本日(10 月 18 日)の投稿では、10 月 4 日~ 10 月 11 日の 1 週間で Talos が確認した、最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。脅威の主な行動特性やセキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。
下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。また、IOC(セキュリティ侵害の証拠や痕跡)の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.org、または ClamAV.net を参照してください。
本記事では、脅威カテゴリごとに 25 個の関連ファイル ハッシュと最大 25 件の IOC のみを含めています。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらの JSON ファイルをご覧ください。これまでと同様に、本記事に記載されているすべての IOC は指標にすぎず、1 つの IOC だけでは悪意があると断定できないことに留意してください。
今回ご紹介する最も一般的な脅威は次のとおりです。
脅威名 | タイプ | 説明 |
Win.Malware.Zusy-7288173-1 | マルウェア | 「Zusy」はトロイの木馬で、中間者攻撃(MITM)により銀行情報を窃取します。実行されると、「explorer.exe」や「winver.exe」などの正当な Windows プロセスに自身を挿入します。ユーザが銀行の Web サイトにアクセスすると、個人情報の入力を促す偽のフォームを表示します。 |
Win.Trojan.Lokibot-7288215-1 | トロイの木馬 | LokiBot は情報窃取型のマルウェアです。標的デバイスに保存されている機密情報を吸い上げる目的があります。モジュール型の性質があり、人気のある多くのアプリケーションから機密情報を盗み出します。一般に、スパムメールを介して配信される悪意のあるドキュメントによって感染します。 |
Win.Worm.Esfury-7292180-1 | ワーム | Esfury はワームの一種で、一般にリムーバブルドライブや対話型プラットフォーム(電子メール、インスタントメッセージ、Web ページなど)を介して拡散しています。特定の Windows アプリケーション(セキュリティ製品、レジストリエディタ、タスクマネージャなど)の起動時に実行されるよう、複数のレジストリキーを変更します。また、リモートサーバに接続して任意のファイルをダウンロードして実行する能力も備えています。 |
Win.Malware.Emotet-7292844-0 | マルウェア | Emotet は、最近で最も活発なマルウェアファミリのひとつです。さまざまなペイロードを配布する、非常に高度なモジュール型の脅威です。Emotet はマクロを含む Microsoft Office ドキュメントを介して配布されます。それらのドキュメントは通常、悪意のあるメールの添付ファイルとして送付されます。 |
Win.Packed.Gozi-7329531-0 | パック処理済みマルウェア | 「Gozi」はバンキング型トロイの木馬ファミリーで、起源は 2006 年にさかのぼります。Ursnif、Dreambot、Vawtrak や GozNym といった有名な亜種が多く生まれています。Gozi の主な目的は、金融機関の Web サイトでログイン情報を盗むことです。 |
Win.Virus.Neshta-7330232-0 | ウイルス | 「Neshta」はファイル感染型のマルウェアです。感染したマシンから機密情報を収集し、C2 サーバに送信する機能も備えています。 |
Win.Malware.Gootkit-7333291-0 | マルウェア | 「Gootkit」はバンキング型トロイの木馬で、その分析対策手口は注目に値します。登場してから幾度となく更新されています。自動分析を回避し、リバースエンジニアリングを妨害するための手口などが追加されきました。 |
Win.Dropper.Remcos-7334963-0 | ドロッパー | Remcos はリモートアクセスのトロイの木馬(RAT)です。感染したシステムでは、攻撃者によるコマンドの実行、キーストロークの記録、Web カメラの操作、スクリーンショットの取得が可能になります。Remcos はマクロを含む Microsoft Office ドキュメントを介して配布されています。それらのドキュメントは通常、悪意のあるメールの添付ファイルとして送付されます。 |
Win.Dropper.Trickbot-7340237-0 | ドロッパー | Trickbot は、一部の金融機関の機密情報を狙うバンキング型トロイの木馬です。複数のスパムキャンペーンを通じて頻繁に配布されています。これらのスパムキャンペーンの多くは、VB スクリプトといった配布型ダウンローダに依存しています。 |
Win.Malware.Bublik-7340719-1 | マルウェア | Bublik は、Windows ホストを対象とするダウンローダです。バンキング型トロイの木馬を配布するマルウェアとして主に使用されていますが、ホストから機密情報を抽出または窃取する能力も備えています。 |
脅威の内訳
Win.Malware.Zusy-7288173-1
侵害の兆候
レジストリキー | 発生回数 |
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前: F9E7DE7B |
43 |
ミューテックス | 発生回数 |
F9E7DE7B | 43 |
5D79E0A3 | 19 |
マルウェアから接触があった IP アドレス(必ずしも悪意があるとは限りません) | 発生回数 |
216[.]218[.]185[.]162 | 23 |
マルウェアから接触があったドメイン名(必ずしも悪意があるとは限りません) | 発生回数 |
spaines[.]pw | 8 |
作成されたファイルやディレクトリ | 発生回数 |
%HOMEPATH%\AppData\LocalLow\F9E7DE7B | 43 |
%APPDATA%\F9E7DE7B | 43 |
%APPDATA%\F9E7DE7B\bin.exe | 43 |
%APPDATA%\5D79E0A3\bin.exe | 23 |
ファイルのハッシュ値
035bcabbe75aa88cbb8dc016119ad2c1901ea759fb90b69eee45b3809e98f381 066b0fc2b1d64ddd9ff30b8046686a6cc8f43656e54f8301ddd7d3a1baf9170c 0a8cc8f4dc0dc5c04431546304d67187403caa684d60ff0787084fdde5d40abe 0c04864961c1edea6dd4231766af85f4031d3eae0756eec731bba81a98b46505 0f00ea06e5b2bc5801a0d4370facc65c0a51e00d810d9f6b16723629a1b7536b 0f91c67b52b53430a9bd2e1a9df5b151056cfee5f026c1da0b5e2342cf9c936e 107dff905969dbbe792ab5d170f2d47538afe49fa6c07f20b26f4de1edd88688 125e0437a1098570183dca847d7533461318214e4a5a746c5ed7933a1cc8d17d 130c0eeebc22bcc4fd4edf40239b66fc5d12d497c7a39851a580e82aa4433e9a 1746421b4db63c1a41a395541947fb44e9f889fd0ea62b9de6759b42c3f5e096 181be8f9157f806aea3f70181b143e12a8c95e85842f10dc31120db4dfb0e1a5 19af7d81cf89adf71bb0af50d6bfe4171b7454daaece6e2883aa08fa06629274 203bfb6936585624eaeefadb5ef6f0679663b09df0b46d9a9945936a787ab20b 2143c563658e9288b205d78775d73ab849ef5de550a398d6976e44c93988da98 217b3f26c0b5033615a26161c5f34b42ac6dc3c12385b9efcc5a6baab1ca0369 225ebaaeafb848823607654663516210377b0901e5e354c8603b9c8c2d85a650 28e5c75b145351bc1cc78829e43328a25d14028aff806947884e60940c8572f8 29ab42409df20428f7e03bce732c534698c260338e410985d112ce4410738579 2a94932f389d8c44cea94a8ac8099869312cd3337d81a423e58bcf041819f803 2b8c4770f8239882117c9e990e9a96aeb134d23be3f3cd147800594d4aad9992 2e668b329248a40c1f1dd54864023731d6862dce26efe70690d7e6ad9f2082f5 310a36c24661d877f07b3c6745efe7cf3d2480f7d43f1361cfe71ac3a6196068 43039465047c23211ef9831701d46fcb73effcf40ca7485c95a6d9c786ca6c5f 4b105589e8a96f695998816c224f250bcc02973f92bcbace3205487c75a4877f 4eb88671b506f84d1f3bd63c7e857e1082820f2d90aba7091a93bf70d9f6d290
* IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
UMBRELLA
Win.Trojan.Lokibot-7288215-1
侵害の兆候
レジストリキー | 発生回数 |
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前: D282E1 |
1 |
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前: ousehehehheheheh |
1 |
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前: ngngngnngngngn |
1 |
ミューテックス | 発生回数 |
3749282D282E1E80C56CAE5A | 16 |
マルウェアから接触があった IP アドレス(必ずしも悪意があるとは限りません) | 発生回数 |
185[.]55[.]227[.]147 | 2 |
5[.]160[.]218[.]88 | 2 |
8[.]208[.]76[.]80 | 1 |
マルウェアから接触があったドメイン名(必ずしも悪意があるとは限りません) | 発生回数 |
suksez-ab[.]com | 6 |
versuvius[.]ru | 2 |
novinsazvar[.]com | 2 |
majidfathalibeygi[.]com | 2 |
lapphuongshoe[.]com | 1 |
pliykies8[.]net | 1 |
orientsdelivery[.]xyz | 1 |
arkhesol[.]info | 1 |
作成されたファイルやディレクトリ | 発生回数 |
%APPDATA%\D282E1 | 16 |
%APPDATA%\D282E1\1E80C5.lck | 16 |
%HOMEPATH%\ousehehehheheheh\ousehehehheheheh.exe | 1 |
%HOMEPATH%\ousehehehheheheh | 1 |
%HOMEPATH%\ousehehehheheheh\ousehehehheheheh.vbs | 1 |
