# それぞれのマルウェアについて　
ブラウザの検索機能を使えばいいんですが，なるべく五十音順で書いていきたい

ケーススタディになりがち...
なるべく必要な情報だけを抽出したい；；

以下の項目についていい感じにまとめようと思います．
マルウェアの種類を分類するのあやふやだな...

<!-- タイムリーな記事にはならないので，悪性通信先などは記載していません -->

基本的にこの形式でやっていき
---
- 利用グループ(推測も含む)：
- 登場：
- 種類
- 目的：
- 感染経路
- fuga
- 通信の特徴
- hoge
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- 投稿日:yyyy/mm/dd - 発行機関名 -　タイトル

<!-- A -->
AgentTesla
---
- 利用グループ(推測も含む)：SilverTerrierとその他大勢
- 登場：
- 種類:
- 目的：情報窃取
- 感染経路：スパムメール
- 通信の特徴：
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- [投稿日:2020/04/19 - paloalto UNIT42 - 新型コロナウイルス感染症関連組織を狙うフィッシング攻撃 日本も標的に](https://unit42.paloaltonetworks.jp/covid-19-themed-cyber-attacks-target-government-and-medical-organizations/)
- [投稿日:2020/06/11 - LAC WATCH - 新型コロナウイルスに便乗したスパムメール、攻撃グループの特徴を紹介](https://www.lac.co.jp/lacwatch/report/20200611_002213.html)

Andromeda
---
- 利用グループ(推測も含む)：
- 登場：
- 種類
- 目的：
- 感染経路
- fuga
- 通信の特徴
- hoge
- アンチデバッグ：
- 永続性：
- その他：
- domain：disorderstatus[.]ru

参考資料
- 投稿日:yyyy/mm/dd - 発行機関名 -　タイトル
- 投稿日：????/??/?? - avast - [Andromeda under the microscope](https://blog.avast.com/andromeda-under-the-microscope)

<!-- B -->
Babuk ransomware
---
- 利用グループ(推測も含む)：
- 登場：2021
- 種類
- 目的：
- 感染経路
- fuga
- 通信の特徴
- hoge
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- 投稿日:2021/02/23 - macfee -　[Babuk Ransomware](https://www.mcafee.com/blogs/other-blogs/mcafee-labs/babuk-ransomware/)

BazarLoader
---
- 利用グループ(推測も含む)：
- 登場：2020/04
- 種類：ローダー・バックドア
- 目的：情報窃取
- 感染経路
- フィッシングメール
- 悪意のある添付ファイル
- 本文中のリンク
- 通信の特徴
- EmerDNS(.bazar)ドメインを利用
- アンチデバッグ：
- 必要時にAIPを解決(AIPのハッシュ値とモジュールのインデックスから動的に解決する)
- ASM code obfuscation
- 文字列の暗号化(というよりstack strings 寄り)
- 永続性
- Startupフォルダの利用
- 検出回避
- 認証局の信頼を悪用し検出回避
- メモリ上で動作するファイルレス性
- その他：

参考資料
- 2020/04/27 - Trend Micro - [Group Behind TrickBot Spreads Fileless BazarBackdoor](https://www.trendmicro.com/vinfo/es/security/news/cybercrime-and-digital-threats/group-behind-trickbot-spreads-fileless-bazarbackdoor)
- 2020/08/06 - Cyberreason - [Bazarマルウェア：Team9の開発サイクルを追跡](https://www.cybereason.co.jp/blog/cyberattack/5103/)
- 2021/02/21 FORTINET - [New Bazar Trojan Variant is Being Spread in Recent Phishing Campaign – Part I](https://www.fortinet.com/blog/threat-research/new-bazar-trojan-variant-is-being-spread-in-recent-phishing-campaign-part-I)
-
<!-- C -->
Conficker
---
- 利用グループ(推測も含む)：
- 登場：2008~
- 種類：ワーム
- 目的：
- 感染経路
- MS08-067(CVE-2008-4250)の脆弱性を利用した感染
- 共有ネットワークフォルダを介した感染(亜種から)
- リムーバブルドライブ(USBとか)を介した感染(亜種から)
- 通信の特徴
- 445/tcpへの通信が大量に発生する
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- [投稿日:????/??/?? - SNAS - The Conficker Worm](https://www.sans.org/security-resources/malwarefaq/conficker-worm)
- [投稿日:2009上半期 - IPA - 情報セキュリティ技術動向調査（2009 年上期）6 大規模感染型マルウェアConfickerの動向調査とダークネット観測事例](https://www.ipa.go.jp/security/fy21/reports/tech1-tg/a_06.html)

