不正URLへのアクセス、不正メールの受信
-
メール受信した
弊社お客様0社 URLアクセスした
弊社お客様5社 -
2024/04/03
※2024/04/03 更新
マルウェア感染させると考えられるURLを検知（2024/04/03）
■IoC（※1）
| Type: | IOC: | Signature: |
|---|---|---|
| URL | hxxp://193[.]233[.]132[.]167/lend/JSIDBWSJK[.]exe | Venom RAT |
| URL | hxxp://47[.]92[.]34[.]207/mall_100_100[.]html hxxps://43[.]136[.]13[.]96/jquery-3[.]3[.]1[.]min[.]js hxxps://43[.]136[.]81[.]17/jquery-3[.]3[.]1[.]min[.]js hxxps://45[.]182[.]189[.]102/preload hxxp://45[.]182[.]189[.]102/preload hxxp://45[.]144[.]136[.]14:50000/api/v2/getb hxxp://60[.]204[.]208[.]32:8080/g[.]pixel hxxps://js[.]msedgeupdate[.]com/visit[.]js hxxp://134[.]122[.]75[.]115:23/__utm[.]gif hxxp://47[.]93[.]63[.]179:8888/pixel[.]gif hxxp://134[.]122[.]75[.]115/cm hxxp://service-cedqvyh7-1322145958[.]sh[.]tencentapigw[.]com/__utm[.]gif hxxp://1[.]117[.]232[.]76:4880/__utm[.]gif hxxp://124[.]222[.]97[.]236:9090/cm hxxps://47[.]104[.]179[.]218/match hxxp://213[.]109[.]202[.]227/push hxxp://124[.]220[.]192[.]251/load hxxps://cs[.]xfdaili[.]com/push hxxp://115[.]159[.]50[.]50:8081/image/ hxxp://cs[.]xfdaili[.]com/ga[.]js hxxps://47[.]76[.]218[.]123/jquery-3[.]3[.]1[.]min[.]js hxxp://42[.]192[.]36[.]31:8888/load hxxp://134[.]122[.]75[.]115:26/cm hxxp://111[.]231[.]140[.]197:3333/visit[.]js hxxps://185[.]196[.]10[.]121/push hxxps://42[.]193[.]17[.]127/en_US/all[.]js hxxp://39[.]106[.]77[.]203:6666/ca hxxp://5[.]188[.]87[.]50:81/dot[.]gif hxxp://164[.]155[.]128[.]124/jquery-3[.]3[.]1[.]min[.]js hxxp://81[.]70[.]232[.]50/push hxxps://116[.]62[.]34[.]159/w/index[.]php hxxps://120[.]26[.]243[.]135:6443/updates[.]rss hxxps://81[.]70[.]232[.]50/j[.]ad hxxps://47[.]92[.]147[.]123:8443/ptj hxxps://111[.]230[.]207[.]249/feedapi/v1/newsserver/api/getpassword hxxp://60[.]204[.]171[.]143/g[.]pixel |
Cobalt Strike |
| URL | hxxps://saubere-dienste[.]de/xmlrpc[.]php hxxps://balabaksha[.]kz/xmlrpc[.]php hxxps://alcorfund[.]com/xmlrpc[.]php |
GootLoader |
| URL | hxxp://147[.]45[.]47[.]87/scripts/theme[.]js hxxps://discovus[.]com/cdn-vs/cache[.]php hxxps://discovus[.]com/help/zewmrgqnw[.]php hxxps://discovus[.]com/data[.]php hxxps://ahryssa[.]com/cdn-vs/cache[.]php hxxps://ahryssa[.]com/help/zewmrgqnw[.]php hxxps://vkfgl[.]catching[.]fishingrealinvestments[.]com/editContent hxxps://iwqm[.]schedule[.]golfballnutz[.]com/editContent hxxps://uidej[.]schedule[.]golfballnutz[.]com/editContent hxxps://cbin[.]schedule[.]golfballnutz[.]com/editContent hxxps://vczy[.]schedule[.]golfballnutz[.]com/editContent hxxps://ckzj[.]schedule[.]golfballnutz[.]com/editContent |
FAKEUPDATES |