%HOMEPATH%\ngngngnngngngn\ngngngnngngngn.exe | 1 |
%HOMEPATH%\ngngngnngngngn | 1 |
%HOMEPATH%\ngngngnngngngn\ngngngnngngngn.vbs | 1 |
ファイルのハッシュ値
11ce93263d26a1d77158f01d3964e36753a90e26487560b52e26658dd935d2f8 4e0b291e2ce71731179d297d11186265907fe73ae9feb6734d9520784dd643ab 6333008e4ed2f8af449faa9c222bf412733928a4dd0fb8011ef50d07f23bb926 6c5b6bd100bdbb0680c9bcefc4fddeec307400fcbef04bc8adaf466b99a3bd69 7a8ace6f25d06c3b91e5aeb33304576fda2ec9664caee9f1489bfd39392d927b 7ad49cca3a6db9a75954dc7d137ed702cf3b5102588e22234a53861d47df1371 842f8e3e24829467b0c4becd601cf310569cfc40320fef7242dd05d292c02bea 906215654e5e6e6cee920b8d245c0eb7dedcc35e923e0e50f1cb8091339ef420 930dea8f876d9f5f8f0d49886477b7d22fb72a73c5d22f01f0f0fb8fe674b076 9627bcfd08a534505001cb8e2e3166cba4e60dc20af10dfa50a00c24425447b3 9986a87b66047bca053c918b33d18c4779c25afa0badfdec5e15742c98cb214e 9e4101e8a41db4810e032fcf0c13eb3dc1213b0d864ab4a0b76183ee17ec6fa9 a84d17a5eb16dfc8202648bb9580a3381d71b567069efb68339607c2c3594e23 c3e63e52d9810263c08ae33457a8995f822d6159b61904e77c1d338fa4dd0513 f3c3be739e71786ca3a56d7570a109593ebedeec931be2eaca8b241a6d008dae f93b944b29282aa07065b9f34298db2b351cdbbe60c340984d6bb4bb822d9763
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
UMBRELLA
Win.Worm.Esfury-7292180-1
侵害の兆候
レジストリキー | 発生回数 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\GPEDIT.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\PRCKILLER.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\PORTMON.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\PROCEXP.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\PROCMON.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\FILEMON.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\FIREFOX.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\CRASHREPORTER.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\UPDATER.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\HELPER.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\CHROME.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\OPERA.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\SAFARI.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\NETSCAPE.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\AVCENTER.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\AVCONFIG.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\AVGNT.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\AVGUARD.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\AVNOTIFY.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\AVSCANAVSHADOW.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\AVUPGSVC.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\AVWEBLOADER.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\AVWSC.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\FACT.EXE 値の名前: Debugger |
19 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\IMAGE FILE EXECUTION OPTIONS\GUARDGUI.EXE 値の名前: Debugger |
19 |
ミューテックス | 発生回数 |
@0MPfV5@mqt«sL+EVQ@XPbGP9@ | 19 |
@0MPfV5@mqt sL+EVQ@XPbGP9@ | 17 |
マルウェアから接触があった IP アドレス(必ずしも悪意があるとは限りません) | 発生回数 |
50[.]23[.]131[.]235 | 13 |
104[.]28[.]24[.]179 | 11 |
67[.]202[.]94[.]93 | 7 |
67[.]202[.]94[.]94 | 7 |
104[.]28[.]25[.]179 | 5 |
67[.]202[.]94[.]86 | 4 |
173[.]192[.]200[.]70 | 3 |
35[.]231[.]151[.]7 | 2 |
208[.]100[.]26[.]251 | 1 |
5[.]79[.]71[.]205 | 1 |
5[.]79[.]71[.]225 | 1 |
206[.]189[.]61[.]126 | 1 |
35[.]229[.]93[.]46 | 1 |
マルウェアから接触があったドメイン名(必ずしも悪意があるとは限りません) | 発生回数 |
widgets[.]amung[.]us | 19 |
whos[.]amung[.]us | 19 |
dns[.]msftncsi[.]com | 19 |
www[.]whatismyip[.]org | 19 |
z-9-4-0-l-n-x-5-6-g-6-4-y-1-u-6-f-8-e-1-2-m-h-z-k-l-5-q-3-j-7-[.]xz5-af-fj-o4-it-ok-n-9j-zjg-pz9x-1z-zekv-y4f-acg-cq3v-j[.]info | 3 |
7-0-3-h-m-a-v-l-c-b-3-z-q-d-7-p-k-7-r-7-a-9-b-t-n-2-v-y-o-y-9-[.]5-68-wk-5g-z2-pu6-e5x-4h-yij-yx-duv-wpx-2r8-7vc-ox-4q-u[.]info | 3 |
l-r-j-5-m-2-x-1-n-9-4-3-y-1-5-1-2-2-r-o-s-i-6-d-x-6-6-k-p-n-y-[.]rb-e-e3-j-fi-1-il-h-il-3e-z-u-r-u-lk-h-wm-3-6-g-0o-s-dx[.]info | 3 |
www[.]kryptoslogic[.]com | 2 |
n-0-2-q-l-1-3-3-y-7-4-9-p-q-r-9-9-h-f-u-9-7-4-y-8-g-2-9-v-z-u-[.]81r-x7-tr2p-7c-5lk-huxs-0wq-bma-0wvi-2y-a8s-elw-hv-o0-6[.]info | 2 |
8-5-q-5-9-a-2-t-5-z-7-8-v-m-r-9-0-3-4-6-0-5-h-m-a-8-6-b-z-4-5-[.]z-hk-yl8-k-7o-8z-l-v-uhb-u-td-8i-oe-0gp-e2g-we6-ws-2vpd[.]info | 2 |
y-n-f-3-8-5-3-5-1-7-9-k-i-7-z-8-8-h-k-x-l-9-7-9-j-5-w-x-8-0-2-[.]z-hk-yl8-k-7o-8z-l-v-uhb-u-td-8i-oe-0gp-e2g-we6-ws-2vpd[.]info | 2 |
2-l-q-l-o-0-5-x-8-5-3-6-3-c-3-u-6-1-6-9-7-t-7-i-8-k-g-4-8-2-l-[.]mw9g-ns-k-q0-e3r-6s-23-m2wf-7xy1z0-c0u-5wc-g0rb-2-1-5-l[.]info | 2 |
l-6-0-2-c-d-a-5-9-w-4-7-5-6-t-g-6-6-9-i-9-w-l-0-a-3-1-0-p-v-9-[.]z-hk-yl8-k-7o-8z-l-v-uhb-u-td-8i-oe-0gp-e2g-we6-ws-2vpd[.]info | 2 |
4-7-3-9-r-h-h-j-5-n-2-i-l-6-l-9-0-4-l-9-t-3-g-0-7-4-n-8-r-d-4-[.]rb-e-e3-j-fi-1-il-h-il-3e-z-u-r-u-lk-h-wm-3-6-g-0o-s-dx[.]info | 2 |
c-0-r-5-0-5-c-7-i-z-v-4-2-j-5-n-s-1-6-d-y-z-8-r-8-s-5-j-y-t-2-[.]i-9t3-sy-7i-5j3-sf7-8z5-54-n8v7r-0-ih7-36992m-o3-0q-g-3[.]info | 2 |
1-j-7-k-x-2-7-7-4-i-6-2-5-e-2-2-4-5-y-0-7-u-6-9-m-6-m-o-8-x-0-[.]h6y-aj-r6-ut0-jwl-9-th9-i4k-nt1s-sz4-mk4-ahr-hf8-yi-c-6[.]info | 2 |
4-s-1-c-f-p-0-f-8-n-x-7-o-i-8-6-4-7-m-w-5-z-0-g-8-9-6-u-7-3-u-[.]2e-01j-y1a-zu-s-no-bq-q1p8-qjr-j1hr-nh8-22-af3q-7q-gu-7[.]info | 2 |
k-1-e-b-0-x-j-0-i-8-p-o-5-r-8-m-0-3-3-f-2-k-c-8-6-6-q-s-3-7-d-[.]0-0-0-0-0-0-0-0-0-0-0-0-0-37-0-0-0-0-0-0-0-0-0-0-0-0-0[.]info | 2 |
1-5-4-t-6-y-m-k-1-3-9-r-u-8-5-3-x-s-2-t-8-2-2-3-7-k-u-u-7-0-4-[.]p9b-8-na-5w-2z3-djmu-7pk-qy-0-bok-re9-ym-v9h-av-njx-2es[.]info | 2 |