<!-- E -->
Emotet
---
- 利用グループ(推測も含む)：
- 登場：2014~
- 種類：
- 目的：情報窃取，ほかのマルウェアへの二次感染
- 感染経路
- スパムメール(返信型も)
- パスワード付きのzipファイルの添付(パスワードは本文中に記載)
- SMBの脆弱性により横展開
- 通信の特徴
- 7080番ポートなどの普段使われないポートが使われいてる
- C2サーバの接続先情報が暗号化しハードコードされている検体もあり，順番に接続を試みている
- Cookieヘッダを利用して感染端末の情報を漏洩している
- アンチデバッグ
- プロセスリストなどのC2サーバ側へ送ることで，解析環境と判断することをC2サーバ側がしている
- 永続性
- 起動時に自動で実行されるようにレジストリキーを設定（HKCU￥Software\Microsoft\Windows\CurrentVersion\Runに値を設定する）
- ほかのプロセスに対してコードを挿入
- その他：エモいなぁ～～

参考資料
- [投稿日:2018/12/25 - MBSD Blog - 流行マルウェア「EMOTET」の内部構造を紐解く](https://www.mbsd.jp/blog/20181225_2.html)
- [投稿日:2019/12/02 - IPA - 「Emotet」と呼ばれるウイルスへの感染を狙うメールについて](https://www.ipa.go.jp/security/announce/20191202.html)
- [投稿日:2020/01/23 - US-CERT alerts - Alert (TA18-201A) Emotet Malware](https://us-cert.cisa.gov/ncas/alerts/TA18-201A)
- [投稿日:2020/09/04 - JPCERT/CC - マルウェア Emotet の感染拡大および新たな攻撃手法について ](https://www.jpcert.or.jp/newsflash/2020090401.html)
- [投稿日:2021/02/22 - JPCERT/CC - マルウェアEmotetのテイクダウンと感染端末に対する通知](https://blogs.jpcert.or.jp/ja/2021/02/emotet-notice.html)

<!-- F -->
FormBook
---
- 利用グループ(推測も含む)：
- 登場：2016~
- 種類：Stealer
- 目的：情報窃取
- 感染経路
- 悪意のある文書ファイル(PDF,Doc,XLS)
- アーカイブファイルなど
- 通信の特徴
- hoge
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- 2017/10/05 - Fireeye - [Significant FormBook Distribution Campaigns Impacting the U.S. and South Korea](https://www.fireeye.com/blog/threat-research/2017/10/formbook-malware-distribution-campaigns.html)
-

<!-- H -->
Hive
---
- 利用グループ(推測も含む)：
- 登場：2021/06
- 種類：Ransomware
- 目的：
- 感染経路
- fuga
- 通信の特徴
- Tor Domain : hxxp://hiveleakdbtnp76ulyhi52eag6c6tyc3xw7ez7iqy6wc34gd2nekazyd[.]onion/
- アンチデバッグ：
- 永続性：
- その他：
- 暗号化されたファイルの拡張子は.hive

参考資料
- 2021/08/25 - FBI - [FBI FLASH](https://www.ic3.gov/Media/News/2021/210825.pdf)

<!-- I -->
IcedID
---

- 利用グループ(推測も含む)：Shathak(TA551)
- 登場：2017~
- 種類：banking Trojan, Loader
- 目的：情報窃取
- 感染経路
- スパムメール(実際にやり取りされたメールを窃取し再利用することも＝返信型)
- URLから直接DL

参考資料
- 2020/11/9 - TREND MICRO -　[「EMOTET」後のメール脅威状況：「IcedID」および「BazarCall」が3月に急増](https://blog.trendmicro.co.jp/archives/27732)
- 2020/11/12 - macnica networks - [IceID /IcedIDマルウェアへの対応について](https://mnc.macnica.net/2020/11/iceid.html)
- 2021/4/28 - TREND MICRO -
[「EMOTET」に続き「IcedID」の攻撃が本格化の兆し、パスワード付き圧縮ファイルに注意](https://blog.trendmicro.co.jp/archives/26656)

