カスタマイズ可能なマルウェア検知ツールYAMA - JPCERT/CC Eyes
攻撃のファイルレス化やマルウェアの難読化が進むにつれて、ファイル単体で悪意の有無を判断することは難しくなっています。そのため、現在ではサンドボックスやAIなどを活用したマルウェア検知手法やEDRなどのマルウェア感染後の不審な挙動を検知する技術が一般化しています。それでも、インシデントレスポンスの現場ではウイルス対策ソフトでは検知できないマルウェアが見つかることが多々あります。このような未知のマルウェアが見つかると、同種のマルウェアがネットワーク内部に潜伏していることを網羅的に調査することになりますが、ウイルス対策ソフトでは検知できないため、1台ずつ手動で調査する必要があります。 このような問題を解決するためにJPCERT/CCでは、マルウェア検知をサポートする目的でYAMAというツールを作成し、公開しました。YAMAは、自身で作成したYARAルールを使用してメモリスキャンをすることが可能で
日本の製造業を狙うTickグループ - セキュリティ事業 - マクニカ
中国語圏を拠点とすると考えられている攻撃者グループTickは、活動歴史が長く2008年頃から活動しているとされています。弊社でもTickが国内で活動を継続しているのを観測しています。2020年1月には、国内でTickグループが関与している可能性があるとされるインシデント事案が報道されました。このように同グループによる攻撃が活発な状況から、改めて保有する情報を整理し公開する事でインシデント調査、対応の一助になれればと考え、本記事を記載します。 Tickとは？ Tickグループは、主に日本と韓国で活動が観測されており、これまで海洋工学、通信、電力、製造業等多くの業界をターゲットとした活動を行なっています。これまでの活動から、目的は、知的財産の窃取であると考えられています。Tickが初めて公で言及されたのは2016年で、同じ年にTickのツールの1つであるマルウェア”Daserf”についての解析
The Mac Malware of 2019 👾
📝 👾 Want to play along? All samples covered in this post are available in our malware collection. \ …just make sure not to infect yourself! \ ⌛ Background Goodbye, 2019! and hello 2020 …a new decade! 🥳 For the fourth year in a row, I’ve decided to put together a blog post that comprehensively covers all the new Mac malware that appeared during the course of the year. While the specimens may hav
MalConfScan with Cuckoo 環境を構築して Emotet を解析する - setodaNote
2023-01-10 MalConfScan 2019年4月22日頃に JPCERT/CC が github に「MalConfScan」というマルウェア解析ツールを公開しました。Volatility プラグインで、複数のマルウェアについて「設定データ」「デコードされた文字列」「DGAドメイン」を抽出できるというものです。 MalConfScan GitHub - JPCERTCC/MalConfScan: Volatility plugin for extracts configuration data of known malware MalConfScan - github 対応しているマルウェアは以下の通り。 Ursnif Emotet Smoke Loader PoisonIvy CobaltStrike NetWire PlugX RedLeaves / Himawari /
流行マルウェア「EMOTET」の内部構造を紐解く | 技術者ブログ | 三井物産セキュアディレクション株式会社
EMOTETというマルウェアは2014年にはじめて確認されて以来、様々な変化を遂げてきました。当初はオンライン銀行の認証情報窃取を主な目的としたオンラインバンキングマルウェアとして認知されていましたが、その後、様々な変更が加えられ、現在においては2014年出現当時とは全く異なる挙動や目的を持ったマルウェアとなっています。 2018年末現在、EMOTETは世界中で積極的に拡散され被害拡大が懸念されており、日本国内も例外ではなく、様々な企業へEMOTETの感染を狙った不正メールが届いている状況にあります。 そうした状況にもかかわらず、少なくとも国内においては、今のところ現在のEMOTETに関する感染から挙動に至るまでのまとまった情報が見当たりません。 そのため、今年11月～12月に実際の国内企業への攻撃で使用されたEMOTETの不正メールを元に、我々が調査した結果と現在のEMOTETの全体像を
マルウェアはこうやってPCに侵入する! - IIJがセキュリティ勉強会を開催
インターネットイニシアティブ(IIJ)はマスコミ向けのセキュリティ勉強会を開催した。昨今世界中で猛威を振るっており、日本での被害もしばしば報道される「マルウェア」による攻撃はどのように行われているのか、また対応する側はどのようにしてマルウェアの被害を特定しているのだろうか。 今回の勉強会は、IIJのセキュリティ本部に所属する4人を講師役として行われた。このうち、IIJが誇るセキュリティオペレーションセンター(SOC)のセンター長である野間祐介氏を除く3人は、日本人として初めて、国際的なITセキュリティカンファレンスである「Black Hat USA」で講師役を勤めるアナリストだ。セキュリティにおいて、これほど精通した人材はなかなかいないだろう。ちなみにSOCはIIJ内でセキュリティサービスを提供している部署であり、厳重なセキュリティで守られたセンターから365日・24時間ネットワークを監視