t-3-r-2-p-0-h-n-g-m-z-8-u-r-m-i-x-r-l-x-4-2-4-9-m-p-9-1-0-5-k-[.]81r-x7-tr2p-7c-5lk-huxs-0wq-bma-0wvi-2y-a8s-elw-hv-o0-6[.]info | 2 |
2-g-6-2-s-x-7-7-x-7-c-s-a-a-q-5-d-9-3-a-7-4-3-4-0-8-u-u-e-9-w-[.]0-0-0-0-0-0-0-0-0-0-0-0-0-9-0-0-0-0-0-0-0-0-0-0-0-0-0[.]info | 2 |
l-v-4-r-s-5-o-4-5-m-6-6-l-8-s-6-5-g-v-n-0-4-u-8-i-h-9-m-q-1-9-[.]h6y-aj-r6-ut0-jwl-9-th9-i4k-nt1s-sz4-mk4-ahr-hf8-yi-c-6[.]info | 2 |
4-0-6-4-p-2-j-2-6-3-1-e-c-7-i-x-s-d-l-7-e-o-0-h-w-9-7-6-b-d-4-[.]v32c-to-5-8w-0yc-tzl8-h2a-7f-ezc-oxt1-7-8y-0elh-be-3k-d[.]info | 2 |
4-i-0-0-q-y-s-3-3-y-6-9-9-9-3-s-p-9-b-e-z-p-b-9-4-8-3-t-g-0-u-[.]p9b-8-na-5w-2z3-djmu-7pk-qy-0-bok-re9-ym-v9h-av-njx-2es[.]info | 2 |
k-h-4-2-o-5-8-0-z-g-3-j-3-2-3-0-n-h-o-v-1-d-u-j-i-s-2-o-i-r-h-[.]i-9t3-sy-7i-5j3-sf7-8z5-54-n8v7r-0-ih7-36992m-o3-0q-g-3[.]info | 2 |
* IOC の詳細については JSON を参照してください
作成されたファイルやディレクトリ | 発生回数 |
\autorun.inf | 19 |
\$RECYCLE.BIN .LNK | 19 |
%System32%\drivers\etc\hosts | 19 |
\h3ojKiH9lvFefkO0mG6HlXplgLV3LYYJVfdZRr3dtLhEN80Dnz PQXQY2sziakx2axTnS4SA0447SPkbMnv4Qm\S-4-7-01-4639107501-4494491267-104133574-046\Desktop.ini |
19 |
\h3ojKiH9lvFefkO0mG6HlXplgLV3LYYJVfdZRr3dtLhEN 80DnzEPQXQY2sziakx2axTnS4SA0447SPkbMnv4Qm\ S-4-7-01-4639107501-4494491267-104133574-7046\o3mrVQz9rDByh9hfKJ9v01t5z3m0s5hP01.exe |
19 |
\h3ojKiH9lvFefkO0mG6HlXplgLV3LYYJVfdZRr3dtLhEN80DnzEPQXQY 2sziakx2axTnS4SA0447SPkbMnv4Qm\o3mrVQz9rDByh9hfKJ9v01t5z3m0s5hP01.exe |
19 |
%HOMEPATH%\Administrator1 | 19 |
%HOMEPATH%\Administrator1\winlogon.exe | 19 |
E:\autorun.inf | 18 |
E:\h3ojKiH9lvFefkO0mG6HlXplgLV3LYYJVfdZRr3dtLhEN80DnzEPQXQY 2sziakx2axTnS4SA0447SPkbMnv4Qm |
18 |
E:\h3ojKiH9lvFefkO0mG6HlXplgLV3LYYJVfdZRr3dtLhEN80DnzEPQXQY 2sziakx2axTnS4SA0447SPkbMnv4Qm\S-4-7-01-4639107501-4494491267-104133574-7046 |
18 |
E:\h3ojKiH9lvFefkO0mG6HlXplgLV3LYYJVfdZRr3dtLhEN80DnzEPQXQY 2sziakx2axTnS4SA0447SPkbMnv4Qm\S-4-7-01-4639107501-4494491267-104133574-7046\Desktop.ini |
18 |
E:\h3ojKiH9lvFefkO0mG6HlXplgLV3LYYJVfdZRr3dtLhEN80DnzEPQXQY 2sziakx2axTnS4SA0447SPkbMnv4Qm\ S-4-7-01-4639107501-4494491267-104133574-7046\o3mrVQz9rDByh9hfKJ9v01t5z3m0s5hP01.exe |
18 |
E:\h3ojKiH9lvFefkO0mG6HlXplgLV3LYYJVfdZRr3dtLhEN80DnzEPQXQY 2sziakx2axTnS4SA0447SPkbMnv4Qm\o3mrVQz9rDByh9hfKJ9v01t5z3m0s5hP01.exe |
18 |
E:\$RECYCLE.BIN .LNK | 18 |
%HOMEPATH%\Administrator1\VERSION.TXT | 2 |
ファイルのハッシュ値
094d75233bfdfc837e0b461eb47ef442277b022f102b8f6adc80e20ec0909e2b 0f32b4ed36c393942ae9177eb4b2acd977bb2283de1b3278256a24049c2e7b8f 14e3b621de29654add1fe1fe1a1770279330dfb1920cdd0bc92cdd0f8ca489f6 17ce758c92d7c785b153845c53809f7b04a77d6f0352dff7944057cb6ace4c8f 1a6aab3064593291c0696c1efd2ac2dcd5df96bf923ae7670562cfeac3ee5478 47f286283bb6d0451650d993e656cfe32c33fc547838b8fe7cfbf1f648694d1a 5a5c0a62f7d53b6b1ee826a5baf8ff0c39d35ce6817fbee78a6398355747042f 78d3586250c6c996c1412daf885e59ca954a77384ad4eda4028f2a81024dcf1c 7de79a67d497d9bb88af291e625b233a9972f2aae9cff137c6416689e50aed98 920e28b817c5d1376715b7654ee6c5476b6b80adff54bafe2f7c5f1d952f1bc9 a3ea1ebdf50099d17c429042c5c6faeb7a60d6f42d9256ce3e89a217fed81198 b4c81dcc370ebb3bb2361000a64e87d15939c1dc10beb740b577de29cd8dde93 b75e84103d3e74ab2ab1b3a0bab01e0272fd361ec808942a598a0165e169edb0 b7e13fae589f5403964e0169c1269c91ddd6a7e06f06404207ca4f61922fa30b ba4accd438dedd49930217bcd04cda2230e3a9d32d1f457ab98c50dec9dffa9e d3867c8d29d5f430de171e9269a1766ed9b0a565dd38bb01438f50fd7902c6ea d70d846815613e61511492bafcc00470c9af8579b1491fa9996a1f5267e47ce2 eae56ea32d876fa7b1559e6e005c9572f3ef8a84665ff660c3e21180f646d220 f4bbf7ec8be46bc611663482937506b1288b5f2d0b479df2d4aa24a5207435ba
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Win.Malware.Emotet-7292844-0
侵害の兆候
レジストリキー | 発生回数 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS 値の名前: ProxyEnable |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS 値の名前: ProxyServer |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS 値の名前: ProxyOverride |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS 値の名前: AutoConfigURL |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS 値の名前: AutoDetect |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A} 値の名前: WpadDecisionReason |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A} 値の名前: WpadDecision |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A} 値の名前: WpadNetworkName |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A} 値の名前: WpadDetectedUrl |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\5.0\CACHE\CONTENT 値の名前: CachePrefix |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\5.0\CACHE\COOKIES 値の名前: CachePrefix |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\5.0\CACHE\HISTORY 値の名前: CachePrefix |
24 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MINIMUMPIXEL 値の名前: Type |
24 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MINIMUMPIXEL 値の名前: Start |
24 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MINIMUMPIXEL 値の名前: ErrorControl |
24 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MINIMUMPIXEL 値の名前: ImagePath |
24 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MINIMUMPIXEL 値の名前: DisplayName |
24 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MINIMUMPIXEL 値の名前: WOW64 |
24 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MINIMUMPIXEL 値の名前: ObjectName |
24 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MINIMUMPIXEL | 24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\{E54C0DDD-6FAB-4796-8BBE-EE37AF7CD25A} 値の名前: WpadDecisionTime |
