脅威リサーチ
1 月 13 日から 1 月 20 日の 1 週間における脅威のまとめ
本日の投稿では、1 月 13 日 ～ 1 月 20 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。脅威の主な行動特性やセキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。
下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ脅威の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org
、または ClamAV.net をご覧ください。
本記事では、脅威カテゴリごとに 25 個の関連ファイルハッシュと最大 25 件の IOC のみを含めています。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらの JSON ファイルをご覧ください。MITRE ATT&CK 手口についても、脅威ごとに図示されています。図の中における手口の色が明るいほど、動的分析が行われた脅威ファイル全体で多く確認されたことを示しています。明るさは 5 段階で、最も暗いものはファイル全体で確認されなかった手口を、最も明るいものはファイル全体の 75% 以上で確認された手口を表します。
今回ご紹介する、最も蔓延している脅威は次のとおりです。
| 脅威名 | タイプ | 説明 |
| Win.Virus.Xpiro-9983832-1 | ウイルス | Expiro は既知のファイルインフェクタで、情報窃取型ウイルスです。デバッグ回避と分析回避により分析を妨害します。 |
| Xls.Exploit.LokiBot-9983602-0 | エクスプロイト | LokiBot は情報窃取型のマルウェアです。標的デバイスに保存されている機密情報を吸い上げる目的があります。モジュール型の性質があり、人気のある多くのアプリケーションから機密情報を盗み出します。一般に、スパムメールを介して配信される悪意のあるドキュメントによって感染します。 |
| Win.Dropper.Fareit-9983571-1 | ドロッパー | Fareit は情報の詐取を主な目的としたトロイの木馬ですが、他のマルウェアをダウンロードしてインストールする機能も備えています。 |
| Win.Dropper.HawkEye-9983397-0 | ドロッパー | Hawkeye は情報窃取型のマルウェアです。感染したマシン上の Web ブラウザやメールクライアントに保存されたユーザー名とパスワードを標的にしています。多くは電子メールで拡散していますが、リムーバブルメディアを介して伝播するケースもあります。 |
| Win.Dropper.Shiz-9983394-0 | ドロッパー | Shiz はリモートアクセス型トロイの木馬です。感染すると機密情報が流出する危険性があります。一般的にドロッパーを介して、または悪意のあるサイトを経由して拡散されます。 |
| Win.Dropper.DarkKomet-9984290-0 | ドロッパー | DarkKomet はリモートアクセス型トロイの木馬（フリーウェア）であり、単独のソフトウェア開発者によってリリースされました。一般的なリモートアクセスツールと同様の機能（キーロギング、Web カメラへのアクセス、マイクへのアクセス、リモートデスクトップ、URL ダウンロード、プログラム実行など）を備えています。 |
| Win.Dropper.Nanocore-9984085-0 | ドロッパー | Nanocore は .NET を利用したリモートアクセス型トロイの木馬（RAT）です。このソースコードは何度も漏洩してきたため、広く使用されています。他の RAT と同様にシステムを完全に乗っ取り、ビデオの録画や音声の録音、パスワードやファイルの窃取、キー操作の記録などの不正操作を行います。 |
| Win.Dropper.QuasarRAT-9983512-0 | ドロッパー | QuasarRAT は .NET を利用したリモートアクセス型トロイの木馬（RAT）です。オープンソースの RAT であり、リモートシェル、ファイル管理、任意のコマンドの実行、ログイン情報窃取などの標準機能を含む、多数の機能を攻撃者に提供します。 |
脅威の内訳
Win.Virus.Xpiro-9983832-1
侵害の兆候
- 動的分析により 11 個のサンプルから収集された IOC（脅威の兆候）
| レジストリキー | 発生回数 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\WSCSVC 値の名前：Start |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\WINDEFEND 値の名前：Start |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \CLR_OPTIMIZATION_V2.0.50727_32 値の名前：Type |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \CLR_OPTIMIZATION_V4.0.30319_32 値の名前：Type |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \CLR_OPTIMIZATION_V4.0.30319_32 値の名前：Start |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \COMSYSAPP 値の名前：Type |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \COMSYSAPP 値の名前：Start |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \MOZILLAMAINTENANCE 値の名前：Type |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \MOZILLAMAINTENANCE 値の名前：Start |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \MSISERVER 値の名前：Type |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \MSISERVER 値の名前：Start |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\OSE 値の名前：Type |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\OSE 値の名前：Start |
11 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT \SECURITY CENTER\SVC\S-1-5-21-2580483871-590521980-3826313501-500 |
11 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT \SECURITY CENTER\SVC\S-1-5-21-2580483871-590521980-3826313501-500 値の名前：EnableNotifications |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \CLR_OPTIMIZATION_V2.0.50727_32 値の名前：Start |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \AELOOKUPSVC 値の名前：Type |
11 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \AELOOKUPSVC 値の名前：Start |
11 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT \.NETFRAMEWORK\V2.0.50727\NGENSERVICE\STATE 値の名前：AccumulatedWaitIdleTime |
