検出コンテンツ: MS Office経由でロードされたDLLの検出

[post-views]
6月 22, 2020 · 2 分で読めます
検出コンテンツ: MS Office経由でロードされたDLLの検出

フィッシング攻撃がターゲットにマルウェアを感染させる最も効果的な方法の一つであることは周知の事実です。通常、攻撃者はユーザーを説得して悪意のある文書を開かせ、マクロを有効にしたり、MS Officeの脆弱性を利用してマルウェアを展開することを期待しています。私たちは定期的にルール(1, 2, 3)を公開して、フィッシングキャンペーンや彼らが配布するマルウェアを検出しています。そして今日、欺かれたユーザーが「編集の有効化」ボタンをクリックした瞬間に攻撃を検出できるコンテンツを紹介したいと思います: https://tdm.socprime.com/tdm/info/uNiMpOIzBWK2/sIQ4znIBPeJ4_8xcPjty/?p=1#

SOC Primeチームの新しいルールは、MS Office製品を介してロードされるCOM DLLを検出します。これにより、攻撃者がCOM DLLを悪用してマルウェアをドロップする組織への攻撃の一部を特定することができます。これらは、COMを使用するスクリプトによって生成されたExcelマクロがJScriptを介してShellcodeをロードする際に悪用される可能性があります(このような攻撃を検出するにはsysmonログが必要です)。

このルールは以下のプラットフォームに対応しています:

SIEM: Azure Sentinel、ArcSight、QRadar、Splunk、ELK Stack、RSA NetWitness、Sumo Logic

EDR: Carbon Black、Elastic Endpoint

 

MITRE ATT&CK: 

戦術: 横移動、 実行

技術:コンポーネントオブジェクトモデルと分散COM(T1175)

この記事は役に立ちましたか?

いいねと共有をお願いします。
SOCプライムのDetection as Codeプラットフォームに参加してください ビジネスに最も関連する脅威の可視性を向上させるために。開始をお手伝いし、即時の価値を提供するために、今すぐSOCプライムの専門家とミーティングを予約してください。