24 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\88-22-E5-B6-57-EE 値の名前: WpadDecision |
1 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\88-22-E5-B6-57-EE 値の名前: WpadDetectedUrl |
1 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\4A-80-98-B4-22-0C 値の名前: WpadDecisionReason |
1 |
<HKU>\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\WPAD\4A-80-98-B4-22-0C 値の名前: WpadDecision |
1 |
ミューテックス | 発生回数 |
Global\I98B68E3C | 24 |
Global\M98B68E3C | 24 |
Global\M3C28B0E4 | 24 |
Global\I3C28B0E4 | 24 |
マルウェアから接触があった IP アドレス(必ずしも悪意があるとは限りません) | 発生回数 |
74[.]125[.]192[.]108/31 | 15 |
82[.]223[.]190[.]138/31 | 13 |
17[.]36[.]205[.]74 | 12 |
193[.]252[.]22[.]86 | 10 |
62[.]149[.]128[.]179 | 10 |
213[.]209[.]1[.]144/31 | 10 |
62[.]149[.]128[.]200/31 | 9 |
212[.]227[.]15[.]158 | 8 |
193[.]70[.]18[.]144 | 8 |
195[.]110[.]124[.]132 | 8 |
81[.]88[.]48[.]66 | 8 |
62[.]149[.]157[.]55 | 8 |
74[.]208[.]5[.]14/31 | 8 |
86[.]109[.]99[.]70/31 | 8 |
91[.]83[.]93[.]105 | 8 |
80[.]67[.]29[.]4 | 7 |
107[.]14[.]73[.]68 | 7 |
74[.]202[.]142[.]71 | 7 |
212[.]227[.]15[.]151 | 7 |
62[.]149[.]152[.]151 | 7 |
86[.]96[.]229[.]28/31 | 7 |
62[.]149[.]128[.]210/31 | 7 |
37[.]187[.]5[.]82 | 7 |
185[.]102[.]40[.]52/31 | 7 |
70[.]32[.]94[.]58 | 7 |
* IOC の詳細については JSON を参照してください
マルウェアから接触があったドメイン名(必ずしも悪意があるとは限りません) | 発生回数 |
smtpout[.]secureserver[.]net | 12 |
smtp[.]1and1[.]es | 10 |
secure[.]emailsrvr[.]com | 10 |
smtp[.]orange[.]fr | 10 |
smtps[.]aruba[.]it | 10 |
pop3s[.]aruba[.]it | 10 |
smtps[.]pec[.]aruba[.]it | 10 |
smtp[.]serviciodecorreo[.]es | 9 |
smtp[.]office365[.]com | 8 |
smtp[.]secureserver[.]net | 8 |
smtp[.]mail[.]me[.]com | 8 |
pop[.]secureserver[.]net | 8 |
smtp[.]1und1[.]de | 8 |
smtp[.]libero[.]it | 8 |
mail[.]aruba[.]it | 8 |
pop3s[.]pec[.]aruba[.]it | 8 |
mail[.]serviciodecorreo[.]es | 7 |
smtp[.]outlook[.]com | 7 |
mail[.]outlook[.]com | 7 |
smtp[.]mail[.]com | 7 |
mail[.]secureserver[.]net | 7 |
pop[.]serviciodecorreo[.]es | 7 |
smtp-mail[.]outlook[.]com | 7 |
outlook[.]office365[.]com | 7 |
smtp[.]aruba[.]it | 7 |
* IOC の詳細については JSON を参照してください
作成されたファイルやディレクトリ | 発生回数 |
%SystemRoot%\SysWOW64\minimumpixelb.exe | 1 |
\TEMP\5wgj1pj85exl95u.exe | 1 |
\TEMP\zk_4987.exe | 1 |
\TEMP\60hmsbnu_02.exe | 1 |
\TEMP\5jg_9376.exe | 1 |
\TEMP\cven8_6.exe | 1 |
\TEMP\ifm_6.exe | 1 |
\TEMP\uv1m953217in7u.exe | 1 |
\TEMP\d6xka8_28.exe | 1 |
\TEMP\z_0.exe | 1 |
\TEMP\9_8776851.exe | 1 |
\TEMP\5kn4h7rfngma.exe | 1 |
%SystemRoot%\TEMP\8435.tmp | 1 |
\TEMP\q_8103149.exe | 1 |
\TEMP\m4tpybzlh_327464286.exe | 1 |
\TEMP\15pk0i_09552197.exe | 1 |
\TEMP\izp8se3tl3b.exe | 1 |
\TEMP\2qcsdiacpc_27712037.exe | 1 |
\TEMP\18k5b_0082228.exe | 1 |
\TEMP\w_752582225.exe | 1 |
\TEMP\43vcrfe61.exe | 1 |
\TEMP\n0n_4621.exe | 1 |
\TEMP\su1ygco.exe | 1 |
\TEMP\ujtcb6ddd.exe | 1 |
\TEMP\su4gvrcyup.exe | 1 |
* IOC の詳細については JSON を参照してください
ファイルのハッシュ値
066d31cc0e6f45e89297334aad69cca12d60e9b4fe6aad341d08bcf6bce37c45 0fe2c7cfab6e55d92fcfe60d66e236bef5d44450c6ae7b759bf694f6097d935d 14bc54ea2759508a18c4e79734d328510897db0a2c71bd4ac2dffb34f99df2b2 1e4cdfb7252c74369fc5007e70c6746994f9e7a2e9f2f11b3012718b415d77a1 289c04314df3679f04bf1817fbf1589fb19dbd481f8c20daac8861068a7c5a32 2bc8c8cf127365a2a94bf47dc26ae14d11e62c38fd0df564bfc7867e025d94c1 3251a00155619dd1ba363b7fe477dab326fe791d2135129d3133c0cb716dd58b 4a98c1b48e25ed7a590d7fc89d65e07e40896e90c7977658c3bfcd8da7392181 52dae4128bb378dc4a877aab9287fc1ceb7576e1cc8506351a5679c6e9dd2e95 5e121e16757f3a3bafbc9b3e696de9473b4f1af5a314194cdfca68ab40332e9c 5ef1a5f4d7f7e3fd74392e514680e3439de5af3c1c818d560d82a62c77eb0a91 63cb6cd04a691f5af02e6a045cdf357e93ee8be5002100b90088b5dd65b24b70 640086c532c00aade40f11146f735fd3e969fe1565e5890800fe4b7551100523 68cb95f7e0d2a77e5a4832fb75243520a5ccc109849bbc933062379df4e7d164 9af3c4f8514d9c318ac90df6fc0e3a0278b41247ecd568b30a8266d0370f3eb0 ac8e332e3a99f1020e0cfeddfb672501d9da72d025d35c5edbcd0f347d5fb6a1 b5617d46830e9a3a362c97b9c6140c15c04b1dd64136ac1abf1dea3e65d83ccf b6c5d6655ef066545f8b9b8094c7347bf283e771b8f9b46b8e8f6e08144dcf13 b77f540a0cf278192870bab7fa677c0e858269ce1321814573934a6d095d89e4 cdbe742cd698ed504e7636811a13b8328c0a9905f4158fb25cde01dca66230fc d8614f65c65df8ca408d493fa9ef65894a84d9a49ddcb08be7b0798b670d367d db9ab62920e6a46ca2ed59de12132eb16c5c6205f3328a4d5a26cb52ae298ebb e6630adfc5882be333236fd4da6b8fb8c86866b4768b7914fa9102a3de3bc3b0 ee35b43c9bf1a9c24ab983a470e1cf5eb9508c741df45f5829c8d918a771b584
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
UMBRELLA
Win.Packed.Gozi-7329531-0
侵害の兆候
ミューテックス | 発生回数 |
Local\55C37268-60E9-964A-3299-E2046F3CC613 | 72 |
マルウェアから接触があった IP アドレス(必ずしも悪意があるとは限りません) | 発生回数 |
193[.]183[.]98[.]66 | 72 |
51[.]15[.]98[.]97 | 72 |
192[.]71[.]245[.]208 | 72 |
172[.]104[.]136[.]243 | 72 |
マルウェアから接触があったドメイン名(必ずしも悪意があるとは限りません) | 発生回数 |
api[.]frame303[.]at | 72 |
ファイルのハッシュ値
