2019年4月2日 Leave a Comment

3 月 15 日から 3 月 22 日の 1 週間における脅威のまとめ

2 min read

TALOS Japan

本日の投稿では、3 月 15 日～ 22 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

本記事のハッシュ値のリストには、最大で 25 個までしか含まれていません。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらの JSON ファイルをご覧ください。これまでと同様に、本記事に記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは悪意があると断定できないことに留意してください。

今回ご紹介する最も一般的な脅威は次のとおりです。

Win.Ransomware.Gandcrab-6900355-0
ランサムウェア
Gandcrab は、ドキュメント、写真やデータベースなどの重要ファイルを、「GDCB」、「CRAB」や「KRAB」の拡張子で暗号化するランサムウェアです。複数のエクスプロイトキット（Rig や GrandSoft など）に加えて、従来のスパムキャンペーンでも拡散しています。
Win.Trojan.Remcos-6898089-0
トロイの木馬（Trojan）
Remcos はリモートアクセスのトロイの木馬（RAT）です。感染したシステムでは、攻撃者が任意コマンドを実行し、キーストロークを記録し、Web カメラを操作し、スクリーンショットを撮影できます。Remcos はマクロを含む Microsoft Office ドキュメントを介して配布されます。それらのドキュメントは通常、悪意のあるメールの添付ファイルとして送付されます。
Win.Malware.Autoit-6897734-0
マルウェア
システム管理者の多くが使用する自動化ツール「AutoIT」（Windows 用のプログラミング言語）を悪用したマルウェアファミリです。AutoIT は豊富な機能を備えているため、完全なマルウェアを記述することもできます。このマルウェアファミリはシステムに本体をインストールし、C2 サーバに連絡して追加の指示を受けます。
Win.Ransomware.Cerber-6896901-0
ランサムウェア
Cerber は、ドキュメント、写真やデータベースなどの重要ファイルを「.cerber」の拡張子で暗号化するランサムウェアです。
Win.Malware.Zbot-6896522-0
マルウェア
Zbot（別名「Zeus」）は、キーロギングやフォームグラビング（Form Grabbing）などの方法により銀行のログイン情報を盗み出すトロイの木馬です。
Win.Malware.Ursnif-6896385-0
マルウェア
感染先から機微情報を盗むだけでなく、マルウェアのダウンローダとしても機能します。一般に、悪意のある電子メールやエクスプロイトキットを介して拡散しています。
Win.Packed.Kovter-6895460-0
パッキング済みマルウェア
Kovter は永続化をファイルレスで確立させる手口で知られています。Kovter 系のマルウェアは、悪意のあるコードを格納する不正レジストリエントリを複数作成します。また、ファイルシステムが感染から駆除された後でもシステムを再感染させることができます。過去にはランサムウェアやクリック詐欺のマルウェアを広めるために使用されてきました。
Win.Malware.Upatre-6894504-0
マルウェア
Upatre はトロイの木馬です。多くの場合、スパムメールの添付ファイルやリンクを通じて配布されます。その他のマルウェアのダウンローダやインストーラであることが知られています。
Doc.Downloader.Emotet-6894115-0
ダウンローダ
Emotet は、最近にかけて最も活発なマルウェアファミリのひとつです。さまざまなペイロードを配布する非常に高度なモジュール型の脅威です。Emotet はマクロを含む Microsoft Office ドキュメントを介して配布されます。それらのドキュメントは通常、悪意のあるメールの添付ファイルとして送付されます。
Win.Trojan.NetWire-6893426-1
トロイの木馬
NetWire はリモートアクセスのトロイの木馬（RAT）です。感染したシステムでは、攻撃者がコマンドを実行し、キーストロークを記録し、Web カメラやリモートデスクトップ機能を操作し、接続されている USB デバイスからデータを読み取れます。NetWire はマクロを含む Microsoft Office ドキュメントを介して配布されます。それらのドキュメントは通常、悪意のあるメールの添付ファイルとして送付されます。

脅威

Win.Ransomware.Gandcrab-6900355-0

侵入の痕跡

レジストリ キー

<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
- 値の名前：xbnykvblxlz

ミューテックス

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません）

66[.]171[.]248[.]178

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません）

carder[.]bit
ransomware[.]bit
ns2[.]wowservers[.]ru

作成されたファイルやディレクトリ

%AppData%\Microsoft\jfwwxp.exe

ファイルのハッシュ値

19b5f589a31dd4b6fd6fcda9e529f04adee6628740cfb4354b7fde94ca4c8fe8
2870e29273fac8161c571505e2081afe0aa8c9e198150923f9efcb15a0379e66
31bbc9f6a7d5b5c248c6379afcf7c7026fb0f3b521016d918edba1fad085a9cc
3e9ae9bb1061f2335cbca35ddfe71f7b93d8ff14a79c362b7a5e22a3c19f5af0
3f18aeab0f40e3f957807fdb6142cafcfd4faeac39b0f31df9e869cca981cb70
5a6f4af9f4c0230111b39ff7cf127db182738ed735fa72183f935f272491b53d
635cd9d2065acf51745629ff92e41c8b331d25376868cfde5ec3dfab91cd0026
961b6caacf88d67139309a5dbec806301a1e7fc8eec7db166d9d0d0120346cad
a8d145d01780227cecb322d69d173248c122c5c5b5ffe74c28e1ef89958b4dd7
c4e78e775a53a51eefc2b5dd4ce161bd1794119a02481e03b9917aba5279d9c0
cfb324eb0b95048aa3248b4475902e575da996b63ff86cf78211424ec8c1c561
e43d30708069f2ec0b0237144b23e2d337521174530caefd04728fcc0cbbfd6e
fcefe7d20db180411dd0f1ae2749e622738d9b8e6cca09a01b870551823ccbd3

カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella