Cisco Japan Blog

Cisco Japan Blog / 脅威リサーチ / 4 月 7 日～ 4 月 14 日における脅威のまとめ

2023年4月21日 Leave a Comment
脅威リサーチ

4 月 7 日～ 4 月 14 日における脅威のまとめ

6 min read



本日の投稿では、4 月 7 日～ 4 月 14 日の 1 週間で Talos が確認した最も蔓延している脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。脅威の主な行動特性やセキュリティ侵害の指標に焦点を当て、シスコのお客様がこれらの脅威からどのように保護されるかについて説明しています。

下記の脅威関連情報は、すべてを網羅しているわけではないこと、また公開日の時点に限り最新のものであることに留意してください。また、IOC（セキュリティ脅威の証拠や痕跡）の追跡は脅威分析のごく一部に過ぎないことにもご注意ください。単一の IOC を検出しても、それに必ずしも悪あります。最意があるとは限りません。脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合が新の情報については、Firepower Management Center、Snort.orgpopup_icon、または ClamAV.netpopup_icon をご覧ください。

本記事では、脅威カテゴリごとに 25 個の関連ファイルハッシュと最大 25 件の IOC のみを含めています。この記事に記載されている IOC と、ファイルのハッシュ値の一覧についてはこちらpopup_iconの JSON ファイルをご覧ください。MITRE ATT&CK 手口についても、脅威ごとに図示されています。図の中における手口の色が明るいほど、動的分析が行われた脅威ファイル全体で多く確認されたことを示しています。明るさは 5 段階で、最も暗いものはファイル全体で確認されなかった手口を、最も明るいものはファイル全体の 75% 以上で確認された手口を表します。

今回ご紹介する、最も蔓延している脅威は次のとおりです。

脅威名 タイプ 説明
Win.Dropper.Shiz-9995579-0 ドロッパー Shiz はリモートアクセス型トロイの木馬です。感染すると機密情報が流出する危険性があります。一般的にドロッパーを介して、または悪意のあるサイトを経由して拡散されます。
Win.Ransomware.Cerber-9995641-0 ランサムウェア Cerber は、ドキュメント、写真、データベースなどの重要なファイルを暗号化するランサムウェアです。これまではファイルを暗号化し、ファイル拡張子に「.cerber」を追加していましたが、最近のキャンペーンでは他の拡張子が使われています。
Win.Virus.Xpiro-9995713-1 ウイルス Expiro は既知のファイルインフェクタで、情報窃取型ウイルスです。デバッグ回避と分析回避により分析を妨害します。
Win.Dropper.DarkComet-9995915-1 ドロッパー DarkComet とその亜種はリモートアクセスのトロイの木馬です。感染したシステムを攻撃者が制御できるようにします。ユーザーのマシンからファイルをダウンロードする機能、感染したシステムからユーザー名とパスワードを送り返す機能、永続化と隠蔽のメカニズムを備えています。
Win.Dropper.Dridex-9995967-0 ドロッパー Dridex は、感染したマシンからログイン情報などの機密情報を窃取する、既知のバンキング型トロイの木馬です。
Win.Dropper.Kuluoz-9996010-0 ドロッパー Kuluoz（別名「Asprox」）は、リモートアクセスのモジュール式トロイの木馬です。偽のウイルス対策ソフトウェアといった他のマルウェアを後からダウンロードして実行します。Kuluoz の一般的な感染経路は、出荷通知やフライトの予約確認を装ったスパムメールです。
Win.Virus.Ramnit-9996725-0 ウイルス Ramnit は、感染したマシンで Web ブラウザのアクティビティを監視し、金融機関の Web サイトからログイン情報を収集するバンキング型トロイの木馬です。ブラウザの cookie を盗み出す機能や、一般的なウイルス対策ソフトウェアによる検出を回避する機能も備えています。
Win.Dropper.XtremeRAT-9996042-0 ドロッパー XtremeRAT は、2010 年に登場したリモートアクセス型トロイの木馬です。攻撃者はユーザーの操作に割り込んで実行中のシステムを変更できます。Delphi で記述された XtremeRAT のソースコードはインターネットに流出して以降、同様の RAT で使用されています。
Win.Dropper.TinyBanker-9996101-1 ドロッパー TinyBanker は Zusy や Tinba としても知られるトロイの木馬で、中間者攻撃（MITM）により銀行情報を窃取します。実行されると、「explorer.exe」や「winver.exe」などの正当な Windows プロセスに自身を挿入します。ユーザーが銀行の Web サイトにアクセスすると、個人情報の入力を促す偽のフォームを表示します。

脅威の内訳

Win.Dropper.Shiz-9995579-0

侵害の兆候

  • 動的分析により 26 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKLM>\SOFTWARE\MICROSOFT
値の名前：67497551a		 26
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON
値の名前：98b68e3c		 26
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON
値の名前：userinit		 26
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON
値の名前：System		 26
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINDOWS
値の名前：load		 26
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINDOWS
値の名前：run		 26
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：userinit		 26

 