11 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT \.NETFRAMEWORK\V2.0.50727\NGENSERVICE\LISTENEDSTATE 値の名前：RootstoreDirty |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS \CURRENTVERSION\ACTION CENTER\CHECKS\{E8433B72-5842-4D43-8645-BC2C35960837}.CHECK.101 値の名前：CheckSetting |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS \CURRENTVERSION\ACTION CENTER\CHECKS\{E8433B72-5842-4D43-8645-BC2C35960837}.CHECK.103 値の名前：CheckSetting |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS \CURRENTVERSION\ACTION CENTER\CHECKS\{E8433B72-5842-4D43-8645-BC2C35960837}.CHECK.100 値の名前：CheckSetting |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS \CURRENTVERSION\ACTION CENTER\CHECKS\{E8433B72-5842-4D43-8645-BC2C35960837}.CHECK.102 値の名前：CheckSetting |
11 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS \CURRENTVERSION\ACTION CENTER\CHECKS\{E8433B72-5842-4D43-8645-BC2C35960837}.CHECK.104 値の名前：CheckSetting |
11 |
| ミューテックス | 発生回数 |
| kkq-vx_mtx67 | 11 |
| kkq-vx_mtx68 | 11 |
| kkq-vx_mtx69 | 11 |
| kkq-vx_mtx70 | 11 |
| kkq-vx_mtx71 | 11 |
| kkq-vx_mtx72 | 11 |
| kkq-vx_mtx73 | 11 |
| kkq-vx_mtx74 | 11 |
| kkq-vx_mtx75 | 11 |
| kkq-vx_mtx76 | 11 |
| kkq-vx_mtx77 | 11 |
| kkq-vx_mtx78 | 11 |
| kkq-vx_mtx79 | 11 |
| kkq-vx_mtx80 | 11 |
| kkq-vx_mtx81 | 11 |
| kkq-vx_mtx82 | 11 |
| kkq-vx_mtx83 | 11 |
| kkq-vx_mtx84 | 11 |
| kkq-vx_mtx85 | 11 |
| kkq-vx_mtx86 | 11 |
| kkq-vx_mtx87 | 11 |
| kkq-vx_mtx88 | 11 |
| kkq-vx_mtx89 | 11 |
| kkq-vx_mtx90 | 11 |
| kkq-vx_mtx91 | 11 |
* IOC の詳細については JSON を参照してください
| 作成されたファイルやディレクトリ | 発生回数 |
| \MSOCache\All Users\{90140000-0115-0409-0000-0000000FF1CE}-C\DW20.EXE | 11 |
| \MSOCache\All Users\{90140000-0115-0409-0000-0000000FF1CE}-C\dwtrig20.exe | 11 |
| \MSOCache\All Users\{91140000-0011-0000-0000-0000000FF1CE}-C\ose.exe | 11 |
| \MSOCache\All Users\{91140000-0011-0000-0000-0000000FF1CE}-C\setup.exe | 11 |
| %CommonProgramFiles(x86)%\microsoft shared\Source Engine\OSE.EXE | 11 |
| %ProgramFiles(x86)%\Microsoft Office\Office14\GROOVE.EXE | 11 |
| %ProgramFiles(x86)%\Mozilla Maintenance Service\maintenanceservice.exe | 11 |
| %SystemRoot%\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe | 11 |
| %SystemRoot%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe | 11 |
| %SystemRoot%\Microsoft.NET\Framework\v2.0.50727\ngen_service.log | 11 |
| %SystemRoot%\Registration\{02D4B3F1-FD88-11D1-960D-00805FC79235}.{33EC2C09-9668-4DE7-BCC0-EFC69D7355D7}.crmlog | 11 |
| %SystemRoot%\SysWOW64\dllhost.exe | 11 |
| %SystemRoot%\SysWOW64\msiexec.exe | 11 |
| %SystemRoot%\SysWOW64\svchost.exe | 11 |
| %SystemRoot%\Microsoft.NET\Framework\v4.0.30319\ngen_service.log | 11 |
| %SystemRoot%\SysWOW64\dllhost.vir | 11 |
| %SystemRoot%\SysWOW64\msiexec.vir | 11 |
| %SystemRoot%\SysWOW64\svchost.vir | 11 |
| %APPDATA%\Mozilla\Firefox\Profiles\<profile ID>.default\extensions | 11 |
| %SystemRoot%\Microsoft.NET\Framework\v4.0.30319\ngenservicelock.dat | 11 |
| %SystemRoot%\Microsoft.NET\Framework\v2.0.50727\ngen_service.lock | 11 |
| %SystemRoot%\Microsoft.NET\Framework\v2.0.50727\ngenservicelock.dat | 11 |
| \MSOCache\All Users\{90140000-0115-0409-0000-0000000FF1CE}-C\DW20.vir | 11 |
| \MSOCache\All Users\{90140000-0115-0409-0000-0000000FF1CE}-C\dwtrig20.vir | 11 |
| \MSOCache\All Users\{91140000-0011-0000-0000-0000000FF1CE}-C\ose.vir | 11 |
* IOC の詳細については JSON を参照してください
ファイルのハッシュ値
14a816eca397542177be1b013a8550463aaada0e544428d833d79d247b918a04 4d4b1301cdc29373b5fdaa0b961117b4ea230f3182ff1033a50b75cb33cb6737 58e289ed1bec0909bd490687c84bc81a754050028894cad20e045ea684106f87 63ef0e482f77540abbadc761522c8175d7e6f4b50a9932b0a98763f05916d913 6ac332b34addca8a68fc3808e412bd094202cdae8b1f7f381931541030d1aca0 9b8f4ffb5c45eab8a4b1d2ddf7dca2d0e3c3a11cb9ff989ad78b18891ba4267b 9e32c538f726a4dd30284cbe9427fbc3bd8daef548fddd35b9a0c1947028cba1 b15b22c579087019a0bca33bd562bda64716b53854d1068024ecc2fd7db6a215 b22d2e2f2850a578b83ab80b99f3c712395bd53b4d605f14396bbdb910089b3f b752731598528ea613850e0ad96c81ae76c9be21e6ab5b44928ce384910d0579 c7fc0618631d7a46cd16ed17a0edf1ea25dd9d3766536ffb35aa74c0b2cae931
カバレッジ
検出時のスクリーンショット
Secure Endpoint
Secure Malware Analytics
MITRE ATT&CK
Xls.Exploit.LokiBot-9983602-0
侵害の兆候
- 動的分析により 26 個のサンプルから収集された IOC（脅威の兆候）
| レジストリキー | 発生回数 |
| <HKCR>\LOCAL SETTINGS\MUICACHE\82\52C64B7E 値の名前：LanguageList |
26 |
| <HKCU>\SOFTWARE\MICROSOFT\EQUATION EDITOR | 25 |
| <HKCU>\SOFTWARE\MICROSOFT\EQUATION EDITOR\3.0 | 25 |
| <HKCU>\SOFTWARE\MICROSOFT\EQUATION EDITOR\3.0\OPTIONS | 25 |
| <HKCU>\SOFTWARE\MICROSOFT\INTERNET EXPLORER\INTELLIFORMS \STORAGE2 |
1 |
| <HKLM>\SOFTWARE\WOW6432NODE\MOZILLA\MOZILLA FIREFOX | 1 |
| <HKLM>\SOFTWARE\WOW6432NODE\MOZILLA\MOZILLA FIREFOX \20.0.1 (EN-US)\MAIN |
1 |
| <HKLM>\SOFTWARE\WOW6432NODE\MOZILLA\MOZILLA THUNDERBIRD | 1 |
| <HKCU>\SOFTWARE\MICROSOFT\CALC | 1 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER \DISCARDABLE\POSTSETUP\COMPONENT CATEGORIES\{56FFCC30-D398-11D0-B2AE-00A0C908FA49} |
1 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER \DISCARDABLE\POSTSETUP\COMPONENT CATEGORIES\{56FFCC30-D398-11D0-B2AE-00A0C908FA49}\ENUM |
1 |
| <HKCU>\SOFTWARE\MICROSOFT\CALC 値の名前：Window_Placement |
1 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION \UNINSTALL\SADDELTAGENE |
1 |
| <HKCU>\SOFTWARE\STANLEY | 1 |
| <HKCU>\SOFTWARE\STANLEY\MUSTELA | 1 |
| <HKCU>\SOFTWARE\STANLEY\MUSTELA\MEMORANDIZE | 1 |
| <HKCU>\SOFTWARE\KOMPOSTER | 1 |
| <HKCU>\SOFTWARE\KOMPOSTER\MYTHUS | 1 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION \UNINSTALL\SADDELTAGENE 値の名前：Anabata |
1 |
| <HKCU>\SOFTWARE\STANLEY\MUSTELA\MEMORANDIZE 値の名前：Hannss |
1 |
| <HKCU>\SOFTWARE\KOMPOSTER\MYTHUS 値の名前：Udlbsdatos |
1 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER \DISCARDABLE\POSTSETUP\COMPONENT CATEGORIES\{56FFCC30-D398-11D0-B2AE-00A0C908FA49}\ENUM 値の名前：Implementing |
1 |
| ミューテックス | 発生回数 |
| Local\10MU_ACB10_S-1-5-5-0-67863 | 26 |
| Local\10MU_ACBPIDS_S-1-5-5-0-67863 | 26 |
| 3749282D282E1E80C56CAE5A | 4 |
| 1 | |
| irLbieSUCc | 1 |
| 8M65-UPTBHT-1F5Z | 1 |
| 8L30N9RRD4TG20Lz | 1 |
| gsVeqYyojcjHvs | 1 |
| qtHAQcA | 1 |
| tKywdBwKac | 1 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生回数 |
| 192[.]3[.]136[.]186 | 5 |
| 3[.]232[.]242[.]170 | 3 |
| 52[.]20[.]78[.]240 | 2 |
| 3[.]220[.]57[.]224 | 2 |
| 208[.]67[.]105[.]148 | 2 |
| 103[.]232[.]54[.]143 | 2 |
| 104[.]168[.]45[.]102 | 2 |
| 185[.]216[.]71[.]172 | 2 |
| 103[.]167[.]85[.]164 | 2 |
| 91[.]195[.]240[.]94 | 1 |
| 85[.]159[.]66[.]93 | 1 |
| 216[.]18[.]208[.]202 | 1 |
| 208[.]67[.]105[.]161 | 1 |
| 45[.]33[.]6[.]223 | 1 |
| 198[.]23[.]188[.]145 | 1 |
| 198[.]46[.]178[.]174 | 1 |
| 103[.]139[.]44[.]52 | 1 |
| 193[.]222[.]62[.]4 | 1 |
| 192[.]3[.]101[.]26 | 1 |
| 103[.]171[.]0[.]73 | 1 |
| 175[.]41[.]16[.]124 | 1 |
| 154[.]204[.]248[.]137 | 1 |
| 199[.]192[.]23[.]224 | 1 |
| 164[.]155[.]185[.]152 | 1 |
| 145[.]14[.]156[.]167 | 1 |
* IOC の詳細については JSON を参照してください
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生回数 |
| api[.]ipify[.]org | 7 |
| sempersim[.]su | 1 |
| www[.]sqlite[.]org | 1 |
| www[.]asiadesign[.]xyz | 1 |
| www[.]easy005[.]xyz | 1 |
| www[.]terratechpower[.]com | 1 |
| www[.]porpubby[.]info | 1 |
| www[.]glaaforum[.]com | 1 |
| www[.]barefootcalzado[.]com | 1 |
| www[.]bullcute[.]com | 1 |
| www[.]hameaudeguzon[.]com | 1 |
| www[.]allosteriacarpi[.]com | 1 |
| www[.]brasil24horas[.]online | 1 |
| www[.]hf9blwwuwpx7j8k[.]live | 1 |
| 作成されたファイルやディレクトリ | 発生回数 |
| %PUBLIC%\vbc.exe | 15 |
| %TEMP%\tmp<random, matching [A-F0-9]{1,4}>.tmp | 7 |
| %APPDATA%\D282E1 | 4 |
| %APPDATA%\D282E1\1E80C5.lck | 4 |
| %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2580483871-590521980-3826313501-500\a18ca4003deb042bbee7a40f15e1970b_d19ab989-a35f-4710-83df-7b2db7efe7c5 | 4 |
| %TEMP%\ns<random, matching ‘[a-z][A-F0-9]{1,4}’>.tmp | 3 |
| \Users | 1 |
| %TEMP%\sqlite3.dll | 1 |
| %TEMP%\CVRDF9.tmp | 1 |
| %SystemRoot%\resources\0409 | 1 |
| %TEMP%\sqlite3.def | 1 |
| %TEMP%\nsxF2D0.tmp\System.dll | 1 |
| %APPDATA%\Spisebordets170 | 1 |
| %APPDATA%\Spisebordets170\Tiltvingende | 1 |
| %APPDATA%\Spisebordets170\Tiltvingende\ArtDeco_brown_5.bmp | 1 |
| %APPDATA%\Spisebordets170\Tiltvingende\Hemmeligheden.Aqu | 1 |
| %APPDATA%\Spisebordets170\Tiltvingende\Unsaluting.Str | 1 |
| %TEMP%\nstD558.tmp\System.dll | 1 |
| %APPDATA%\Microsoft\Windows\Start Menu\Hematachometry | 1 |
| %APPDATA%\Microsoft\Windows\Start Menu\Hematachometry\Optimumets127 | 1 |
| %APPDATA%\Microsoft\Windows\Start Menu\Hematachometry\Optimumets127 \Thermomultiplier |
1 |
