Cisco Japan Blog

Cisco Japan Blog / 脅威リサーチ / 3 月 24 日から 3 月 31 日の 1 週間における脅威のまとめ

2023年4月11日 Leave a Comment
脅威リサーチ

3 月 24 日から 3 月 31 日の 1 週間における脅威のまとめ

4 min read



本日の投稿では、3 月 24 日 ～ 31 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。脅威の主な行動特性やセキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ脅威の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、Firepower Management Center、Snort.orgpopup_icon、または ClamAV.netpopup_icon をご覧ください。

本記事では、脅威カテゴリごとに 25 個の関連ファイルハッシュと最大 25 件の IOC のみを含めています。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらpopup_iconの JSON ファイルをご覧ください。MITRE ATT&CK 手口についても、脅威ごとに図示されています。図の中における手口の色が明るいほど、動的分析が行われた脅威ファイル全体で多く確認されたことを示しています。明るさは 5 段階で、最も暗いものはファイル全体で確認されなかった手口を、最も明るいものはファイル全体の 75% 以上で確認された手口を表します。

今回ご紹介する、最も蔓延している脅威は次のとおりです。

脅威名 タイプ 説明
Win.Ransomware.TeslaCrypt-9994144-1 ランサムウェア TeslaCrypt は被害者のファイルを強力な暗号で暗号化し、身代金としてビットコインを要求する、よく知られたランサムウェアファミリです。ただし暗号化アルゴリズムに弱点が発見されたことで、身代金を支払うことなくファイルを復号できるようになりました。最終的には、すべての暗号化ファイルを簡単に復元できるマスターキーをマルウェアの作成者が公開しています。
Win.Ransomware.Cerber-9994145-0 ランサムウェア Cerber は、ドキュメント、写真、データベースなどの重要なファイルを暗号化するランサムウェアです。これまではファイルを暗号化し、ファイル拡張子に「.cerber」を追加していましたが、最近のキャンペーンでは他の拡張子が使われています。
Win.Dropper.Tofsee-9994178-0 ドロッパー Tofsee は、多数のモジュールにより多様なアクティビティを実行する多目的マルウェアです。それらのアクティビティには、スパムメッセージの送信、クリック詐欺の実行、暗号通貨の不正マイニングなどが含まれます。いったん感染すると、システムがスパムボットネットの一部と化し、大量のスパムメールを送信します。これにより他のシステムにも感染が広がり、攻撃者の支配下にあるボットネットの数が増えていきます。
Win.Dropper.Formbook-9994385-0 ドロッパー Formbook は情報詐取型のマルウェアです。キーストロークを記録し、Web ブラウザに保存されたログイン情報を盗み、クリップボードの内容を監視するなどの手口により、感染したシステムから機密情報を収集します。
Win.Dropper.Kovter-9994588-1 ドロッパー Kovter は永続化をファイルレスで確立させる手口で知られています。Kovter 系のマルウェアは、悪意のあるコードを格納する不正なレジストリエントリを複数作成します。また、ファイルシステムから感染を駆除した後でもシステムに再感染することがあります。従来からこのマルウェアによって拡散されているのは、ランサムウェアとクリック詐欺のマルウェアです。
Win.Dropper.TinyBanker-9994341-1 ドロッパー TinyBanker は Zusy や Tinba としても知られるトロイの木馬で、中間者攻撃（MITM）により銀行情報を窃取します。実行されると、「explorer.exe」や「winver.exe」などの正当な Windows プロセスに自身を挿入します。ユーザーが銀行の Web サイトにアクセスすると、個人情報の入力を促す偽のフォームを表示します。
Win.Dropper.Emotet-9994401-0 ドロッパー Emotet は、最近で最も活発なマルウェアファミリのひとつです。さまざまなペイロードを配布する非常に高度なモジュール型の脅威です。Emotet はマクロを含む Microsoft Office ドキュメントを介して配布されます。それらのドキュメントは通常、悪意のあるメールの添付ファイルとして送付されます。
Win.Dropper.Fareit-9994421-1 ドロッパー Fareit は情報の詐取を目的としたトロイの木馬であり、他のマルウェアをダウンロードしてインストールする機能を備えています。
Win.Dropper.DarkComet-9994524-1 ドロッパー DarkComet とその亜種はリモートアクセスのトロイの木馬です。感染したシステムを攻撃者が制御できるようにします。感染したマシンからファイルをダウンロードする機能や、永続化と隠蔽の機能、および感染したシステムからユーザー名とパスワードを送り返す機能を備えています。