ミューテックス 発生回数
Global\674972E3a 26
Global\MicrosoftSysenterGate7 26
internal_wutex_0x000004b4 26
internal_wutex_0x0000043c 26
internal_wutex_0x000004dc 26
internal_wutex_0x<random, matching [0-9a-f]{8}> 26

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
85[.]94[.]194[.]169 26
13[.]107[.]21[.]200 15

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
fobyqyhezem[.]eu 26
gacucuhumeg[.]eu 26
maxilumiriz[.]eu 26
jelojujopen[.]eu 26
qekafuqafit[.]eu 26
ryhyruqeliz[.]eu 26
kejepujajeg[.]eu 26
tufibiqunit[.]eu 26
lygumujycen[.]eu 26
xudoxijiwef[.]eu 26
pupoliqotul[.]eu 26
citahikodab[.]eu 26
direfiwahur[.]eu 26
vowypikelaf[.]eu 26
foqurowyxul[.]eu 26
nomimokubab[.]eu 26
ganovowuqur[.]eu 26
mavaxokitad[.]eu 26
jecekorosuk[.]eu 26
qexeholagav[.]eu 26
cilicofahev[.]eu 26
vojajofyced[.]eu 26
dikolobeliw[.]eu 26
fogefobunik[.]eu 26
gadurabotiw[.]eu 26

* IOC の詳細については JSON を参照してください

作成されたファイルやディレクトリ 発生回数
%TEMP%\<random, matching [A-F0-9]{1,4}>.tmp 26

ファイルのハッシュ値

068d644b9b7235586167057d266c5a1a91ae65c815e6ebf8c507a302f62dc3cf
08956248ac031ddec7e91d369383005a3e28658e5f7df2e96608ec48db350022
0e8064493dd2bdcbdbca2fe6b3b24cb2bd8ca1a986f3af91b41ef3799c8506ba
102364dee6af1ee0fd51b1c6334ffc9b98ac09ee5a4f7944479983f023f7ec7f
11fdf3b279e74b1edb4113ed0c915a0036d58c8daa0c35e01bd9b2e459a2dacb
13b48d20f75458f89fb5ffd17c78aab1da965b3adacb5a4d180e5f13742af38f
17c5296cbfe5d684c62ca1e5e42f88dcfe808f0279e28cb474ce5e12a7949ffc
1b553ace2cb8a8f52e85cd1426c88b0935875bffed100e3ab85964f08beb87a5
1f6808ef75efc5f9dd8ceefbe64419d3aee9227ea9acb284847083e1e6b4bab9
21c687d07078f7074d72c92d6f71090175c44c2ab5984c5e02c65ef2658835fb
2fd3d2a3389db1d81cc060004780951dd342aa732c040f3bbb3d1c712845ecb7
33315dd18879cc9df6e3846c8bf6c14c3e62be2df8b019bcb03a9d81e082b5c6
35e96b87fc6cf18df36cc81484646847ca82595a8bdeb9edc416114005dfcc7a
3e78983f6aebe750f0d6c68a271e181a4fab42a3ac7ee03175978efb31deab87
46479e0841295c9aecdbd689c77ea0f6ffe8dde9f711fe8a489efb3ccebec85f
46f717eb75a5f0759731fda1837e33f42e05c61ae5684d0b8b1c444395cd94b4
47e0e6e0e50be3647896c3348295a39704df29f410014c511cb473d9c3ae793d
4c7efbbc7df32938f5f78f86a4b0d06585fdc1cff20fed1cf16339815f8e7fd0
55b3ebe3ffab9d6444b3fc421dc805ead41354d24f3cd78ec54b78550cc5779e
56975c17ab0b602e247ddce9d0240e0e5b7578b457f9b4c29fb6b574c65c104a
56e291a38441d33e987f87d1fe9e14a3d0ed6c9a8ce5d657bdb2a34faf0483c0
5f57e49fbe9a4f7c1c3a6dfc26a4157b4c353ac6dcee708a6a52588ebeee6690
6041b3299179a15c0fa9d22b4a7f2d8d83e9796e580e635e99eae097f0c2ace2
659a73a75a0c3e83f51812ed3b0d68ca7bc36404b89dc4417ec56cb5f9857ea1
66415be060a7fdedd814b1ec50b69bfdecbfd4c692335e3dd1eecc4de60b219d

* IOC の詳細については JSON を参照してください

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Ransomware.Cerber-9995641-0

侵害の兆候

  • 動的分析により 73 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER
値の名前：Run		 72
<HKCU>\SOFTWARE\MICROSOFT\COMMAND PROCESSOR
値の名前：AutoRun		 72
<HKCU>\PRINTERS\DEFAULTS\{21A3D5EE-E123-244A-98A1-8E36C26EFF6D} 72
<HKCU>\PRINTERS\DEFAULTS 72
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：mshta		 3
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：mshta		 3
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：perfmon		 3
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：perfmon		 3
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：sbunattend		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：sbunattend		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：osk		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：osk		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：poqexec		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：poqexec		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：iscsicli		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：iscsicli		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：xwizard		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：xwizard		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：mfpmp		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：mfpmp		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：verifier		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：verifier		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：unlodctr		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：unlodctr		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：bootcfg		 1