0003b0a5bfd7488160015e4e0e81e2d2a61ea5f5db53cabd9b4a404be8412250 0551e4b2c94f0796f7bd0108a1415ddbbb1126b9ff489fc5467e7dc3ab602f9b 064409558cbc89bbff58cbd3baaad0227a15109d4771635deb4b4f5a7f226ff3 0c527506d50c4f105f4e85180c3f2e2db58d969303883e7fdda26673d7a9e460 0ef66832ac9e94ce9f81840d4a40fa5e65bab3d930ad93503fbd77de4b74559a 10b22994ffe103af6f1d690ba1abf3e13cec9712a913ff024d9d1c656b92dbc0 12e98f72b4b5e225a1d465a7b121f56360bc9fd6ad538d56ee774874e4159e97 135653620d85d3016638d83a2f863eb480bc5e5f113f45e357037aedc7dd045a 1bd260a766aef952a2bb52dc926af5042f7d0361a5d869a167465400ab4af823 1fbeca47536689cd3ab5b692171a6bd8c93cd21a2d327d107631ce98e85429bd 23e78be8e4244831011a7bd02e497d15cf8ab29b8fd647881418e664ff0ab4be 2be8b60b9bf8fc8f81e8c1ec54af862351e6428922f285d4c816d64aab86189a 2de56515f487b70c3ad879e784838da3efb0d3f44539c1eddd9ea218398a3335 3214ab12ebd572aff4147227140915d21f0c5ca0f3efb949cf6796356f6d4d11 33a74f4ec4ae12674a0079c6af7c22c059ca950690a82e1fd11e4bb1f3f21305 3509cf8e68799db2677703e49caea882b6d2c5971379ac0e8619aeb30876a2a8 384373f044464197697af0c96e2028a6d76875524d6bf6650ff68a5e5e92eabf 3bf729f719580998bd65e13d02129e96efdd74448f84c504829f418ed87607e3 3ce58e9e556c87216307495378b2b1d0eb61517771b9bb10426a2ab7d14aeefe 3da63842c752a0c705180cea273b0b397ebb3cd9b8e6087401db14fe254a44ff 3e41a7ae208fa0e8cf28a8610533dd2ef965062f38577af2c35dd8f8950669bf 42ce932aae9b15b7deaf92694fb5a4db12f0bf9936da2f1d06c7a20714af3ca0 47109959af2b7fee21af66b6eeaf948ad4bb28c7428f59c9bb90ac7ea3753f24 48f89fac46dcc1f813d87d4cbedbae83d90f660558718e52bdcad554d71ecd35 49cf6e4d3589018819869dc3cd1733a1b3c42326b52cc0e48edafe113593019c
* IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Win.Virus.Neshta-7330232-0
侵害の兆候
レジストリキー | 発生回数 |
<HKLM>\SOFTWARE\CLASSES\EXEFILE\SHELL\OPEN\COMMAND | 25 |
ミューテックス | 発生回数 |
MutexPolesskayaGlush*.*svchost.comexefile\shell\open\command‹À “%1” %*œ‘@ | 25 |
作成されたファイルやディレクトリ | 発生回数 |
%TEMP%\tmp5023.tmp | 25 |
%SystemRoot%\svchost.com | 25 |
\MSOCache\ALLUSE~1\{90140~1\DW20.EXE | 25 |
\MSOCache\ALLUSE~1\{90140~1\dwtrig20.exe | 25 |
\MSOCache\ALLUSE~1\{91140~1\ose.exe | 25 |
\MSOCache\ALLUSE~1\{91140~1\setup.exe | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\1033\ONELEV.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\1033\SETUP.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\ACCICONS.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\BCSSync.exe | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\CLVIEW.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\CNFNOT32.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\GRAPH.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\GROOVEMN.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\IECONT~1.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\INFOPATH.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\MSOHTMED.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\MSOSYNC.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\MSOUC.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\MSQRY32.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\MSTORDB.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\MSTORE.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\NAMECO~1.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\OIS.EXE | 25 |
%ProgramFiles(x86)%\Microsoft\Office14\ONENOTE.EXE | 25 |
* IOC の詳細については JSON を参照してください
ファイルのハッシュ値
010a8e1d056b6a79142ec8abc46ae9bcd54c914f62d453370e4b74e75076b1e0 017ebabf7dc178eea75e6a5c9fe393a2f04bee2739e1d8d8085ceb4f6cf536c8 01e63cc8ed89f76c54a66baf631072f275ca0b4d90f316b3582325637260c206 1077dd3eae47e67505ddbfca24db29cc86a8272f4cd292dc134f8b3abfac2350 1d62a3dc5a827604e330ff1ee26dd32786b2b371adec06bc136c4d02dc31d3a1 1e5802bd82d8f5944e573720a81ba56de336600e576c8b6b095d1130b61c5e16 22b47cc60096f63ec4e90f65a710013688d51f6e1350df7165fe78eabc289973 24cd7a38f026dd924b59253c62616dec2bc20498ee7226be8a00bcfa1631e164 2d3c192dd31356f05dd53a8b0d489a48bbb28e0dfc02be3337e572d5b6e78ad5 2df99a6334f489425dbe0e0cb2b84e2fc708ead88e4bfcf8773bd614f16ab97b 321019b6ce05ad99ae59065d7c18f8ea6467809973eaf57b01e7482c6701e1ad 34bc860348e7b7600d41043ff0b613b93c91e3d079a066f7cd7e3a25998fb0e5 34d03297d8dfaaad8b61b26b2b45287da4a3b252a47bc9fd64bcd4cb1478f2c7 364f32c03907258b42fdd69dc0015a130e1604398d86ae4302d912bfdcf7e129 376fa4f35782601e163d4d8f8aca8589ab4b44d44b89bf13c50c639809976b87 400e12d8203bbafff024427b8287ccbc580060b4c2518127364e559b6c1dbc5b 411d9aad484f849527e3c0ea7c3f08cf5ceae2d62766c5de08fdd16e33154516 425de37d3bb1fcbac8b837fb625b5fc76c9ca2403a298faef8587aef28b0c4a9 4305e15188cc8a790513b9dd280706b13a4c3ecd53e79d7ad2c51177b3685676 496fb4b66415e7269cc6f20be797434401d94876757f6a5e0e1e0732fb27dc41 4ddb68f739d10596394f5ddc102ae1cd688630d98f58317ee50aba958d4cc6be 54a789da6eb9b456025487c386077e168b96e99682b2ede1f3d2a5609b1410e9 5845d3c49fd007012f5ee92b271757221d53eb948ecb6acacb924e5c2a8845c3 5a675fced512cadb2971f8d23d8d66aecae3c62e54cdbf110aae55facf609aee 5b3da2505153ca4146151f8d7de873868ce3041487c343cf5a43a30fd223cbe4
* IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Win.Malware.Gootkit-7333291-0
侵害の兆候
レジストリキー | 発生回数 |
<HKCU>\SOFTWARE\MICROSOFT\IEAK | 26 |
<HKCU>\SOFTWARE\MICROSOFT\IEAK\GROUPPOLICY\PENDINGGPOS 値の名前: Count |
26 |
<HKCU>\SOFTWARE\MICROSOFT\IEAK\GROUPPOLICY\PENDINGGPOS 値の名前: Section1 |
26 |
<HKCU>\SOFTWARE\MICROSOFT\IEAK\GROUPPOLICY | 26 |
<HKCU>\SOFTWARE\MICROSOFT\IEAK\GROUPPOLICY\PENDINGGPOS | 26 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_14 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_15 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_16 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_17 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_18 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_19 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_20 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_21 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_22 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_23 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_24 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_25 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_26 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_27 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_28 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_29 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_30 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_31 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_32 |