| %APPDATA%\Microsoft\Windows\Start Menu\Hematachometry\Optimumets127\Thermomultiplier\Fejekoste | 1 |
| %APPDATA%\Microsoft\Windows\Start Menu\Hematachometry\Optimumets127\Thermomultiplier\Fejekoste\Amidoacetic.Int | 1 |
| %APPDATA%\Microsoft\Windows\Start Menu\Hematachometry\Optimumets127\Thermomultiplier\Fejekoste \System.Text.Encodings.Web.dll |
1 |
| %APPDATA%\Microsoft\Windows\Start Menu\Hematachometry\Optimumets127\Thermomultiplier\Fejekoste \media-playlist-repeat.png |
1 |
* IOC の詳細については JSON を参照してください
ファイルのハッシュ値
0096e380996a5c8896055aa0543c3f51bbebd5c1ea8178da1d67691a975cdbf7 067c2a2f4c8344f55cae9cc1c6ba03324a4cc99ae5facd672d100c71f64233e0 07417c9975e6ada913ab62a1338ea1df45800d5eca0c73de33d1f53a72973bc6 0fa75b407da549a4c7e144216a5970b1c3803c74e57ebf433257c0d4381f34db 10cd2aa23f0117fb286aba9f6a6ecbf7c467071881763d18c570574eed5b3dc8 2c585eb6a6b3d165c75312f0676e312fc0b1c9dbfd63ab4a060356669f605c90 3e8d8210b9d681c89f5df122c1598d4117b0c1843b706f7525039b5ba37f96af 400e675021818214d2779c38b2d77b457ef9956518cd812b53bc7f41ca228bca 57e5341a8009432af3aa5b4246eabb8774d292db8a245106fc045c4f36e5cddb 7b34fede01164a6602eccc2e71a58535a8e484562fe634c82fcf87256f951bcd 80bfd5671a9013cc4ba919582612f6d16076e0663990572188093e61ae40e2bd 8126aa90f564c1662d9b42b333a7b0fe7489770c8b5069997b8dc5577ded2bc0 86fdff90584064c135a98f05986da5a03bd67abe414f1d8f5fbdbf4249430019 93a71008a2294209a986d896b26e8bcff214afc6923323687c9281919c033a91 9d6fcf6155af47fbacddd1f7feb457dc919f1ee29f3d28cc30f3c9c437ee516a a7225665972f421022ded04315aa75f15cda747e12dbd82130b1a8e87c9d062d afa915e7174b5c3da177ea2bc6573248a00d173dfe8f2ff8e7667557a3bf699f b66c265b35372a58775ab68db5392014be36b745f4647df6c3da1c0a7aab82fc b7062983e7667a1b86c1bd1123bc3aac29b7a8200b079c9bc4b566dd1c7ee44d c2745c75eefa6867cce4cc61d89d306810370e0958a550d039c5935e7012de71 c9ebabe61d9c25500298ac578ba280ebb1b78fd2da07f32a82c44f1c11c3453e cc77dde534b4aa329ecf543351157ca8c9ee43730de6dbef2673d1f63f225f87 cd0a74e966577953be0ea3d89be7467057d1356f5a8fc0f95a472fe938ca7ff5 e7582ee773f6857a3f18e76453beefc46912089372f3b12bdd6e5735a3a3536d e89082a08c246ba8e4bffb9ddb127a2ee24cef652e4b0a8772ad22d376a82eb7
* IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
Secure Endpoint
Secure Malware Analytics
MITRE ATT&CK
Win.Dropper.Fareit-9983571-1
侵害の兆候
- 動的分析により 25 個のサンプルから収集された IOC（脅威の兆候）
| レジストリキー | 発生回数 |
| <HKCU>\SOFTWARE\WINRAR | 23 |
| <HKCU>\SOFTWARE\WINRAR 値の名前：HWID |
23 |
| <HKLM>\SAM\SAM\DOMAINS\ACCOUNT\USERS\000003E9 値の名前：F |
23 |
| <HKLM>\SAM\SAM\DOMAINS\ACCOUNT\USERS\000001F5 値の名前：F |
23 |
| <HKLM>\SAM\SAM\DOMAINS\ACCOUNT\USERS\000003EC 値の名前：F |
23 |
| 作成されたファイルやディレクトリ | 発生回数 |
| %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\filename.vbe | 23 |
| %APPDATA%\subfolder | 23 |
| %APPDATA%\subfolder\filename.scr | 23 |
ファイルのハッシュ値
02c648162f41e0ec54b1787c99bb274b484adeeaecbc99554fcd4428a276406e 07ace7fc4681b7d16fd6a76364cbb679b4447128b77123424c788058659e07e2 0864a6c576429f1d5cb4a9529b016903bd8e368ae3c11527ef421e566b6b37ec 0aaad800dbe8242fdc236b0d12cc3f0fade9c7d9ac02d2fc872f60075ec4dfa0 143bee6fde9b3dee4f91e16e6925b6254848d9958f0c34ae1b8a5e7b444e8d63 14eea17e15d2dd0092935ec71c98269ff4fe492eb6534b3c6baca1f48ea7376d 15b459fd340458d8eaa5269296f9cfcccc3a3540942ef17f47637a73d59acc0a 17704079963b83eb8a4aa50af808aa3f2facc1eaba7708b6715504806db95a64 276fc674e4f232e25a17a67e53a98050265ec64a7698ad9bf56d3cc31ae0a732 2acfbc4bb180b60e8b257795e5b66e51e3ceae0550a2187703d15dd929471673 2c23d82a3f45947ef677c2a2a73d1900b27dc7a5b11c0e2464ad6270671c864c 32a1ae5db46aeae9898d6c83a752d028b08e59b86f17c19e0d12287a5d42c857 37a85828e7c787657ec66752d73db2ebcb85040b0fe9df689bb18067a304f954 44bda2acfe872846b11d129916e66a5c158308266bbb2c5b4b659ae040bc6726 46802ef2d4c318d394572f84218f8bf385edd63699c5fb762aef10fdac0a4878 4a1371381fe29c6bf17b802e1671c3081687156df7c819fbe7bbe547dc3309a7 4b837e51f59054694d52f242ebc18a12a4ecf5080a5d7858032f7f968377ccca 50b7ce25bf5591612540b416e12022f3284ea2de470eec1aa7759e9c0aa3469f 5dd087571c55d345f926cbaee71f752052881f44f99e7712e491fa2ad349933c 695aba9d911967937babbe5dbcf038ea43d67290959fbcc199cd1cac0f437ba0 698540018cbc00b2136dcb4951190309375b01498265db094549593e9f335aed 6e02c443b09119b78fce3ca1340f8bbf25380ba485f7fab41f3bd7d3bddc3fe6 70fb6ede7c66ae618cf6a2414d6e954926a9a83097607de52101f89e6606587e 721968ba560a6e1d4def705be4279c5520a90015de5a08c1022448255d3d398e 78f0cb383a71dd77a716fbe97052969ef11fc0fb4420dfad541d5e36a356f39f
* IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
Secure Endpoint
Secure Malware Analytics
MITRE ATT&CK
Win.Dropper.HawkEye-9983397-0
侵害の兆候
- 動的分析により 15 個のサンプルから収集された IOC（脅威の兆候）
| レジストリキー | 発生回数 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION \EXPLORER\ADVANCED 値の名前：Hidden |
15 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生回数 |
| 27[.]121[.]68[.]109 | 15 |
| 104[.]16[.]154[.]36 | 11 |
| 104[.]16[.]155[.]36 | 4 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生回数 |
| whatismyipaddress[.]com | 15 |
| mail[.]yourstudyway[.]com | 15 |
| 作成されたファイルやディレクトリ | 発生回数 |
| %APPDATA%\pid.txt | 15 |
| %APPDATA%\pidloc.txt | 15 |
| %TEMP%\holdermail.txt | 15 |
| %TEMP%\holderwb.txt | 15 |
| %APPDATA%\subfolder | 15 |
| %APPDATA%\subfolder\filename.exe | 15 |
| %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\filename.vbs | 15 |
ファイルのハッシュ値
00452dc6f78541178d6d024b47d0f4f928b17a9f14e770ebf0da15d87325737b 1b583b41491e0c21eec87a0c150c234b5567906a42bd1b61ab1adb39e5b99efa 1ea1014f69c680fcb2e23c10d56941508d7024bf04780b51e1f8d59bc45d2d87 202ce3acdc22c7ad0761a03cdf5e15d593a4b0f6490815cc20dfed407b667f86 22280734efa0e527d7517fec07479a955d5cc70128558ace13489311f3aae2fa 3c04cad716a78717ddb48470b954ab6bce9feecdb3adc7a74dee8ecb9b62b3a4 4aece62cf34ce60c1f16d75140f47bc21bfcaf48da5a6f9eca0e48a43ff5b6d4 64b20ed5668241744570462e85987d91671fee3e0a94ca1546b68dd59df95997 873645150140fc2f57e2e205d6b5e7d5b45fc35099d75eebe4b9a0989b98df0e 89afbd7a372ee58c23edc29814c6faceeba8f7a9d82c0632a054577a491e748a 8f10e57f73fc6f805908a3b36244ca92639500b5d08af601defd78498ec02b9c aa264abc70a1d7eaf196bc83155a3764f5408b78e470f7bfa2fc3e81d60ee133 c9d2b04de15964130afc80e4a41c7f71da8425302f6aa7297c7b0fad2cf09205 f50240e0f888e5e17cabc3d088c04f2de75ef5b8acd20e3551fcc0dc26c3407f fe619680c0acc53af4ea30910cdc3bead472206ebe3c5eb040e11d4cbea07b4e
カバレッジ
検出時のスクリーンショット
Secure Endpoint
Secure Malware Analytics
MITRE ATT&CK
Win.Dropper.Shiz-9983394-0
侵害の兆候
- 動的分析により 25 個のサンプルから収集された IOC（脅威の兆候）
| レジストリキー | 発生回数 |
| <HKLM>\SOFTWARE\MICROSOFT 値の名前：67497551a |
25 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON 値の名前：98b68e3c |
25 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON 値の名前：userinit |
25 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON 値の名前：System |
25 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINDOWS 値の名前：load |
25 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINDOWS 値の名前：run |
25 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前：userinit |
25 |
| ミューテックス | 発生回数 |
| Global\674972E3a | 25 |
| Global\MicrosoftSysenterGate7 | 25 |
| internal_wutex_0x000004b4 | 25 |
| internal_wutex_0x0000043c | 25 |
| internal_wutex_0x000004dc | 25 |
| internal_wutex_0x<random, matching [0-9a-f]{8}> | 25 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生回数 |
| 85[.]94[.]194[.]169 | 25 |
| 13[.]107[.]21[.]200 | 17 |
| 45[.]56[.]79[.]23 | 7 |
| 198[.]58[.]118[.]167 | 5 |
| 45[.]33[.]2[.]79 | 5 |
| 173[.]255[.]194[.]134 | 5 |
| 45[.]79[.]19[.]196 | 4 |
| 45[.]33[.]18[.]44 | 4 |
| 45[.]33[.]20[.]235 | 4 |
| 45[.]33[.]30[.]197 | 4 |
| 72[.]14[.]178[.]174 | 4 |
| 96[.]126[.]123[.]244 | 3 |
| 72[.]14[.]185[.]43 | 3 |
| 45[.]33[.]23[.]183 | 1 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生回数 |
| dikymezosaj[.]eu | 25 |
| cileretirus[.]eu | 25 |
| fogixezajaq[.]eu | 25 |
| gadohyzyvah[.]eu | 25 |
| nofoletezup[.]eu | 25 |
| masafytunux[.]eu | 25 |
| jepepyxiwam[.]eu | 25 |
| qetyrypopup[.]eu | 25 |
| lymoxuxelam[.]eu | 25 |
| lysenenyxis[.]eu | 25 |
| tupycegubej[.]eu | 25 |
| xutulenuqix[.]eu | 25 |
| purijygirem[.]eu | 25 |
| dimasyhageh[.]eu | 25 |
| ciqofymosip[.]eu | 25 |
| vonerymekix[.]eu | 25 |
| novubymyvip[.]eu | 25 |
| fobyqyhezem[.]eu | 25 |
| gacucuhumeg[.]eu | 25 |
| maxilumiriz[.]eu | 25 |
