2018年12月6日 Leave a Comment

11 月 23 日～ 11 月 30 日の 1 週間における脅威のまとめ

1 min read

TALOS Japan

本日（11 月 30 日）の投稿では、11 月 23 日～ 11 月 30 日の 1 週間で Talos が確認した、最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

今回紹介する最も一般的な脅威は次のとおりです。

Malware.Donoff-6759556-0
マルウェア
Donoff は悪意のある Microsoft Office ドキュメントです。Windows コマンドシェルを使用して PowerShell を起動し、実行ファイルをダウンロードおよび実行します。
Malware.00536d-6758981-0
マルウエア
Doc.Malware.00536d は、VBA と PowerShell を利用してマルウェアをシステムにインストールする不正ドキュメントファミリです。これらのドキュメントは通常、マクロを有効にするようユーザを促します。マクロが実行されると、システム上に追加のマルウェアをダウンロードしてインストールします。
Dropper.Donoff-6758223-0
Dropper
Donoff はペイロードを配布する Office ドキュメントです。Windows コマンドシェルを使用して PowerShell を起動し、実行ファイルをダウンロードおよび実行します。
Trojan.Emotet-6758832-0
トロイの木馬
Emotet はバンキング型トロイの木馬です。検出を回避するために継続的に進化しており、依然として注意が必要です。一般的には悪意のあるメールを介して拡散され、最近ではブラックフライデー期間に増加しました。
Malware.Valyria-6757519-0
マルウェア
Valyria は他のマルウェアを配布するために使用される悪質な Microsoft Word ドキュメントファミリです。このキャンペーンは現在、「Emotet」を配布しています。
Virus.Triusor-6757540-0
ウイルス
Triusor は高度なポリモーフィックマルウェアファミリです。静的分析を妨害するために、すべてのバイナリが圧縮され難読化されています。マルウェアには、動的分析を複雑にするコードが含まれています。そのコードが実行されると、サンプルはコードインジェクションを実行します。

脅威

Doc.Malware.Donoff-6759556-0

侵害の兆候

レジストリ キー

ミューテックス

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません）

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

3ek6[.]top
pvy1[.]top
di29[.]top
68d4[.]top

作成されたファイルやディレクトリ

%LocalAppData%\Temp\sDweD.exe
%LocalAppData%\Temp\22dughsl.5qd.ps1
%LocalAppData%\Temp\4s5lt2th.dfc.psm1
%LocalAppData%\Temp\4e5cllpa.loj.psm1
%LocalAppData%\Temp\zbaj2qbd.fvr.ps1

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella

マルウェア