解析環境：マルウェア解析用の仮想環境の構築についての解説記事 - setodaNote
2023-01-10 OALabs Malware Analysis Virtual Machine https://oalabs.openanalysis.net/2018/07/16/oalabs_malware_analysis_virtual_machine/ （2023/01/10：削除されていました。） マルウェア解析用の仮想環境の構築についての解説記事。 VMの入手、OSの入手などなど。 そういえばこういった解説記事はあまりないかも。 解析に利用するツール群も紹介されている。 Checksum 7zip Process Explorer Resource Hacker HxD Sublime Text 3 Google Chrome PEBear LordPE x64dbg (x32dbg) Python2 strings.py Document Tools The foll
Free Malware Sample Sources for Researchers
Malware researchers frequently seek malware samples to analyze threat techniques and develop defenses. In addition to downloading samples from known malicious URLs, researchers can obtain malware samples from the following free sources: ANY.RUN: Registration required Contagio Malware Dump: Curated, password required CAPE Sandbox: Registration required Das Malwerk Hatching Triage: Registration requ
Botnets never Die, Satori REFUSES to Fade Away | Qihoo 360 Netlab
Two days ago, on 2018-06-14, we noticed that an updated Satori botnet began to perform network wide scan looking for uc-httpd 1.0.0 devices. Most likely for the vulnerability of XiongMai uc-httpd 1.0.0 (CVE-2018-10088). The scanning activities led to a surge in scanning traffic on ports 80 and 8000. About three hours ago, as we were writing this article, the Satori author released yet another upda
マルウェア解析奮闘記: コマンド実行のエラー文が日本語でないと動作しないマルウェア | セキュリティ研究センターブログ
要約 Windows OSが日本語設定である場合のみ次のステージに進むマルウェアを観測しました。 このマルウェアの日本語設定の確認方法として、コマンドのエラー文を用いるという過去見られなかった手口が利用されていました。 マルウェア概要 弊社では領収証に偽装したマクロが付いたWordドキュメントファイルを用いた攻撃を観測しました。この攻撃で利用されたマルウェアの動作に過去見られなかった手口が存在しました。本記事ではその手口について解説いたします。 このWordドキュメントファイルは「領収証.doc」という名前でメールを用いてユーザーに配送されました。この「領収証.doc」を開くと、マクロを有効にすることを促す文面が表示されます。 図 「領収証.doc」を開いたところ マクロを有効にすると以下のようなエラーダイアログが表示されます。 図 「領収証.doc」のマクロを有効にした際のエラーダイアロ
セキュリティキャンプWS「The Anatomy of Malware - Complete Edition -」に参加してきた。 - Twitterに書ききれないこと
概要 セキュリティキャンプWSは地方大会、全国大会限定の勉強会みたいな感じ。 今回は2017年の全国大会で人気講義だったSecureWorksの中津留さんのマルウェアの静的解析に関する講義（をさらにバージョンアップしたもの）「The Anatomy of Malware - Complete Edition -」が開催された。 事前課題として2015年に中津留さんが実施した講義の課題をやってくるように言われていた。 セキュリティ・キャンプ全国大会2015でのマルウエア分析講義(2015-09-10) ↑マルウェア解析入門として最高の資料が公開されているのが非常にありがたい。 プロがコメント付け＋修正したIDBもある 課題に対するフィードバック 受講生が提出したidbのいいところについてフィードバックがあった。 もっと気をつけないといけないなと思った点をメモっておく。 関数コメント（先頭のや
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Evasion techniques
Hyara
Free OALabs Malware Analysis Virtual Machine
flare-vm/README.md at main · mandiant/flare-vm
Roaming Mantis uses DNS hijacking to infect Android smartphones