感染されたPCにマルウェアMFC42.DLLプロセスが沢山出てきました。v6.0でCompileしたバイナリーです。v1.71でPACKEDされております。set.rarのマルウェアは下記のファイルを保存する動きを確認しました。追加情報ですが、本件のマルウェア作り方を見たらもう一つのファイルと非常に似てますが、もっと完璧に作ってくれたそうですね。下記のバイナリー調査で説明致します。■マルウェアのバイナリー調査結果↓1.packerを使いニセRARアーカイブファイルの形を作られた。今回のpacker情報は不明です。ファイルのアイコンとファイル名を見たらpackerが使われたと間違い無いです。マルウェア行動分析調査時におかしい動きが沢山あり、私がネットワークが無効にしました。危険さが高そうなので、念のためにネットワークの環境を止めました。他の環境で行動分析調査を頼むとアプリがクラッシュしてしまいました。行動分析はコードベースの証明でやらせて頂きます。マルウェアの実行が成功されたらメモリでdll_analysis.exeプロセスが立ち上がります。%CommonFile%のダイレクトリにd1.tmp.dllファイルが保存されます。.\d1.tmp.dll」のコマンドが実行されます。MFC80.DLL、MSVCR80.dll、MSVCR80.dllのライブラリーが実行されます。周りのWindowsネットワークをスキャンする機能を確認しました。↑恐らくマルウェアのネットワーク環境のスキャン機能です。SMBのスキャン動きです、ドライブを発見されたらwindowsのautorunで感染行動がはじまるかと思います。今回Linuxのハッキング事件のレポートを書かせて頂きます。x86」、「ELFバイナリリバーシング」と「シェルコード」の絡みとなります。time」リバースエンジニアリングゼロデイが出るといつも大忙し。リバースエンジニアリングの僕らの手が回らない状態です。その↑2件を先に読んで頂ければ以下の情報をもっと理解が出来ると考えています。されているマルウェアデータが何とかPythonで...ElasticsearchのCVE-2015-1427脆弱性を狙っているマルウェアの調査をしました、書いたレポートは下記のURLに確認が出来ます。