2018年2月15日 Leave a Comment

2 月 2 日～ 2 月 9 日の 1 週間におけるマルウェアのまとめ

1 min read

TALOS Japan

本日（2 月 9 日）の投稿では、2 月 2 日～ 2 月 9 日の 1 週間で Talos が確認した、最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

今回紹介する最も一般的な脅威は次のとおりです。

Img.Dropper.PhishingLure-6443153-0
Office マクロの Dropper
Emotet 配布用 Dropper であり、動的コンテンツを有効にするよう画像でユーザに指示します。
Win.Adware.InstallMonster-6443601-0
アドウェア
ソフトウェアバンドラーとして望ましくないアプリケーションをシステムにインストールし、不要な広告を表示させます。
Win.Downloader.Adload-6418193-1
ダウンローダー
ポップアップや偽のエラーメッセージを繰り返し表示させる永続的なアドウェアです。これらのポップアップは、広告を表示したり、他の望ましくないアプリケーションをダウンロード/インストールしたりします。
Win.Downloader.DownloaderGuide-6443792-0
ダウンローダー
クラスタには、他のバイナリをダウンロードして実行する XmasFred インストーラが含まれます。
Win.Trojan.Emotet-6444504-0
Trojan（トロイの木馬）
マルウェアクラスタは Emotet と Tinba サンプルを含んでいます。マルウェア自体は難読化された VisualBasic の実行可能ファイルによってドロップされます。
Win.Trojan.GenInjector
Trojan（トロイの木馬）
このマルウェアファミリは非常に有害で、別のプロセスのアドレス空間にコードを挿入します。プロセスの空洞化を利用して分析を妨げ、長時間のスリープを阻止する機能も備えています。また、永続化のため自動起動レジストリキーを設定します。
Win.Trojan.Zusy-6443152-0
Trojan（トロイの木馬）
.NET のTrojan（トロイの木馬）です。AppData に偽の svchost.exe プロセスを作成し、Windows ファイアウォールの承認されたアプリケーションリストにエントリーを追加するモジュール（God.exe）が含まれています。

脅威

Img.Dropper.PhishingLure-6443153-0

侵害の兆候

レジストリ キー

ミューテックス

MC8D2645C
MD57D8F73
Global\I98B68E3C
Global\M98B68E3C

IP アドレス

176[.]223[.]209[.]113
212[.]5[.]159[.]61

ドメイン名

www[.]manuelaponomarenco[.]ro

作成されたファイルやディレクトリ

%WinDir%\SysWOW64\specsystem.exe

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella

スクリーンショット