脅威の内訳

Win.Ransomware.TeslaCrypt-9994144-1

侵害の兆候

  • 動的分析により 17 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKCU>\SOFTWARE\XXXSYS 17
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：v23-deadbeef		 17
<HKCU>\SOFTWARE\XXXSYS
値の名前：ID		 17
<HKCU>\Software\<random, matching ‘[A-Z0-9]{14,16}’> 17
<HKCU>\Software\<random, matching ‘[A-Z0-9]{14,16}’>
値の名前：data		 17

 

ミューテックス 発生回数
z_a_skh495ldfsgjl2935345 17

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
34[.]102[.]136[.]180 17
172[.]67[.]137[.]137 10
104[.]21[.]30[.]141 10
172[.]67[.]172[.]250 7
104[.]21[.]62[.]165 7

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
mhomeusa[.]com 17
internationalists[.]org 17
csopedro[.]org 17
fmc[.]org[.]in 17
jecit[.]ac[.]in 17

 

作成されたファイルやディレクトリ 発生回数
%ProgramFiles%\7-Zip\Lang\ka.txt 17
%ProgramFiles%\7-Zip\Lang\kaa.txt 17
%ProgramFiles%\7-Zip\Lang\kab.txt 17
%ProgramFiles%\7-Zip\Lang\kk.txt 17
%ProgramFiles%\7-Zip\Lang\ko.txt 17
%ProgramFiles%\7-Zip\Lang\ku-ckb.txt 17
%ProgramFiles%\7-Zip\Lang\ku.txt 17
%ProgramFiles%\7-Zip\Lang\ky.txt 17
%ProgramFiles%\7-Zip\Lang\lij.txt 17
%ProgramFiles%\7-Zip\Lang\lt.txt 17
%ProgramFiles%\7-Zip\Lang\lv.txt 17
%ProgramFiles%\7-Zip\Lang\mk.txt 17
%ProgramFiles%\7-Zip\Lang\mn.txt 17
%ProgramFiles%\7-Zip\Lang\mng.txt 17
%ProgramFiles%\7-Zip\Lang\mng2.txt 17
%ProgramFiles%\7-Zip\Lang\mr.txt 17
%ProgramFiles%\7-Zip\Lang\ms.txt 17
%ProgramFiles%\7-Zip\Lang\nb.txt 17
%ProgramFiles%\7-Zip\Lang\ne.txt 17
%ProgramFiles%\7-Zip\Lang\nl.txt 17
%ProgramFiles%\7-Zip\Lang\nn.txt 17
%ProgramFiles%\7-Zip\Lang\pa-in.txt 17
%ProgramFiles%\7-Zip\Lang\pl.txt 17
%ProgramFiles%\7-Zip\Lang\ps.txt 17
%ProgramFiles%\7-Zip\Lang\pt-br.txt 17

* IOC の詳細については JSON を参照してください

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Ransomware.Cerber-9994145-0

侵害の兆候

  • 動的分析により 270 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKCR>\LOCAL SETTINGS\SOFTWARE\MICROSOFT\WINDOWS\SHELL
値の名前：NodeSlots		 2
<HKCR>\LOCAL SETTINGS\SOFTWARE\MICROSOFT\WINDOWS\SHELL
値の名前：MRUListEx		 2
<HKCR>\LOCAL SETTINGS\SOFTWARE\MICROSOFT\WINDOWS\SHELL\\1
値の名前：MRUListEx		 2
<HKCR>\LOCAL SETTINGS\SOFTWARE\MICROSOFT\WINDOWS\SHELL\\1\0
値の名前：MRUListEx		 2
<HKCU>\SOFTWARE\MICROSOFT\DIRECT3D
値の名前：Name		 1

 

ミューテックス 発生回数
shell.{381828AA-8B28-3374-1B67-35680555C5EF} 270

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
149[.]202[.]64[.]0/27 270
149[.]202[.]122[.]0/27 270
149[.]202[.]248[.]0/22 270
178[.]128[.]255[.]179 202
172[.]66[.]42[.]238 103
172[.]66[.]41[.]18 99
104[.]20[.]21[.]251 94
104[.]20[.]20[.]251 93
172[.]67[.]2[.]88 83

