対応は、2022 年における特に広範で影響の大きい取り組みでしたが、Talos は他にも数多くの脅威に対応しました。セキュリティコミュニティが攻撃者とマルウェアの増加に直面していたことが背景にあります。

  • Talos の『一年の総括』2022 年版

    本レポートは、さまざまなデータと専門知識を交えながら一年間の成果を網羅的に紹介しようという、シスコ社内のかつてない取り組みから生まれたものです。

  • 10 月 7 日から 10 月 14 日の 1 週間における脅威のまとめ

    本日の投稿では、10 月 7 日～ 10 月 14 日の 1 週間で Talos が確認した、最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。脅威の主な行動特性やセキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。