 

ミューテックス 発生回数
shell.{381828AA-8B28-3374-1B67-35680555C5EF} 72
Global\44716b81-d4e0-11ed-9660-00151783c8e1 1

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
208[.]95[.]112[.]1 72
31[.]184[.]234[.]0/23 72

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
ip-api[.]com 72

 

作成されたファイルやディレクトリ 発生回数
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2} 72
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\Component_00 71
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\Component_01 71
%APPDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\perfmon.lnk 3
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\perfmon.exe 3
%System32%\Tasks\mshta 3
%APPDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\mshta.lnk 3
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\mshta.exe 3
%System32%\Tasks\perfmon 3
%APPDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\sbunattend.lnk 2
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\sbunattend.exe 2
%APPDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\xwizard.lnk 2
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\xwizard.exe 2
%APPDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\poqexec.lnk 2
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\poqexec.exe 2
%System32%\Tasks\poqexec 2
%APPDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\osk.lnk 2
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\osk.exe 2
%APPDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\verifier.lnk 2
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\verifier.exe 2
%APPDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\unlodctr.lnk 2
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\unlodctr.exe 2
%APPDATA%\Microsoft\Windows\Start Menu\Programs\StartUp\iscsicli.lnk 2
%APPDATA%\{6F885251-E36F-0FE6-9629-63208157D7A2}\iscsicli.exe 2
%System32%\Tasks\osk 2

* IOC の詳細については JSON を参照してください

ファイルのハッシュ値
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* IOC の詳細については JSON を参照してください

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Virus.Xpiro-9995713-1

侵害の兆候

  • 動的分析により 25 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER
値の名前：HideSCAHealth		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\CLR_OPTIMIZATION_V2.0.50727_32
値の名前：Type		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\CLR_OPTIMIZATION_V2.0.50727_64
値の名前：Type		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\CLR_OPTIMIZATION_V4.0.30319_32
値の名前：Type		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\CLR_OPTIMIZATION_V4.0.30319_32
値の名前：Start		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\CLR_OPTIMIZATION_V4.0.30319_64
値の名前：Type		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\CLR_OPTIMIZATION_V4.0.30319_64
値の名前：Start		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\IEETWCOLLECTORSERVICE
値の名前：Type		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\IEETWCOLLECTORSERVICE
値の名前：Start		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MOZILLAMAINTENANCE
値の名前：Type		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MOZILLAMAINTENANCE
値の名前：Start		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\OSE
値の名前：Type		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\OSE
値の名前：Start		 25
<HKLM>\SOFTWARE\POLICIES\MICROSOFT\WINDOWS\SYSTEM
値の名前：EnableSmartScreen		 25
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER\SVC\
S-1-5-21-2580483871-590521980-3826313501-500		 25
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER\SVC\
S-1-5-21-2580483871-590521980-3826313501-500
値の名前：EnableNotifications		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\CLR_OPTIMIZATION_V2.0.50727_32
値の名前：Start		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\CLR_OPTIMIZATION_V2.0.50727_64
値の名前：Start		 25
<HKLM>\SOFTWARE\MICROSOFT\.NETFRAMEWORK\V2.0.50727\NGENSERVICE\STATE
値の名前：AccumulatedWaitIdleTime		 25
<HKLM>\SOFTWARE\MICROSOFT\.NETFRAMEWORK\V2.0.50727\
NGENSERVICE\LISTENEDSTATE
値の名前：RootstoreDirty		 25
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\.NETFRAMEWORK\
V2.0.50727\NGENSERVICE\STATE
値の名前：AccumulatedWaitIdleTime		 25
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\.NETFRAMEWORK\
V2.0.50727\NGENSERVICE\LISTENEDSTATE
値の名前：RootstoreDirty		 25
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\COMSYSAPP
値の名前：Type		 24
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\COMSYSAPP
値の名前：Start		 24
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MSISERVER
値の名前：Type		 24

 

ミューテックス 発生回数
kkq-vx_mtx62 25
kkq-vx_mtx63 25
kkq-vx_mtx64 25
kkq-vx_mtx65 25
kkq-vx_mtx66 25
kkq-vx_mtx67 25
kkq-vx_mtx68 25
kkq-vx_mtx69 25
kkq-vx_mtx70 25
kkq-vx_mtx71 25
kkq-vx_mtx72 25
kkq-vx_mtx73 25
kkq-vx_mtx74 25
kkq-vx_mtx75 25
kkq-vx_mtx76 25
kkq-vx_mtx77 25
kkq-vx_mtx78 25
kkq-vx_mtx79 25
kkq-vx_mtx80 25
kkq-vx_mtx81 25
kkq-vx_mtx82 25
kkq-vx_mtx83 25
kkq-vx_mtx84 25
kkq-vx_mtx85 25
kkq-vx_mtx86 25