| jelojujopen[.]eu | 25 |
| qekafuqafit[.]eu | 25 |
| ryhyruqeliz[.]eu | 25 |
| kejepujajeg[.]eu | 25 |
| tufibiqunit[.]eu | 25 |
* IOC の詳細については JSON を参照してください
| 作成されたファイルやディレクトリ | 発生回数 |
| %TEMP%\<random, matching [A-F0-9]{1,4}>.tmp | 25 |
ファイルのハッシュ値
08a7b276706517d28c3885c812f89b57549af4be14fe07059fc6f4651625f091 091f71db383670a6815d3f57e5075000fc6fd016bc4823be5e7ae16bb53267a9 0d7c8955acc824a085be5d45102c510212ca6c5f4df5fad897ee2d5923d34a1f 14b6836f41d60a28868dc0fcd758b7a23b86a9d7b5f08fc463de6ed950a737d1 1cc720425d2994b10536284c18e4a9e255ee5ea7ba21e6e6cafaf00310207a80 342e45c1360a96d5b87847db6b3c85ef79bfda78c9f53a67a15424df91d78554 4056a5fa6b1b28126a3ffbeb4d8a2a046ed8017e49ab1941c64bb913dc9a6ace 446ea4991b5630082258be07dc8fc7ac4297f89a4de7b63fcf2e09937f0ed298 4d923330bfbba1410ba2e553ac6da20068c2714fc9405a76b64a35e5a5f3db14 54f5f3b8f9310dfee013917c10d88dff4c524aa406e758c067e6ded17840834f 55704fcf179904208e18ae3000599ae04869d57530fbb388f8e6aa37353e344c 593d96413956b2ac7f3ac3cc7b9d5b106c480f8aa587789c48c77f43e15dccb3 6da3c0667c67bb53ada30dfc2fa6dac45ee5b56197515d0c083ea155a893730f 7781a10e637ee035b26e363c178fbcf9e07d30a32444b50b00c715376388f6e2 856b831b3f7ada0bb31ade63f755c35f7f4f381a956956052fff69e8119815ee 8b9781057d5595fee84b6c45830ecb83fc0f261d6d9ba73b066f3c4b9c7f2c88 bcb55a2df28a554fa12c514979c2080cb4244ee171686b8f910ce70a7f1f513e be38aa13642e482adcf749e2cea5507e7942255e1b31c7c455c356dea793189f c74083c017fd115c3319f21234010c73650be020a95818b18aaca1b5902d73d8 cadc40ac3e45eafe1977416e6bc4dd159ba74dd4becf5e177cdc6be9906c388e e4be229930351810431bc7c946fe36242e6e9f4c753578585c64fa1aebc09179 eb95741a6ee9008efada291453ae1343a66d0eaa868b5554b6741d3d2a0dbd1a ebfe801ee7ba2cfaa5b89359dff445569ec7883064d1bfa9f2a6cfb5394fe841 eda4243c382593841fa5ee68b3ecf0c4d307a1b1cd01f6081bdf93373383a19b f0165180238c73a0fcdb1f9ec4142a3d98054a613373d1e67ce22dcbe53c7b08
* IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
Secure Endpoint
Secure Malware Analytics
MITRE ATT&CK
Win.Dropper.DarkKomet-9984290-0
侵害の兆候
- 動的分析により 18 個のサンプルから収集された IOC（脅威の兆候）
| レジストリキー | 発生回数 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN | 16 |
| <HKCU>\SOFTWARE\WINRAR | 7 |
| <HKLM>\SAM\SAM\DOMAINS\ACCOUNT\USERS\000003E9 値の名前：F |
7 |
| <HKLM>\SAM\SAM\DOMAINS\ACCOUNT\USERS\000001F5 値の名前：F |
7 |
| <HKCU>\SOFTWARE\WINRAR 値の名前：HWID |
7 |
| <HKLM>\SAM\SAM\DOMAINS\ACCOUNT\USERS\000003EC 値の名前：F |
7 |
| <HKCU>\SOFTWARE\DC3_FEXEC | 6 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前：MicroUpdate |
6 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON 値の名前：UserInit |
6 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE 値の名前：LiveSafe |
3 |
| ミューテックス | 発生回数 |
| DC_MUTEX-U4R2ZE3 | 6 |
| 1daec281-87cf-4d12-bf14-b425e26bf9ca | 3 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生回数 |
| 192[.]169[.]69[.]25 | 6 |
| 5[.]189[.]137[.]8 | 3 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生回数 |
| 1ntershipping[.]co | 7 |
| randomlovezs[.]duckdns[.]org | 6 |
| 作成されたファイルやディレクトリ | 発生回数 |
| %APPDATA%\dclogs | 6 |
| %HOMEPATH%\Documents\MSDCSC | 6 |
| %HOMEPATH%\Documents\MSDCSC\msdcsc.exe | 6 |
| %APPDATA%\ConfigsEx | 3 |
| %ProgramData%\LiveSafe | 3 |
| %ProgramData%\LiveSafe\livesafe.exe | 3 |
ファイルのハッシュ値
06589ce72d7765cf161dd7efee2daecfe8a85899489a46d207c936af5a025528 140e5bec9612622eb47912cf88cc82fc74e3ef2f0433dbc8a597cc2970b2cc02 14de0def7ff5d9c43ecbcb207ab56a858fdc083229b30ef816e62e19dbf6b2d0 21df035a886ce850512c47bfe7eb83cf1c1ab521187894483e9220e06c2fd773 30daa7fe12aa0818aa8739ef8dac3cea625a175a27cba68998545ce25fc17c29 40511c3a0402ec8b6d90b294ea13f5d83b5f77a2a47c333c01dd231b3588da76 4d09f136f145dbd40513abfda1bc92e7588143ee318a11c5e498995847fb6c12 7bfb7f8f369004364519394d630587619447f397b1ce95f28984db7aede13982 7d1b8b1631a84926b840cd5b857c8fb4c21af7ed394ac85c4146d464eb413f5d 97440f7334388258e72995338186e89a40aff17ba1f6fffffdb088d04141f0be a1296eade8e9e99c60155900604c318e6a5dd270495d9fd42ef5144f388ff033 bfe82fd70f36efa6164bbd42d196381584d661d12c5de6312806100c37042558 d1b45a3651bfa2af1186894fc579784a5b92997d8124a1bbde8725fe259f19bf de2673264d41fe0ef2391733223e9b092483f95a34fc0a5fa1acb69a9d29f920 e4a1a2cb2e4d98adeb6eb38678de696425c437a42da49d0586028a32e7076bc8 ea04019c2556bd95a4d5de9f1688a39af9a09bc83353026223e0d29a2cec81b0 ecbd53c73ab4c3b0efe1f2e6aaceae13e19006584f615ead12d134d2fe52f282 f211174d53657e1edf965e99c5fdee9f15f91bff3c41c4ceca1bd9b0abc38f82