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
api[.]blockcypher[.]com 270
bitaps[.]com 202
chain[.]so 202
btc[.]blockr[.]io 202
hjhqmbxyinislkkt[.]1j9r76[.]top 68

 

作成されたファイルやディレクトリ 発生回数
%TEMP%\d19ab989 270
%TEMP%\d19ab989\4710.tmp 270
%TEMP%\d19ab989\a35f.tmp 270
%LOCALAPPDATA%\Microsoft\Office\Groove1\System\CSMIPC.dat 270
%TEMP%\tmp<random, matching [A-F0-9]{1,4}>.tmp 270
%TEMP%\tmp<random, matching [A-F0-9]{1,4}>.bmp 270
<dir>\_READ_THI$_FILE_<random, matching [A-F0-9]{4,8}>_.hta 270
<dir>\_READ_THI$_FILE_<random, matching [A-F0-9]{4,8}>_.txt 270
<dir>\_READ_THI$_FILE_<random, matching [A-F0-9]{4,8}>_.jpeg 270

ファイルのハッシュ値

00b2a9bc73d10c724220de847c99f8756dcc86a245bd3b4e0f995510656f788f
00c7a7771f1f91494ead2115edc791ca35af078b929f91b408b9f11006cf83b5
0181a14708d21ce9ed344d796561e1359528949b1b09dbdc6ad9bad98988dfad
02444554961bc3b4ba3a6c8e2e85266cac482acdc0d6e2777187ef746ca1aacc
02cb2d24044d09e98c92869e78844f8b1a598410acf7573a5b5ea0f0714fff69
03b3e35f1183d76c14f9d8fbdf17b87b4e0334483e1a51f465fc97de6d607c45
03f719cc549c461a71c1d8f7889792d2f54ef571f8082abd8cdb00613d913d0e
04e8daa018dca72480648ab5a8c9de4491921e3250fa5a1cdf9ddea234dd1d81
05bca297ce941c298c72004a3e9b6567053e740967040e635b3ba3f3fa03d626
0833239e1520b5c9980f4c096f1081164501563df78dfcf3b710f4a203b53286
086166e0e02f55dd55f88dd6c974d3ea173db043f019c406e71e1882170ff1dd
088c4bfac4fec6b1a436613ac926e56d9535eca28f582ecb1bb9e80c8796ebbd
08c7f732210c4937cb948e29e2d222e915fb6d254a7ea6ee5838560dc734728c
0a33fe6dec023f8a23080a63292ae48bd0df5e650f95834f6f9d6481347526c1
0b0976ec5ee4160920f92f3b8a694f9fa4bce913830f528d899b9387ddacf594
0b7f32eaa6873c4802aa6d52fba60bb9d9121b3901d271fc4766d451f34009ad
0c07020e2cba9d84d45e0014618d42d85dd13c274aa80d8cefa961f9748ef875
0da012fc6f89c175ca4693e89c576a43195818f1becefbf281e6d822d0bd1995
0de70bd123d23b51d29279e8b3b6c13028b0a119d5eb4356e35111c7f2a533ea
0f0131f7938c6e69dd178fd43b3ffbd29615054c8841c5e44a022ff4f096c8f1
0f2a33db939580a739ddc4fa7cceaa29720305645b9b830d3f54555e8479caad
114f9dab0eb8023b81dd818503eac74386634900ab2b47b6768254d6424b3b4e
11b048fc725ceece2e24c5854c034abe891346af56e68b8d7ca4fabb6fc183e5
11c097a24e5eb0258824c2a5f7c31583249028dfde0762bc058a93946ae34bb2
11d27031aa8515af44fe76345881d5c3fca5f44429187d592cba786f14a72800

* IOC の詳細については JSON を参照してください

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.Tofsee-9994178-0

侵害の兆候

  • 動的分析により 84 個のサンプルから収集された IOC（脅威の兆候）
マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
193[.]233[.]20[.]31 84

 

