LetsDefend level 1 alert SOC103 - Malicious APK Detected event-id 80

Details

EventID: 80
Event Time: March 15, 2021, 9:55 p.m.
Rule: SOC103 - Malicious APK Detected
Level: Security Analyst
Source Address 10.15.15.14
Source Hostname JessiePhone
Username Jessie
Package Name com.netflix.mediaclient
Device Action Allowed

playbook

Search Log

private

Analyze APK

check Endpoint Security

No Log....

Hmm... No Log...

search APK

Koodous: https://koodous.com/apks?search=com.netflix.mediaclient
March 15, 2021まで遡れなかった。 しかし、com.netflix.mediaclientのアプリ自体がmaliciousとなっていたのは少なくとも以下3件であった。

• https://www.virustotal.com/gui/file/ef9717ca27031524f0fb70690f59223b4b2e6bd5e0f9b57760e3393d004ff240
  May 18, 2021 3:23:38 PM
• https://www.virustotal.com/gui/file/351119f157bdfedbcdcb537df1c1743d0553ee471ce81437178bb622622d1af3
  May 18, 2021 1:47:24 PM
• https://www.virustotal.com/gui/file/1ac3d61622e1ed2e295e22d9b003bb3e8f66c4b3a55cb075eb1c29329a4b9775
  Jul 22, 2021 9:22:21 PM

セキュリティ的には、疑わしいものはとりあえずブロックする派なので一応maliciousとする。

Answer: Malicious?

End

間違って押したら、False Positiveであった。

False Positive

alertは放置し過ぎるとダメ!!!

Other writeup

SOC103 EventID: 80 (Malicious APK Detected) [March 15, 2021, 9:55 p.m.] - YouTube
そこまで遡れたら良かった。