脅威ハンティングルール: DoHを介した可能性のあるC2接続

[post-views]
8月 19, 2020 · 3 分で読めます
脅威ハンティングルール: DoHを介した可能性のあるC2接続

最初のマルウェアが DNS-over-HTTPS (DoH) を控えめに利用してコマンド＆コントロールインフラストラクチャのIPを取得するようになってから1年が経ちます。セキュリティ研究者たちは、これが深刻な問題になる可能性があるとすでに警告しており、そのような悪意あるトラフィックを検出する助けとなる解決策を探し始めました。ますます多くの マルウェアがDoHトラフィックに切り替えてきています、このプロトコルはChromeとOperaで使用でき、Mozillaはすでに米国のユーザーに対してデフォルトでこの機能を有効にしています。 マルウェアが そして今、2020年5月以来、イランのAPTグループがサイバースパイ活動でこのプロトコルを使用していることが知られています。

グループ（別名APT34またはHelix Kitten）は、約6年間活動しており、セキュリティ研究者たちはこのAPTグループに関連する新しいツールを定期的に発見しています。 グループ（別名APT34またはHelix Kitten）は、約6年間活動しており、セキュリティ研究者たちはこのAPTグループに関連する新しいツールを定期的に発見しています。 最近の攻撃で , 彼らは侵害されたネットワークへの侵入時にDNSExfiltratorと呼ばれる新しいツールを使用しました。このツールは、DNS-over-HTTPSプロトコルを使用して2つのポイント間でデータを転送することができ、Oilrigは内部ネットワーク間でデータを横移動し、外部のポイントにデータを流出させるためにこれを使用しています。 Roman Ranskyiによって開発された新しい排他的Sigmaルールは、セキュリティソリューションがDoHプロトコル経由の可能性のあるC2接続を発見することを可能にします：

このルールは以下のプラットフォームに対応しています： このルールは以下のプラットフォームに対応しています：

 

NTA: Corelight

MITRE ATT&CK: 

MITRE ATT&CK: 

MITRE ATT&CK: 

 

戦術: コマンド＆コントロール

テクニック: 一般的に使用されるポート (T1043), 標準アプリケーション層プロトコル (T1071)

SOC Prime TDMを試してみますか？


無料でサインアップ できます。またはThreat Bounty Programに参加して、 独自のコンテンツを作成し、TDMコミュニティと共有できます。 to craft your own content and share it with the TDM community.

この記事は役に立ちましたか？

いいねと共有をお願いします。
SOCプライムのDetection as Codeプラットフォームに参加してください ビジネスに最も関連する脅威の可視性を向上させるために。開始をお手伝いし、即時の価値を提供するために、今すぐSOCプライムの専門家とミーティングを予約してください。
無料で参加 ミーティングを予約

関連記事

APIを通じたUncoder AI機能へのアクセス 2 分で読めます SOCプライムプラットフォーム APIを通じたUncoder AI機能へのアクセス by Steven Edwards Uncoder AIの脅威検出マーケットプレイスを検索する 3 分で読めます SOCプライムプラットフォーム Uncoder AIの脅威検出マーケットプレイスを検索する by Steven Edwards Sigmaから48の言語に翻訳する 3 分で読めます SOCプライムプラットフォーム Sigmaから48の言語に翻訳する by Steven Edwards
すべてのニュース