* IOC の詳細については JSON を参照してください

作成されたファイルやディレクトリ 発生回数
%CommonProgramFiles%\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE 25
%CommonProgramFiles(x86)%\microsoft shared\Source Engine\OSE.EXE 25
%ProgramFiles(x86)%\Microsoft Office\Office14\GROOVE.EXE 25
%ProgramFiles(x86)%\Mozilla Maintenance Service\maintenanceservice.exe 25
%SystemRoot%\Microsoft.NET\Framework64\v2.0.50727\mscorsvw.exe 25
%SystemRoot%\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe 25
%SystemRoot%\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe 25
%SystemRoot%\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe 25
%System32%\FXSSVC.exe 25
%System32%\alg.exe 25
%System32%\dllhost.exe 25
%System32%\ieetwcollector.exe 25
%System32%\msdtc.exe 25
%System32%\msiexec.exe 25
%SystemRoot%\ehome\ehrecvr.exe 25
%SystemRoot%\ehome\ehsched.exe 25
%SystemRoot%\Microsoft.NET\Framework\v2.0.50727\ngen_service.log 25
%SystemRoot%\Microsoft.NET\Framework64\v2.0.50727\ngen_service.log 25
%SystemRoot%\SysWOW64\dllhost.exe 25
%SystemRoot%\SysWOW64\msiexec.exe 25
%SystemRoot%\SysWOW64\svchost.exe 25
%SystemRoot%\Microsoft.NET\Framework\v4.0.30319\ngen_service.log 25
%SystemRoot%\Microsoft.NET\Framework\v4.0.30319\ngenservicelock.dat 25
%SystemRoot%\Microsoft.NET\Framework\v2.0.50727\ngen_service.lock 25
%SystemRoot%\Microsoft.NET\Framework\v2.0.50727\ngenservicelock.dat 25

* IOC の詳細については JSON を参照してください

ファイルのハッシュ値
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* IOC の詳細については JSON を参照してください

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.DarkComet-9995915-1

侵害の兆候

  • 動的分析により 129 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKCR>\LOCAL SETTINGS\MUICACHE\82\52C64B7E
値の名前：LanguageList		 31
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：wextract_cleanup0		 23
<HKCU>\SOFTWARE\DC3_FEXEC 15
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON
値の名前：UserInit		 10
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：winupdater		 9
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER
値の名前：AntiVirusDisableNotify		 3
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\WSCSVC
値の名前：Start		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：svchost		 2
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUNONCE
値の名前：wextract_cleanup1		 2
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN 2
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\
FIREWALLPOLICY\STANDARDPROFILE
値の名前：EnableFirewall		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\SYSTEM
値の名前：DisableTaskMgr		 1
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\
FIREWALLPOLICY\STANDARDPROFILE
値の名前：DisableNotifications		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\SYSTEM
値の名前：EnableLUA		 1
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER
値の名前：UpdatesDisableNotify		 1
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\
CURRENTVERSION\EXPLORERN
値の名前：NoControlPanel		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\SYSTEM
値の名前：DisableRegistryTools		 1
<HKU>\S-1-5-21-2580483871-590521980-3826313501-500 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：MicroUpdate		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\
POLICIES\SYSTEM		 1
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\
CURRENTVERSION		 1
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\
CURRENTVERSION\EXPLORERN		 1
<HKCU>\SOFTWARE\XENOCODE 1
<HKCU>\SOFTWARE\XENOCODE\SANDBOXCACHE 1
<HKCU>\SOFTWARE\XENOCODE\SANDBOXCACHE\31044DB3 1

 

ミューテックス 発生回数
DC_MUTEX-<random, matching [A-Z0-9]{7}> 15
_xvm_mtx_file_0xE13E6312 7
_xvm_mtx_other_0xE13E6312 7
_xvm_mtx_reg_0xE13E6312 7
__xnospawnvm_0x798 5
__xnospawnvm_0x788 4
__xnospawnvm_0x77c 4
__xnospawnvm_0x71c 4
__xnospawnvm_0x7dc 4
_xvm_mtx_file_0x213E2757 1
_xvm_mtx_file_0xF6CFE093 1
_xvm_mtx_file_0xCBE2DE5A 1
_xvm_mtx_other_0x213E2757 1
_xvm_mtx_reg_0x213E2757 1
_xvm_mtx_other_0xF6CFE093 1
_xvm_mtx_reg_0xF6CFE093 1
_xvm_mtx_other_0xCBE2DE5A 1
_xvm_mtx_reg_0xCBE2DE5A 1
_xvm_mtx_file_0x6F9EE3E5 1
_xvm_mtx_other_0x6F9EE3E5 1
_xvm_mtx_reg_0x6F9EE3E5 1
_xvm_mtx_other_0x7D909FF3 1
_xvm_mtx_reg_0x7D909FF3 1
_xvm_mtx_file_0x52131944 1
_xvm_mtx_other_0x52131944 1

* IOC の詳細については JSON を参照してください

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
199[.]59[.]243[.]223 2
78[.]159[.]131[.]80 1