作成されたファイルやディレクトリ 発生回数
%LOCALAPPDATA%\Yandex 84
%LOCALAPPDATA%\Yandex\YaAddon 84

ファイルのハッシュ値

0470c3c5b735b2c1b5b07a833941ef7e9ac9fc8333c12750b88252b7a9d8876b
070338b01517f677407a63d124b8c049726a0e492416353bf50fa6ed7b20a0c7
0e843a71040bf57a24197afd129c26ca5065db2bbc0e3540626199f129b4ccd7
17369e3c91a3461e439832e1912b984c4e0bc1526ce48f6c2a7937565e001793
19208e193ccd5d6a10153d8d3a3f9075846ba42ec42f27a915857edc19f5dbcf
1be4e71e0c832208b940e817cf2489fcc904a2cc8bde5e12f85796039001e5d8
1eb5a9d34f001ece2d934d6759b92e57e3aceca91d93d76b86b423126bf29f8a
32c082e92a74b3ef0c29663cac017adcdb99fa86c92d75b95b67260480d1f261
349108a8623e59e3baee540b25a123a20c338b70a2a910da5900bb77e4619d21
3e1f8463cc20fdbce750170e1031074c1ec3f90482c2f05d55874d8510b039f8
40e48e71e057fa7159cc542572b2f54c25b2e7b43773eae757fd9f58cad303ef
437cfd2d9e2097f1bf9498be0df782dc03617eaf47d6f0daa5addf5bbbce9a9e
478ac6974c3766ee57e79ce003746f6b66b43cfc4c41cacca4ca0c78c9f6cc32
4ace3dd384423c110374abc61995c48618cb445c031ccdf6fd30cff5658968cc
4cb3253cb09d4765129b3379abae653a36da1db27b3dfc864606687523900cb1
4db03abd586331ffe27b89bf781ff665675a8d81259984c5a58e0a39e449b417
4f38c1bfa2a03d4e8b15ee2b3b85abbc667cf26394f8eb99e8217b3b3611ed25
4f6fe789af662e534743301d78f6b99baf0db39a542ea863e04511b99e4e261b
541ee37ecc69c60dca2c48e0e7990e2c7855cd709157896cc92e677d8484217c
543b84ef95aaf61436fc96073079a9ecfad60e55e77fc344f158d8426813dc37
5a1a019c8d099f5ba8a1a00e3ddca09f846db3af7e85f0312ca33df6cca6894a
5bc939edc308a59117f64c60b0897994a81d0d647b467a02558c31af281431f3
601a19783f711defe03791f2b6b628d7488528ebe1d66b20e460d468ca888eeb
691fd63aa95063cdeeb6e0b8c4b8be80713bebadd51fae4d9cb1de8d6509b2aa
726fef5283dd616e36f64ea50a8afc33726265ed60574f796546b3c0d30b4df8

* IOC の詳細については JSON を参照してください

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.Formbook-9994385-0

侵害の兆候

  • 動的分析により 28 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.IMAADPCM
値の名前：fdwSupport		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.IMAADPCM
値の名前：cFormatTags		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.IMAADPCM
値の名前：aFormatTagCache		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.IMAADPCM
値の名前：cFilterTags		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.MSG711
値の名前：fdwSupport		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.MSG711
値の名前：cFormatTags		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.MSG711
値の名前：aFormatTagCache		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.MSG711
値の名前：cFilterTags		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.MSGSM610
値の名前：fdwSupport		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.MSGSM610
値の名前：cFormatTags		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.MSGSM610
値の名前：aFormatTagCache		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\AUDIOCOMPRESSIONMANAGER\
DRIVERCACHE\MSACM.MSGSM610
値の名前：cFilterTags		 12

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
85[.]214[.]22[.]208 12

 

作成されたファイルやディレクトリ 発生回数
%LOCALAPPDATA%\SbmsftwVp 23
%LOCALAPPDATA%\SbmsftwVp\taskhost32.exe 9
%LOCALAPPDATA%\SbmsftwVp\system32.exe 8
%LOCALAPPDATA%\SbmsftwVp\Space.o9k 6
%LOCALAPPDATA%\SbmsftwVp\pcons.o9k 6
%LOCALAPPDATA%\SbmsftwVp\prova.o9k 5
%LOCALAPPDATA%\SbmsftwVp\chrome.exe 5
%LOCALAPPDATA%\SbmsftwVp\sc.o9k 2
%LOCALAPPDATA%\SbmsftwVp\chrome32.exe 1
%LOCALAPPDATA%\SbmsftwVp\pcons.au3 1
%LOCALAPPDATA%\SbmsftwVp\Usertemp.txt 1
%LOCALAPPDATA%\SbmsftwVp\Istat Febbraio 2019.zip 1
%LOCALAPPDATA%\SbmsftwVp\Usertemp.jpeg 1

ファイルのハッシュ値
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* IOC の詳細については JSON を参照してください

