Cisco Japan Blog

Cisco Japan Blog / 脅威リサーチ / 4 月 19 日～ 4 月 26 日における脅威のまとめ

2019年5月23日 Leave a Comment
脅威リサーチ

4 月 19 日～ 4 月 26 日における脅威のまとめ

9 min read



本日の投稿では、4 月 19 日～ 4 月 26 日の 1 週間で Talos が確認した、最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、脅威の主な行動特性、セキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、および公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ侵害の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。

本記事では、脅威カテゴリごとに 25 個の関連ファイル ハッシュと最大 25 件の IOC のみを含めています。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらpopup_iconの JSON ファイルをご覧ください。これまでと同様に、本記事に記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは悪意があると断定できないことに留意してください。

今回紹介する最も一般的な脅威は次のとおりです。

  • Malware.Gandcrab-6954107-0
    マルウェア
    GandCrab はドキュメント、写真、データベースなどの重要なファイルを、「GDCB」、「CRAB」や「KRAB」の拡張子で暗号化するランサムウェアです。複数のエクスプロイト キット（Rig や GrandSoft など）に加えて、従来のスパム キャンペーンでも拡散しています。
  • Malware.Kovter-6953553-0
    マルウェア
    Kovter は永続化をファイル レスで確立させる手口で知られています。Kovter 系のマルウェアは、悪意のあるコードを格納する不正レジストリ エントリをいくつか作成します。また、ファイル システムが感染から駆除された後でもシステムを再感染させることができます。過去にはランサムウェアやクリック詐欺のマルウェアを広めるために使用されてきました。
  • Packed.Scar-6952917-0
    パック処理済み
    Scar はシステムにファイルをダウンロードして実行します。同時に、他のマシンに拡散するためリムーバブル メディアに自身をコピーします。
  • Dropper.Lydra-6952708-0
    ドロッパー
    Lydra はユーザ アクティビティを監視してパスワードなどの機密情報を盗み、複数の永続メカニズムを起動時に実行されるように設定します。
  • Trojan.Zeroaccess-6952579-0
    トロイの木馬
    ZeroAccess は Windows システムに感染するトロイの木馬です。感染したマシンにルートキットをインストールして検知されないように潜み、クリック詐欺キャンペーンを実行するためのプラットフォームとして機能します。
  • Downloader.Powload-6952235-0
    ダウンローダ
    Powload は PowerShell を使用してマルウェアをダウンロードする、悪意のあるドキュメントです。現在のキャンペーンは「Emotet」マルウェアを配布しています。
  • Ransomware.Cerber-6952131-0
    ランサムウェア
    Cerber は、ドキュメント、写真、データベースなどの重要なファイルを「.cerber」の拡張子で暗号化するランサムウェアです。
  • Packed.Tofsee-6952124-0
    パック処理済み
    Tofsee は、多数のモジュールを備えることでさまざまなアクティビティを実行する多目的マルウェアです。それらのアクティビティには、スパム メッセージの送信、クリック詐欺の実行、暗号通貨の不正マイニングなどが含まれます。いったん感染すると、システムが Tofsee スパム ボットネットの一部と化し、大量のスパム メールを送信するために悪用されます。これにより他のシステムにも感染を広げ、攻撃者の支配下にあるボットネットの全体数を増やします。
  • Malware.Emotet-6947486-0
    マルウェア
    Emotet はバンキング型トロイの木馬です。検出を回避する手口が継続的に進化しているため、依然として注意が必要です。一般に、悪意のある電子メールを介して拡散しています。
  • Malware.Mikey-6953803-0
    マルウェア
    Mikey は自身をインストールすることでシステムを感染させるトロイの木馬です。感染したシステム上で情報を収集し、C2 サーバと通信し、機密情報を漏洩させる能力を備えています。この種のマルウエアは、追加のコマンドを受信したり、要求に応じて追加のマルウェアをインストールしたりするなど、他の不正操作も実行できます。

脅威

Gandcrab-6954107-0

侵害の兆候

レジストリ キー 発生
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： mrtauqkjwnb		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： taiqbyxzlxk		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： kgdxylqkehn		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： wthkafbhnnz		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： csrzoywxadl		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： wyvcshrzmzp		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： htiqstanrob		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： wpxojreokly		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： blyfivnejxn		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： lrrnacksfnc		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： kamceprdczy		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： itqfvoapacm		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： ncqtnmbrepx		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： wiuqosifjbq		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： sktkqyirmst		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： bwipaxisell		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： hdcpovptyus		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： jquurrwhzkq		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前： ysblnuivkrs		 1

 

ミューテックス 発生
Global\pc_group=WORKGROUP&ransom_id=4a6a799098b68e3c 19
\BaseNamedObjects\Global\pc_group=WORKGROUP&ransom_id=ab8e4b3e3c28b0e4 19

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生
66[.]171[.]248[.]178 19

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生
1[.]1[.]168[.]192[.]in-addr[.]arpa 19
ipv4bot[.]whatismyipaddress[.]com 19
1[.]0[.]168[.]192[.]in-addr[.]arpa 19
malwarehunterteam[.]bit 19
ns1[.]virmach[.]ru 19
politiaromana[.]bit 19
gdcb[.]bit 19
ns2[.]virmach[.]ru 19

 

作成されたファイルやディレクトリ 発生
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2580483871-590521980-3826313501-500\a18ca4003deb042bbee7a40f15e1970b_d19ab989-a35f-4710-83df-7b2db7efe7c5 19
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\O1OD133V.htm 19
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\C5MZMU22\desktop.ini 15
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\C5MZMU22\ipv4bot_whatismyipaddress_com[1].htm 15
%APPDATA%\Microsoft\hghbta.exe 1
%APPDATA%\Microsoft\gknrwh.exe 1
%APPDATA%\Microsoft\fpimav.exe 1
%APPDATA%\Microsoft\menqqw.exe 1
%APPDATA%\Microsoft\yajjhk.exe 1
%APPDATA%\Microsoft\fttqrq.exe 1
%APPDATA%\Microsoft\ggxike.exe 1
%APPDATA%\Microsoft\lxhknn.exe 1
%APPDATA%\Microsoft\aojsiy.exe 1
%APPDATA%\Microsoft\nsxpnb.exe 1
%APPDATA%\Microsoft\tywgei.exe 1
%APPDATA%\Microsoft\ucihie.exe 1
%APPDATA%\Microsoft\odrxqe.exe 1
%APPDATA%\Microsoft\clhbpq.exe 1
%APPDATA%\Microsoft\vacwir.exe 1
%APPDATA%\Microsoft\pzgooz.exe 1
%APPDATA%\Microsoft\ivnaov.exe 1
%APPDATA%\Microsoft\yvudxg.exe 1
%APPDATA%\Microsoft\lfkjbm.exe 1
\Win32Pipes.0000052c.00000017 1
\Win32Pipes.0000052c.00000019 1
IOC の詳細については JSON を参照してください

ファイルのハッシュ値

  • 1156e142aafbd439ee6bd2a9d0e8cd9fd4719ee9d9242b9c1916bfe1b45db99a
  • 14f1688ab3d4c0866797ad43dc7df51d913a5df763fb12c7b72391075945cd8d
  • 194966a4700fbad5d329b75df3794730255ec8afe5c2f385e45c79337f1cbb39
  • 1f2a5163a9b3206f45a03c23bb05ad6c71d22add96374d9c127db58fe72289a2
  • 3c8cdaf3626ede0754ea0f16a67c079ef4670cba8d0e1c4a88bd47856dbd49cb
  • 45376d6ccfe68d1b2b82ad50f59f376917e17a09e2be48da015770f6a549f7af
  • 468ea3dc192ff158b09e6cc09c8d4a190d5744dff6225edb93ae2385a75d9120
  • 4cd88fe74eabf6fff9bcf700cae21da6021a1b45ad2c759b873f00031ec2f60d
  • 5783f8f86692861ff73c02a84860086940a1dc31aa9c821804188f0e8e8ff1d0
  • 5e0171a3a7832430d85b4681a247bb0f82aa3f07f024fa8605d3e9f7836ca6ec
  • 7db58ac99c57662954d7f4183a5945bd352e7db6a0e3aebf31c19c29bc78a7d9
  • 8745527a3c123b9155ae7d470cc549fcecbd97be2c515b8711412e93071c1bab
  • b1a195b1dc49ec6adaed3f6a9eb1e3a1089106ab8503f5e541897230c9c2fd5e
  • c6a7fa1f1f89d235957ce7fd38051a7e9a921847a30c6309da1c5e8cffb71e5e
  • d3cd9d746c796dc68b4dfae7657fcec9bad4c00cf2addb4f90ac1480beb8e0b2
  • d8752dbe07dd9642d6bb7f65701338d99ce8fb718ae803eb12ea41ff5ca15671
  • e1f314bc382f2163df72cd7aa083a2d3a4a78b0e6315689359bb543b5ee872ae
  • f1f63b367f7731f515f3076835426af9086e950b218b5371bc23d8c51e3a7c02
  • f8fd3c82782868205270cdc0b2edfd8c51a5da900bede625a16c1943b4ccd1e3

カバレッジ

検出時のスクリーンショット

AMP



ThreatGrid


Umbrella

Win.Malware.Kovter-6953553-0

 

侵害の兆候

 