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
backtrack[.]xtreemhost[.]com 2
superprova95[.]zapto[.]org 1
qwe[.]no-ip[.]info 1
redesert[.]no-ip[.]biz 1
darkcomet1[.]no-ip[.]org 1
serhat[.]no-ip[.]org 1
knightrider988[.]no-ip[.]org 1

 

作成されたファイルやディレクトリ 発生回数
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode 31
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox 31
%TEMP%\IXP000.TMP\calc.exe 16
%SystemRoot%\SysWOW64\Windupdt 8
%SystemRoot%\SysWOW64\Windupdt\winupdate.exe 8
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Native		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Native\STUBEXE		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Native\STUBEXE\@APPDATALOCAL@		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Native\STUBEXE\@APPDATALOCAL@\Temp		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Native\STUBEXE\@APPDATALOCAL@\Temp\IXP000.TMP		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Native\STUBEXE\@APPDATALOCAL@\Temp\IXP000.TMP\NOVO.exe		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Native\STUBEXE\@APPDATALOCAL@\Temp\IXP000.TMP\calc.exe		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Virtual\SXS		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Virtual\SXS\Manifests		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Virtual\SXS\Manifests\NOVO1.EXE_0x524163b09cc32d9a640e2bffb45bb10a.1.manifest		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Virtual\SXS\wextract@1.0.0.0		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Virtual\SXS\wextract@1.0.0.0\wextract.manifest		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Virtual\SXS\wextract@1.0.0.0\wextract@1.0.0.0.manifest		 7
%TEMP%\IXP000.TMP\NOVO.exe 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Native\STUBEXE\@SYSTEM@		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\2.0.1.1\
2013.11.09T18.59\Native\STUBEXE\@SYSTEM@\explorer.exe		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\
2.0.1.1		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\
2.0.1.1\2013.11.09T18.59		 7
\Device\HarddiskVolume2%LOCALAPPDATA%\Xenocode\Sandbox\bet365+HACK\
2.0.1.1\2013.11.09T18.59\Virtual		 7

* IOC の詳細については JSON を参照してください

ファイルのハッシュ値
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* IOC の詳細については JSON を参照してください

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.Dridex-9995967-0

侵害の兆候

  • 動的分析により 21 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{690D1BD7-EA98-1004-3AC9-E87553700E95} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{690D1BD7-EA98-1004-3AC9-E87553700E95}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{63FC4996-AFD5-E391-06A7-EFB6E2702561} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{63FC4996-AFD5-E391-06A7-EFB6E2702561}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{10CDDA71-B745-777B-1AF7-51696DB9BB93} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{10CDDA71-B745-777B-1AF7-51696DB9BB93}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{CFD6D5E6-02FB-7433-9261-E8E1B87CAC69} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{CFD6D5E6-02FB-7433-9261-E8E1B87CAC69}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{8BAB5812-9D02-8F14-74B1-BEDE393F8C1F} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{8BAB5812-9D02-8F14-74B1-BEDE393F8C1F}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{10DF83AD-199B-9C18-3FEF-E4ECD6A42F66} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{10DF83AD-199B-9C18-3FEF-E4ECD6A42F66}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{1AD90FE5-CE2F-E8B8-CF09-E0B1912E9542} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{1AD90FE5-CE2F-E8B8-CF09-E0B1912E9542}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{05ED06D6-F422-71CC-26B3-C9964D56F645} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{05ED06D6-F422-71CC-26B3-C9964D56F645}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{98B09642-2764-54AE-3333-D8C6CA536428} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{98B09642-2764-54AE-3333-D8C6CA536428}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{63D99860-AA40-CA79-F681-9DECBEF55447} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{63D99860-AA40-CA79-F681-9DECBEF55447}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{D4B277A3-C25E-BCDE-A054-D41AAC36394B} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{D4B277A3-C25E-BCDE-A054-D41AAC36394B}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{FE9DE6BC-A4CF-8285-E73C-DFE7A08197FE} 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{FE9DE6BC-A4CF-8285-E73C-DFE7A08197FE}\SHELLFOLDER 11
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\CLSID\{B11CF2E2-C0C2-7860-F12E-428101DCB963} 11

 

ミューテックス 発生回数
{dbad1190-816b-947c-9b01-53ef739d7edb} 21
{24d07012-9955-711c-e323-1079ebcbe1f4} 11
{616807e7-60c7-8c80-3741-36d83851a051} 11
{66a0c47d-e072-fcc3-ab91-eb5a9f75db13} 11
{ccf5ce5e-e149-8d4b-f524-b5f23ab2c424} 11

 