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.Kovter-9994588-1

侵害の兆候

  • 動的分析により 20 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKLM>\SOFTWARE\POLICIES\MICROSOFT\WINDOWS\WINDOWSUPDATE
値の名前：DisableOSUpgrade		 20
<HKLM>\SOFTWARE\POLICIES\MICROSOFT\WINDOWS\WINDOWSUPDATE\OSUPGRADE
値の名前：ReservationsAllowed		 20
<HKLM>\SOFTWARE\WOW6432NODE\3A91C13AB1
値の名前：96f717b3		 20
<HKCU>\SOFTWARE\3A91C13AB1
値の名前：96f717b3		 20
<HKLM>\SOFTWARE\WOW6432NODE\3A91C13AB1
値の名前：656f27d6		 20
<HKCU>\SOFTWARE\3A91C13AB1
値の名前：656f27d6		 20
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN 20
<HKLM>\SOFTWARE\POLICIES\MICROSOFT\WINDOWS\WINDOWSUPDATE 20
<HKCU>\SOFTWARE\3A91C13AB1 20
<HKLM>\SOFTWARE\WOW6432NODE\3A91C13AB1 20
<HKLM>\SOFTWARE\POLICIES\MICROSOFT\WINDOWS\WINDOWSUPDATE\OSUPGRADE 20
<HKLM>\SOFTWARE\WOW6432NODE\3A91C13AB1
値の名前：01b2a448		 12
<HKCU>\SOFTWARE\3A91C13AB1
値の名前：01b2a448		 12
<HKLM>\SOFTWARE\WOW6432NODE\B1941377BA1C30B46D65 2
<HKLM>\SOFTWARE\WOW6432NODE\BOPM5S 2
<HKLM>\SOFTWARE\WOW6432NODE\B1941377BA1C30B46D65
値の名前：FD99B600636C23EE61F		 2
<HKLM>\SOFTWARE\WOW6432NODE\BOPM5S
値の名前：ugLIgu		 2
<HKLM>\SOFTWARE\WOW6432NODE\BOPM5S
値の名前：b9yMBZ0		 2
<HKCR>\BGWJJ9Q 2
<HKCR>\BGWJJ9Q\SHELL 2
<HKCR>\BGWJJ9Q\SHELL\OPEN 2
<HKCR>\BGWJJ9Q\SHELL\OPEN\COMMAND 2
<HKCR>\.KDPZPKZ04 2
<HKCR>\BGWJJ9Q\SHELL\OPEN\COMMAND 2
<HKCR>\.KDPZPKZ04 2

 

ミューテックス 発生回数
EA4EC370D1E573DA 20
A83BAA13F950654C 20
Global\7A7146875A8CDE1E 20
B3E8F6F86CDD9D8B 20

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
25[.]184[.]178[.]209 2
65[.]61[.]21[.]126 2
33[.]59[.]53[.]75 2
148[.]95[.]103[.]157 2
208[.]83[.]179[.]177 2
216[.]141[.]67[.]221 2
33[.]9[.]30[.]178 2
214[.]113[.]157[.]33 2
128[.]196[.]44[.]189 2
106[.]167[.]173[.]107 2
124[.]79[.]107[.]172 2
78[.]178[.]65[.]24 2
43[.]210[.]195[.]200 2
29[.]196[.]11[.]208 2
123[.]75[.]123[.]182 2
208[.]102[.]210[.]101 2
193[.]94[.]77[.]253 2
172[.]49[.]78[.]21 2
8[.]47[.]183[.]57 2
108[.]7[.]213[.]243 2
145[.]55[.]254[.]153 2
184[.]181[.]140[.]89 2
34[.]32[.]121[.]51 2
115[.]68[.]254[.]111 2
159[.]177[.]136[.]205 2