| URL | hxxp://94[.]156[.]8[.]109/arm6 hxxp://94[.]156[.]8[.]109/arm5 hxxp://94[.]156[.]8[.]109/i686 hxxp://94[.]156[.]8[.]109/i586 hxxp://92[.]249[.]48[.]166/i686 hxxp://92[.]249[.]48[.]166/x86 hxxp://92[.]249[.]48[.]166/586 hxxp://92[.]249[.]48[.]166/dss hxxp://185[.]245[.]83[.]56/skid[.]mips hxxp://185[.]245[.]83[.]56/skid[.]x86 hxxp://185[.]245[.]83[.]56/skid[.]mpsl hxxp://92[.]249[.]48[.]166/dc hxxp://94[.]156[.]8[.]109/m68k hxxp://94[.]156[.]8[.]109/arm7 hxxp://94[.]156[.]8[.]109/ppc hxxp://94[.]156[.]8[.]109/mips hxxp://92[.]249[.]48[.]166/ppc hxxp://94[.]156[.]8[.]109/sparc hxxp://94[.]156[.]8[.]109/sh4 hxxp://92[.]249[.]48[.]166/m68k hxxp://92[.]249[.]48[.]166/sh4 hxxp://92[.]249[.]48[.]166/mipsel hxxp://141[.]98[.]7[.]37/curl hxxp://141[.]98[.]7[.]37/telnetd hxxp://141[.]98[.]7[.]37/pc hxxp://141[.]98[.]7[.]37/nano hxxp://141[.]98[.]7[.]37/var hxxp://141[.]98[.]7[.]37/ps hxxp://141[.]98[.]7[.]37/bash hxxp://141[.]98[.]7[.]37/sshd hxxp://141[.]98[.]7[.]37/tftpd hxxp://87[.]246[.]7[.]66/bins/mips hxxp://87[.]246[.]7[.]66/mips |
Bashlite |
| URL | hxxp://91[.]92[.]253[.]69/3[.]exe | LimeRAT |
| URL | hxxp://91[.]92[.]253[.]69/5[.]exe | Rhadamanthys |
| URL | hxxp://sempersim[.]su/ob/fre[.]php | LokiBot |
| URL | hxxp://210[.]246[.]215[.]82/Macro_Easy[.]exe hxxp://210[.]246[.]215[.]82/s[.]exe hxxps://specialetrt[.]online/Setup[.]exe |
AsyncRAT |
| URL | hxxp://147[.]78[.]103[.]250/CsYCpEo159[.]bin hxxp://69[.]30[.]224[.]166/max/wGvxRdxxOQ20[.]bin hxxp://69[.]30[.]224[.]166/max/Amphigaea[.]lpk hxxp://147[.]78[.]103[.]250/universalstrmforsyninger[.]snp hxxp://185[.]202[.]173[.]173/fRXTLgYyoGpqFrjIJ237[.]bin hxxp://185[.]202[.]173[.]173/XsqNGTnL78[.]bin hxxp://94[.]156[.]8[.]14/gKMOUQth43[.]bin hxxp://94[.]156[.]8[.]14/Vokalisk[.]aaf hxxp://185[.]202[.]173[.]173/sXNVw71[.]bin |
CloudEyE |
| URL | hxxps://api[.]telegram[.]org/bot6990608434:AAFDEYJZHv0Tb67P-nnKBU4QE1GBx5D_mqc/ hxxps://api[.]telegram[.]org/bot7038621823:AAHa9MA67iK2mBNbd4YfEi5o8J-APc_11vI/ hxxps://api[.]telegram[.]org/bot6949675635:AAHiegnHVw8UJH5Pq4kuR4tRfUdLLxUSP7I/ hxxps://api[.]telegram[.]org/bot7185094050:AAEzIakTU1W0ifidGC2riBJESr0QiXXKnaI/ |
Agent Tesla |
| URL | hxxps://github[.]com/baba3vme/main/raw/main/h[.]exe | Formbook |
| URL | hxxps://github[.]com/baba3vme/main/raw/main/njhor[.]exe | NjRAT |
| URL | hxxp://185[.]196[.]10[.]233/mainexec[.]exe | zgRAT |
| URL | hxxps://semikan[.]top/ZjM0NjUxNDM5MmVi/ hxxps://bavuor[.]bond/ZjM0NjUxNDM5MmVi/ |
Coper |
| URL | hxxp://210[.]246[.]215[.]82/dll[.]hta | XWorm |
| URL | hxxp://bdcvpn[.]com/images/logo2[.]jpg | Mars Stealer |
| URL | hxxp://62[.]109[.]7[.]175/dle1Update/GeneratorProtect00/linuxPrivateDownloadsProcess/toAuth/DumpMariadbbetterJavascript/PrivatephpLine/multiprotectUploads0/BaseUniversal_Windows/Cdn/Multi/6/8Wordpress/5/uploadsServercdn/Http/requestGameMultiDefaultdle[.]php hxxp://91[.]107[.]120[.]42/downloadsDump/7DownloadsJs/LowMulti/GeneratorAsyncgeneratorDatalife/To/javascript/ProcessPacket/Videoimage7/LinePollServerdatalife[.]php |
DCRat |
| URL | hxxps://catherby[.]cloud/shop/downloads/Sjtsv[.]exe | Coinminer |
| URL | hxxp://89[.]105[.]223[.]142/853aaed2e28950b2[.]php | Stealc |
| URL | hxxps://flowers4change[.]shop/current[.]exe | Lumma Stealer |
| URL | hxxp://117[.]242[.]237[.]231:58182/Mozi[.]m | Mozi |