レジストリ キー 発生
<HKLM>\SOFTWARE\POLICIES\MICROSOFT\WINDOWS\WindowsUpdate 29
<HKLM>\SOFTWARE\POLICIES\MICROSOFT\WINDOWS\WINDOWSUPDATE\OSUpgrade 29
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前： internat.exe		 28
<HKLM>\SOFTWARE\POLICIES\MICROSOFT\WINDOWS\WINDOWSUPDATE
値の名前： DisableOSUpgrade		 28
<HKLM>\SOFTWARE\POLICIES\MICROSOFT\WINDOWS\WINDOWSUPDATE\OSUPGRADE
値の名前： ReservationsAllowed		 28
<HKLM>\SOFTWARE\WOW6432NODE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run 28
<HKCU>\SOFTWARE\3a91c13ab1 28
<HKLM>\SOFTWARE\WOW6432NODE\3a91c13ab1 28
<HKLM>\SOFTWARE\WOW6432NODE\3A91C13AB1
値の名前： 656f27d6		 28
<HKCU>\SOFTWARE\3A91C13AB1
値の名前： 656f27d6		 28
<HKLM>\SOFTWARE\WOW6432NODE\3A91C13AB1
値の名前： 96f717b3		 28
<HKCU>\SOFTWARE\3A91C13AB1
値の名前： 96f717b3		 28
<HKLM>\SOFTWARE\Microsoft\Internet Explorer\Main\FeatureControl\FEATURE_BROWSER_EMULATION 27
<HKLM>\SOFTWARE\WOW6432NODE\3A91C13AB1
値の名前： 01b2a448		 25
<HKCU>\SOFTWARE\3A91C13AB1
値の名前： 01b2a448		 25
<HKLM>\System\CurrentControlSet\Control\SecurityProviders\Schannel 2
<HKLM>\SYSTEM\LastKnownGoodRecovery\LastGood 2
<HKLM>\SOFTWARE\WOW6432NODE\8A6FD29F760019C2A 1
<HKLM>\SOFTWARE\WOW6432NODE\S191vn 1
<HKLM>\SOFTWARE\WOW6432NODE\8A6FD29F760019C2A
値の名前： 22F2A9371858821393B		 1
<HKLM>\SOFTWARE\WOW6432NODE\3E4A82EF50861857D 1
<HKLM>\SOFTWARE\WOW6432NODE\LM7zAclcB 1
<HKLM>\SOFTWARE\WOW6432NODE\S191VN
値の名前： noVD3r8i		 1
<HKLM>\SOFTWARE\WOW6432NODE\S191VN
値の名前： Ja8WDQ2COI		 1
<HKLM>\SOFTWARE\WOW6432NODE\3E4A82EF50861857D
値の名前： B6FAE5718727427E545		 1

 

ミューテックス 発生
B3E8F6F86CDD9D8B 28
A83BAA13F950654C 28
EA4EC370D1E573DA 28
Global\7A7146875A8CDE1E 28
\BaseNamedObjects\408D8D94EC4F66FC 24
\BaseNamedObjects\Global\350160F4882D1C98 23
\BaseNamedObjects\053C7D611BC8DF3A 23
\BaseNamedObjects\Global\ServicePackOrHotfix 2
\BaseNamedObjects\Global\F7E10F769B0682E7 1
\BaseNamedObjects\2594BA9F8AA549A0 1
\BaseNamedObjects\95780D7FD6724D3D 1
\BaseNamedObjects\93444A15B4316C7F 1
\BaseNamedObjects\8AD0B80D27B7A6E8 1
\BaseNamedObjects\Global\CE758B9A90197724 1
\BaseNamedObjects\3E54017756DC8D88 1
\BaseNamedObjects\Global\E04DD8EC68AC932B 1
\BaseNamedObjects\254092C2E3B50CC1 1
\BaseNamedObjects\1AF828CB730214EA 1
\BaseNamedObjects\6CF52592B2A80076 1
\BaseNamedObjects\Global\15907BF02B9082CF 1
Global\ebcd2841-665f-11e9-a007-00501e3ae7b5 1

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生
23[.]10[.]207[.]183 2
96[.]16[.]151[.]89 2
23[.]96[.]52[.]53 2
23[.]196[.]183[.]170 2
126[.]51[.]184[.]10 1
104[.]119[.]186[.]70 1
55[.]20[.]15[.]80 1
27[.]121[.]99[.]80 1
166[.]57[.]220[.]214 1
24[.]210[.]219[.]136 1
103[.]83[.]13[.]134 1
192[.]201[.]48[.]88 1
94[.]105[.]89[.]64 1
49[.]27[.]243[.]48 1
31[.]109[.]216[.]73 1
122[.]210[.]74[.]190 1
97[.]158[.]71[.]252 1
177[.]96[.]54[.]160 1
207[.]4[.]93[.]221 1
73[.]58[.]236[.]14 1
51[.]103[.]86[.]160 1
157[.]32[.]43[.]20 1
174[.]135[.]47[.]97 1
59[.]76[.]122[.]178 1
212[.]180[.]197[.]146 1
IOC の詳細については JSON を参照してください

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生
e10088[.]dspb[.]akamaiedge[.]net 4
e3673[.]dspg[.]akamaiedge[.]net 4
www[.]cloudflare[.]com 1
cpanel[.]com 1
cp[.]aliyun[.]com 1
netcn[.]console[.]aliyun[.]com 1
www[.]timo-ex[.]com 1

 

作成されたファイルやディレクトリ 発生
%TEMP%\WindowsXP-KB968930-x86-ENG.exe 4
%HOMEPATH%\Cookies\administrator@microsoft[1].txt 4
%HOMEPATH%\Cookies\administrator@microsoft[2].txt 4
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\55F5KQ7B.htm 2
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\BY8YMTTN.htm 2
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\DRMICMKU.htm 2
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\DU14067I.htm 2
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KACXHDUX\desktop.ini 2
%SystemRoot%\inf\oem13.PNF 2
%SystemRoot%\inf\oem13.inf 2
%System32%\CatRoot2\dberr.txt 2
%SystemRoot%\KB968930.log 2
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KACXHDUX\WindowsXP-KB968930-x86-ENG[1].exe 2
%HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\KACXHDUX\en-us[1].htm 2
%APPDATA%\Microsoft\Windows\Cookies\DU14067I.txt 1
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\index[1].htm 1
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\00A87HPC.htm 1
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\9UBKMUJA.htm 1
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\FQVQQJXR.htm 1
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\V69XW46D.htm 1
\5965c0b5c4bb27a5399e\wsmwmipl.dll 1
\5965c0b5c4bb27a5399e\wtrinstaller.ico 1
%HOMEPATH%\Local Settings\Application Data\cacipe\cacipe.exe 1
%HOMEPATH%\Cookies\administrator@104.31.137[1].txt 1

ファイルのハッシュ値

  • 03dae55b56d3cf11136529cd2be296e4d6aa1a017f44a898d11ecc0b1b43e16e
  • 06f1a2cffda751ae87026e4d5f54c2767a474b3aca7c9ddd2b1f7247a3ff75f6
  • 0b01f3a59fcaa6520b12f9e3bdda2615e25b41e1d5c9e23e36a5f61c75e960ba
  • 19c78081714b6154ce25bb431959dc537618338038ae30c866afb3d6d0094996
  • 1f3a83a9744812c5b094691b4a87c4475fd8cbb85e69bf298edf917589261d4a
  • 296af0b5e6f6e033108a2a7109f40e1152f1c4ead15db644dc5d0d0973de21f4
  • 2a5c411fd65bb32f8f72b06ad17d8cb20258fc92dd1a7051e44550c314cc77f5
  • 3b94d3a36980ad21baaf5c62d669160988880e9aac3c2db29c3f23609a4eaa53
  • 3cbcc6671e6a7092a8a3f52d3cf93ff3d7c420fe6b0a34ec8bd0071a7d685217
  • 3eab679b54cca6b0352b05c821b65dbc34e16f323d60986d728ea955897a55ee
  • 44c5491ef99c542e06b1e166e5313dfb0007dd248bd08c6edaf72ce32f45232b
  • 4b21ddc1d7e40802368f07299c0634f96323285c829aacea603aefc8f8f97e28
  • 4f586d783cbd24a2cddee826f172ffeffbb953913721b87090f73cdc20e5da1b
  • 5423ba59c1ae44dcd47385f0820c020657f56e2511453937adeb1eb73dcb5b2c
  • 54d941b8f77a638074bc1a7f59f8f1650ca7e4e3077b7af6c79ebb9448656d15
  • 552d1a03140e12a901753649a8eb234a337ee08dd57c1892f3a641bd7c1e332c
  • 613d13d8759215714c4af6dc6f7af9e8984816d10265fc4203e3b87dddc784d7
  • 7c54f727e0a21feecd3f1f4757050ff27722b0097db4781b25a157376c7e3693
  • 83779e88704948dc02873d609db5d3efb4a47f968b5ce9d0e5edf02a7b7e56e7
  • 91441e8775ea05faace24c054d0d913459d9e2d61d9cb2edec9692d2dc099e78
  • a5d9ccde01ee0baee4d86ae8bedce0bee0e6637f818e9707582481fa3459b87c
  • a606074562594ed99706376dec2e0991de42f98dd5c2718253e796b75b7d748c
  • b15ffdd820f05d45e29a1a58a15a0ac04e2c694e0507146de04f2038e52e5187
  • cafc5428cde0b46cc3472becf2a7360c309b6e7fd6b87243238eff0684215b84
  • cb5be428b5adeb1cfd372ea525bc8ee0e6244f05e4a25779e9ba5d1da57b2f12
  • IOC の詳細については JSON を参照してください

 

カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Win.Packed.Scar-6952917-0

 

侵害の兆候

 

レジストリ キー 発生
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\localNETService 27
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\LOCALNETSERVICE
値の名前： Type		 27
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\LOCALNETSERVICE
値の名前： Start		 27
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\LOCALNETSERVICE
値の名前： ErrorControl		 27
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\LOCALNETSERVICE
値の名前： ImagePath		 27
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\LOCALNETSERVICE
値の名前： DisplayName		 27
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\LOCALNETSERVICE
値の名前： WOW64		 27
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\LOCALNETSERVICE
値の名前： ObjectName		 27
<HKLM>\Software\Wow6432Node\localNETService 17
<HKLM>\SOFTWARE\localNETService 15
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_8350		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_31696		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_12733		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_33107		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_24485		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_29347		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_48270		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_58951		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_3373		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_25588		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_8958		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_16087		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_3445		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_2899		 1
<HKLM>\SOFTWARE\WOW6432NODE\LOCALNETSERVICE
値の名前： Value_24818		 1

 

ミューテックス 発生
該当なし –

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生
該当なし –

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生
該当なし –

 

作成されたファイルやディレクトリ 発生
%ProgramData%\localNETService 27
%TEMP%\jzq100219.dat 27
%ProgramData%\localNETService\localNETService.exe 27