* IOC の詳細については JSON を参照してください

作成されたファイルやディレクトリ 発生回数
%LOCALAPPDATA%\<random, matching ‘[a-z0-9]{3,7}’> 20
%LOCALAPPDATA%\wega\Kp45cE.kdpzPkz04 2
%LOCALAPPDATA%\hori\SwPObjKl.Nlb2FsB77 1
%LOCALAPPDATA%\ogehu\Fparl.SKiGlq 1
%LOCALAPPDATA%\vamu\w5nuC6.WGTurLb 1
%LOCALAPPDATA%\ajogy\qGuhM3.GTfDMEKB 1
%LOCALAPPDATA%\uxyda\b5AtmVw.x5QJb 1
%LOCALAPPDATA%\cezihu\xQCDfCA.2MaJY8E2C 1
%LOCALAPPDATA%\vife\cX83.5f908v 1
%LOCALAPPDATA%\oqukot\B6Jj.9dBlAf 1
%LOCALAPPDATA%\ejahu\AXBlFqTI.g8zXYu 1
%LOCALAPPDATA%\ihar\QeVvU.1bLWpC7 1
%LOCALAPPDATA%\venivi\qwYoqIq.Ebz3M 1
%LOCALAPPDATA%\ozul\2ZQDlBeW.fDMBBQqb 1
%LOCALAPPDATA%\jazy\pyBDe3A.bVyh1t 1
%LOCALAPPDATA%\itoxan\9SqRjetq.xI40Zyq24 1
%LOCALAPPDATA%\ilet\9G3Co.vEXWb4JxN 1
%LOCALAPPDATA%\ubil\lTWPpC.foeSI81b 1
%LOCALAPPDATA%\uryfip\083ieXW5.S3s2vE 1
%LOCALAPPDATA%\apejer\xNSKBdUF.Wk2F8ZHc 1

ファイルのハッシュ値

05b59f2d2f563bec3929440f1934a0e38368e2d2a9846a04c4e23097f72a4bb2
1345a0c98f9346ad900072aaeba96b760d26fc4b7e8ed89950fcf41ea8340c65
24c2154b70a3ce56ccf1e42a6ee993a6e76c31ed6b4560bc7ca0247c05ccd6f6
41a82b412860774b20bf9562b453737d83f8eed41a54b87718580b38c53ff426
42029c42a98766c0ced24f34376fc46c64bf91e81f4d4a446eb883d2cec24d63
60941f0456a5def136eb637a846a0d05d6f917729faa2c015347137bc3adfd97
6ceb7ec11282ed100bbd6d155ac6950f312ff35882bf57ce6382a3e28deca1dd
7e98d8fe61e2414e89a6f8d40a7f4b2565367768e726b91cb32410e7386e9786
8492e74830e9524e07ddb11891b7c13bb88f2d0531241c878a39f3e9d509a4ac
84eee3d947706aa43cd9166b753162f807654c16fa4a956198c22f0fd3714196
8ec2235e1542206870f1176428ef361fb1e40a2f27b18a70a8bd97c6811a68b0
b93995d399154fc03b78501998173db0286b89bca3d1f25589a50100208f05ad
b9d086647099a1290d07eae291d976c2ee9783c1129ae529ee08b55184302b7d
bd1d4e24da7f0e753ecdfab3764c5ac0953c7746a67af82845435a8c3ad29c0d
bd2f685746355f614886a16466a57bd2058532b537a1f7293161b4e9f0af9ed7
c96ae9fc37071f091a7756331129930741f2c7e3452390f9f948107f181385e5
da7f437578196e4312b752fdadedc3f5c94654d6dfb3efe6cd9a01241405a8e1
ece7a983dd9e1d0fe4fd1b766f3b130ec35eb885d351ea224b2051bc08c45323
f014cc63389f1ef11379e783e0e36477741aa22bebac5addbea73ce19eaa6d63
fcba15982a854e57b6d4f65404de3ece75e38b8d4b671e67394961ec22fa6d65

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.TinyBanker-9994341-1

侵害の兆候

  • 動的分析により 15 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：DA81EF4C		 15

 

ミューテックス 発生回数
DA81EF4C 15

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
www[.]google[.]com 1
insamertojertoq[.]cc 1

 

作成されたファイルやディレクトリ 発生回数
%HOMEPATH%\AppData\LocalLow\DA81EF4C 15
%APPDATA%\DA81EF4C 15
%APPDATA%\DA81EF4C\bin.exe 15

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

UMBRELLA

MITRE ATT&CK

Win.Dropper.Emotet-9994401-0

侵害の兆候

  • 動的分析により 19 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SPECSYSTEM
値の名前：Type		 18
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SPECSYSTEM
値の名前：Start		 18
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SPECSYSTEM
値の名前：ErrorControl		 18
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SPECSYSTEM
値の名前：ImagePath		 18
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SPECSYSTEM
値の名前：DisplayName		 18
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SPECSYSTEM
値の名前：WOW64		 18
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SPECSYSTEM
値の名前：ObjectName		 18
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SPECSYSTEM
値の名前：Description		 18
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SPECSYSTEM 18

