TAKESAKOのブックマーク - はてなブックマーク

Emdiviを使う攻撃者の素性 | セキュリティ研究センターブログ
世間で大きく報道されているマルウェアEmdivi（エムディヴィ）やCloudyOmega（クラウディオメガ）に関連する件において、被害組織に対する非難の報道が多い一方で、本当に非難するべき対象は攻撃者であり、攻撃者に関する情報がほとんど報道されていないように見受けられます。この状況を少しでも変えるべく、弊社が把握している情報を、差支えのない範囲で共有させて頂きます。なお、この記事は、Emdiviと呼ばれるRAT（Remote Access Tool）に分類されるマルウェアに関する内容であり、今年1月の記事の続報であります。弊社が今までに捕獲したEmdiviのマルウェア検体、およびそれらの接続先であるC2サーバのホスト名とIPアドレスの相関をまとめたものが図1の通りです。黄色がマルウェアのハッシュ（ドロッパおよびRAT本体）、青色がC2サーバのホスト名、緑色がC2サーバのIPアドレスを示
TAKESAKO 2015/06/10
弊社が捕獲できたEmdivi検体（65個）について【2015年2月にコンパイルされた検体が1つしかなく、さらに春節（旧正月）の期間にコンパイルされた検体は見つかっておらず、前後の月に比較して少なくなっていることが分かり
リンク
医療費通知に偽装した攻撃（Backdoor.Emdivi）その後 | セキュリティ研究センターブログ
昨年11月に、健康保険組合になりすまし医療費通知に偽装した攻撃についての記事を書きました。その後も同種類のマルウェア（Backdoor.Emdivi）を使った攻撃がたびたび発生しているようです。そして、RATは日を追うごとにバージョンアップされています。皆様に注意喚起を促す目的で、その一部を共有したいと思います。図1のように、WordやPDFファイルを装った実行ファイル（exe）がドロッパとなっており、実行後にデコイファイルが表示される裏で、RAT本体がインストールされます。図1　WordやPDFドキュメントを装ったドロッパデコイファイルは、従来の医療費通知を装ったWordファイルだけでなく、産業フォーラムの案内、業界団体からの案内、韓国船沈没事件関連の情報を装ったWord/PDFファイル、中には打ち合わせの議事録を装ったWordファイルも確認されました。弊社で確認しているRAT検
TAKESAKO 2015/06/03
医療費通知に偽装した攻撃（Backdoor.Emdivi）その後健康保険組合になりすまし医療費通知に偽装した攻撃の後も同種類のマルウェア（Backdoor.Emdivi）を使った攻撃がたびたび発生しているようです。
リンク
マルウェア解析奮闘記　～破損マルウェアを解析せよ～ | セキュリティ研究センターブログ
５月某日、ある検体を入手しました。この時点ではマルウェアなのかどうかは不明でしたが、様々なツール（VirusTotal、サンドボックス、IDA Proなど）の解析の結果は壊れているファイルとなっており、正しい解析結果が得られませんでした。そのため、手動で解析することになりました。その解析の流れと結果を書きます。 ■バイナリエディタで目grep まずはファイルタイプの調査から開始しました。図１、バイナリエディタ見ての通り、PEファイルです。ただし、後半部分に白い線がたくさん入っていたり（NULLバイトが連なっている）、中盤が赤い（ASCIIコードが多い）割には意味のありそうな文字列は見当たらなかったりと難読化、暗号化が施されているPEファイルではないかと推測しました。ちなみにVirusTotalにアップロードした結果、検出率は5/52と低めで、ここでもファイルが壊れている旨の検知結果
TAKESAKO 2014/06/03
わかりやすい実用的目grep解説記事 →マルウェア解析奮闘記　～破損マルウェアを解析せよ～
リンク
1