作成されたファイルやディレクトリ 発生回数
%APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2580483871-590521980-3826313501-500\a18ca4003deb042bbee7a40f15e1970b_d19ab989-a35f-4710-83df-7b2db7efe7c5 11
%System32%\Tasks\Ryddmbivo 10
%APPDATA%\Microsoft\Templates\LiveContent\Managed\Word Document Building Blocks\9u 1
%APPDATA%\Media Center Programs\sCUqiQ 1
%APPDATA%\Media Center Programs\HQO 1
%APPDATA%\Macromedia\Flash Player\#SharedObjects\YXTRFETG\P4 1
%APPDATA%\Media Center Programs\MZ 1
%APPDATA%\Adobe\Flash Player\AssetCache\241W6oAXo 1
%APPDATA%\Microsoft\Protect\S-1-5-21-2580483871-590521980-3826313501-500\FBQqsDe 1
%APPDATA%\Microsoft\Templates\LiveContent\Managed\SmartArt Graphics\1033\D83KuAjg3e6 1
%APPDATA%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\pGS 1
%APPDATA%\Microsoft\Windows\Recent\AutomaticDestinations\jWe3JvN 1

ファイルのハッシュ値

046da66560472fa27ee440ad8848d4d5ba5fa5d4534d259e4b075b246459d15c
123e0ab5c374db93fbb217db44ae7d5607c85c3f1b15ffb15f167bf047e82913
2a5d500bdee9f6e137e6276deeb8d6a72285df949ac1955b7dbfe1716ef180e9
344bff5395c6f9a211cb71d860b375a2b198dddbb2fe32d68e44ac6c32539038
56c3227e3308d299b95b8ca9b7929bf971a7f3db2a670ccaceb1c2340f168dce
5f128da8b7deae29b301ffd710242e13130e9dc8020d5789070f1a66f48e7997
60065bfb14cfd680b5da509a3f464b3b101a9b62475f1197a02504491b56a801
7cd473aa5b11f8cc4af2918e4521f137de198202cf72858a53e7fbbe49338994
8a0d4edd1bb511982d369e333f94dec04b2b0d1f78df10375dfd37bdafeb018b
8db547a8527970a8775240828bacd753e5abaf413dc88065a4342e224c4cc975
975afec6e6f596bb9436acc4cbad48a4d6fb199aa277333d23aa144ea6dc606c
99e54f6b23efe5743ac489f039db890502ba7124084a786fb6cf7689a11a0499
9a3f0ac74dcfb5302554ffcf5db221664db00cc9bb8c3f6bfe6332d71dd73a56
9d392b285381b6a199617e09752f65c51d2b9dd7527c040e91ab5e3089893124
a533d9e4e322325e6106498a053f7b53db0ecb8f1159477f7377b6160543d379
a7fbf5018438537c5271612847de9d2e5e98664e025882093d8f35aa27229651
d3ea351dc31b73a2f5ca3100b24f20a504ca0be7516598af09586e56d675cda3
dbe0720b69f0b0692718a588be2f51380592ce968b6ac719ca3e836ddb400f4d
e5dfddbbc2fcc7dab0d8ea0bf0cfc8b6866b324e96b9438e9cfada79f57e9243
eb97387e1cfd33b25d51b9318fbc6b67e381d91872890d46482b6943061be777
ec32a982e4ccd1c155cd482799c17dd3f46dd48b43138503d70da00ec8d33a86

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.Kuluoz-9996010-0

侵害の兆候

  • 動的分析により 82 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKCU>\SOFTWARE\<random, matching ‘[a-zA-Z0-9]{5,9}’> 82
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：ovbbsfvk		 1
<HKCU>\SOFTWARE\GJTFROFQ
値の名前：cbsfpkrb		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：pssgkcqi		 1
<HKCU>\SOFTWARE\JEMHQXXX
値の名前：druccwlb		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：ktrevmew		 1
<HKCU>\SOFTWARE\PAIBDTJC
値の名前：fsucsfhg		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：bnemqfsa		 1
<HKCU>\SOFTWARE\UHCQPKMX
値の名前：amnjftbr		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：obsmbqbq		 1
<HKCU>\SOFTWARE\FUNMLNOS
値の名前：ccxamicb		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：qribaabm		 1
<HKCU>\SOFTWARE\UVXHKNHM
値の名前：utmukwxs		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：mmfrqhhs		 1
<HKCU>\SOFTWARE\WHTNMNNO
値の名前：kgpkwloh		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：stdrvpjs		 1
<HKCU>\SOFTWARE\HLNQWSCE
値の名前：rhigfktc		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：tsmmaued		 1
<HKCU>\SOFTWARE\RPMOEQJV
値の名前：krvhkxaw		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：jftcloae		 1
<HKCU>\SOFTWARE\PFHJKKOK
値の名前：vdkdftsj		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：cjaodbtr		 1
<HKCU>\SOFTWARE\WKCBLJHG
値の名前：idalivxm		 1
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：saxixejb		 1
<HKCU>\SOFTWARE\JTESAUDU
値の名前：fddrpvdc		 1

 

ミューテックス 発生回数
aaAdministrator 82
abAdministrator 82

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
178[.]33[.]8[.]162 73
109[.]123[.]107[.]32 72
74[.]208[.]65[.]138 68
5[.]56[.]58[.]118 64
217[.]106[.]239[.]250 60
185[.]66[.]12[.]165 60
198[.]199[.]101[.]13 53

 

作成されたファイルやディレクトリ 発生回数
%LOCALAPPDATA%\<random, matching ‘[a-z]{8}’>.exe 82

ファイルのハッシュ値
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* IOC の詳細については JSON を参照してください