 

ミューテックス 発生回数
Global\I98B68E3C 18
Global\M98B68E3C 18
MC8D2645C 18
<random, matching [a-zA-Z0-9]{5,9}> 18

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
82[.]211[.]30[.]202 12
119[.]59[.]124[.]163 12
37[.]97[.]135[.]82 12
69[.]45[.]19[.]251 12
217[.]13[.]106[.]16 12
37[.]187[.]57[.]57 12
193[.]169[.]54[.]12 6
80[.]82[.]115[.]164 6
71[.]244[.]60[.]231 6
84[.]200[.]208[.]98 6

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.Fareit-9994421-1

侵害の兆候

  • 動的分析により 22 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SCHEDULE
値の名前：NextAtJobId		 22
<HKCU>\SOFTWARE\WINRAR 22
<HKCU>\SOFTWARE\WINRAR
値の名前：HWID		 22
<HKLM>\SAM\SAM\DOMAINS\ACCOUNT\USERS\000003E9
値の名前：F		 22
<HKLM>\SAM\SAM\DOMAINS\ACCOUNT\USERS\000001F5
値の名前：F		 22
<HKLM>\SAM\SAM\DOMAINS\ACCOUNT\USERS\000003EC
値の名前：F		 22
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\\SIGNATURES
値の名前：At1.job		 1
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\SCHEDULE\\SIGNATURES
値の名前：At1.job.fp		 1

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
splwiu[.]info 22
slepoz[.]info 22

 

作成されたファイルやディレクトリ 発生回数
%System32%\Tasks\At1 22
%SystemRoot%\Tasks\At1.job 22
%System32%\drivers\etc\hosts.sam 22
%System32%\drivers\etc\tmp.tmp 22
%TEMP%\1272824692aq 2
%TEMP%\1272825253aq 2
%TEMP%\1272824536aq 1
%TEMP%\1272824926aq 1
%TEMP%\1272822757aq 1
%TEMP%\1272824661aq 1
%TEMP%\1272823491aq 1
%TEMP%\1272824083aq 1
%TEMP%\1272822445aq 1
%TEMP%\1272822461aq 1
%TEMP%\1272822289aq 1
%TEMP%\1272822945aq 1
%TEMP%\1272832414aq 1
%TEMP%\1272825768aq 1
%TEMP%\1272822804aq 1
%TEMP%\1272824395aq 1
%TEMP%\1272822835aq 1
%TEMP%\1272825955aq 1
%TEMP%\1272826392aq 1
%TEMP%\1272826891aq 1

ファイルのハッシュ値

06d493c3c386cc9b4a79bf6210c1524f2a68096262666213e7941fc09fba692d
10dcb4196b851ee45e194f39d321a873c6d5c17b146e129ff8c231506e7e1357
16b8f159ccc693e8602b31eb7e04f47d2db91ca37848df223388915478e8990b
174ae749aa2e208acad6c027d3977d0c22d6b17045ba72ee8f707695d5cdbe85
1b97e18edea5050fc61daf4c599ba25529c0a96382468d2463cb2bb1f74f404b
200435f84a6648abb8a55ff866373bbf3a190e76e2e60ff66e77360bb303c2ec
3005bc9ea3ee984eca3179e6e87f1e6af59128889c5aa11d91b36b0ff62c00d2
4306980b56c70ee90d09e346efa9c4014ab4802ecc30c2c2f300cc410484a070
4508a96887fbfdf1d89bbf15bf1574da9a4d96abc51676848023f6ae4b5e090f
47c486a892f16b4244ada411669b9d785da83d71e2cf7bbc3e1192683cb59e68
4c96c23ece92a8ab414394a0a04402972145bce768012bb006d4622d9e46cc76
4ecf1bcae86f6a571312f5e0f2fb2387e66312c06976920daa74e9247f7fa6b1
5d611d8d139e50505c9ff71c08b3fa06824da478c5331db70e568c358b7c6036
62905eb2afc58013d38a4700d67b8607e6fdf30c68de86a50173bbfd9a870c5b
987a723c2d4c604367b28950eb7c70852c47346637123aa3f84a5d120912b583
b942e291b9b446c7940bbe8e31a8bda034337c49839ecaeb4bb03715ea8abc4e
b96194cf2dd05d226496c04a6a1307d703c3017c1a733655d4e14916668b5ddd
d736fc9cc5c87b1ce6f9addf8cdf6c19a2ccbe7a4b733efa9f06bfa237d8527a
d96cb7c1c8330b6ebaceb4025799156250450bdc1175b3a6916278ddde7186fa
e72269954fc113b52ac7be95229ad26322635621ecdf5431e3ee4bb1a6daf95f
ec5350e05ebe06c6246144e6456ae40294a5f738ee0006b4291919103b6a360c
f7e6866e63a3ffb4e3da8979a74f8c7013cad913275998ddab388353d6b8e6ed

