APAC Gov IoC - 202005

Malicious Domain & Hash

https://pastebin.com/VYYz33h7

Attack SHA-1 (TC-0424)

SHA1

ed2febf310ae90739002b9ddb07a29d0b2c8e92462ae4a0a6dcc19cc537ddef3

3f06740b150e1fa64c501210e83e75adecd074e99fe90160912bbd2368a33be5

aa8adf96fc5a7e249a6a487faaf0ed3e00c40259fdae11d4caf47a24a9d3aaed

b7d8fcc3fb533e5e0069e00bc5a68551479e54a990bb1b658e1bd092c0507d68

2af73c8603e1d51661b0fffc09be306797558204bcbd4f95dd2dfe8363901606

cf25bdc6711a72713d80a4a860df724a79042be210930dcbfc522da72b39bb12

f0df80978b3a563077def7ba919e2f49e5883d24176e6b3371a8eef1efe2b06a

70dbb0b5562cd034c6b70a4a86a346b0f0039acf1b09f5814c42895963e12ea0

96edea8d08ab10eee86776cfb9e32b4701096d21c39dbffeb49bd638f09d726a

36107f74be98f15a45ff716e37dad70f1ff9515bc72a0a1ec583b803c220aa92

06c031f0d905cdeb0d9c172c27ae0c2d25bbf0d08db27a4aa98ec540a15306e7

b2a3172a1d676f00a62df376d8da805714553bb3221a8426f9823a8a5887daaa

a4c460b27d03daf7828f6b6db87e0ff3ee851fdb1b8654b0a778b4c34953a3dc

6775d627d99733f3f02494db7e13935b505132f43c56e7f8850c54e6627691de

a418edc5f1fb14fbf9398051225f649810fa75514ca473610be44264bf3c663c

0259d41720f7084716a3b2bbe34ac6d3021224420f81a4e839b0b3401e5ef29f

85b936960fbe5100c170b777e1647ce9f0f01e3ab9742dfc23f37cb0825b30b5

52e88433f2106cc9a3a961cd8c3d0a8939d8de28f2ef3ee8ea648534a8b036a4

ca63dbb99d9da431bf23aca80dc787df67bb01104fb9358a7813ed2fce479362

d104c3f46f8722b561da4682a596e664cebad49185eea85bd0533547cbb92760

be8eb97d8171b8c91c6bc420346f7a6d2d2f76809a667ade03c990feffadaad5

15ffbb8d382cd2ff7b0bd4c87a7c0bffd1541c2fe86865af445123bc0b770d13

55039ab48c0916a38f1ceee08ba9f9cf5f292064cf3ee6631f22becde5e74b2d

f8ee4c00a3a53206d8d37abe5ed9f4bfc210a188cd5b819d3e1f77b34504061e

d8ed4f58f8e83865be9a38a6c443e42c83554290709f29664ddf4f6e00cdd266

47e16f7db53d9adf24d193ff4d523b1bc7ae59ff8520cfa012365bdb947c96f9

1c8100aca288483d5c29dcf33df887e72513f9b1cb6d0c96045401981351307c

17d6dde8a6715b9311734cb557b76160a22e340785b3950eae23aae67b0af6a8

93f0a1fe486ad222b742e451f25f4c9219b1e0f5b4273a15ce08dd714827745a

cde45f7ff05f52b7215e4b0ea1f2f42ad9b42031e16a3be9772aa09e014bacdb

aceb27720115a63b9d47e737fd878a61c52435ea4ec86ba8e58ee744bc85c4f3

1743e1bd4176ffb62a1a0503a0d76033752f8bd34f6f09db85c2979c04bbdd29

df9200ba0d967487b9eb9627078d7faa88072c493b6d9e2b68211c14b06e9f4e

5f30aa2fe338191b972705412b8043b0a134cdb287d754771fc225f2309e82ee

36b0fa6c0da7434707e7e330f40316458c0c1edc39b80e2fe58745cd77955eb3

d3c6985d965cad5bff6075677ed8c2cafee4c3a048fb5af81b442665c76dff7b

c977ac10aa3d2250a1af39630f532184a5185f505bcd5f03ea7083a3a701a969

c00ded23530a99ce053dc63b71d99462d358b2a07ee34065b5aff489357420de

b1d48e8185d9d366dce8c723ba765d6c593b7873cb43d77335084b58bbc7cb4d

609ed51631da2defa34d58f60dc2a0f38e1574d8cf07647b844fc8b95de4bd8c

8a5cce25f1bf60e716709c724b96630b95e55cc0e488d74d60ea50ffba7d6946

15292172a83f2e7f07114693ab92753ed32311dfba7d54fe36cc7229136874d9

3596e8fa5e19e860a2029fa4ab7a4f95fadf073feb88e4f82b19a093e1e2737c

7ddbade1f4fcb48f254e7defa1ab5ec568e8ff0403693860b76870e11816aee6