ファイルのハッシュ値

  • 042b5f70f7211b31877525378d4e96bfe446f8f0e180962446a65c5e8a17eb08
  • 08729005569c47f4d36611ac6f04e476e365e17578e6275c71b09b1007162907
  • 0da7373b6529e881f8de9d33bbe4717b934d3f9eb1159166537ae93f58b02a29
  • 0e7cccc382e99f10ef64bee8ec7be4c61e5dd2a2b41402e1c824912158e9d097
  • 0ec741d2518772fc28534da4da8fbc7581d1cbe14864022412b971ae9fb8febb
  • 25782acb55d3cd762558994ac725e31083cb8f10eb483877b3b9c3a178cba927
  • 299325258ce603f5cbc78002e165f7b988596b2a626d5e5632c8f7c0b97d9fd0
  • 2a13a36bc24d110399adde37adcbe1128d66ddf33bdccd3c90e37a5353eb1dcd
  • 316803348e02989f019715f85e1f479506a3e74a67744f6dbe589380d8b9ab3d
  • 514c836caccb6cf621230443278632465b7b10c4170b8a20109f0fb067444a65
  • 572b94765953cd7d0d8a9bc4128b3805327104207af71bccc32f8f0cd580b4ff
  • 5c7283a449024ccf30840ebedd11134742695875568e9619cda06b39bec6ec67
  • 65d6f8a3358165bdbff21a025d43f182efbe9ea87feead320d5e10eea961fbd2
  • 65dcb37789486112ef98cd5ce423b36beaa1b7fd1f854348b62d3f76b0f20540
  • 694f63471c9fa8220b0312b71a1a268eaf6fc3a9e1c2c2be17c79a000ef0f1ca
  • 789b97d71b0ad420bdba65d5da91a82cd3e6a4c5a5f6ed3f2f440e5e3bfed327
  • 845f60e36148fd53502baea5c223f8103c1e214fe8fbfaba15c1b57b3ce100c7
  • 8884ba2c677a3f6280211683ff0c28fd6522044d59f86662fd630ad8311d7353
  • 8c0a5bdae921786a11fbfe67389a04caffc271fcb67633776cff4fe16d1a47a7
  • 8d2d5b172a07beee3b67ac16076b89a140f98d189d8ae0873dd110bdc6b28692
  • 8d34f3d96b6f7eb3f99b865cb449735fe2ec411d44498a5a61e148ffe166a714
  • 8e684a3f609ac8e4e47ceabcda4abd75d80f699b313de65fba2e5adedee1f874
  • 9161e4bf4085fe4f6256178832565a787e6853b0003dbcbdce3e3777b614cf71
  • 990851a27f622a2a4f8d3d818b9383a4551fd29c00ee327dc509fb088bbdc03b
  • 9f522963850cbc45dac570eea66a46822c21ea3aed095eb8aa8ec8381eb15bf5
  • IOC の詳細については JSON を参照してください

 

カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Win.Dropper.Lydra-6952708-0

 

侵害の兆候

 

レジストリ キー 発生
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前： internat.exe		 42
<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List 42
<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\policies\Explorer\Run 42
<HKLM>\SOFTWARE\Classes\Wow6432Node\CLSID\{65D5AFFB-D4EF-49AA-GFFG-5DA5E12E300A} 42
<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run 42
<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunServices 42
<HKCU>\SOFTWARE\WinRAR\General 42
<HKCU>\SOFTWARE\WinRAR 42
<HKLM>\SOFTWARE\CLASSES\WOW6432NODE\CLSID\{65D5AFFB-D4EF-49AA-GFFG-5DA5E12E300A}
値の名前： ThisEXE		 42
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前： lsassv		 42
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN
値の名前： msrpc		 42
<HKCU>\SOFTWARE\WINRAR\GENERAL
値の名前： Sound		 42
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\STANDARDPROFILE\AUTHORIZEDAPPLICATIONS\LIST
値の名前： c:\windows\servicew.exe		 42
<HKLM>\SOFTWARE\Classes\CLSID\{65D5AFFB-D4EF-49AA-GFFG-5DA5E12E300A} 41
<HKU>\Software\Microsoft\Windows\ShellNoRoam\MUICache 41
<HKLM>\SYSTEM\CurrentControlSet\Services\winsys 38
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前： winsys		 38
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN
値の名前： winsys		 38
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNSERVICES
値の名前： winsys		 38
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\WINSYS
値の名前： DependOnGroup		 38
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\WINSYS
値の名前： DependOnService		 38
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\WINSYS
値の名前： Description		 38
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\WINSYS
値の名前： DisplayName		 38
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\WINSYS
値の名前： Group		 38
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\WINSYS
値の名前： ObjectName		 38

 

ミューテックス 発生
該当なし –

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生
該当なし –

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生
該当なし –

 

作成されたファイルやディレクトリ 発生
\Documents and Settings\All Users\Start Menu\Programs\Startup\AdobeGammaLoader.scr 42
%SystemRoot%\mui 42
%ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup\AdobeGammaLoader.scr 42
%SystemRoot%\calc.exe 42
%SystemRoot%\lsassv.exe 42
%SystemRoot%\msrpc.exe 42
%SystemRoot%\mui\rctfd.sys 42
%SystemRoot%\ole32w.dll 42
%SystemRoot%\pool32.dll 42
%SystemRoot%\regedit2.exe 42
%SystemRoot%\servicew.exe 42
%SystemRoot%\setupiwz.dll 42
%SystemRoot%\unrar.dll 42
%SystemRoot%\winsys.exe 38
%SystemRoot%\ieks32.dll 38
%SystemRoot%\viaud.dll 38
%SystemRoot%\woron_scan_1.09_eng.exe 29
%SystemRoot%\smart_scan_eng.exe 13
%SystemRoot%\syswin.exe 4
%SystemRoot%\ikf32.dll 4
%SystemRoot%\iksec.dll 4

ファイルのハッシュ値

  • 0b0700bab86aadc28b8216e487747e1f248b64db255972efd82b8a0b0e9fbaf0
  • 134610cf4c7463abd435a7e9e5c3957e1b013d74b73248129f77eda2023bf341
  • 149aa87d3b637af6bc98b1b317c88c0faf1aac59d3ae0228f82375dc63668e27
  • 16877fdf6baa760ff501d6ffac2d827175debe7d1788bb1d9ebf96359d3ea8ed
  • 181fb91a7a3ea5d60862a240abe074d704385a41a4fd2a7c343171452ab207a3
  • 19ed54738b7eacd638cb8f6c7f41bebce61c596071ff8048c85c2c94ceb9b59d
  • 1be2192207e35f4d286154428882707f8fbc947073f87de650e3cae25aac6a53
  • 1bf0f79aa7076f8e0499646d892b1c883a12b76720ec1ee95583e4f0bd1e2548
  • 209c3027ee89df1f9c43caa49f33d2ae796a6e4f75f41fa3d29a6c618236aeb5
  • 23e8478e532060223d05a4172626d3ce7280d0a50a3c98e55a20f3b67527d598
  • 3448fc8f0ba01e5e3f1c2200e09cb8ae7cdd0fb683a078520a8980b7cd8dbfd1
  • 385aba59012ba5552914fa5fa5c000d4327631b33eae8173c4c0ed39fdaf86e8
  • 39b0887601c58b9fa9703611d4a41790db3f5c42eeac30320796005d7cd3149a
  • 3ec22bdc7999fdfee532c1f83f3026dd2935b4210325664024c3de0ce60cbd92
  • 3f927933cb408dc994ce17f3afab04a2b0d6c6f63f13622c92b3466e3502e20f
  • 462b020edeec013d02f371189b6e26b868c9058f870de778f3bef56a3dd033ca
  • 48c62b14b624255d0887c3c7dcd7d2863b82ece90129b1214abb9a829eeb39a3
  • 490204655d5f6a89ee33f2b70efd100edbcc564ea27083cd30ae5bddda319e7e
  • 4b2c8b21a1c0350c52740a0e21151dec03786f2a1c2280315dac70815fb6ca23
  • 503e790a64d6232628252bb99642e3dbe0da13d6ee748a60ce5ee9bf0b91758d
  • 5619dc4d1f452579077dc95c069e9b9a059fc93285f734925133906e1d2bca1b
  • 5b2455a6d058652270681d6d7040111e74f468fe771f41588ad8038fe3d59803
  • 5dfa493f6d6b13c44867ed1e60a90462629383a7330f9fb0ffd1f43c017362e9
  • 795f0d8204993cd7c79551555b8b8d37a2d0cbe18ff1d01fc5cb3131c95ee958
  • 8267bc6bb334a0f103bc55df5d8a231dc485b76588eb664639cbb16972fef4d6
  • IOC の詳細については JSON を参照してください

 

カバレッジ

検出時のスクリーンショット

AMP


Threat Grid

マルウェア

Win.Trojan.Zeroaccess-6952579-0

侵害の兆候

 

レジストリ キー 発生
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\MSASCUI.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\WERFAULT.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\UI0DETECT.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\CTFMON.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\WUAUCLT.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\HIJACKTHIS.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\MBAM.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\MBAMGUI.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\MBAMSERVICE.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SBIESVC.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SANDBOXIEWUAU.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SANDBOXIEBITS.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SANDBOXIECRYPTO.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SANDBOXIEDCOMLAUNCH.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SANDBOXIERPCSS.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SBIECTRL.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\COMBOFIX.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\PEV.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\HIDEC.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SWREG.EXE
値の名前： Debugger		 28
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\HELPPANE.EXE
値の名前： Debugger		 28
<HKCU>\CONTROL PANEL\SOUND
値の名前： Beep		 28
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER
値の名前： NoFile		 28
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SR
値の名前： Start		 28
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER
値の名前： NoFolderOptions		 28

 

