2017年3月17日 Leave a Comment

3 月 6 日～ 10 日の 1 週間のマルウェアに関するまとめ

2 min read

TALOS Japan

本日の投稿では、この 1 週間で Talosが最も蔓延していると認めた脅威をまとめています。これまでのまとめ記事と同様に、この記事でも詳細な分析は目的としていません。ここでは、Talos が確認した脅威のまとめとして、脅威の主な行動特性、セキュリティ侵害の指標、そしてシスコのお客様がこれらの脅威からどのように保護されるかに焦点を当てていきます。

下記の脅威に関してここで記載する情報は、すべてを網羅しているわけではないこと、また、公開日の時点で最新のものであることに留意してください。以下の脅威に対する検出とカバレッジは、今後の脅威または脆弱性分析により更新される場合があります。最新の情報については、FireSIGHT Management Center、Snort.org、または ClamAV.net を参照してください。

Win.Virus.Virut-5898123-1

ウイルス

「Virut」はポリモーフィック型ファイルインフェクタです。ワームのような特徴があり、コンピュータに接続された外部デバイスを感染させます。C＆C サーバに接続し、バックドア機能を備えています。

侵入の痕跡

レジストリ キーの作成

HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\winlogon_RASAPI32
- 値の名前：MaxFileSize
- 値のデータ：0
HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\winlogon_RASMANCS
- 値の名前：MaxFileSize
- 値のデータ：0

レジストリ キーの変更

HKEY_CURRENT_USER\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
- 値の名前：ProxyEnable
- 変更前の値：
- 変更後の値：0
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\TRACING\WINLOGON_RASAPI32
- 値の名前：ConsoleTracingMask
- 変更前の値：
- 変更後の値：29490176E9
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\TRACING\WINLOGON_RASMANCS
- 値の名前：EnableConsoleTracing
- 変更前の値：
- 変更後の値：0
HKEY_CURRENT_USER\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS\CONNECTIONS
- 値の名前：SavedLegacySettings
- 変更前の値：
- 変更後の値：Base64 content (verbose)
HKEY_CURRENT_USER\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
- 値の名前：ProxyServer
- 変更前の値：
- 変更後の値：
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\TRACING\WINLOGON_RASAPI32
- 値の名前：FileDirectory
- 変更前の値：
- 変更後の値：%windir%\tracing
HKEY_LOCAL_MACHINE\SYSTEM\CONTROLSET001\SERVICES\SHAREDACCESS\PARAMETERS\FIREWALLPOLICY\STANDARDPROFILE\AUTHORIZEDAPPLICATIONS\LIST
- 値の名前：C:\Windows\system32\winlogon.exe
- 変更前の値：
- 変更後の値：C:\Windows\system32\winlogon.exe:*:enabled:@shell32.dll,-1
HKEY_CURRENT_USER\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
- 値の名前：ProxyOverride
- 変更前の値：
- 変更後の値：
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\TRACING\WINLOGON_RASMANCS
- 値の名前：EnableFileTracing
- 変更前の値：
- 変更後の値：0
HKEY_CURRENT_USER\.DEFAULT\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS
- 値の名前：AutoConfigURL
- 変更前の値：
- 変更後の値：

Mutex の作成

Shqq

ファイルの作成

%SYSTEMROOT%\system32\drivers\etc\hosts

IP アドレス

81.111.121

ドメイン名

zief.pl

ファイルのハッシュ値

Bc11480f1900f19229113e575f4b46c4036b9b273154ee99e0e39811f4cc1a67
95435becfd04b78d802007b89c05430961e7a73f9b042c2dbd0f3eac1e964323
A81039813c7d6b4ea098e9cbeee6063b240cd2475622b8ebe0a3c3ce906924c5
87e0d38d7cd7863ec43cfcc81a439b9edeb45cd7e9080b045a16bfc648383d39
6ff496d70284e2308caf6024da5faff8322f04cb81b317d747244fe5e24a3b6c
c6c04fe371acec11c87b16a5e299fc72fb2c8f4636f566540df27960c996f01f
F2c8a75a1d7b7e3dca477897741619b19f946258c42364271cf19a7b0233da90
Ad7bd34ca44579e10c9aaaa8660d0f14d9861cabdbecd9847908aa2d68a16581
58a11dddfc23f9bf54580f79bfde40c930d0028c25be3d1033d178d6ccd5fa7e

カバレッジ

DETECTION ENGINES

ThreatGrid

Umbrella

Win.Ransomware.Virlock/PolyRansom

ランサムウェア

「VirLock」は、システム上で発見したファイルを暗号化するだけでなく、各ファイルの先頭に独自の改造コードを挿入することでファイルを感染させる能力も併せ持つ、ポリモーフィック型ランサムウェアです。感染したシステム上ではファイルを実行ファイルに置き換えますが、元のファイルと同じアイコンを使用し exe の拡張子を隠すことで、感染ファイルを元のファイルとして偽装します。いったん実行されるとシステムに感染し、元のファイルの内容を表示します。画面をロックして、ユーザに身代金を支払うように要求するようになります。VirLock は google.com に接続し、google.co.uk や google.au などのローカライズページにリダイレクトされるかどうかを確認しようとします。ネットワーク共有やクラウドストレージプラットフォームへの感染も試みます。これにより被害が拡大し、（感染した共有ファイルを誤って開くかもしれない）他のユーザに感染する危険性も高くなります。