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.DarkComet-9994524-1

侵害の兆候

  • 動的分析により 13 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN
値の名前：Policies		 13
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN
値の名前：Policies		 13
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：HKLM		 13
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：HKCU		 13
<HKCU>\SOFTWARE\REMOTE
値の名前：NewIdentification		 13
<HKCU>\SOFTWARE\REMOTE
値の名前：NewGroup		 13
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN 13
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER\RUN 13
<HKCU>\SOFTWARE\REMOTE 13
<HKCU>\SOFTWARE\REMOTE
値の名前：FirstExecution		 13
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\ACTIVE SETUP\INSTALLED COMPONENTS\{4KB410KP-K47X-F1OS-P28S-4EM4PML0P85S} 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\ACTIVE SETUP\INSTALLED COMPONENTS\{4KB410KP-K47X-F1OS-P28S-4EM4PML0P85S}
値の名前：StubPath		 12
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\ACTIVE SETUP\INSTALLED COMPONENTS\{QUESH2FS-EW8G-217P-W5KA-61WH6D6G0SHH} 1
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\ACTIVE SETUP\INSTALLED COMPONENTS\{QUESH2FS-EW8G-217P-W5KA-61WH6D6G0SHH}
値の名前：StubPath		 1

 

ミューテックス 発生回数
Administrator5 13
DGUH4X41T1IOR4 12
DGUH4X41T1IOR4Administrator15 12
DGUH4X41T1IOR4_RESTART 12
DGUH4X41T1IOR4_SAIR 12
0T13YCQ10SV7R0 1
0T13YCQ10SV7R0Administrator15 1
0T13YCQ10SV7R0_RESTART 1
0T13YCQ10SV7R0_SAIR 1

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
dfuso[.]zapto[.]org 12
koort[.]zapto[.]org 1

 

作成されたファイルやディレクトリ 発生回数
%TEMP%\Administrator7 13
%TEMP%\Administrator8 13
%APPDATA%\Administratorv1.18.0 – Trial versionlog.dat 13
%TEMP%\Administrator2.txt 13
%SystemRoot%\SysWOW64\install 13
%SystemRoot%\SysWOW64\install\server.exe 13

ファイルのハッシュ値

1737a47c7c99e14900e7c0c50634d6c2d501b3791d3378023dd7c98cdd4a2092
1dc73c05eba96649d459e39f33678f6ef6b80068f1497fbdac3c0851f367d6b2
23fcef1c2aa3aaa06fba04edd246f3d540ba33dfcb48190c2ce68eed3b10488c
28db39898aa31ff39a363061f3a1185d3d9048ae43279f4db24806fb9091342d
32141021a611a0e52a74f81e2757b91369c5b90f23b63c3446afd0413492d855
5e27228a51e84b26e0075049b3fe4da31805894ddbe3b5fa11a5782f804dc34e
7ac698b31b4350f8b330fb85af049cd5d0ec35dc0272445c3eab61a67f0ae18e
8c33791c2fad6489ac0d30ab28682b07c1603e5cce0e0fcafca6513149a852dc
b523f3a0bbdb732742d9c34538b40a23613c46a425568f4e0d92ce35a3da7ea7
d531098fe1e0c6e1c6e0aac2248d8e316462dfc52bbf1e551833d4721fd3176b
ea9d1028dadc79eadf9eadf728d6c999fa429c05bffebbdfce34d4cf6c0b68f3
f863ec84969fbf861b13999d5d1a271864edf9f54d43412ecd79c1220ea6433e
fabc2eee42dc5af4e7aa7c97e7f97bbb2b8d81b47c4272ced6d35653f956ea81

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

 

本稿は 2023 年 03 月 31 日に Talos Grouppopup_icon のブログに投稿された「Threat Roundup for March 24 to March 31popup_icon」の抄訳です。

 

Authors

Avatar

TALOS Japan

コメントを書く