ad3c0b153d5b5ba4627daa89cd2adbb18ee5831cb67feeb7394c51ebc1660f41

19690e5b862042d9011dbdd92504f5012c08d51efca36828a5e9bdfe27d88842

3fcffe9eae90ec365efb361674613ac95de50b2ccfd634c24491923f85c309a5

fe4640fefa4bef02041a771a206f9184adb38de051f0d8726c4579736fe13bb6

50f329e034db96ba254328cd1e0f588af6126c341ed92ddf4aeb96bc76835937

b556b5c077e38dcb65d21a707c19618d02e0a65ff3f9887323728ec078660cc3

9b8ec5d0c10ccdd3933b7712ba40065d1b0dd3ffa7968fb28ad426cd5eee5001

db0831e19a4e3a736ea7498dadc2d6702342f75fd8f7fbae1894ee2e9738c2b4

0439628816cabe113315751e7113a9e9f720d7e499ffdd78acbac1ed8ba35887

8e03f05ecd08cb78f37ccd92c48cd9d357c438112b85bd154e8261c19e38a56e

f06d02359666b763e189402b7fbf9dfa83ba6f4da2e7d037b3f9aebefd2d5a45

d3db1e56360b25e7f36abb822e03c18d23a19a9b5f198e16c16e06785fc8c5fa

c51bce247bee4a6f4cd2d7d45483b5b1d9b53f8cc0e04fb4f4221283e356959d

WannaRen - New Ransomware -2020/04/05

WannaRen is a new ransomware 
first seen  on internet on 2020/04/05

Bitcoin address : 

1NXTgfGprVktuokv3ZLhGCPCjcKjXbswAM

E-mail :

WannaRenemal@goat.si

IOC : 

1de73f49db23cf5cc6e06f47767f7fda

46a9f6e33810ad41615b40c26350eed8


235cca78c8765fcb5cf70a77b1ae9d02

妥協と戦術、テクニック、手順の指標

サイバー攻撃に対処するための業界の現在のアプローチは十分ではありません。これは主に、ファイアウォールなどの自動化ツールを組み合わせたウイルス対策ソリューションがサイバー脅威に対して適切であると企業を含む顧客に確信させる市場によって引き起こされます。ただし、これらのサイバー防御は、多くの場合、意欲的で意欲的な攻撃者によって簡単に回避されます。たとえば、ほとんどのウイルス対策ソフトウェアは、メモリ内のマルウェア、または攻撃者によって盗まれた正当なコード署名証明書によって署名されたマルウェアにのみ抵抗できます。同様に、悪意のあるトラフィックを偽装することにより、ファイアウォールやその他のネットワーク監視手段を迂回して、マルウェアが生成したトラフィックを監視ツールで正当またはアクセスできないように見せることができます。多くの場合、マルウェアはHTTPプロトコルを介して正常に通信し、通常のユーザーの動作を模倣します。さらに、トラフィックをエンコードまたは暗号化できるため、自動化された方法で分析することが難しくなります。最後に、これらのソリューションの一部は無料（つまりEMET）であるか、リソースが豊富な攻撃者が容易に利用できるソリューションであるため、攻撃者はゼロデイ対策を回避することさえできます。十分な動機がある限り、意欲的な攻撃者は、迂回する必要がある防御メカニズムをインストールし、悪用方法の開発が成功するまでそれらを調査できます。これらのソリューションの一部は無料（つまりEMET）であるか、リソースが豊富な攻撃者が簡単に利用できるため、攻撃者はゼロデイ対策を回避することさえできます。十分な動機がある限り、意欲的な攻撃者は、迂回する必要がある防御メカニズムをインストールし、悪用方法の開発が成功するまでそれらを調査できます。これらのソリューションの一部は無料（つまりEMET）であるか、リソースが豊富な攻撃者が簡単に利用できるため、攻撃者はゼロデイ対策を回避することさえできます。十分な動機がある限り、意欲的な攻撃者は、迂回する必要がある防御メカニズムをインストールし、悪用方法の開発が成功するまでそれらを調査できます。

業界が侵入を防ぐために使用するもう1つの方法は、事前にコンパイルされ、常に更新される危険インジケータ（IOC）のリストを使用するセキュリティソフトウェアまたはデバイスに完全に依存することです。この方法は、従来のAV / FW方法よりも包括的であり、侵入の検出でより良い結果を提供できますが、反応的であるため、まだ十分ではありません。これは、IOCは特定の感染を分析した後に記述されるため、既知の脅威に対する保護のみを提供できるためです。さらに、動機付けられた脅威の参加者はこれらのIOCにアクセスできるため、ツールを調整して将来のキャンペーンを正常に実行するために使用できます。したがって、

攻撃者が防御者によって設定された障害を回避するために必要な関連性と作業負荷が理解されると、静的IOCではなく脅威参加者とTTPを戦うことの重要性が明らかになります。さらに、攻撃者への露出の影響は、図1に示すピラミッドの各ステップで増加します。したがって、現在の方法を再設計し、攻撃を阻止するために、行動指向の検出およびインシデント対応方法を実装することが重要です。発生するか、回復がより効果的になります。

古典的なアプローチと高度で持続的な脅威のより動的で集中的な行動分析を組み合わせることにより、脅威のより包括的なプロファイルを作成し、侵害されるリスクを最小限に抑えることができます。つまり、自動セキュリティソリューションに依存する代わりに、防御側はまず敵の戦術、テクニック、手順を理解し、次にAPTなどの意欲的な攻撃者から防ぐことができる障害物を植え始める必要があります。これは、発生する攻撃を絶えず調査し、そのTTPを分析し、高度な持続的脅威アクターの考え方を理解するために青色のチームを構築してトレーニングし、青色のチームを赤色のチームと連携させて鋭くまともな状態に追いつくことで達成できます侵入の試みを検出し、防止メカニズムを実装するスキル。サイバー攻撃に対する特効薬はありませんが、敵に多大な苦痛を与えることで、防御側は侵害が成功する可能性を大幅に減らすことができます。したがって、TTPパターンを公開することは敵に最も影響を与えるため、TTPの概念を完全に理解することが重要です。