2018年11月26日 Leave a Comment

11 月 9 日～ 11 月 16 日の 1 週間における脅威のまとめ

1 min read

TALOS Japan

本日（11 月 9 日）の投稿では、11 月 9 日～ 11 月 16 日の 1 週間で Talos が確認した、最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

この記事に記載されている IOC と、クラスタに関連するすべてのハッシュについては、こちらの JSON ファイルをご覧ください。本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。これまでと同様に、このドキュメントに記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは必ずしも悪意があるとは限らないことに留意してください。

今回紹介する最も一般的な脅威は次のとおりです。

Ransomware.Gandcrab-6748603-0
ランサムウェア
Gandcrab は、ドキュメント、写真やデータベースなどの重要ファイルを、「GDCB」、「CRAB」や「KRAB」の拡張子で暗号化するランサムウェアです。複数のエクスプロイトキット（Rig や Grandsoft など）に加えて、従来のスパムキャンペーンでも拡散しています。
Virus.Parite-6748128-0
ウイルス
Parite は他のファイルに感染するポリモーフィック型ウイルスです。ローカルマシンとネットワークドライブの実行可能ファイルに感染します。
Malware.Dijo-6748031-0
マルウェア
Win.Malware.DIJO（「Ursnif」とも呼ばれる）は、感染したホストから機密情報を盗み出すために使用され、マルウェアダウンローダとしても機能します。一般に、悪意のある電子メールやエクスプロイトキットを介して拡散しています。
Malware.Vobfus-6747720-0
マルウエア
Vobfus は、自身を外部ドライブにコピーし、autorun.inf ファイルを介して自動コード実行を試みるワームです。システムの起動時に実行されるようにレジストリを改ざんします。インストールが完了すると、コマンドアンドコントロール（C2）サーバから後続のマルウェアをダウンロードしようと試みます。
Downloader.Upatre-6746951-0
ダウンローダ
Upatre は、エクスプロイトキットやフィッシングキャンペーンで多用される、悪意のあるダウンローダです。感染すると、バンキングマルウェアなどの悪質な実行ファイルをダウンロードして実行します。
Malware.Emotet-6745295-0
マルウェア
Emotet はバンキング型トロイの木馬で、ウイルス検出の回避手口が進化し続けていることから依然として猛威を振るっています。一般に、悪意のある電子メールを介して拡散しています。

脅威

Win.Ransomware.Gandcrab-6748603-0

侵害の兆候

レジストリ キー

ミューテックス

Global\pc_group=WORKGROUP&ransom_id=4a6a799098b68e3c
\BaseNamedObjects\Global\pc_group=WORKGROUP&ransom_id=ab8e4b3e3c28b0e4
Global\7bf1bf81-e78a-11e8-a007-00501e3ae7b5

マルウェアから接触があった IP?アドレス（必ずしも悪意があるとは限りません）

66[.]171[.]248[.]178

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

ipv4bot[.]whatismyipaddress[.]com

作成されたファイルやディレクトリ

%AllUsersProfile%\Microsoft\Crypto\RSA\S-1-5-18\6d14e4b1d8ca773bab785d1be032546e_d19ab989-a35f-4710-83df-7b2db7efe7c5
%AppData%\Microsoft\umitoa.exe
%AppData%\Microsoft\hhbbvc.exe
\Win32Pipes.000006c8.00000045
\Win32Pipes.000006c8.00000047
\Win32Pipes.000006c8.00000049

ファイルのハッシュ値

008e2453c3bba10629ae8f7f32c6377d91bd17326da52295f038d7badd53cf4f
00f07cc799aabac7449a324ff47161a6a34ad02ba4b2074ddb382152d383ed14
02edf037074ebd2445625737108f7337715a6af17ec161429fa0392894e479bd
04196939eee8a21a4480a5e5bcf34f70b20f1dad9c3038bc632a415130ac47e8
043f30bd958e54d6947631c10d70ddec772ababd8a3852ceb0e646e87d670a92
051f4d57fc51e1491eb9121cb6ecdd036e140103f1afbc73fe9cef9a4fd67a84
06cafb061ce341647e48d4113eb71bed76290d30d54ce6d98169fcfe8bbe83c5
0799d33c49bceeeeb9c92077d448d5823ab8e71a04b71c6b8afa7f386fb5aa92
08d56fc6c0622c2e931f04eb8c68a25fa431ac4833b1cbd7e44847d55f7f26e1
09abf839c42200b000d3065d2cda41d858be415a521a5cb2b77b6e62503ae460
0a48f61677791bca8d2553662ec6bce8acfdb3249cfcabac2802ba216ac54262
0acc350e791e4201a7dd17e389ba8e03264343020432389d3e1b9d08874005af
0b3e086550e4baaa05c69777d484b9b20773b01d5c6da124197eff423b798b04
0dd771fecae00517f9297e21a42956d2ee113f6f0bc4d3ee277f887721efc19a
0f2784bc6fb959eace7e44fd19fd08fbfa39af04b4f793241c3eddd4183dbe71
0f50d6433d2a79f30c2417fc434098d029eceedf3acd405901d3951208be2ae7
10b5897f820d7ae3fe0194b8969c42c5c5de6cc658baf95699f8a781e18237ff
130f32c65f3f2e67bdc228f125bc07c049f40fae04114b0de920e9fd0b00bccf
13ab0a6dcd3cfd5136b54d11739169917df37a5681189baf92c4c6b0a2df0bc9
13ccda5af78a1dea028d076418db880ab3734c745f068d2c4df5de4d4968b478
14094b6a6ba1af401829963ce991e02c0eb9da885eb3837cec88f1559e2007c6
166627c9ad4fb0acb0bec8e09e1d4ceedc3110e7cdbaa709322d0dbe41a2f70f
17b78d2828794c9612cc87b09b7254c32c810134e5d06742058c55ec55ddb746
19b4d752b0be5e81c835bd3b87f3c1124c208ba6adb2150f7b85a1b76222350f
1ac89466a2668afd8d06d0f9345d48151dc2978b81985070bb23e30a767bd71c

カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid