2018年11月19日 Leave a Comment

11 月 2 日から 11 月 9 日の 1 週間における脅威のまとめ

2 min read

TALOS Japan

本日（11 月 9 日）の投稿では、11 月 2 日～ 11 月 9 日の 1 週間で Talos が確認した、最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

この記事に記載されている IOC と、クラスタに関連するすべてのハッシュについては、こちらの JSON ファイルをご覧ください。本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。これまでと同様に、このドキュメントに記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは必ずしも悪意があるとは限らないことに留意してください。

今回紹介する最も一般的な脅威は次のとおりです。

Malware.00536d-6741783-0
マルウエア
Doc.Malware.00536d-6741783-0 は、難読化された VBA と PowerShell スクリプトを利用してインターネットから悪意のあるバイナリをダウンロードし、システムに感染させる不正ドキュメントファミリです。これらのドキュメントは、ダウンロードしたバイナリを起動するために WMI を悪用し、さまざまな種類のペイロードを配信できます。
Malware.Nymaim-6742391-0
マルウエア
Win.Malware.Nymaim-6742391-0 is malware that can be used to deliver ransomware and other maliciouspayloads. It uses a domain generation algorithm to generate potential command and control (C2) domains to connect to additional payloads.
Malware.00536d-6741218-0
マルウエア
Doc.Malware.00536d-6741218-0 は、VBA と PowerShell を利用してマルウェアをシステムにインストールする不正ドキュメントファミリです。これらのドキュメントは通常、マクロを有効にするようユーザを促します。マクロが実行されると、システム上に追加のマルウェアをダウンロードしてインストールします。
Trojan.Gamarue-6739927-0
トロイの木馬（Trojan）
Win.Trojan.Gamarue-6739927-0 のマルウエアファミリは感染後、永続化のため USB ドライブにも侵食します。システム設定を変更してセキュリティを弱体化させ、タスクマネージャや Windows シェルといった特定の機能を無効にします。機密データを抽出し、追加のコマンドを受け取る機能を備えています。
Malware.Mikey-6739644-0
マルウエア
Win.Malware.Mikey-6739644 はトロイの木馬です。感染したシステム上で情報を収集し、C2 サーバと通信し、機密情報を漏洩させる能力を備えています。この種のマルウエアは、追加のコマンドを受信したり、要求に応じて追加のマルウェアをインストールしたりするなど、他の不正操作も実行できます。
Worm.Brontok-6739140-0
ワーム
Win.Worm.Brontok は、USB ドライブに本体を複製できる電子メールワームです。システム設定を変更してセキュリティを弱体化させ、分散型サービス拒否攻撃を起こすなど、感染したシステム上で不正操作を実行します。
Trojan.Autoruner-6733593-0
トロイの木馬
Autorunner は「Esfury」のマルウエアファミリです。Esfury はワームの一種で、一般にリムーバブルドライブや対話型プラットフォーム（電子メール、インスタントメッセージ、Web ページなど）を介して拡散します。特定の Windows アプリケーション（セキュリティ製品、レジストリエディタ、タスクマネージャなど）の起動時に実行されるよう、複数のレジストリキーを変更します。また、リモートサーバに接続して任意のファイルをダウンロードして実行する能力も備えています。
Downloader.Emotet-6744157-1
Downloader
Emotet is a banking trojan that has remained relevant due to its continual evolution to bypass antivirus products.

脅威

Doc.Malware.00536d-6741783-0

侵害の兆候

レジストリ キー

<HKLM>\Software\Wow6432Node\Policies\Microsoft\SystemCertificates\CA
<HKLM>\Software\Wow6432Node\Policies\Microsoft\SystemCertificates\Disallowed
<HKLM>\Software\Wow6432Node\Policies\Microsoft\SystemCertificates\Root
<HKLM>\Software\Wow6432Node\Policies\Microsoft\SystemCertificates\TrustedPeople
<HKLM>\Software\Wow6432Node\Policies\Microsoft\SystemCertificates\trust

Mutexes

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません）

92[.]242[.]63[.]202

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

nosenessel[.]com

作成されたファイルやディレクトリ

%AppData%\Microsoft\Word\STARTUP
%AppData%\Microsoft\Office\Recent\349314338.doc.LNK
%LocalAppData%\Temp\icn3tzqs.qav.psm1
%LocalAppData%\Temp\lgisqtyq.v2z.ps1
%AppData%\1bb228b0.exe

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella

マルウェア