カバレッジ
検出時のスクリーンショット
Secure Endpoint
Secure Malware Analytics
MITRE ATT&CK
Win.Dropper.Nanocore-9984085-0
侵害の兆候
- 動的分析により 19 個のサンプルから収集された IOC（脅威の兆候）
| レジストリキー | 発生回数 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS \CURRENTVERSION\RUN 値の名前：AGP Manager |
8 |
| <HKCR>\LOCAL SETTINGS\MUICACHE\82\52C64B7E 値の名前：LanguageList |
3 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前：MyApp |
2 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES\.NET CLR DATA\LINKAGE 値の名前：Export |
1 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \.NET CLR NETWORKING\LINKAGE 値の名前：Export |
1 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \.NET DATA PROVIDER FOR ORACLE\LINKAGE 値の名前：Export |
1 |
| <HKLM>\SYSTEM\CONTROLSET001\SERVICES \.NET DATA PROVIDER FOR SQLSERVER\LINKAGE 値の名前：Export |
1 |
| <HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT \CRYPTOGRAPHY\AUTOENROLLMENT |
1 |
| <HKCR>\LOCAL SETTINGS\MUICACHE\82\52C64B7E 値の名前：@C:\Windows\system32\DeviceCenter.dll,-2000 |
1 |
| <HKCR>\LOCAL SETTINGS\MUICACHE\82\52C64B7E 値の名前：@explorer.exe,-7001 |
1 |
| <HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前：b729dc2de3a09245553725e76a1d5da45456d6be6edf6a6c6b4ce0e922895d88 |
1 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前：b729dc2de3a09245553725e76a1d5da45456d6be6edf6a6c6b4ce0e922895d88 |
1 |
| ミューテックス | 発生回数 |
| Global\{6eacccb2-da40-404e-ba3f-9cf2cb842104} | 6 |
| – | 3 |
| 3749282D282E1E80C56CAE5A | 1 |
| Global\<<BID>>98B68E3C00000000 | 1 |
| Global\<<BID>>98B68E3C00000001 | 1 |
| Global\{2de2dd5e-5799-4adf-b77b-aaae77ba7236} | 1 |
| Global\{217c10cb-4875-422a-a6ac-cae34e8afb0c} | 1 |
| f8a1hk9am3adue2674aue | 1 |
| Global\{d26f97e8-1d06-44a6-abc2-219db996fe51} | 1 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生回数 |
| 173[.]254[.]223[.]94 | 6 |
| 64[.]32[.]8[.]67 | 3 |
| 35[.]205[.]61[.]67 | 3 |
| 77[.]88[.]21[.]158 | 2 |
| 185[.]107[.]56[.]58 | 2 |
| 37[.]235[.]1[.]177 | 1 |
| 37[.]235[.]1[.]174 | 1 |
| 185[.]19[.]85[.]183 | 1 |
| 64[.]32[.]8[.]68 | 1 |
| 185[.]107[.]56[.]60 | 1 |
| 52[.]23[.]46[.]39 | 1 |
| 185[.]157[.]161[.]147 | 1 |
| 185[.]107[.]56[.]57 | 1 |
| 35[.]169[.]217[.]142 | 1 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生回数 |
| bright1[.]awsmppl[.]com | 4 |
| brightgee[.]phatbois[.]biz | 3 |
| checkip[.]amazonaws[.]com | 2 |
| smtp[.]yandex[.]com | 2 |
| ml[.]warzonedns[.]com | 1 |
| epiccard[.]tech | 1 |
| sarlelhassan[.]ddns[.]net | 1 |
| stevesteves001[.]warzonedns[.]com | 1 |
| 作成されたファイルやディレクトリ | 発生回数 |
| %APPDATA%\D19AB989-A35F-4710-83DF-7B2DB7EFE7C5 | 9 |
| %APPDATA%\D19AB989-A35F-4710-83DF-7B2DB7EFE7C5\Logs | 9 |
| %APPDATA%\D19AB989-A35F-4710-83DF-7B2DB7EFE7C5\Logs\Administrator | 9 |
| %APPDATA%\D19AB989-A35F-4710-83DF-7B2DB7EFE7C5\run.dat | 9 |
| %ProgramFiles(x86)%\AGP Manager | 8 |
| %ProgramFiles(x86)%\AGP Manager\agpmgr.exe | 8 |
| %APPDATA%\D19AB989-A35F-4710-83DF-7B2DB7EFE7C5\task.dat | 6 |
| %System32%\Tasks\AGP Manager | 6 |
| %System32%\Tasks\AGP Manager Task | 6 |
| %TEMP%\tmp<random, matching [A-F0-9]{1,4}>.tmp | 6 |
| %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\ensptrbyxaelazb.vbs | 4 |
| %APPDATA%\hbmwcjzrpp | 4 |
| %APPDATA%\hbmwcjzrpp\ensptrbyxaelazb.exe | 4 |
| %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\zmpesqpigdgyqtc.vbs | 3 |
| %APPDATA%\hqwhhfunce | 3 |
| %APPDATA%\hqwhhfunce\zmpesqpigdgyqtc.exe | 3 |
| %APPDATA%\MyApp\MyApp.exe | 2 |
| %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\ncynfkdiseoqyjq.vbs | 2 |
| %APPDATA%\gjqcrsyeiz\ncynfkdiseoqyjq.exe | 2 |
| \$Recycle.Bin\S-1-5-21-2580483871-590521980-3826313501-500\desktop.ini.id[98B68E3C-2275].[recovermyfiles2019@thesecure.biz].Adame | 1 |
| %TEMP%\638094733462004000_0e17d79b-46a9-4d98-a066-dda3308efeb0.db | 1 |
| %APPDATA%\lpupw5gp.0lp.zip | 1 |