ミューテックス 発生
!PrivacIE!SharedMem!Mutex 28
Local\VERMGMTBlockListFileMutex 28
Local\!BrowserEmulation!SharedMemory!Mutex 28
Local\URLBLOCK_DOWNLOAD_MUTEX 28
Local\URLBLOCK_HASHFILESWITCH_MUTEX 28
UpdatingNewTabPageData 28
{5312EE61-79E3-4A24-BFE1-132B85B23C3A} 28
{66D0969A-1E86-44CF-B4EC-3806DDDA3B5D} 28
!IEFileUpdater!Mutex 28
Local\InternetExplorerDOMStoreQuota 28
cUu×A≫￠Ieoeoc 28
Local\https://www.hugedomains.com/ 28
Local\https://tiny.cc/ 27
Local\http://mediadiscovery.net/ 20
Local\http://widgets.outbrain.com/ 13
Local\URLBLOCK_FILEMAPSWITCH_MUTEX_1252 3
Local\URLBLOCK_FILEMAPSWITCH_MUTEX_1176 3
IsoScope_13c_ConnHashTable<316>_HashTable_Mutex 2
Local\URLBLOCK_FILEMAPSWITCH_MUTEX_316 2
Local\URLBLOCK_FILEMAPSWITCH_MUTEX_1604 2
Local\URLBLOCK_FILEMAPSWITCH_MUTEX_1876 2
IsoScope_1f0_ConnHashTable<496>_HashTable_Mutex 2
Local\URLBLOCK_FILEMAPSWITCH_MUTEX_496 2
Local\URLBLOCK_FILEMAPSWITCH_MUTEX_1932 1
Local\URLBLOCK_FILEMAPSWITCH_MUTEX_1964 1
IOC の詳細については JSON を参照してください

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生
204[.]79[.]197[.]200 28
172[.]217[.]10[.]4 28
172[.]217[.]12[.]206 28
72[.]21[.]81[.]200 28
216[.]87[.]78[.]25 28
172[.]217[.]3[.]106 27
172[.]217[.]7[.]3 27
23[.]20[.]239[.]12 27
192[.]35[.]177[.]64 27
192[.]241[.]240[.]89 27
72[.]52[.]179[.]175 27
107[.]22[.]223[.]163 27
23[.]10[.]130[.]155 26
172[.]217[.]6[.]194 25
104[.]25[.]37[.]108 25
199[.]59[.]242[.]151 25
172[.]217[.]164[.]132 25
107[.]178[.]240[.]89 25
172[.]217[.]15[.]74 25
96[.]6[.]58[.]4 25
67[.]225[.]218[.]50 25
104[.]25[.]38[.]108 21
173[.]192[.]200[.]70 21
199[.]59[.]242[.]168 21
104[.]28[.]29[.]32 21
IOC の詳細については JSON を参照してください

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生
cdnjs[.]cloudflare[.]com 28
www[.]easycaptchas[.]com 28
secure[.]statcounter[.]com 28
cdn[.]pubguru[.]com 28
fonts[.]gstatic[.]com 27
ib[.]adnxs[.]com 27
www[.]googletagservices[.]com 27
bit[.]ly 27
HDRedirect-LB5-1afb6e2973825a56[.]elb[.]us-east-1[.]amazonaws[.]com 27
static[.]hugedomains[.]com 27
www[.]hugedomains[.]com 27
apps[.]digsigtrust[.]com 27
apps[.]identrust[.]com 27
tiny[.]cc 27
fastlane[.]rubiconproject[.]com 27
m2d[.]m2[.]ai 27
cdn[.]convertcart[.]com 27
tinyurl[.]com 27
directorio-w[.]com 27
www[.]qseach[.]com 27
www[.]directorio-w[.]com 27
bidder[.]komoona[.]com 27
c[.]statcounter[.]com 26
web[.]hb[.]ad[.]cpe[.]dotomi[.]com 26
securepubads[.]g[.]doubleclick[.]net 25
IOC の詳細については JSON を参照してください

 

作成されたファイルやディレクトリ 発生
%LOCALAPPDATA%Low\Microsoft\Internet Explorer\Services\search_{0633EE93-D776-472f-A0FF-E1416B8B2E3A}.ico 28
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\7V3XNPL2\favicon[2].ico 28
%APPDATA%\Microsoft\Windows\Cookies\A71QDCIP.txt 28
%APPDATA%\Microsoft\Windows\Cookies\VF90XW39.txt 28
%System32%\drivers\etc\hosts 28
%APPDATA%\Microsoft\Windows\Cookies\HW3YF7T7.txt 28
%ProgramFiles(x86)%\Mozilla Firefox\searchplugins\google.xml 28
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\7V3XNPL2\urlblockindex[1].bin 28
%HOMEPATH%\27F6471627473796E696D64614\winlogon.exe 28
%APPDATA%\Microsoft\Windows\Cookies\SISHQLM4.txt 28
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\7V3XNPL2\domain_profile[1].htm 28
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe 28
%ProgramData%\Microsoft\Windows\Start Menu\Programs\Startup\winlogon.exe 28
%ProgramData%\Microsoft\Windows\Start Menu\Programs\winlogon.exe 28
%ProgramData%\Microsoft\Windows\Start Menu\winlogon.exe 28
%APPDATA%\Microsoft\Windows\Start Menu\Programs\winlogon.exe 28
%APPDATA%\Microsoft\Windows\Start Menu\winlogon.exe 28
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\7V3XNPL2\domain_profile[1].cfm 27
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\6YL4T24G\t[1].gif 27
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\7V3XNPL2\t[1].gif 27
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\1NSKV6K6\domain_profile[1].htm 26
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\1NSKV6K6\domain_profile[1].cfm 26
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\domain_profile[1].htm 26
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\7V3XNPL2\px[1].gif 26
%LOCALAPPDATA%\Microsoft\Windows\Temporary Internet Files\Content.IE5\SSZWDDXW\t[1].gif 26
IOC の詳細については JSON を参照してください

ファイルのハッシュ値

  • 2e9167886bb73eb0f56b7a64245a5bf4a87b9321cf9c32f2c93c646c32223eef
  • 2f6cdf0428403cbefc3d9b4ac5b906b56f202c952eafa49b1a6d4b4394e7ba9d
  • 4448b12c3707f70823189f20d310846d2b9de24ca3b76f33e345358d14dfd7c0
  • 472fd77b2a880f424513a2b2ec18a1dd6ac8f15f4756787d10818d35c344e8ab
  • 558cebedb7814ef92e02b020a444ed6a0dcb23dec761ccd3270548911f646c2b
  • 686aa9a0dc49bdd733c78b6ff0f180b2887696365a6304069db8a485913c21de
  • 68c892240aee5b55b6b8fb19593b9378fd7f23d42318566d73c4fbc42a77776d
  • 80d68a9698e2f598f7c703d78eaa8a500d5f716cb93009d5cc1bacef47f88e2a
  • 84aaafc52bd192f0bd17ea8e5dd34318c28a6ac87a84fa3efd629e3f9f3bf0b2
  • 9994bd60526b01b3631a7b4ec012f50251966a0cb841b7ec583d12a374df24e8
  • 9abc698de28993cd3f687686e12bca1b185dfb8687c4751b47ce7a265167725a
  • 9b45576ccb59e5b083892fe7d6154cd8c3a0795088db2053f770b589f2769108
  • a66292bc2d1c99dfb5e8c870444e603798c923ecba4ac633f88d4430b19731a7
  • aadb0c76ee084384a9acbd3981a5c22e39431a45c82438a8f8b245043b1dc05b
  • aec1d3b9323fde4b0d192c7e4b4448d517b180f4776a0cbd266b3c0d843c1214
  • b021e5e867ed34c56aae7007ccdb0965c59d49b621a6aa3f3c4052f69e082b79
  • b05f01500646b2d52b30d146a39d07047311e200a4215afef7c6ff45f1e8279b
  • b156f81c67063ebde12bd89572d4f8fce933e725c2d6b2deab80f767bb5e6faf
  • b322ada9d35b5e884d7c2c63ede85a1e11d1b2ab7d136e0c05b14cdafe8c5423
  • b871a929a4c5bbeed88387296c7270ec20c76f40361ba87e0aa84a63a16c748b
  • bbc346b483d913d44549fcff8e6a240fa3e035bbbd468299d72a7a33b447cb6e
  • bf32e669b25059e41d0f296d183136c796030374a5fc848eb5dcd6b9020283c8
  • c72efd27ec54698b361fae7dceb14bd6dfe8883ffcc29c0d8e25fecd83249ffe
  • ca1dbce8a0e3ff901cb022b57267673ee9d1f6f42384189be4eb670c44796e45
  • d0a2e479604e92ece7d75295260f938091a62b807999a993d7c5377a4fbe3ca1
  • IOC の詳細については JSON を参照してください

 

カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella

Doc.Downloader.Powload-6952235-0

 

侵害の兆候

 

レジストリ キー 発生
<HKCR>\INTERFACE\{8BD21D42-EC42-11CE-9E0D-00AA006002F3} 25
<HKCR>\INTERFACE\{8BD21D52-EC42-11CE-9E0D-00AA006002F3} 25
<HKCR>\INTERFACE\{8BD21D62-EC42-11CE-9E0D-00AA006002F3} 25
<HKCR>\INTERFACE\{7B020EC2-AF6C-11CE-9F46-00AA00574A4F} 25
<HKCR>\INTERFACE\{7B020EC7-AF6C-11CE-9F46-00AA00574A4F} 25
<HKCR>\INTERFACE\{79176FB2-B7F2-11CE-97EF-00AA006D2776} 25
<HKCR>\INTERFACE\{4C5992A5-6926-101B-9992-00000B65C6F9} 25
<HKCR>\INTERFACE\{796ED650-5FE9-11CF-8D68-00AA00BDCE1D} 25
<HKCR>\INTERFACE\{47FF8FE0-6198-11CF-8CE8-00AA006CB389} 25
<HKCR>\INTERFACE\{47FF8FE1-6198-11CF-8CE8-00AA006CB389} 25
<HKCR>\INTERFACE\{47FF8FE2-6198-11CF-8CE8-00AA006CB389} 25
<HKCR>\INTERFACE\{47FF8FE3-6198-11CF-8CE8-00AA006CB389} 25
<HKCR>\INTERFACE\{47FF8FE4-6198-11CF-8CE8-00AA006CB389} 25
<HKCR>\INTERFACE\{47FF8FE5-6198-11CF-8CE8-00AA006CB389} 25
<HKCR>\INTERFACE\{47FF8FE6-6198-11CF-8CE8-00AA006CB389} 25
<HKCR>\INTERFACE\{47FF8FE8-6198-11CF-8CE8-00AA006CB389} 25
<HKCR>\INTERFACE\{47FF8FE9-6198-11CF-8CE8-00AA006CB389} 25
<HKCR>\INTERFACE\{5CEF5613-713D-11CE-80C9-00AA00611080} 25
<HKCR>\INTERFACE\{92E11A03-7358-11CE-80CB-00AA00611080} 25
<HKCR>\INTERFACE\{04598FC9-866C-11CF-AB7C-00AA00C08FCF} 25
<HKCR>\INTERFACE\{7B020EC8-AF6C-11CE-9F46-00AA00574A4F} 25
<HKLM>\SOFTWARE\Classes\Interface\{8BD21D12-EC42-11CE-9E0D-00AA006002F3} 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\sourcebulk 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SOURCEBULK
値の名前： Type		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SOURCEBULK
値の名前： Start		 25