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Virus.Ramnit-9996725-0

侵害の兆候

  • 動的分析により 15 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER
値の名前：AntiVirusOverride		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER
値の名前：AntiVirusDisableNotify		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER
値の名前：FirewallDisableNotify		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER
値の名前：FirewallOverride		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER
値の名前：UpdatesDisableNotify		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\SECURITY CENTER
値の名前：UacDisableNotify		 15
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\SYSTEM
値の名前：EnableLUA		 15
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\
STANDARDPROFILE
値の名前：EnableFirewall		 15
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\
STANDARDPROFILE
値の名前：DoNotAllowExceptions		 15
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\
STANDARDPROFILE
値の名前：DisableNotifications		 15
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\WSCSVC
値の名前：Start		 15
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\WINDEFEND
値の名前：Start		 15
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\MPSSVC
値の名前：Start		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS NT\CURRENTVERSION
値の名前：jfghdug_ooetvtgk		 15
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：JudCsgdy		 15
<HKLM>\SYSTEM\CONTROLSET001\SERVICES\WUAUSERV
値の名前：Start		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：Windows Defender		 15
<HKLM>\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON
値の名前：Userinit		 15
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON
値の名前：Userinit		 15
<HKLM>\SOFTWARE\CLASSES\WOW6432NODE\CLSID\{10072CEC-8CC1-11D1-986E-00A0C955B42E} 15
<HKLM>\SOFTWARE\CLASSES\WOW6432NODE\CLSID\{10072CEC-8CC1-11D1-986E-00A0C955B42E}\PROGID 15
<HKLM>\SOFTWARE\CLASSES\WOW6432NODE\CLSID\{10072CEC-8CC1-11D1-986E-00A0C955B42E}\VERSIONINDEPENDENTPROGID 15
<HKLM>\SOFTWARE\CLASSES\WOW6432NODE\CLSID\{10072CEC-8CC1-11D1-986E-00A0C955B42E}\PROGRAMMABLE 15
<HKLM>\SOFTWARE\CLASSES\WOW6432NODE\CLSID\{10072CEC-8CC1-11D1-986E-00A0C955B42E}\INPROCSERVER32 15
<HKLM>\SOFTWARE\CLASSES\WOW6432NODE\CLSID\{10072CEC-8CC1-11D1-986E-00A0C955B42E}\COMPONENT CATEGORIES 15

 

ミューテックス 発生回数
{7930D12C-1D38-EB63-89CF-4C8161B79ED4} 15
{79345B6A-421F-2958-EA08-07396ADB9E27} 15

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
46[.]165[.]254[.]201 14
72[.]26[.]218[.]70 14
195[.]201[.]179[.]207 14
208[.]100[.]26[.]245 14
104[.]247[.]81[.]50 14
206[.]191[.]152[.]58 14
72[.]251[.]233[.]245 14
142[.]250[.]65[.]174 14
104[.]247[.]81[.]54 14
104[.]155[.]138[.]21 5
104[.]154[.]244[.]244 5
35[.]205[.]61[.]67 4

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
google[.]com 14
testetst[.]ru 14
mtsoexdphaqliva[.]com 14
uulwwmawqjujuuprpp[.]com 14
twuybywnrlqcf[.]com 14
wcqqjiixqutt[.]com 14
ubgjsqkad[.]com 14
iihsmkek[.]com 14
tlmmcvqvearpxq[.]com 14
flkheyxtcedehipox[.]com 14
edirhtuawurxlobk[.]com 14
tfjcwlxcjoviuvtr[.]com 14

 

作成されたファイルやディレクトリ 発生回数
%LOCALAPPDATA%\bolpidti 15
%LOCALAPPDATA%\bolpidti\judcsgdy.exe 15
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\judcsgdy.exe 15
\TEMP\w8g8q23 15

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.XtremeRAT-9996042-0

侵害の兆候

  • 動的分析により 34 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKCR>\LOCAL SETTINGS\MUICACHE\82\52C64B7E
値の名前：LanguageList		 9
<HKCU>\SOFTWARE\XTREMERAT 8
<HKCU>\SOFTWARE\XTREMERAT
値の名前：Mutex		 8
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：HKLM		 7
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：HKCU		 7
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\ACTIVE SETUP\INSTALLED COMPONENTS\{5460C4DF-B266-909E-CB58-E32B79832EB2}
値の名前：StubPath		 7
<HKLM>\SOFTWARE\WOW6432NODE\MICROSOFT\ACTIVE SETUP\INSTALLED COMPONENTS\{5460C4DF-B266-909E-CB58-E32B79832EB2} 7
<HKCU>\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{0633EE93-D776-472F-A0FF-E1416B8B2E3A}
値の名前：FaviconPath		 4
<HKCU>\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES\{0633EE93-D776-472F-A0FF-E1416B8B2E3A}
値の名前：Deleted		 4
<HKCU>\SOFTWARE\MICROSOFT\INTERNET EXPLORER\SEARCHSCOPES
値の名前：DefaultScope		 4
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXT\STATS\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} 4
<HKCR>\LOCAL SETTINGS\MUICACHE\82\52C64B7E
値の名前：@explorer.exe,-7001		 3
<HKCU>\SOFTWARE\((MUTEX))
値の名前：InstalledServer		 2
<HKCU>\SOFTWARE\((MUTEX)) 2
<HKCU>\SOFTWARE\LG3XWSUBC 2
<HKCU>\SOFTWARE\LG3XWSUBC
値の名前：InstalledServer		 2
<HKCU>\SOFTWARE\LG3XWSUBC
値の名前：ServerStarted		 2
<HKCU>\SOFTWARE\((MUTEX))
値の名前：ServerStarted		 2
<HKCU>\SOFTWARE\–((MUTEX))–
値の名前：ServerName		 1
<HKCU>\SOFTWARE\–((MUTEX))– 1
<HKCU>\SOFTWARE\YDRYS 1
<HKCU>\SOFTWARE\YDRYS
値の名前：ServerStarted		 1
<HKCU>\SOFTWARE\YDRYS
値の名前：InstalledServer		 1
<HKCU>\SOFTWARE\–((MUTEX))–
値の名前：ServerStarted		 1
<HKCU>\SOFTWARE\472JCD5PAHK2A1 1

 

ミューテックス 発生回数
Global\<random guid> 26
XTREMEUPDATE 6
–((Mutex))– 3
–((Mutex))–PERSIST 2
((Mutex)) 2
((Mutex))PERSIST 2
((Mutex))EXIT 2
lg3XwSubC 2
lg3XwSubCPERSIST 2
lg3XwSubCEXIT 2
–((Mutex))–EXIT 1
MTLr7L9MtcTpsCpM 1
ydRYs 1
ydRYsPERSIST 1
ydRYsEXIT 1
Ed3e7ynAP8WK 1
472jcD5PaHK2a1 1
Y26rKQLRp3E 1
Ed3e7ynAP8WKPERSIST 1
Y26rKQLRp3EPERSIST 1
GAFwYEaQ 1
GAFwYEaQPERSIST 1

 

マルウェアから接触があった IP アドレス（必ずしも悪意があるとは限りません） 発生回数
104[.]127[.]184[.]49 4
23[.]202[.]2[.]105 4
13[.]107[.]21[.]200 1
204[.]95[.]99[.]109 1

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
go[.]microsoft[.]com 4
www[.]bing[.]com 4
learn[.]microsoft[.]com 4
fons[.]no-ip[.]info 2
mda[.]no-ip[.]org 1
yoyo86[.]no-ip[.]biz 1
raouf-tnt[.]no-ip[.]biz 1

 

作成されたファイルやディレクトリ 発生回数
%TEMP%\x.html 10
%SystemRoot%\InstallDir 6
%SystemRoot%\InstallDir\Server.exe 4
%APPDATA%\Microsoft\Windows\((Mutex)).cfg 2
%APPDATA%\Microsoft\Windows\lg3XwSubC.cfg 2
%SystemRoot%\InstallDir\Micro.exe 2
%APPDATA%\Microsoft\Windows\lg3XwSubC.dat 2
%SystemRoot%\SysWOW64\InstallDir 1
%APPDATA%\Microsoft\Windows\–((Mutex))–.dat 1
%APPDATA%\Microsoft\Windows\.cfg 1
%APPDATA%\Microsoft\Windows\ydRYs.cfg 1
%SystemRoot%\SysWOW64\InstallDir\System.exe 1
%APPDATA%\Microsoft\Windows\ydRYs.dat 1
%APPDATA%\Microsoft\Windows\472jcD5PaHK2a1.dat 1
%SystemRoot%\InstallDir2 1
%SystemRoot%\InstallDir2\Server.exe 1

ファイルのハッシュ値
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* IOC の詳細については JSON を参照してください

カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

MITRE ATT&CK

Win.Dropper.TinyBanker-9996101-1

侵害の兆候

  • 動的分析により 12 個のサンプルから収集された IOC（脅威の兆候）
レジストリキー 発生回数
<HKCU>\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\RUN
値の名前：DA81EF4C		 12

 

ミューテックス 発生回数
DA81EF4C 12

 

マルウェアから接触があったドメイン名（必ずしも悪意があるとは限りません） 発生回数
www[.]google[.]com 4
insamertojertoq[.]cc 4

 

作成されたファイルやディレクトリ 発生回数
%HOMEPATH%\AppData\LocalLow\DA81EF4C 12
%APPDATA%\DA81EF4C 12
%APPDATA%\DA81EF4C\bin.exe 12

ファイルのハッシュ値
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カバレッジ

検出時のスクリーンショット

Secure Endpoint

Secure Malware Analytics

UMBRELLA

MITRE ATT&CK

 

本稿は 2023 年 04 月 14 日に Talos Grouppopup_icon のブログに投稿された「Threat Roundup for April 7 to April 14popup_icon」の抄訳です。

 

Authors

Avatar

TALOS Japan

コメントを書く