2 |
<HKCU>\SOFTWARE\APPDATALOW 値の名前: DpiSsys_33 |
2 |
ミューテックス | 発生回数 |
ServiceEntryPointThread | 26 |
マルウェアから接触があった IP アドレス(必ずしも悪意があるとは限りません) | 発生回数 |
109[.]230[.]199[.]13 | 4 |
208[.]91[.]197[.]91 | 3 |
31[.]214[.]157[.]162 | 3 |
185[.]189[.]149[.]174 | 2 |
176[.]10[.]125[.]87 | 2 |
192[.]35[.]177[.]64 | 1 |
185[.]212[.]44[.]209 | 1 |
185[.]158[.]249[.]46 | 1 |
185[.]212[.]47[.]97 | 1 |
109[.]230[.]199[.]248 | 1 |
31[.]214[.]157[.]14 | 1 |
109[.]230[.]199[.]180 | 1 |
185[.]158[.]248[.]133 | 1 |
194[.]76[.]224[.]123 | 1 |
マルウェアから接触があったドメイン名(必ずしも悪意があるとは限りません) | 発生回数 |
me[.]karysmarie[.]me | 2 |
adp[.]mjmentertainment[.]com | 2 |
kkillihhy[.]top | 2 |
picturecrafting[.]site | 2 |
otnhmdmwnz[.]top | 1 |
tics[.]cibariefoodconsulting[.]com | 1 |
roma[.]simplebutmatters[.]com | 1 |
me[.]woodlandsareareview[.]com | 1 |
top[.]hymnsontap[.]com | 1 |
adp[.]reevesandcompany[.]com | 1 |
bud[.]ttbuilders[.]com | 1 |
pic[.]picturecrafting[.]com | 1 |
me[.]kaleighrose[.]me | 1 |
it[.]its1ofakind[.]net | 1 |
me[.]jmitchelldayton[.]com | 1 |
me[.]thebellamyfamily[.]me | 1 |
作成されたファイルやディレクトリ | 発生回数 |
%TEMP%\tmp<random, matching [A-F0-9]{1,4}>.tmp | 1 |
%ProgramData%\{d781e3a1-e512-422f-aa6c-27428437cbc4}.lock | 1 |
%TEMP%\TMP2834788.tmp | 1 |
%TEMP%\markwde316.tmp | 1 |
%TEMP%\TMPwde316.tmp | 1 |
\uv\04F28BB8-1480 | 1 |
\uv\04F8C430-1480 | 1 |
\uv\051EE940-852 | 1 |
\uv\051EEAC0-852 | 1 |
\409494144.inf | 1 |
\409494162.inf | 1 |
\409494248.inf | 1 |
\409494334.inf | 1 |
\409494418.inf | 1 |
\409494444.inf | 1 |
\409494588.inf | 1 |
\409494628.inf | 1 |
\409494124.inf | 1 |
\409494190.inf | 1 |
\409494298.inf | 1 |
\409494658.inf | 1 |
\409494820.inf | 1 |
\409494840.inf | 1 |
\409494920.inf | 1 |
\409494996.inf | 1 |
* IOC の詳細については JSON を参照してください
ファイルのハッシュ値
02b5fd5e99d5df445989bdf6fc390c6a91868627931a215ffe4b7c0c6575d3d2 087e3e740b260ad83ba5881be43822ecccf5bcefc3c3246a62d8f5cb11065891 0a75195584a2ff98ff416153d7ae3c5f470201bacae816a9040e1545ad1ed71c 0a98f18e5602852de2a00e1d4e4b87a9aa73bada595e14b7d05844aa85a0cb3a 0e6f4226f190a84de26df937557d624fb130e4a0b0e692a494a937d144506433 0ed33f996aa50dc73876f30aec07446dcaa0384c2c8268478a7857724c118759 195932578c922415b99e2e292acbaf32133de4727384f5860c9c5d59436ce671 20d12b744bd651c35171626f1ce6d85bd9a3362acfee4f91934da6f7d4414cce 26f188069d3f42e5a0e5f217e807703347d46c84953ccd4d39e897dd0d4ac45e 279306903e6702c79e229db28bb3d119de8641c8ad4bb24bd0e9da7559440b36 29e776ef6349ee6f4d37aa5b099b7b6abb433d950e8ec04f25069813178a2f72 3e8167eb0800a7be23864cd48db852623c95b884682df95c13c196bec9122bc7 417d2f400fb2c53c28407632edf46189f4cb4482cf5b323b55b3d75312c954dd 4957073bcc69c602b3fd1e4c98f4cc8937ebfce5f61756db4d1021a9039a5be5 5c077e0950fdd99df11e389d2b830f241b35efdfb9dc6522b457c66fd64b79a0 60a751e56901c1b593e3a58c1e0770b9fbefb83c8e75433fdbc16e55c21cebc8 73541008d1f6fbbfb7321f39ff083398d4f5ee86bde9eca2574e67a952c7a37f 76ea09817ea2aba02f6b6701ebd786adfd0a02b42ac53a51b1f334245f21004d 7a2ae75210913c882e0f6d848bfc06d729b7d0c6faf1c42ea9dec67da18c41e4 7eb13e84eac78a616ef498adb7fad002e912fbdd699891a8b0da63f224a7c277 877b0ef2e019d8f102373c6a09975c84053eb5705b8e8d4508e0b4b9418b458f 9da94873a87609b0c6471981b57fc4e6a8abe1b649e571a0eaffbaa80f4b4961 c96b2b221a2071b92cc21f75edfb0fea967271b8d15bedfece0ab686ad6431a7 d3c1a8df4b8112ebf3c3edc53ebe8adb3680accebc243040b3d438a4e5489f2a d6fbd9d2e70a77a6bfa308ef2ce0d8ad13266a4a41ed59089a52c2ee7e550bfc
* IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
UMBRELLA
Win.Dropper.Remcos-7334963-0
侵害の兆候
レジストリキー | 発生回数 |
<HKCU>\SOFTWARE\REMCOS-8N5JSJ | 25 |
<HKCU>\SOFTWARE\REMCOS-8N5JSJ 値の名前: licence |
25 |
<HKCU>\SOFTWARE\REMCOS-8N5JSJ 値の名前: exepath |
25 |
ミューテックス | 発生回数 |
Remcos_Mutex_Inj | 25 |
Remcos-8N5JSJ | 25 |
TreeSee | 25 |
マルウェアから接触があった IP アドレス(必ずしも悪意があるとは限りません) | 発生回数 |
208[.]91[.]197[.]91 | 25 |
185[.]158[.]249[.]88 | 25 |
108[.]168[.]157[.]70 | 25 |
マルウェアから接触があったドメイン名(必ずしも悪意があるとは限りません) | 発生回数 |
pearlsolutions[.]com | 25 |
finnanlinks[.]com | 25 |
ファイルのハッシュ値
0164052cd74b2d406c5503faf58f1794d6ba14092b7a9fa9509bc8a85eae01cd 24175b88c78d6089ee1dac7875b71c6194c5292d826911050bde8ebc55b4491f 24d2b912a0ffbde3afbef7e4460693ae84976b689ae7a150b914fb09a7551b13 2ccb899ef52566bceb4d8e09163dd21291624a73b5ad554fd58f920434af9076 2f260e1c62dd6ce1d6c042bd488881d4b562ee1990d20cc383866fd6f805abdc 47232b513efbd2c6fcd3dd1778aa00ca018710c8afd597d238ab1c94433747c4 47a9af0fcc8f26b71865398d4cf372b2d8005f5b93cf75233f44439da9378beb 4cf3770d9c9b2ea152ccf677f4f03e46fd6ee497362fa1a9fbd4d6994ec48244 556c8f046af879ab852ab13e2cde6ebf653fa436840bde821c4b7b26cc626f73 5a5b57e664e35d5528b3c9c32b7123861125e5b6789a7699e076821e0eaece10 65573233fca2347e6aa28de9caec5f49d3ff0f5b844aa1d672d822970228d8f0 6eebb872f1c301f54c77849a128e5500a7e3cfaafee2513004fabaf880bb75f9 7d2b477f6a2ae69257c9626cd87ca89b741b0397e2b4743194b1e95d802637d4 7e559c9077c5b416db0fcd99cfee7e9fa80212ed53b0bef7c37c00373c7e2cc2 81685e6e788710a878b16cb2febbc7cff3f8bf5905811fc392e840da73f79b50 8e4638e4d6cc97ebc401533a5bd4cd22ccaca17a584f24610040aff5e8ffa64e 9996145757ae9e7ca9fc01709e3b597be530d189f50fe2955db438dde9f07c77 9f01d27ac72c5194859d657ee8b024786469661cc65b29cf795b66d10fb35770 b03eece2320b96ba1c1057f3adead7c347626f6f45e867af798f03a78d030fe9 b0894a209477e906130c6a493a8d34cde4ae16442753c2513053f4e33a39ca80 b29bd09e5a11bb8b46ca1363f3455d66057c8bd24f3ea6a643851d288ee0239c b6c098d02c8eceaf072fdf7b91c832a0c86e529a7c276fbc28ed2c242053a35a c5ff8271d4820962d7ad72526ae7aca7b7df84e2cab249dcff099f4bfa740bc1 c9e5d6fbd34df48009a162af73ce141406c182cb072e92a7a815762ff90dcd4f caffbaf16f0fa50066efc7435b21330c05b2b3ca602253558e4bf30cb0ddad67
* IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Win.Dropper.Trickbot-7340237-0
侵害の兆候
レジストリキー | 発生回数 |
<HKLM>\SOFTWARE\MICROSOFT\SYSTEMCERTIFICATES\AUTHROOT\CERTIFICATES\ DAC9024F54D8F6DF94935FB1732638CA6AD77C13 値の名前: Blob |
9 |
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\PROFILELIST\S-1-5-21-2580483871-590521980-3826313501-500 値の名前: RefCount |
5 |
ミューテックス | 発生回数 |
Global\316D1C7871E10 | 42 |
マルウェアから接触があった IP アドレス(必ずしも悪意があるとは限りません) | 発生回数 |
185[.]79[.]243[.]37 | 11 |
185[.]222[.]202[.]222/31 | 7 |
172[.]217[.]3[.]115 | 6 |
200[.]116[.]199[.]10 | 5 |
194[.]5[.]250[.]82/31 | 5 |
45[.]142[.]213[.]58 | 5 |
66[.]55[.]71[.]11 | 5 |
46[.]30[.]41[.]229 | 4 |
31[.]184[.]253[.]37 | 4 |
185[.]244[.]150[.]142 | 4 |
45[.]66[.]11[.]116 | 4 |
176[.]58[.]123[.]25 | 3 |
104[.]20[.]16[.]242 | 3 |
190[.]154[.]203[.]218 | 3 |
187[.]58[.]56[.]26 | 3 |
36[.]89[.]85[.]103 | 3 |
181[.]113[.]20[.]186 | 3 |
94[.]156[.]144[.]3 | 3 |
109[.]234[.]34[.]135 | 3 |
45[.]80[.]148[.]30 | 3 |
177[.]103[.]240[.]149 | 2 |
185[.]65[.]202[.]127 | 2 |
200[.]21[.]51[.]38 | 2 |
186[.]42[.]185[.]10 | 2 |
107[.]22[.]193[.]167 | 2 |
* IOC の詳細については JSON を参照してください
マルウェアから接触があったドメイン名(必ずしも悪意があるとは限りません) | 発生回数 |
250[.]5[.]55[.]69[.]zen[.]spamhaus[.]org | 11 |
www[.]myexternalip[.]com | 6 |
ident[.]me | 3 |
icanhazip[.]com | 3 |
api[.]ipify[.]org | 3 |
api[.]ip[.]sb | 1 |
wtfismyip[.]com | 1 |
46igeuohbyzeokpe[.]onion | 1 |
作成されたファイルやディレクトリ | 発生回数 |
%APPDATA%\HomeLan | 42 |
%APPDATA%\HomeLan\settings.ini | 42 |
%System32%\Tasks\Home lan application | 42 |
None | 41 |
%TEMP%\<random, matching ‘[a-f0-9]{3,5}’>_appcompat.txt | 20 |
%TEMP%\<random, matching ‘[A-F0-9]{4,5}’>.dmp | 20 |
%APPDATA%\HomeLan\data\pwgrab64 | 5 |
%APPDATA%\HomeLan\data\pwgrab64_configs\dpost | 5 |
%APPDATA%\HomeLan\data\systeminfo64 | 5 |
%APPDATA%\HomeLan\data\psfin64 | 1 |
%APPDATA%\HomeLan\data\psfin64_configs\dpost | 1 |
ファイルのハッシュ値
01639c6060f371a5c4d063bcc5827577b2fc0f4c7576e018493f0f2fbaa0971c 051c1d65aa3f07c6f0c12177e66db74593cf19187a5d5279a1060215d1fd693f 0a62e631b10f9a4c3b2e18b2e1cd891de5617ed77d3486a895d5b0e300f9c03a 0b0958d9893a048f798947d43f40a8e73c39a58314ca54efcfd9b44c2fbf70c2 0dedc6c5d7f16e280b91f0fcc39776e5a81a9256679039ccf766ad47c3280107 123624171e54c4fb17187cee3bba2a42beceb6e14a533d3f678b4b79322e5ecc 176555c1164babd31c1b5cf572f04e4ae9272f749c34da82450f34496f2e38ae 19040036454f1ed997841efb79601c14ad4ddbfe8716d792645f02ad639cc4c5 19067755e33f789405fff9be3a0083fe46a9f723cbd478d8b4fc7eee02e1747b 1ab1b32131737818d95fd57c3878ad2c5ed5319915fa570742d3f72ba77a3618 1b8aa6a3db661ceba43b3e564536502e8babe78050236f35261865ab5227369c 2258ed23ff9b9999e542fd9adec574a2ea7aaa25cb72dbcd03853f74d64f10ae 24e6854a3138b45709bf7144f1e4abb69f86722a828cfd563a8b27e1dab95a9f 277a447321a678f7bc82683fab3e4b52b2a7288be76b87c014a0c33e3a187cff 2c4dda46da1f5943ee7caee3ce42454e53364371763e2bb84d4831c87636ee40 3302b6b60869d67af98b83e9a795afa6fe3ac3cfd492ff89ed284eb04dcd8a31 33111cf63f3781a3be253cfd560fef13904a80d95e0484d8be3e2515a050cf78 33528d4f9144d9f5882ad5a29602e0068d2f88926908d7fb464ec4faa502b261 351385b5ba3932321d3f830fa7accb71317832be3362636dc4e53b4ad8dc7c8c 36d985f970096d5ac23193d3d564f51402b0d815ebf3490c46b90daca05c5796 3e2e719d3c8a79ad31df38e3d8071268325cc9de90cb1d9374da205196085640 410702470b3719dba334d8e86e53560c307f9220ef0598829690d6e2f09eb8ca 414c44aedca4bf53ea9594795e50512895bb5bc84df5718111de6dc3b935baad 4d8b363440ac876738d71a5822cc49b54d6466afb05a91e69f1bfc2e20a6f5a1 4e26ef3e451e37ce362fd98f6d4ab8f6d6ee581c58094a963a594e322a0aa3be
* IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
Win.Malware.Bublik-7340719-1
侵害の兆候
レジストリキー | 発生回数 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\ STANDARDPROFILE\AUTHORIZEDAPPLICATIONS\LIST |
14 |
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS NT\CURRENTVERSION\ APPCOMPATFLAGS\LAYERS |
14 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\ DOMAINPROFILE\AUTHORIZEDAPPLICATIONS\LIST |
14 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\ STANDARDPROFILE\AUTHORIZEDAPPLICATIONS\LIST 値の名前: C:\Windows\SysWOW64\igfxcn86.exe |
11 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\ DOMAINPROFILE\AUTHORIZEDAPPLICATIONS\LIST 値の名前: C:\Windows\SysWOW64\igfxcn86.exe |
11 |
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前: Intel Network Service |
11 |
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS NT\CURRENTVERSION\ APPCOMPATFLAGS\LAYERS 値の名前: C:\Windows\SysWOW64\igfxcn86.exe |
11 |
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS NT\CURRENTVERSION\ APPCOMPATFLAGS\LAYERS 値の名前: C:\Windows\SysWOW64\wmpnd86.exe |
3 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\ FIREWALLPOLICY\STANDARDPROFILE\AUTHORIZEDAPPLICATIONS\LIST 値の名前: C:\Windows\SysWOW64\wmpnd86.exe |
3 |
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\ FIREWALLPOLICY\DOMAINPROFILE\AUTHORIZEDAPPLICATIONS\LIST 値の名前: C:\Windows\SysWOW64\wmpnd86.exe |
3 |
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 値の名前: Windows Media Networking Device |