 

ミューテックス 発生
Global\I98B68E3C 25
Global\M98B68E3C 25
Global\Nx534F51BC 1

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生
152[.]168[.]82[.]167 25
197[.]91[.]152[.]93 25
47[.]99[.]85[.]122 25
66[.]228[.]45[.]129 15
77[.]82[.]85[.]35 15
239[.]255[.]255[.]250 1
216[.]98[.]148[.]157 1

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生
dudumb[.]com 25

 

作成されたファイルやディレクトリ 発生
%SystemRoot%\SysWOW64\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat 25
%HOMEPATH%\778.exe 25
\REGISTRY\MACHINE\SOFTWARE\Classes\Word.Document.8 1
%System32%\en-US\tzres.dll.mui 1
%System32%\WindowsPowerShell\v1.0\FileSystem.format.ps1xml 1
%SystemRoot%\SysWOW64\bVjUjfFnlezvN1Uus.exe 1
%SystemRoot%\SysWOW64\Iv7bzYqWHO4xGd.exe 1
%SystemRoot%\SysWOW64\Kyo1lmFLAsBgZNy.exe 1
%SystemRoot%\SysWOW64\AsiXrqyEtbD.exe 1
%TEMP%\CVRB4E.tmp 1
%SystemRoot%\SysWOW64\4lfjNl8nHPqt1Js4Bp.exe 1
%SystemRoot%\SysWOW64\fVyEM3EWs7XQ.exe 1
%SystemRoot%\SysWOW64\rwzinD3GMw1HRORxO.exe 1
%SystemRoot%\SysWOW64\myqCWvEqggyRaDCYm.exe 1
%SystemRoot%\SysWOW64\QrGtyKE.exe 1
%SystemRoot%\SysWOW64\EWRwGw7IYRd.exe 1
%SystemRoot%\SysWOW64\BDlBrj99pY7wbdknU.exe 1
%SystemRoot%\SysWOW64\ti93nsoZWFJbLoZ.exe 1
%SystemRoot%\SysWOW64\10czIsyY6Qn52PBJ8.exe 1
%SystemRoot%\SysWOW64\gCOkjmOgE39uf7.exe 1
%SystemRoot%\SysWOW64\a9xRIWvuM1dZbNKU.exe 1
%SystemRoot%\SysWOW64\hsCc2.exe 1
%SystemRoot%\splwow64.exe 1
%SystemRoot%\SysWOW64\EFTI4zp.exe 1
%SystemRoot%\SysWOW64\swlZVw2znOToKUOSMk.exe 1
IOC の詳細については JSON を参照してください

ファイルのハッシュ値

  • 01664c310c364946846933f45a9db25326db7133275446e38e7eccd56f2b80b4
  • 14c53e5330f82bf1449cda84130abcf0b3ffe2ce29d16a6d7a8b3c17601bffea
  • 185d2c002d778f0fec20cd7a6cb749d19577b95839be3cb7af13916e6870a7ef
  • 1ecfe0e89a380160df4b62d4b56321bfad3624ea07334f4271b9b3a0de323fdf
  • 1f2acd076d0c1aaf5832d9c30ca76cd469562fd79625b308714e87e029379052
  • 2cdc8b8fa281a4b2ab63a8f8098a71dc05d50dc06858cb0ae701487608bda79f
  • 37317c48991a92e9deb17122cc64e572e9dac5402cf89aa47db8866ba9ea93e0
  • 37f9cc3f495f80e03c1454869205d757959c9f46171ae6cb7ded62bb6a4bc37f
  • 3fa5e87f6b8331816fb77091303df6c30a124c8359cdee61127a05353c561961
  • 42c76634b3baf9017b152bfd49863669f3aaa5423f084bc4fde730587e07d8fe
  • 4832624b2bbc3d9a98ecea0d2e9ae0db57f90d6cc314a7fddc86521edd7bd979
  • 500e41605b772679750255bfae4e6c369051ff64ca3aceae7e1d32c859529f1d
  • 748968b90d8f84cec298ea1edb0cf037a4eb580b8c0dbcb10f3252f520a3b5a6
  • 7cbd6f18182bf68d5506a164a42bff14759a2be77b5adc5f35e77a7ba68fbe12
  • 7d5f2a044fc3fff1aa2053a86da81068c53c12ed8b9ad4b2adf7693a73e134b4
  • 8284710f69f25d748299231f7764e53fc963049bd46fd0aed36146868d8e3df3
  • 8f8e289691e3f7a6ad872a72c601d634e825972c9562d8f849bc571026327f62
  • 97ec98bb0661fb192eac75f8e184d56dd2ce8395cf1b7420ed2975f372cca267
  • a05e3987b94e0dde5d20f902133a5571ee60ecf7e077e4497be5183bbb472d9e
  • a29afb3beb3244232df4083ba09eac61a60c2f1a23108f60d1205d43a7be59ec
  • a791c7c95cb9310ab719abebc47c63424ffaab3ea180ff71ea369f33c1c1061c
  • b0c3ffe7cf0c331ad9a44790ad48c6b57ed7b38d3612aba23e8a02685735531c
  • bf4f44397b89e0103a1422962049db2e6935ee3b89575131baf195aab69c41ed
  • c2c3d7e6e279d271edcc78b072b24e0ada5c0f4a83e997a33ed26953bc951f23
  • c5710bc33402f7e096d1518df37b1e43e7a5de4286863f3a5840543e2bae9e9d
  • IOC の詳細については JSON を参照してください

 

カバレッジ

検出時のスクリーンショット

AMP


Threat Grid

Umbrella

マルウェア

Win.Ransomware.Cerber-6952131-0

 

侵害の兆候

 

レジストリ キー 発生
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前： internat.exe		 14
<HKCU>\Software\AppDataLow\Software\Microsoft\D31CC7AF-167C-7D04-B8B7-AA016CDB7EC5 14
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前： api-PQEC		 14
<HKCU>\SOFTWARE\APPDATALOW\SOFTWARE\MICROSOFT\D31CC7AF-167C-7D04-B8B7-AA016CDB7EC5
値の名前： Client		 14
<HKCU>\SOFTWARE\APPDATALOW\SOFTWARE\MICROSOFT\D31CC7AF-167C-7D04-B8B7-AA016CDB7EC5
値の名前： {F50EA47E-D053-EF14-82F9-0493D63D7877}		 14

 

ミューテックス 発生
{A7AAF118-DA27-71D5-1CCB-AE35102FC239} 14
Local\{57025AD2-CABB-A1F8-8C7B-9E6580DFB269} 14
Local\{7FD07DA6-D223-0971-D423-264D4807BAD1} 14
Local\{B1443895-5CF6-0B1E-EE75-506F02798413} 14
{8303E239-0653-AD8E-2867-9A31DC8B6EF5} 4
{07C292C9-BA97-D1C3-FC2B-8E95F08FA299} 2
{FB179D42-1E2D-E531-005F-32E93403862D} 2
{6B06C8E1-CEE8-D5D9-30CF-E2D96473361D} 1
{97FA9976-0AD7-E1DA-CCBB-DEA5C01FF2A9} 1
{AFC31B69-429D-B93B-C453-96FD38372A81} 1
{E73AB138-1AFB-B10F-5C0B-EE75506F0279} 1
{C352A3DA-46D9-EDDF-68A7-DA711CCBAE35} 1
{3FA15864-923D-C93F-94E3-E60D08C77A91} 1

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生
87[.]106[.]18[.]141 14

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生
groupcreatedt[.]at 14

 

作成されたファイルやディレクトリ 発生
%APPDATA%\Mozilla\Firefox\Profiles\1lcuq8ab.default\prefs.js 14
%APPDATA%\Microsoft\Dmlogpui 14
%APPDATA%\Microsoft\Dmlogpui\datat3hc.exe 14
%TEMP%\5932\2C99.bat 1
%TEMP%\65B0\B2D8.bat 1
%TEMP%\C924 1
%TEMP%\C924\E492.tmp 1
%TEMP%\C924\E492.bat 1
\TEMP\670E9F~1.EXE 1
%TEMP%\C1A4 1
%TEMP%\C1A4\60D2.tmp 1
%TEMP%\C1A4\60D2.bat 1
\TEMP\708D16~1.EXE 1
%TEMP%\F6A8 1
%TEMP%\F6A8\30.bat 1
\TEMP\AE71FB~1.EXE 1
%TEMP%\752A 1
%TEMP%\752A\BA95.tmp 1
%TEMP%\752A\BA95.bat 1
\TEMP\7634AC~1.EXE 1
%TEMP%\5FB8 1
%TEMP%\5FB8\AFDC.tmp 1
%TEMP%\5FB8\AFDC.bat 1
\TEMP\B89CC6~1.EXE 1
%TEMP%\1724 1
IOC の詳細については JSON を参照してください

