2018年1月11日 Leave a Comment

12 月 29 日～ 1 月 5 日の 1 週間におけるマルウェアのまとめ

2 min read

TALOS Japan

本日（1 月 5 日）の投稿では、12 月 29 日～ 1 月 5 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

今回紹介する最も一般的な脅威は次のとおりです。

Doc.Downloader.Trickbot-6412300-1
Office マクロのダウンローダ
このダウンローダは12 月 26 日に、ThreatGrid に 50 回以上も提出されました。ダウンローダが含まれる Office ドキュメントは複数のペイロードを取得する Trickbot ローダをダウンロードし、年末年始の休暇後に頭の痛くなる問題を発生させます。
Doc.Dropper.Agent-6412231-0
Office マクロダウンローダ
難読化された Office マクロのダウンローダで、悪意のあるペイロード（実行可能ファイル）のダウンロードを試みます。ダウンロード段階より先のサンプルをダウンロードできなかったので、これ以上の解析結果はありません。
Doc.Macro.Necurs-6412436-0
ダウンローダ
2017 年の年末に OLE ベースのダウンローダが大規模流行しましたが、今年の年始も再発しました。今回のサンプルでは難読化された VBA マクロを使用しており、Locky を含む Necurs ボットネット用に配布されたマルウェアファミリをダウンロードします。
Ppt.Downloader.CVE_2017_8759-6413368-0
Office マクロのダウンローダ
今回の PowerPoint ファイルには、ppt/slides/_rels/slide1.xml.rels にある XML コードが含まれています。この中には CVE-2017-8759 を悪用した SOAP WSDL 定義が含まれています。ファイルが PPSX として保存されるとスライドショーが自動的に開かれ、悪意のあるコードを起動します。
Win.Ransomware.PolyRansom-6413978-0
ランサムウェア
PolyRansom の亜種は 2018 年も繁栄し続けています。「PolyRansom」とは、他の実行可能ファイルを感染させることによって広がるポリモーフィック型のランサムウェアです。インストールされたサービスと、レジストリキーの追加を介して永続化します。主な感染経路は、共有ネットワークドライブ、リムーバブルメディア、および電子メールです。
Win.Trojan.Generic-6414413-0
Trojan（トロイの木馬）
クラスタが標的マシンにダウンロードされると、一般的な環境ではトロイの木馬の「Emotet」として検出されます。Emotet はバンキング型トロイの木馬で、ウイルス検出を避ける技術が進化し続けていることから依然として猛威を振るっています。
Win.Trojan.Multi-6413508-0
Trojan（トロイの木馬）
1 つ以上のサーバーに接続して指示を受け、追加のマルウェアをダウンロードします。

脅威

Doc.Downloader.Trickbot-6412300-1

侵害の兆候

レジストリ キー

ミューテックス

316D1C7871E00
Global\552FFA80-3393-423d-8671-7BA046BB5906
\BaseNamedObjects\C1A8DFE67F9832960

IP アドレス

89[.]161[.]153[.]74

ドメイン名

jas-pol[.]com[.]pl

作成されたファイルやディレクトリ

%SystemDrive%\Documents and Settings\Administrator\Local Settings\Temp\Inue8.bat
%AppData%\localservice\Wn-lbzpms.exe
%SystemDrive%\Documents and Settings\Administrator\Local Settings\Temp\mo-r.exe
%AppData%\localservice\mo-r.exe
%TEMP%\Ecmjtqf.bat
%AppData%\localservice\Modules\injectDll64_configs\sinj
%AppData%\localservice\Modules\injectDll64_configs\dinj
%TEMP%\Wn-lbzpms.exe

ファイルのハッシュ値

3e5a5c672052182d9d10b0d094f07ec67f182939556c90f66236d75d4e795cd6
07a1d83e2fdce0b0383fc05e2931d3aa557e3eeeeca50762258431ecf6fc2c50

カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella

Screenshot