3 |
ミューテックス | 発生回数 |
V8x | 14 |
muipcdraotse | 14 |
S3xY! | 14 |
Global\<random guid> | 6 |
マルウェアから接触があった IP アドレス(必ずしも悪意があるとは限りません) | 発生回数 |
195[.]137[.]213[.]67 | 14 |
マルウェアから接触があったドメイン名(必ずしも悪意があるとは限りません) | 発生回数 |
vps573[.]intelbackupsvc[.]su | 7 |
vps531[.]intelbackupsrv[.]su | 7 |
j13[.]bull-quantum-media[.]su | 3 |
j35[.]evil-quantum-servers[.]su | 2 |
j65[.]coax-quantum-media[.]su | 2 |
j16[.]fast-quantum-servers[.]su | 2 |
j67[.]fast-quantum-servers[.]su | 2 |
j30[.]bull-quantum-media[.]su | 1 |
j71[.]evil-quantum-servers[.]su | 1 |
j52[.]coax-quantum-media[.]su | 1 |
作成されたファイルやディレクトリ | 発生回数 |
\Autorun.inf | 14 |
E:\Autorun.inf | 14 |
E:\TmpMount004.{645FF040-5081-101B-9F08-00AA002F954E} | 14 |
E:\TmpMount004.{645FF040-5081-101B-9F08-00AA002F954E}\tmpmount-t285019593.bin | 14 |
\TmpMount004.{645FF040-5081-101B-9F08-00AA002F954E}\tmpmount-t285019593.bin | 14 |
%SystemRoot%\SysWOW64\igfxcn86.exe | 11 |
%SystemRoot%\SysWOW64\wmpnd86.exe | 3 |
ファイルのハッシュ値
0d105c7c5ac13e3840a816cd229b19305655df295c9bafaefe23bff7e337feeb 16d64ea86143cbf62c020f313c87210c12775011368bc5add13a4a7f059d5beb 1ee966faa45a71c137856951731912e1523e8ae5bce27d40bacf53c3650398f2 2315e6edf1fcbd389e9eaae91af5e2a259a57a7b72392444da732ad896fe8fa0 24f246aafdbe4e6b1e8a209e1b1a8370e27a8c1966e5abe924a67fb9ba56d3ca 38b11c4bb0aa58d0d1ecab7aea4c4154c0202cea808c829176a43bd96ab98c12 3b6ce3103a80773196a7b5a98fb22a348a6b26feaca7180fc162e3a7aa18e14b 44618007516d7b38ce0f36a25f0a1ddc79b624a8132288cf24efacb193ef9fbe 497edec65e55215f67734aeb317f2e426238de6fe587050c5b0aa7589749ba1f 568ac42883664e6e3626b5cb47920fa29f76daa8ffc707a321092a2b5aeda070 710a0f2bf3915c8bcd56e7e019c945094356d513022a7973a024a2469041cd43 7c387616f2b369799db06728f44c01c24187545e2c0fb7850889dd63f181dfc6 817ec74768baf0c4772a072188e0c6016991208266d165bf409ca3aec8efd5d0 9557cbe21cb18643397a2a40ab7cd248006c396b83857c19ba630936b6def5fd 9f658c498057ac8c372f1eaf28c49d821ffd1ef409858127d387c6a2e2696c90 a74379225d10237dc3175bbec1dcfb8b3b01c0d44b4e2149bc5139306a9188d1 aedf45d7c403502528b581d16253b2e113ed90032fdb304a3fef3350503c90be b8796b91c089d9487a2969ff3675cfed0565820bfe1fd20e529c2c474e0b550d bd96928db2ce25f1c86d64b355fc551c4a31fd72af567cc05d402d06bd12c3b8 c3d16015a4791380211dd51c0a90b3042d5820d2afd9dfe935fd94160c0e7dac c51fd0b0190e9a1b9356b5870dceb055edb9788e5706b7da1d1ed5d737e6980d d335b629182955cfbef363b4cad3462342e573e205a8c2defea842b6f004755c e396ba55fd116b35179f392cc24edc5f348cdf28d2bbbd1704ea0df8e77ea535 e46c7b72ff1458e2a0937c445029063a88e2af9833e034f5ff539a3efc26e44b edf4eb3860904170a2b5ce8cac27db7dcc7f676f5dd9d767f63ce2cabcee3d99
* IOC の詳細については JSON を参照してください
カバレッジ
検出時のスクリーンショット
AMP
Threat Grid
UMBRELLA
エクスプロイト防止
Cisco AMP for Endpoints は、さまざまなマルウェア機能からユーザを保護し、エクスプロイトを防止します。エクスプロイトの防止能力は、難読化されたマルウェアやエクスプロイトによって一般的に使用されるメモリ攻撃からエンドポイントを保護します。以下のエクスプロイトは特定の手口により一般的なウイルス検出を回避しますが、AMP の高度なスキャン能力により逃さずブロックし、ゼロデイの脆弱性からも保護できます。
CVE-2019-0708 を検出 -(26364) |
CVE-2019-0708 のエクスプロイト試行が検出されました。「BlueKeep」と呼ばれる脆弱性はヒープメモリの破損に起因しています。細工されたリモート デスクトップ プロトコル(RDP)要求の送信によりエクスプロイトされる可能性があります。エクスプロイトには認証が不要であり、かつ任意コードのリモート実行を許すことを踏まえると、自動拡散するワームとして使用されることも考えられます。 |
Madshi インジェクションを検出 -(3206) |
Madshi は、プロセス内でスレッドを開始する他の方法が失敗した場合に、プロセスインジェクションを使用して新しいスレッドを開始するコード インジェクション フレームワークです。このフレームワークは多数のセキュリティソリューションで採用されていますが、マルウェアで悪用される可能性もあります。 |
プロセスの空洞化を検出 -(1973) |
プロセスハロウイング(Process Hollowing)は、静的分析を回避するために一部のマルウェアで使用されている手口です。この手口では通常、まずプロセスが開始され、難読化または暗号化されたプロセスの内容がメモリにアンパックされます。その後、親プロセスは子プロセスを起動する最初の段階を手動でセットアップします。ただし子プロセスを起動する前にメモリがクリアされ、代わりに親プロセスからのメモリ内容で埋められます。 |
過度に長い PowerShell コマンドを検出 -(1169) |
非常に長いコマンドライン引数を持つ PowerShell コマンドが検出されました。難読化されたスクリプトが検出された可能性があります。PowerShell は、全バージョンの Windows で利用できる拡張可能な Windows スクリプト言語です。マルウェアの作成者が PowerShell を使用する理由は、PowerShell ベースの脅威への対応が遅れているセキュリティソフトウェアなどからの検出を回避できることにあります。 |
Gamarue マルウェアを検出 -(190) |
Gamarue は、ファイルをダウンロードし、感染したシステムから情報を盗み出すマルウェアのファミリです。ワームファミリ「Gamarue」の亜種は、感染したシステムに接続されている USB ドライブやポータブルハードディスクを介してさらに拡散する可能性があります。 |
Kovter インジェクションを検出 -(100) |
プロセスがインジェクションされました。おそらく既存の Kovter 感染によるものです。Kovter はクリック詐欺型のトロイの木馬で、情報詐取機能も備えています。Kovter には「ファイルレス」マルウェアという特徴もあります。つまり、悪意のある DLL を Windows レジストリ内に格納し、PowerShell を使用して直接メモリにインジェクションします。また、Wireshark などの監視ソフトウェアやサンドボックスの使用を検知し、C2 に報告する機能も備えています。Kovter は悪意のある広告やスパムキャンペーンを通じて拡散しています。 |
コードインジェクション手口の「Atom Bombing」を検出 -(83) |
プロセスが疑わしい Atom を作成した場合は、「Atom Bombing」と呼ばれる既知のプロセスインジェクション手口の兆候です。Atoms は、文字列を 16 ビット整数に関連付ける Windows 識別子です。これらの Atoms は、グローバル Atom テーブルに配置することで、プロセス間でアクセスできます。マルウェアはこの仕組みをエクスプロイトするため、シェルコードをグローバルな Atom として配置し、Asynchronous Process Call(APC)を介してアクセスします。ターゲットプロセスは、シェルコードをロードして実行する APC 関数を実行します。Dridex のマルウェアファミリは Atom Bombing の使用で知られていますが、他のマルウェアも同じ手口を利用している可能性があります。 |
Installcore アドウェアを検出 -(70) |
Installcore は正規のアプリケーションにバンドルされるインストーラで、インストール時に望ましくないサードパーティ アプリケーションを提案する可能性があります。望ましくないアプリケーションとは多くの場合アドウェアを指し、ポップアップ形式で、あるいは、ブラウザに広告を挿入する、Web ページに広告を追加する、または既存の広告を変更する方法で広告を表示します。マルウェアをダウンロードしてインストールするアドウェアがあることも知られています。 |
「スペシャル オファー」広告のアドウェアを検出 -(46) |
「スペシャル オファー」広告のアドウェアは、ポップアップ形式で、あるいはブラウザ上で Web ページの広告を変更する方法で、望ましくない広告を表示します。このアドウェアは、マルウェアをダウンロードしてインストールすることでも知られています。 |
IcedID マルウェアを検出 – (34) |
IcedID はバンキング型トロイの木馬です。Web ブラウザに対してインジェクションとリダイレクトの両方の手口を使用することで、銀行などの金融機関のログイン情報やデータを盗み出します。IcedID の機能や高度な手口は、マルウェア作成者の知識と技術力の高さ、そして類似マルウェアにおける経験の豊富さを物語っています。IcedID の感染手段としては、Emotet と Ursnif が確認されています。IcedID に感染したシステムでは、他のマルウェアへの感染も調べる必要があります。 |
本稿は 2019年10月18日に Talos Group のブログに投稿された「Threat Roundup for October 11 to October 18」の抄訳です。