ファイルのハッシュ値

  • 55c79a0a7d5bc93ae1e0edcbd6c838fa361e67d404f8f38089939a01d5cc27c5
  • 670e9fc88468a253b00e9ca9783baccebcc6effa0c5902026b649da6b72f3249
  • 708d163c05a5986c1691f48bbff37ccfda13cda6704d6a1a9ac0e295dc6739ae
  • 7634ace88199348cc6bff675c216b9d26c13803d59bc112eae19188cd535a565
  • 77517b420d96ac130c586d567b3ce4f12ef34918e268339758cd663a54296806
  • ae71fb978b5abbff24740db3a7e083392f3301e46ad2b904064e9f48825bc52e
  • b36d27dd1a266aa0e29131e78835a4b00ff337bc4ccd72af1cc16af93d252cc7
  • b89cc647d71b28c7bd382299e7b574ad6dfd7ecbcf6dae011513874c5a5ddab6
  • ba0bbae843fd8675f57e7cf62b1f48781de38c25adb33e64083cd1af1b2b2f69
  • c7f6fb53efdb5080fdb1fa29c84c66eb7e63369a1525dc84586eaee5ec942589
  • c8e133e78982e35707b339263fdbb89e41c8b02e9eb80a89255c982fe07374ba
  • cd16db51872581108c2e9beb6a2ba93153c67f85db299f10b4fe11f6e7a8a19d
  • d9891ebd33d5b507598c11c6855c5dae0c10e4c8a41069020ca9c786960b30d4
  • ee85ff6ee5b001904f3ba1be01d3e7f67e7fdcf222a39f5a1e451be999b8e18c

 

カバレッジ

検出時のスクリーンショット

AMP

Threat Grid

Umbrella

Win.Packed.Tofsee-6952124-0

 

侵害の兆候

 

レジストリ キー 発生
<HKLM>\System\CurrentControlSet\Services\NapAgent\Shas 17
<HKLM>\System\CurrentControlSet\Services\NapAgent\Qecs 17
<HKLM>\System\CurrentControlSet\Services\NapAgent\LocalConfig 17
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\NAPAGENT\LOCALCONFIG\Enroll\HcsGroups 17
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\NAPAGENT\LOCALCONFIG\UI 17
<HKU>\.DEFAULT\Control Panel\Buses 17
<HKU>\Software\Microsoft\Windows\ShellNoRoam\MUICache 17
<HKU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon 17
<HKU>\.DEFAULT\CONTROL PANEL\BUSES
値の名前： Config0		 17
<HKU>\.DEFAULT\CONTROL PANEL\BUSES
値の名前： Config1		 17
<HKU>\Control Panel\Buses 17
<HKLM>\System\CurrentControlSet\Control\SecurityProviders\Schannel 16
<HKU>\.DEFAULT\CONTROL PANEL\BUSES
値の名前： Config3		 16
<HKU>\.DEFAULT\CONTROL PANEL\BUSES
値の名前： Config2		 16
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS DEFENDER\EXCLUSIONS\PATHS
値の名前： C:\Windows\SysWOW64\yrflksyn		 6
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\yrflksyn 6
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\YRFLKSYN
値の名前： Type		 6
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\YRFLKSYN
値の名前： Start		 6
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\YRFLKSYN
値の名前： ErrorControl		 6
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\YRFLKSYN
値の名前： DisplayName		 6
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\YRFLKSYN
値の名前： WOW64		 6
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\YRFLKSYN
値の名前： ObjectName		 6
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\YRFLKSYN
値の名前： Description		 6
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\YRFLKSYN
値の名前： ImagePath		 6
<HKLM>\SYSTEM\ControlSet001\Services\ylrseput 3

 

ミューテックス 発生
Global\3a886eb8-fe40-4d0a-b78b-9e0bcb683fb7 17
liqbftsowkinegql 17

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生
69[.]55[.]5[.]250 17
144[.]76[.]199[.]43 17
98[.]136[.]96[.]73 17
98[.]136[.]101[.]116 17
176[.]111[.]49[.]43 17
46[.]4[.]52[.]109 17
144[.]76[.]199[.]2 17
85[.]25[.]119[.]25 17
117[.]53[.]114[.]15 17
67[.]195[.]228[.]87 17
66[.]218[.]85[.]151 17
64[.]98[.]36[.]4 17
43[.]231[.]4[.]7 17
98[.]137[.]157[.]43 17
52[.]73[.]137[.]222 17
167[.]206[.]4[.]79 17
34[.]212[.]80[.]54 17
18[.]209[.]118[.]139 17
172[.]217[.]164[.]132 17
94[.]23[.]27[.]38 17
65[.]20[.]0[.]49 16
35[.]162[.]106[.]154 16
167[.]206[.]4[.]77 16
74[.]208[.]5[.]4 16
208[.]89[.]132[.]27 16
IOC の詳細については JSON を参照してください

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生
smtp[.]secureserver[.]net 17
mx-aol[.]mail[.]gm0[.]yahoodns[.]net 17
mx[.]lycos[.]com[.]cust[.]b[.]hostedemail[.]com 17
hotmail-com[.]olc[.]protection[.]outlook[.]com 17
cxr[.]mx[.]a[.]cloudfilter[.]net 17
aol[.]com 17
mx[.]optimum[.]net 17
comcast[.]net 17
mail[.]com 17
ntlworld[.]com 17
naver[.]com 17
earthlink[.]net 17
cox[.]net 17
optonline[.]net 17
netzero[.]com 17
gmx[.]net 17
lycos[.]com 17
netscape[.]net 17
doctor[.]com 17
mx[.]bt[.]lon5[.]cpcloud[.]co[.]uk 16
btinternet[.]com 16
mx0[.]charter[.]net 16
tiscalinet[.]it 16
mx0[.]gmx[.]com 16
peoplepc[.]com 16
IOC の詳細については JSON を参照してください

 

作成されたファイルやディレクトリ 発生
\net\NtControlPipe10 17
%HOMEPATH% 17
%SystemRoot%\SysWOW64\config\systemprofile:.repos 17
%SystemRoot%\SysWOW64\config\systemprofile 17
%SystemRoot%\SysWOW64\yrflksyn 6
%SystemRoot%\SysWOW64\IPHLPAPI.DLL 3
%TEMP%\wdqqtewr.exe 1
%TEMP%\nmyuzjtg.exe 1
%TEMP%\vmfipcon.exe 1
%TEMP%\awqwcewn.exe 1
%TEMP%\vrlrxzri.exe 1
%TEMP%\euatucsb.exe 1
%TEMP%\mmlrcqxa.exe 1
%TEMP%\mkrnmvtk.exe 1
%TEMP%\cahdclja.exe 1
%TEMP%\nuhhkvni.exe 1
%TEMP%\vlrkltjs.exe 1
%System32%\huabnydc\younowmv.exe (copy) 1
%TEMP%\mreehgwb.exe 1
%TEMP%\wwvbmahk.exe 1
%TEMP%\lkwsxhre.exe 1
%TEMP%\tfgavrsp.exe 1
%TEMP%\sefzuqro.exe 1
%TEMP%\amnhcyzw.exe 1
%System32%\sflmyjon\amnhcyzw.exe (copy) 1
IOC の詳細については JSON を参照してください

ファイルのハッシュ値

  • 0cc2e91e71b1e5fef8599413fbc7c8b3fa3a4cdaa92452304bdbb38cdb6d1161
  • 15bf8fc46b91cb25730330dfbefcae2cb478e7ecbc18ac15d13b7b8eec01b697
  • 1d045908a196354bf1c0f0da5c4eeff5e7aaa36a1b5ee7f21764a7133e6ec4c8
  • 32a5d89a77130e01c19a58a0d3ff639d02c05ef2442f4e6b55a2e2b0a886926c
  • 32bce81459bff859b7adff1113f6bda122a804a25e44c0d38951ee3ed39a1557
  • 33e921f8c006374a78ab957ac1ce13183d65b4c633d2c7538c585d902f90ff44
  • 3d97b118c14ce36766873e178c9ef124936767dec5312806213dd295ed0d5448
  • 5c7ef91e7e96515dd59d0a252eca92d0d93a1bd9fa914eaf8c71933fcf7c8077
  • 7509fa7e6294d05e0f25f96ea99fb9ea8b791a08128580ae86dda44fcb6c6d55
  • 77cd1c22bb9099c666721a639bb980c1a5cde86cbc6323bc221f9184f6d9c092
  • 77da1a87f241047d70d54b5a3e85e8bab4e349b32c58818766b9965c9fd40949
  • a69d1518f15d8d435010727797a40d687be8069de1edc522facb0669ffda324e
  • cfb237792af9dea590b59278d9ec73c301309d961cb78f15651c7757782c0671
  • d20e573316508252a71fe9b8c7f32fbbb9daf110a9e7aa13188f713509aedaaa
  • da359fbb459923a0e385cbd80d5d7c7505d8596a32f777e280b5784c4ba9a382
  • df134bd359722960fdcd67d79900ff8350616e73f25ab1204e7a7a0232cdafec
  • f267501b0cd9862743e760e2c0686968019a68bf1a69843cea19b14c51773440

 

カバレッジ

検出時のスクリーンショット

AMP

ThreatGrid


Umbrella

Win.Malware.Emotet-6947486-0

 

侵害の兆候

 

レジストリ キー 発生
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
値の名前： ProxyEnable		 40
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
値の名前： ProxyServer		 40
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
値の名前： ProxyOverride		 40
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
値の名前： AutoConfigURL		 40
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
値の名前： AutoDetect		 40
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\sourcebulk 40
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SOURCEBULK
値の名前： Type		 40
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SOURCEBULK
値の名前： Start		 40
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SOURCEBULK
値の名前： ErrorControl		 40
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SOURCEBULK
値の名前： ImagePath		 40
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SOURCEBULK
値の名前： DisplayName		 40
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SOURCEBULK
値の名前： WOW64		 40
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SOURCEBULK
値の名前： ObjectName		 40
<HKU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon 39
<HKU>\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders 39
<HKLM>\SOFTWARE\Microsoft\ESENT\Process\guiddefribbon\DEBUG 39
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A}\9c-aa-fb-e9-56-c8 2

 

ミューテックス 発生
Global\I98B68E3C 40
Global\M98B68E3C 40
\BaseNamedObjects\Global\M3C28B0E4 39
\BaseNamedObjects\Global\I3C28B0E4 39
Global\Nx534F51BC 2