<!-- L -->

LockBit
---
- 利用グループ(推測も含む)：
- 登場：
- 種類
- 目的：
- 感染経路
- fuga
- 通信の特徴
- hoge
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- 2021/08/25 - TREDN MICRO -　[「LockBit 2.0」のランサムウェア攻撃が拡大中。日本にも被害を及ぼす攻撃活動を解説](https://blog.trendmicro.co.jp/archives/28572)
- 2021/10/19 - MBSD - [ランサムウェア「LockBit2.0」の内部構造を紐解く](https://www.mbsd.jp/research/20211019/blog/)
-
<!-- P -->
PhotoMiner
---
- 利用グループ(推測も含む)：
- 登場：
- 種類：ワーム、コインマイナー
- 目的：
- 感染経路
- 脆弱なFTPサーバ
- 改ざんされたWebサイト
- 通信の特徴
- asdf
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- ????/??/?? - guardicore - [The PhotoMiner Campaign](https://www.guardicore.com/labs/the-photominer-campaign/)

<!-- Q -->
QakBot Qbot
---
- 利用グループ(推測も含む)：
- 登場：2007~
- 種類：Banking Trojan
- 目的：情報窃取
- 感染経路
- メール
- 通信の特徴
- PNGにGET リクエストを飛ばすが、PNGの実態は実行形式のバイナリ(?)
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- 2021/09/02 - Kaspersky - [QakBot technical analysis](https://securelist.com/qakbot-technical-analysis/103931/)

<!-- R -->
Raccoon
---
- 利用グループ(推測も含む)：
- 登場：2019~
- 目的：情報窃取
- 種類：
- 感染経路：スパムメール，EK，フィッシングサイト，他のマルウェアから
- 通信の特徴
- Google DriveのURL(format: hxxp://{ip}/gate/log.php)にアクセスし設定情報を記録する
- データ流出用のURL(format: hxxp://{ip}/file_hander/file[.]php)に接続する
- Googleからの正規のトラフィックに偽るためにGoogle Cloud Serviceにホストされている(すべてではない)
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- 2020/05/31 - TREND MICRO - [Raccoon Stealer’s Abuse of Google Cloud Services and Multiple Delivery Techniques](https://blog.trendmicro.com/trendlabs-security-intelligence/raccoon-stealers-abuse-of-google-cloud-services-and-multiple-delivery-techniques/)

RemcosRAT
---
- 利用グループ(推測も含む)：
- 登場：
- 種類
- 目的：
- 感染経路：
- 通信の特徴：
- アンチデバッグ：
- 永続性：
- その他：

参考資料
-[]()

<!-- X -->
XMRig
---
- 利用グループ(推測も含む)：
- 登場：2021~?
- 種類：MinningTool
- 目的：他人のリソースを利用した仮想通貨のマイニング
- 感染経路
- SSHによる不正侵入
- 通信の特徴
- fuga
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- ????/??/?? - [セキュアワークス - 仮想通貨マイニングマルウェアの動向](https://www.secureworks.jp/resources/rp-cryptocurrency-mining-malware-landscape)
- 2021/05/20 - JPCERT/CC - [仮想通貨マイニングツールの設置を狙った攻撃](https://blogs.jpcert.or.jp/ja/2021/05/xmrig.html)

XORDDoS
---
- 利用グループ(推測も含む)：
- 登場：
- 種類：Trojan
- 目的：感染端末をボット化しDDoS
- 感染経路
- SSH/Telnetでポートスキャンを行い，ターゲットがみつかるとブルートフォースを行う
- DockerのAPIを利用する2375番ポートを利用
- 通信の特徴
- hoge
- アンチデバッグ：
- 永続性：
- その他：2375番ポートはDocker AIPで暗号化されていない未認証通信に使われる

参考資料
- 2020/10/16 - TREND MICRO - [XORDDOS Malware Information](https://success.trendmicro.com/solution/000278087)

<!-- W -->
- 利用グループ(推測も含む)：
- 登場：2018
- 種類：RAT
- 目的：
- 感染経路
- fuga
- 通信の特徴
- hoge
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- 投稿日:yyyy/mm/dd - 発行機関名 -　タイトル
- [2022/02/11 - BlackBerry - How Warzone RAT Works](https://blogs.blackberry.com/en/2021/12/threat-thursday-warzone-rat-breeds-a-litter-of-scriptkiddies)

<!-- Z -->
Zloader
---
- 利用グループ(推測も含む)：
- 登場：
- 種類：Banking Malware
- 目的：
- 感染経路：
- 通信の特徴：
- アンチデバッグ：
- 永続性：
- その他：

参考資料
- 2020/11/25 - LAC WATCH - [分析レポート：Emotetの裏で動くバンキングマルウェア「Zloader」に注意](https://www.lac.co.jp/lacwatch/people/20201106_002321.html)