| %APPDATA%\lpupw5gp.0lp\Firefox\Profiles\1lcuq8ab.default\cookies.sqlite | 1 |
| %APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\sosikeuywehiylb.vbs | 1 |
| %APPDATA%\ubrwzdoiby\sosikeuywehiylb.exe | 1 |
* IOC の詳細については JSON を参照してください
ファイルのハッシュ値
0aa0cbcf28aba3c9ea66255d21568dc834aee97f68d1071e7cc49c167e5f4430 1f73eb2dc88a5a499b95c95463428181c82612361c38490b9a749d5e6dd410a1 23064f9a8ba30be479e5890ec13b654d539098844e9c4a16409dbd4a015513c5 2348735813c9d79c4723a890b64468f68b448594574b9a70db7a6b9afe1bbb10 6a0dc109135a2a858cddc2b65387d3ad8d67ffc9325440c70eb1bc83f3ba9ef9 769a82395d916954845a5dbcce1783e30b50a35e9249081494dfdd8acb05f67c 843d2082b0ecfbfc99780647e82e5575e0371a2bef4ae06ca45e1afa559acc1a 88fc092603ca33d605af12e8c9722ae65801377dc5703a1fd9041c046c0ef5db 9ca16e853d60c67a4d6c379ce90d1a0492b28efc15ce89867a696937ddedd125 a28e0e11818bc375921d1d2a07a3128b4db509eb5a1340ebb6d8eeaf7c875707 b729dc2de3a09245553725e76a1d5da45456d6be6edf6a6c6b4ce0e922895d88 c277448c9e5e8699e9d25258fe07632cc150515afc96a4ac160781552b52460b c873f96e97877322dab3712e7e32e652a5e7901c1fe41fa65cff80380bd39b52 c8dae9c8a95d171ce5520f7d1d8fc089cb06cb6cc238e63dc7b2ed0214855cd6 cd7ba4950c05210f3ce55da9466bd531319998be31ecbdab01df806d254ca64f ebf129df20c2e7fc5eeb1c67a0d3184e5f0c022a52368be4a9ea06fe3341c57e ecb34493e0db3c2cbf6602e183732f43cc1af8b6572244ed8aa2eb18f1de8bf3 f7a704fbd592324b3a2ea2d316db30463c47fe1c0c2039dbc13901a2ab9519ce ff9a714c790ccd7c31eb5abb568dc79c9553ff3d99ac84050a62b0feebb6cb11
カバレッジ
検出時のスクリーンショット
Secure Endpoint
Secure Malware Analytics
MITRE ATT&CK
Win.Dropper.QuasarRAT-9983512-0
侵害の兆候
- 動的分析により 10 個のサンプルから収集された IOC（脅威の兆候）
| レジストリキー | 発生回数 |
| <HKCU>\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{0633EE93-D776-472F-A0FF-E1416B8B2E3A} 値の名前：FaviconPath |
10 |
| <HKCU>\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{0633EE93-D776-472F-A0FF-E1416B8B2E3A} 値の名前：Deleted |
10 |
| <HKCU>\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES 値の名前：DefaultScope |
10 |
| <HKCR>\LOCAL SETTINGS\MUICACHE\82\52C64B7E 値の名前：LanguageList |
10 |
| <HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} | 10 |
| マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） | 発生回数 |
| 31[.]13[.]65[.]36 | 10 |
| 31[.]13[.]65[.]174 | 10 |
| 13[.]107[.]21[.]200 | 8 |
| 157[.]240[.]241[.]63 | 7 |
| 142[.]250[.]65[.]202 | 6 |
| 142[.]250[.]80[.]99 | 5 |
| 142[.]251[.]40[.]205 | 5 |
| 142[.]250[.]176[.]206 | 2 |
| 172[.]217[.]165[.]150 | 2 |
| 142[.]250[.]64[.]78 | 1 |
| 142[.]250[.]80[.]14 | 1 |
| 142[.]250[.]81[.]238 | 1 |
| 142[.]251[.]32[.]110 | 1 |
| 142[.]250[.]65[.]238 | 1 |
| 142[.]250[.]65[.]234 | 1 |
| 142[.]251[.]35[.]174 | 1 |
| 142[.]251[.]40[.]142 | 1 |
| 142[.]251[.]40[.]110 | 1 |
| 142[.]251[.]40[.]214 | 1 |
| 142[.]250[.]65[.]246 | 1 |
| 142[.]250[.]65[.]182 | 1 |
| マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） | 発生回数 |
| www[.]bing[.]com | 10 |
| www[.]instagram[.]com | 10 |
| www[.]youtube[.]com | 10 |
| www[.]facebook[.]com | 10 |
| m[.]facebook[.]com | 10 |
| r20swj13mr[.]microsoft[.]com | 10 |
| www[.]eklinkk[.]net | 10 |
| www[.]eneskeles[.]net | 10 |
| fonts[.]googleapis[.]com | 7 |
| static[.]cdninstagram[.]com | 7 |
| i[.]ytimg[.]com | 6 |
| accounts[.]google[.]com | 5 |
| fonts[.]gstatic[.]com | 5 |
| 作成されたファイルやディレクトリ | 発生回数 |
| %System32%\drivers\etc\hosts | 10 |
ファイルのハッシュ値
19efdda9ec1232653d64ad9f6d3d8813904ddd9995df3e697e49ae4f267622b0 53b741a52f88d7e0f01dd4f5bcffac6882668922a45ecb1bc2e7275778afd599 6a625df2a22684ec5c95df37818afc44ca1d7aca39e8011b7c0287c369588728 99f9e4ecd9882db1a05327c07481941e8a4ce22dfdef90c15e9d200d9c79cbdd ae8220d48eb72043bdfc4fd965fce63a668cdd281553c6a93aaf574af554881a c37ff695876f126cc4f6b627a54f2a0bfd68983243b87d8e078143609c26f6a1 ceecc1833d5bd98f7377e20514c3574e5e7baa11462fb952be29b2d7d2be10af ceeddc45a3e52e50445abfd568287edf87649fa4e94d75d3a4533a7396ae1604 e237afed733f19fb87d226904faa1f6b13a9279db2970aa9821bd7ba03a61487 f707db5c91e9f1e70effecb99ae6d8101cb2343779df3b06eba56311bde64a41
カバレッジ
検出時のスクリーンショット
Secure Endpoint
Secure Malware Analytics
MITRE ATT&CK
本稿は 2023 年 01 月 20 日に Talos Group
Tags:
コメントを書く