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生
152[.]168[.]82[.]167 16
189[.]166[.]20[.]113 16
103[.]11[.]83[.]52 16
197[.]91[.]152[.]93 15
77[.]82[.]85[.]35 11
66[.]228[.]45[.]129 10
216[.]98[.]148[.]156 10
177[.]231[.]157[.]189 6
65[.]49[.]60[.]163 4
201[.]248[.]5[.]197 4
82[.]0[.]19[.]40 4
165[.]255[.]52[.]192 4
31[.]172[.]86[.]183 3
45[.]33[.]35[.]103 3
181[.]37[.]126[.]2 3
239[.]255[.]255[.]250 2
209[.]85[.]144[.]109 2
74[.]6[.]141[.]43 2
81[.]169[.]145[.]103 2
104[.]236[.]185[.]25 2
181[.]30[.]126[.]66 2
179[.]62[.]249[.]189 2
204[.]232[.]250[.]252 1
81[.]19[.]78[.]83 1
216[.]128[.]11[.]5 1
IOC の詳細については JSON を参照してください

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生
smtpout[.]secureserver[.]net 2
imap[.]strato[.]de 2
SMTP[.]AMAZON[.]COM 1
mail[.]strato[.]de 1
mail[.]gmx[.]a 1
MAIL[.]CLOVER[.]COM 1
mail[.]hotmail[.]de 1
mail[.]fsfsc[.]org 1
mail[.]pearl[.]ch 1
mail[.]hub[.]afsinc[.]org 1
smtp[.]gatehousesupplies[.]com 1
smtp[.]bonuscard[.]ch 1
smtp[.]cranespotters[.]com 1
mail[.]securemail[.]us[.]cibc[.]com 1
smtp[.]employmentsolutionsinc[.]org 1
mail[.]tecnoparaguay[.]com[.]py 1
www[.]chetgreen[.]com 1
smtp[.]account[.]zopim[.]com 1
smtp[.]prodxbm[.]co 1
smtp[.]creditkarma[.]com 1
smtp[.]my[.]yotpo[.]com 1
SMTP[.]PERX[.]COM 1
smtp[.]bobjohnson[.]com 1
smtp[.]facturacioncapufe[.]com[.]mx 1
smtp[.]app[.]intercom[.]io 1
IOC の詳細については JSON を参照してください

 

作成されたファイルやディレクトリ 発生
%SystemRoot%\SysWOW64\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat 40
%System32%\guiddefribbon.exe (copy) 3
%SystemRoot%\SysWOW64\UtHbYIvdhlNvu.exe 1
%SystemRoot%\SysWOW64\R597iayBjMdh.exe 1
%SystemRoot%\SysWOW64\C7eHkb20PeU6wpDtjp.exe 1
%SystemRoot%\SysWOW64\1MEitC9prK.exe 1
%SystemRoot%\SysWOW64\kmnu.exe 1
%SystemRoot%\SysWOW64\4I7gXzdy4.exe 1
%SystemRoot%\SysWOW64\5x2P.exe 1
%System32%\HwVezokkuv.exe 1
%SystemRoot%\SysWOW64\ISUH5rlS.exe 1
%SystemRoot%\SysWOW64\xFkV4xOuG.exe 1
%SystemRoot%\SysWOW64\7tooAA2H.exe 1
%SystemRoot%\SysWOW64\dqhwpEfDiqdYk3.exe 1
%SystemRoot%\SysWOW64\98SvoQAlyGHCi.exe 1
%SystemRoot%\SysWOW64\Y9t7.exe 1
%SystemRoot%\SysWOW64\OEkk.exe 1
%SystemRoot%\SysWOW64\QEeaZTtWugEn.exe 1
%SystemRoot%\SysWOW64\faEA7KV70hn5.exe 1
%System32%\hLikoqY.exe 1
%SystemRoot%\SysWOW64\oURffFdtgFONll.exe 1
%SystemRoot%\SysWOW64\b1zR.exe 1
%SystemRoot%\SysWOW64\bEjEWEYxmjgCJVecQcp.exe 1
%SystemRoot%\SysWOW64\yVYv57xuqKB.exe 1
%SystemRoot%\SysWOW64\oglx98jdm6.exe 1
IOC の詳細については JSON を参照してください

ファイルのハッシュ値

  • 0106fad7a1ceb64a7d2ebed424ce86d979ac976cb352326c0fca9c7d0ac5330f
  • 0123e3c82d1b40e5b1ec1cb62a30317cb209371dc8fe546f10b96c6113e37229
  • 0911c843ef0b50a6b7359384d774350c43ea81970e47b6390782a3b59619df23
  • 0b5980e79cb0b4565db500cdb5b15970624aa8f3fce0bc14a13a097fc9c098ca
  • 0fe4721f05bcae958a1e294f92832144acd17791a850507bd98572347968eb6e
  • 14e5b08440e75c48bd1ff1486c8b36f32fb0cd4d21dbc138861a0b9af90aba7f
  • 1cd3db53176d88f4b7244429ef03ee120373c066335a8a5b81f94e2597188636
  • 1cda16c8d2e935d3ed762d5c7d18c945ebcfc183898ac5b87846dca084e043cf
  • 1ec9145cc88f7e619398955d6377ea4a6aa2f5fc8d53b87a467468d284352d61
  • 22d4075bf5828ede0c20dbea9023775ebbffb6e867272945a6a69697ea015c8c
  • 2430252f3c13ab866847db4905ff53380375d818085358a6f2d158f5ca6f9847
  • 25806bac5ca5b7b3dc6f1cdcbc4d72ade84828ae4173a858c3e9fe028d51b7e9
  • 270696e681aae3f24c7a3886f75952fd82c2bc94374c7fa1e72c5ae1583efcc0
  • 2d979f92140e9b7ad385cfe47c59e960ef5df19bff9388313908a14464bc0064
  • 3286340a92b48cf2a64c066f4cec1b078d9c23df987dd9aa07f249fffc5a9cbf
  • 377ca271dd3000fe310674488c93822601be7434325661f4158e8e64e83ab247
  • 3e77f7b1c2a160ebd1f6bda9235c9ae43f057cba38f6ef77f50df7dd1bd6d229
  • 448d67c96c008988d24046abb6a7e736db585c79b83c1e831023649133d83dad
  • 45ee3965183c5fecff0268fa7480aad3f4b0364b3e63fbc4259a1669f1cc48f8
  • 478968aeea42221e0c760a811af1560eeaa6489b77cdf69b4ae3763c59e60be0
  • 48900a85a1a4afcf216ea9912176bb20edab059d1bb27d02caa6fbbcc060d35e
  • 4937ac330845c1504e65a3655050ffa5a8cfc3602298ecef627ca8d4114631fe
  • 5ca10a11eb88b1c5e38e0359419fe8d39a321571e89268a578d2a0e272004caf
  • 61ffe36301e722b85088cfceb5d5a703e57eff907119ef305dc92da45c254aaf
  • 65eb33dbb0f1a4e78ffdcc5dbed725ac929c7c917923544af329226ddecf0f14
  • IOC の詳細については JSON を参照してください

 

カバレッジ

検出時のスクリーンショット

AMP


Threat Grid

Umbrella

Win.Malware.Mikey-6953803-0

 

侵害の兆候

 

レジストリ キー 発生
<HKLM>\Software\Wow6432Node\Microsoft\Tracing\RASAPI32 15
<HKLM>\Software\Wow6432Node\Microsoft\Tracing\RASMANCS 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASAPI32
値の名前： EnableFileTracing		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASAPI32
値の名前： EnableConsoleTracing		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASAPI32
値の名前： FileTracingMask		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASAPI32
値の名前： ConsoleTracingMask		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASAPI32
値の名前： MaxFileSize		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASAPI32
値の名前： FileDirectory		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASMANCS
値の名前： EnableFileTracing		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASMANCS
値の名前： EnableConsoleTracing		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASMANCS
値の名前： FileTracingMask		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASMANCS
値の名前： ConsoleTracingMask		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASMANCS
値の名前： MaxFileSize		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\TRACING\RASMANCS
値の名前： FileDirectory		 15
<HKLM>\System\CurrentControlSet\Control\SecurityProviders\Schannel 2

 

ミューテックス 発生
DSKQUOTA_SIDCACHE_MUTEX 14
.NET CLR Data_Perf_Library_Lock_PID_378 6
.NET CLR Networking 4.0.0.0_Perf_Library_Lock_PID_378 6
.NET CLR Networking_Perf_Library_Lock_PID_378 6
.NET Data Provider for Oracle_Perf_Library_Lock_PID_378 6
.NET Data Provider for SqlServer_Perf_Library_Lock_PID_378 6
.NET Memory Cache 4.0_Perf_Library_Lock_PID_378 6
.NETFramework_Perf_Library_Lock_PID_378 6
ASP.NET_1.1.4322_Perf_Library_Lock_PID_378 6
ASP.NET_4.0.30319_Perf_Library_Lock_PID_378 6
ASP.NET_Perf_Library_Lock_PID_378 6
BITS_Perf_Library_Lock_PID_378 6
ESENT_Perf_Library_Lock_PID_378 6
Lsa_Perf_Library_Lock_PID_378 6
MSDTC Bridge 3.0.0.0_Perf_Library_Lock_PID_378 6
MSDTC Bridge 4.0.0.0_Perf_Library_Lock_PID_378 6
MSDTC_Perf_Library_Lock_PID_378 6
Outlook_Perf_Library_Lock_PID_378 6
PerfDisk_Perf_Library_Lock_PID_378 6
PerfNet_Perf_Library_Lock_PID_378 6
PerfOS_Perf_Library_Lock_PID_378 6
PerfProc_Perf_Library_Lock_PID_378 6
RemoteAccess_Perf_Library_Lock_PID_378 6
SMSvcHost 3.0.0.0_Perf_Library_Lock_PID_378 6
SMSvcHost 4.0.0.0_Perf_Library_Lock_PID_378 6
IOC の詳細については JSON を参照してください

