結論

　もはやCryptXXXは少なくとも2つの主要EK攻撃で採用されているデフォルトのランサムウェアであり、成長過程にあるサイバーセキュリティの脅威ととらえるべきでしょう。

　ドメイン、IPアドレスなど、Angler EK、Bedep、およびCryptXXXに関連する兆候になるものは絶えず変化しています。引き続き弊社では該当する兆候に関して、コミュニティに周知するためにこの活動を調査し、さらに弊社の脅威防御プラットフォームを強化します。

　WildFireは引き続きCryptXXXランサムウェアの.dllサンプルが投入されるのを検知し、AutoFocusはUnit 42のCryptXXXタグによりこの脅威を特定します。

セキュリティ侵害の兆候

　2016/04/26火曜日の時点で、この攻撃に関連する侵害の下記の兆候を確認しました。

この攻撃で使われたゲート:
·   185.118.164.42 port 80 - host.vivialvarez.com[.]ar - GET /widget.js
·   185.118.164.42 port 80 - kw.projetoraizes.com[.]br - GET /js/script.js
·   185.118.164.42 port 80 - net.jacquieleebrasil.com[.]br - GET /js/script.js

Angler EK:
·   85.25.160.124 port 80 - bintiye.helpthevets[.]org
·   85.25.160.124 port 80 - mcimaildmz.dinnerplate.co[.]uk
·   192.169.189.167 port 80 - candidulumbestuurlijk.newlandsierrarealestate[.]com
·   192.169.190.97 port 80 - frageboegen-plletyksin.breastcanceroutreach[.]com
·   192.169.190.97 port 80 - reikleivn-azarashi.orlandohomesbydevito[.]com
·   209.126.120.8 port 80 - litigators.esteroscreen[.]com

Bedep感染後のトラフィック:
·   104.193.252.241 port 80 - qrwzoxcjatynejejsz[.]com
·   95.211.205.228 port 80 - yfczmludodohkdqnij[.]com (VMを使用)

クリック詐欺のトラフィック:
·   5.199.141.203 port 80 - ranetardinghap[.]com
·   93.190.141.27 port 80 - cetinhechinhis[.]com
·   95.211.205.218 port 80 - tedgeroatref[.]com
·   104.193.252.236 port 80 - rerobloketbo[.]com
·   162.244.34.11 port 80 - tonthishessici[.]com
·   207.182.148.92 port 80 - allofuslikesforums[.]com
·   85.25.79.211 port 80 - oqpwldjc.mjobrkn3[.]eu (VMを使用)

CryptXXX感染後のトラフィック:
·   217.23.6.40 port 443 (独自のエンコーディング)