TVRATの日本語訳です。Enterpriseは、実行時に脅威に関する豊富な情報をキャプチャします。Enterpriseによって隔離された脅威の性質を迅速に理解できるように設計された管理インターフェイスです。Controllerに組み込まれた便利な機能やビューのいくつかをハイライトします。Enterpriseによって阻止されました。Wordでしたが、その配布方法は注目すべきもので、攻撃者が偽装した履歴書を正規の求人ポータルサイトにアップロードするというものでした。その後、この文書は、電子メールゲートウェイやウェブプロキシのセキュリティ対策をバイパスしてダウンロードされ、ターゲット組織の人事部のメンバーによって開かれました。最終的に、ダウンローダーは、感染したPCを遠隔操作し、ファイルを転送し、被害者のマイクやウェブカメラにアクセスすることができるリモートアクセス型トロイの木馬であるTVRAT(別名スパイエージェント)をダウンロードしました。よって生成されたアラートが一覧表示されます。filter(フィルタの追加)」ボタンをクリックしてテーブルにフィルタを適用することができます。アラートを整理するために、ラベルを作成してアラートに適用することもできます。Positive)またはunknown(不明)として分類した高深刻度イベントを含むアラートを抽出したフィルタを示しています。つのアラートが、このフィルタの基準に一致しています。Summary(概要)タブアラートの1つをクリックすると、ThreatビューのSummaryタブが開き、調査者が脅威を素早く理解できるようにアラートに関する情報の概要が表示されます。Summaryタブに表示されるアラートに関する情報には、以下のものが含まれます。ユーザーが脅威についてコメントできるようにするための最近の利用ログまた、Summaryタブでは、他のツールを使用して脅威を分析する必要がある場合に備えて、アラートのトリガーとなったファイル(.VMMファイル)やマイクロVMトレース(.XEVTSおよび.DEVTSファイル)を利用時にダウンロードすることができます。Controller上のThreadビューのアラートこのアラートのseverity(深刻度)は「Hight(高)」であり、このアラートは、一般的にマルウェアに関連する不審な行動がマイクロVMの存在期間中に発生したことを示しています。「Resource(リソース)」セクション(図2)には、URLとResumeGabriellaGrey.docというファイルがリストアップされています。ユーザーがウェブサイトを訪問した後、ファイルをダウンロードして開いたことを示しています。ファイル名の左側には灰色の雲のアイコンがあり、ファイルのハッシュ値が脅威クラウドによって現在認識されていないことを示しています。File(ブラックリスト対象ファイル)」セクション(図2)に記載されているwpvnetwks.exeというファイルは、脅威クラウドによって認識されています。緑の雲のアイコンで示されて、クリーンであるとマークされています。回ファイルシステムに書き込まれています。[1].dllVirusTotalなどのマルウェアリポジトリでwpvnetwks.exeのハッシュ値を調べると、このファイルはリモートアクセスツールのTeamViewerで使用されている正規のデジタル署名付き実行ファイルであることがわかります。Events(DNSイベント)」セクション(図3)では、TeamViewerインフラストラクチャに関連したドメインを含む7つの不審なDNSクエリが実行されていることがわかります。Graph(プロセス・インタラクション・グラフ)は、マイクロVMで作成されたプロセス間の親子関係を示しており、調査者が疑わしいプロセス関係を視覚的に識別できるように設計されています。Wordプロセスwinword.exeが、wpvvnetwks.exeとregsvr32.exeという2つの子プロセスを作成していることがわかります。Wordがこのプログラムを正当に実行する可能性は低いと思われます。Wordが作成したもう一つのプロセスも非常に疑わしいものです。regsvr32.exeは悪意のあるDLL(T1117)を実行するためのツールだからです。この段階では、regsvr32.exeが'ブラックリスト対象ファイル'に記載されているDLLを実行するために使用されたという合理的な仮説が成り立ちます。TeamViewerは正当なツールであるにもかかわらず、このアラートのアクティビティのサマリーは、悪意のある目的で使用された可能性が高いことを示唆しています。この評価を確認するために、他のタブのビューを使用してマイクロVMのアクティビティを詳細に検査することができます。Graph(グラフ)タブGraph(グラフ)・タブには、マイクロVMで発生したイベントがタイムライン表示され、調査者はイベントごとにアクティビティをトレースして詳細を把握することができます。左側の列でイベントをクリックすると、タイムライン上でそのイベントがハイライト表示されます。深刻度の高いイベントはピンク色の背景で表示されます。Graphビューは、深刻度の高いイベントの直前と直後に発生した活動を調べるなど、イベントのコンテキストを理解するのに役立ちます。Player\からwpvnetwks.exeを実行したときに高深刻度のイベントが発生したことがわかります。前のイベントを見ると、winword.exeはまた、regsvr32.exeを起動し、未知のDLLであるKBuGDorsqg.dllのコピーの一つを実行したことがわかります。DLLであるmsi.dllです。wpvnetwks.exeの実行後のイベントにはDLLのサイドローディング(T1073)の証拠が示されています。正当なmsi.dllの代わりに、未知のDLLの別のコピー、msi.dllがwpvnetwks.exeのプロセスにロードされています。イベントが時系列で表示され、タイプ、アクション、深刻度、名前などのプロパティに基づいてイベントをフィルタリングすることができます。図5は、プロセス実行とネットワーク・イベントのみを表示するようにフィルタリングされたBehavioralビューを示しています。接続を確認したことがわかります。morteson[.]comからダウンロードされたことが示唆されています。(176.121.14[.]139)へのDNSクエリが実行されましたが、これはコマンドアンドコントロール(C2)へのチェックインアクティビティを示しています。イベントをトレースすると、teamviewer[.]comに関連したネットワークアクティビティも表示され、wpvnetwks.exeがTeamViewerのバイナリであるという仮説を裏付ける結果となりました。Network(ネットワーク)タブNetworkビューは、マイクロVMがそのライフタイムの間に行ったすべてのネットワーク通信を一覧表示するテーブルです。セッションが確立されました。接続である可能性が高いことを示しています。Enterpriseの構成ポリシーやホスト上で実行されているソフトウェアのバージョンなど)が表示されます。この情報は、エクスプロイトがマイクロVM内にインストールされている特定のバージョンのソフトウェアにのみ影響を与えるかどうかを特定するのに関連する場合があります。存在期間中に作成または変更されたすべてのファイルを一覧表示するテーブルです。脅威クラウドが有効になっている場合、ハッシュ値に基づきファイルのレピュテーションが、既知の良好なファイル/不良なファイルのデータベースと照合されます。Player」というサブフォルダ内のユーザーのAppDataディレクトリに書き込まれていることを示しています。ハッシュ値の右にある灰色のフラグアイコンをクリックすることで、ファイルをデバイス、デバイスグループ、またはすべてのデバイスのブラックリストに登録することができます。Controllerの各種のビューを用いることで感染の各段階の特徴を把握することができ、マルウェアのC2チャネルのドメインやIPアドレスなどの侵害の痕跡(IOC)を取得することができます。一種であると特定することができます。Controllerで提示された情報により、セキュリティチームは、サンドボックスでのサンプルの再実行や、手動での分析に頼らなくても、時間と労力を節約して効率的に脅威を調査することができます。HP監訳:日本HPEmotetにお悩みの方(無料試用キャンペーン)Emotetにお悩みの方(無料試用キャンペーン)本ブログで新しい記事が掲載された際にご指定のアドレスへメールが届きます。お申込みフォームはこちら≫エンドポイントのセキュリティ対策を強化し、組織や従業員を守ることができます。