TMMalAnalyst

Analysis of Exploit Kit,Ransomware, Banking Malware, MalSpam

[bom @bomccss]

少し前ですが、仕事でEmotetテイクダウンに関する振り返りのような寄稿をしました、という宣伝です。
Emotetの解説、国内の被害、どう対処したか、感じた課題などを書いています。少々長いですがご興味があれば。

Emotetのテイクダウンにみる日本のマルウェア対策
https://t.co/Q6LuKDdaAp

[bom @bomccss]

今は落ち着いていますが、日本に向けて返信型メールを使った #Emotet #IcedID の2つの攻撃キャンペーンの違いについてまとめました。

「返信型メールで感染する2つのマルウェア #Emotet / #IcedIDの区別 - bomb_log」 https://t.co/zWgvjDRoQ7

[Chuong Dong @cPeterr]

Got too bored yesterday, so I decided to write up a full static analysis report on #RegretLocker #Ransomware since its VHD encryption seems kinda cool. Check it out here https://t.co/Sm3b9Khto0

h/t to @VK_Intel and @malwrhunterteam for their initial tweets on this malware

[bom @bomccss]

ESETによると、昨日のavaddonに感染するメールはやはり日本のみに届いているようです。

メールは昨晩20時頃まで続いていたようです。
なお、ターゲットとなっていたのは日本の3300万のアドレスです。

[ねこさん⚡(ΦωΦ) @catnap707]

添付の.jsは、難読化されてない感じ。
#不審メール #Avaddon ＃Ransomware

https://t.co/QNhGIWNCSl

◆通信先
hxxp://217.8.117[.]63/jpr[.]exe

[TMMalAnalyst @tmmalanalyst]

Jun-09,2020(JST). MalSpam attached ZIP -> js -> infects #Avaddon #Ransomware .
Leads js file VT : https://t.co/E0SRxtibKA
Download Malware file VT : https://t.co/l4qwlzkNxq

[NTTセキュリティ @NTTSH_JP]

国内向けと思われるGh0st RATを利用した攻撃が現在もアクティブに活動していることを確認しております。感染すると以下の通信とパスワードダンプツールによる情報窃取が行なわれます。プロキシサーバーでのフィルタリングやログ調査にご活用ください。（続く）

[bom @bomccss]

EmoCheck のソースを参考にしてEmotetを見つけて停止させるサービスを登録するツール「EmoKill」がリリースされたようです。
https://t.co/QEgQ48VKuP

実際に動かすと、サービスとして登録するとすぐに
EmoKill.exeがkillしていました。
https://t.co/UDua6dM6ko

[Wayback @Ptester1187]

@sudosev @tmmalanalyst I thing you are right, the RU ip is definitely Phorpiex C2; 92.63.197[.]190
hxxp://fireflyframer.]https://t.co/k3hoVMfhpg

[TMMalAnalyst @tmmalanalyst]

Thanks your information.

[TMMalAnalyst @tmmalanalyst]

The file name suggests that, but there is no information.

[Wayback @Ptester1187]

@tmmalanalyst Is this targeting Japan?

[TMMalAnalyst @tmmalanalyst]

Feb-12,2020(JST). MalSpam attached ZIP -> VBS -> infects #Nemty #Ransomware .
Leads VBS file VT : https://t.co/OI72ncrGaw
Download Malware file VT : https://t.co/UThvCSUptG

[bom @bomccss]

残念ながら、v2.3までの対応で、v2.5は未対応のようです。
https://t.co/TZ3Ke88gdY

拡張子も変わっているようでした。
https://t.co/FNm6zF9w0Z

知らなかったですが、結構バージョンアップのスピードが早いランサムウェアのようです。
12月にはv2.2、1月にはv2.5が出ていたようです。

[TMMalAnalyst @tmmalanalyst]

Feb-08 and Feb-09,2020(JST). MalSpam attached ZIP -> VBS -> infects #Nemty #Ransomware .
Leads VBW file VT : https://t.co/dJDSiXf4HH
Download Malware file VT : https://t.co/vjTa9ryaqF

[Proofpoint @proofpoint]

URLZone top malware in Japan 🇯🇵 while #Emotet and LINE Phishing round out the landscape. https://t.co/5fJBeWVOWC

[TMMalAnalyst @tmmalanalyst]

Jun-17,2019(JST). Japanese MalSpam attached ZIP -> JavaScript -> exe -> infects #Ursnif .
Leads JavaScript file VT : https://t.co/44JrN1OWPy
Download Malware file VT : https://t.co/NHZvQqW74F

[Autumn Good @autumn_good_35]

日本にも感染端末あるようですね🧐

GoldBrute Botnet Brute Forcing 1.5 Million RDP Servers
https://t.co/76Z5BefYXQ

[EKFiddle @EKFiddle]

#EKFiddle Version 0.9.2
- Added option to defang URI
via Context menu -> URI -> Defang (copies to clipboard)
- Improved skimmer extraction
- Some UI and bug fixes
https://t.co/U67qZosp1e

[nao_sec @nao_sec]

This week, I have observed #RigEK, #GrandSoftEK, #FalloutEK, #UnderminerEK, #KaiXinEK and #SpelevoEK😅

[TMMalAnalyst @tmmalanalyst]

Jun-05,2019(JST). Japanese MalSpam attached XLS -> wmic -> PowerShell -> Download exe -> infects #Bebloh? .
Leads XLS file VT : https://t.co/Lf8voYWzbb
Download Malware file VT : https://t.co/1LUR6fPv67