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生
64[.]188[.]12[.]182 3
185[.]212[.]130[.]14 2
185[.]212[.]129[.]184 2
46[.]249[.]59[.]122 2
185[.]225[.]69[.]101 2
52[.]36[.]131[.]229 1
54[.]248[.]125[.]247 1
104[.]18[.]39[.]18 1
103[.]11[.]102[.]48 1
104[.]28[.]16[.]149 1
202[.]181[.]185[.]162 1
43[.]241[.]73[.]221 1
202[.]181[.]196[.]26 1
202[.]155[.]223[.]18 1
103[.]13[.]50[.]180 1
54[.]183[.]102[.]22 1
116[.]251[.]204[.]136 1
206[.]218[.]248[.]173 1
203[.]185[.]61[.]196 1
101[.]78[.]151[.]172 1
192[.]185[.]5[.]69 1
103[.]13[.]50[.]28 1
115[.]160[.]155[.]94 1
118[.]143[.]28[.]56 1
103[.]13[.]50[.]62 1
IOC の詳細については JSON を参照してください

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生
gangbulk[.]icu 2
striblingm[.]pw 2
SHOP[.]HPINH[.]HK 1
ajqqn[.]hk 1
SHOP[.]HPC[.]HK 1
SHOP[.]HYHEB[.]HK 1
ALODRINK[.]HK 1
SHOP[.]ICAN[.]HK 1
ALIVECOR[.]HK 1
SHOP[.]IAN[.]COM[.]HK 1
shop[.]imylv[.]hk 1
shop[.]ina[.]hk 1
SHOP[.]HY[.]COM[.]HK 1
SHOP[.]ICXLB[.]HK 1
SHOP[.]HOTFROG[.]HK 1
SHOP[.]HYY[.]COM[.]HK 1
shop[.]icfp[.]hk 1
SHOP[.]HYPOXI[.]HK 1
shop[.]htv[.]hk 1
AIR[.]HK 1
SHOP[.]IHK[.]HK 1
shop[.]imore[.]hk 1
SHOP[.]HUGOMAX[.]HK 1
shop[.]hps[.]com[.]hk 1
shop[.]hoops[.]hk 1
IOC の詳細については JSON を参照してください

 

作成されたファイルやディレクトリ 発生
%APPDATA%\Mozilla\Firefox\Profiles\1lcuq8ab.default\cookies.sqlite.bak 10
%APPDATA%\Mozilla\Firefox\Profiles\1lcuq8ab.default\places.sqlite.bak 10
\??\scsi#disk&ven_red_hat&prod_virtio#4&2556063a&0&000000#{53f56307-b6bf-11d0-94f2-00a0c91efb8b} 1
%TEMP%\tmpA4A.tmp 1
%TEMP%\tmp2BCD.tmp 1
%TEMP%\4a5beb4e303c4a1a9bcd3624dfec7cbe.exe 1
%TEMP%\tmp4167.tmp 1
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\svchostsw.exe 1
%TEMP%\4a5beb4e303c4a1a9bcd3624dfec7cbe.exe.pid 1
%TEMP%\s.bat 1
%TEMP%\tmpCAF3.tmp 1
%TEMP%\tmpB734.tmp 1
%TEMP%\tmpB63A.tmp 1
%TEMP%\tmp77F3.tmp 1
%TEMP%\tmp742C.tmp 1
%TEMP%\tmp6695.tmp 1
%TEMP%\tmp717E.tmp 1

ファイルのハッシュ値

  • 0ee1dc48bdc775152554357cbb9190834a58a5ccbc01e27d20f2cf0064211206
  • 0ffa3428f95f2a5c79a169976d3c5d58fa885cc05265c41fa4dcf4e33be17a12
  • 1ee4c1201f038a48a854fd993455142b15acbf44b41a8820af4790f17c31fba5
  • 45945d97bf9f1cb63b1b7a74629bb90567933a981d2cc77f4dc46018c6f8c169
  • 471f646bc59743f27f1bb08ef688a699c3ff268eeab403cea8ec7467f303c2f3
  • 4725b43862585b4e78f06ef7209a32434dcfe809986a19cb9b89bcb673a6a555
  • 49065e33bbdf2b25f4cdd1a8994df53135a9b41b725bd94958682325fb8c237a
  • 58fb3bc46e231b9ad07f5f8210a2acf1d225c25e287eee73553ae280ac9e89d9
  • 6f79069e751211f3077e90bd4e20c7116f8c3c9c41fa1ce7eacbd7710fdecf0e
  • 96667406cc9e8bb5e9da9e418a4b4196900364cc100d965b5d2714c62eb5e402
  • 9ac94b8404ee4300330c56257c66f77662904a2dc7f732125f36365c4a788129
  • 9e87a651befb171f0145718bc52d4d8b1a40f420cbb8d66d3e8b60e4377fa8c7
  • be140dfc59df6e21eb3b799cfe6511b9b8c5d010be0079b5f64a2b1dc3ab4fcb
  • f1e262b02e2b357f56225184539e2a3c35623b15397a85f343a368c5999dbd5d
  • f7f5d6e71a69332960e2025790db65c9bd29037157930a599c28969645bec5c9

 

カバレッジ

検出時のスクリーンショット

AMP


Threat Grid

Umbrella

EXPREV

Cisco AMP for Endpoints は、さまざまなマルウェア機能からユーザを保護し、エクスプロイトを防止します。エクスプロイトの防止能力は、難読化されたマルウェアやエクスプロイトによって一般的に使用されるメモリ攻撃からエンドポイントを保護します。これらのエクスプロイトは特定の手口により一般的なウイルス検出を回避しますが、AMP の高度なスキャン能力により逃さずブロックし、ゼロデイの脆弱性からも保護できます。

  • Madshi インジェクションを検出（3400）
    Madshi は、プロセス内でスレッドを開始する他の方法が失敗した場合に、プロセス インジェクションを使用して新しいスレッドを開始するコード インジェクション フレームワークです。このフレームワークは多数のセキュリティ ソリューションで採用されていますが、マルウェアで悪用される可能性もあります。
  • Kovter インジェクションを検出（2256）
    プロセスが注入されました。おそらく既存の Kovter 感染によるものです。Kovter はクリック詐欺型のトロイの木馬で、情報詐取機能も備えています。Kovter にはファイルレス マルウェアという特徴もあります。つまり、悪意のある DLL を Windows レジストリ内に格納し、PowerShell を使用して直接メモリにインジェクションします。また、Wireshark などの監視ソフトウェアやサンドボックスの使用を検知し、C2 に報告する機能も備えています。Kovter は悪意のある広告やスパム キャンペーンを通じて拡散しています。
  • PowerShell ファイルレス感染を検出（1079）
    PowerShell コマンドが環境変数に格納され、実行されました。環境変数は通常、以前に実行したスクリプトによって設定され、回避手口として使用されます。この手口は、Kovter および Poweliks のマルウェア ファミリで使用が確認されています。
  • プロセスの空洞化を検出（503）
    プロセスの空洞化は、静的分析を回避するために一部のプログラムで使用されている手口です。この手口の一般的な使用方法では、まずプロセスが開始され、プロセスの難読化または暗号化された内容がメモリーにアンパックされます。その後、親プロセスは子プロセスを起動する最初の段階を手動でセットアップします。ただし子プロセスを起動する前にメモリがクリアされ、代わりに親プロセスからのメモリ内容で埋められます。
  • Gamarue マルウェアを検出（190）
    Gamarue は、ファイルをダウンロードし、感染したシステムから情報を盗み出すマルウェアのファミリです。Gamarue ファミリのワームの亜種は、感染したシステムに接続されている USB ドライブやポータブル ハードディスクを介してさらに拡散する可能性があります。
  • Atom Bombing コード インジェクション手口を検出（107）
    プロセスが疑わしい Atom を作成した場合は、「Atom Bombing」と呼ばれる既知のプロセス インジェクション手口の兆候です。Atoms は、文字列を 16 ビット整数に関連付ける Windows 識別子です。これらの Atoms は、グローバル Atom テーブルに配置することで、プロセス間でアクセスできます。マルウェアはこれを悪用するため、シェルコードをグローバルな Atom として配置し、Asynchronous Process Call（APC）を介してアクセスします。ターゲット プロセスは、シェルコードをロードして実行する APC 関数を実行します。Dridex のマルウェア ファミリは Atom Bombing の使用で知られていますが、他のマルウェアも利用している可能性があります。
  • 疑わしい PowerShell の実行を検出（100）
    PowerShell コマンドが、未署名または信頼できないスクリプト コンテンツを実行するために実行ポリシーを回避しようとしました。PowerShell は、全バージョンの Windows で利用できる拡張可能な Windows スクリプト言語です。マルウェアの作成者が PowerShell を使用する理由は、PowerShell ベースの脅威への対応が遅れているセキュリティ ソフトウェアなどからの検出を回避することにあります。
  • Dealply アドウェアが検出（87）
    DealPly は、オンライン ショッピングの利用体験を向上させると主張したアドウェアです。他の正規のインストーラにバンドルされていることが多く、アンインストールは困難です。ポップアップ広告を作成し、Web ページに広告を挿入します。このアドウェアは、マルウェアをダウンロードしてインストールすることでも知られています。
  • 過度に長い PowerShell コマンドを検出（85）
    非常に長いコマンドライン引数を持つ PowerShell コマンドが検出されました。難読化されたスクリプトが検出された可能性があります。PowerShell は、全バージョンの Windows で利用できる拡張可能な Windows スクリプト言語です。マルウェアの作成者が PowerShell を使用する理由は、PowerShell ベースの脅威への対応が遅れているセキュリティ ソフトウェアなどからの検出を回避することにあります。
  • Trickbot マルウェアを検出（75）
    Trickbot は 2016 年後半に登場したバンキング型トロイの木馬です。Trickbot と Dyre の類似性により、Dyre の貢献者の一部が今では Trickbot にも関与していることがうかがえます。Trickbot は登場してから数ヵ月で急速に進化していますが、依然として Dyre の機能の一部が欠けています。現在のところ、DLL インジェクション、システム情報収集、電子メール検索などを担うモジュールが含まれています。

 

本稿は 2019年4月26日に Talos Grouppopup_icon のブログに投稿された「Threat Roundup for April 19 to April 26popup_icon」の抄訳です。

Authors

Avatar

TALOS Japan

コメントを書く