ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。ここでは、2021年4月26日(月)から2021年5月2日(日)までに収集された1週間の統計を整理する。
大分類の上ではインフォスティーラーが 75.9%と1位を占めており、その次に RAT(Remote Administration Tool) マルウェアが 19.3%、ダウンローダーが 1.3%、Coin Miner が 2.6%、ランサムウェアとバンキングマルウェアは 0.4%と集計された。
Top 1 – AgentTesla
AgentTesla は 32.9%を占めており、1位となった。AgentTesla は Web ブラウザ、メールおよび FTP クライアント等に保存されたユーザー情報を流出させるインフォスティーラー型のマルウェアである。
最近、流入されているマルウェアサンプルは、収集した情報を流出させる時に以下のようなメールサーバーおよびユーザーアカウントを利用する。
- mail.barraprime[.]com
sender: info@barraprime[.]com
receiver: info@barraprime[.]com
user: info@barraprime[.]com
pw: 1mar****17 - wasstech[.]com
sender: rasha.adel@wasstech[.]com
receiver: rasha.adel@wasstech[.]com
user: rasha.adel@wasstech[.]com
pw: Sunr****00@@ - smtp.oneoceanmaritimes[.]com
sender: mylogs2021@oneoceanmaritimes[.]com
receiver: mylogs2021@oneoceanmaritimes[.]com
user: mylogs2021@oneoceanmaritimes[.]com
pw: (mH****8 - mail.privateemail[.]com
sender: moj@bosenmouid[.]com
receiver: moj@bosenmouid[.]com
user: moj@bosenmouid[.]com
pw: m****7 - smtp.privateemail[.]com
sender: aammorris@askoblue[.]com
receiver: aammorris@askoblue[.]com
user: aammorris@askoblue[.]com
pw: hb****^3
大半が送り状(Invoice)、船積書類(Shipment Document)、購入注文書(P.O.– Purchase Order)等に偽装したスパムメールを介して配布されるため、ファイル名にも同様に上記のような名前が使用される。また、拡張子の場合は pdf、xlsx のようなドキュメントファイルや .dwg、すなわち Auto CAD 図面ファイルに偽装したものも多数存在する。
- 송장 및 포장 목록pdf_____________________.exe (翻訳：送り状および包装リストpdf_____________________.exe)
- albarán factura_pdf____________________________________.exe
- ALTISYS_MANU_29042021_164906_2_479.pdf.exe
- BANK_DETAIL.exe
- BL Draft – HL-88313627-1.exe
- Fattura_0011_20201230_TRAFILERIE_EDOARDO_GILARDI_C_S_R_L_.exe
- Mercury J – UNISEASMARINE.exe
- MV *ONGSHENG 7 PDA.exe
- MV TBN CALL PORT FOR LOADING COAL.exe
- NEW_ORDER.exe
- orden de compra_pdf________________________.exe
- payment_copy.exe
- po#kv18re001_a5491ngocquangtradeproductionservices.exe
- Purchase_order_4500353628_1717154.PDF.exe
- purchase_order_pdf.exe
- RFQ # 041620-1 – 28 Gate Valves.exe
- SMK_6094183725.exe
- SWIFT Payment 20201229 – TC -ref00D208FT.pif.exe
- SWIFT_9500USD.exe
- WIRE_TRANSFER_FORM.exe
Top 2 – Formbook
Formbook はインフォスティーラー型マルウェアとして 12.7%を占めており、Top 2に名が上がった。
他のインフォスティーラー型マルウェアと同様に、大半はスパムメールを介して配布され、配布ファイル名も類似している。
- shipping_document_PDF.exe
- REQUIRED_DOCUMENTS.exe
- REQUEST_FOR_QUOTATION.exe
- PO74848393.exe
- po-647484637-rfq.exe
- PO-21-8095-UTI*ECH.exe
- PO-2021-UTI.pdf.exe
- MV._Ever_Reliance_009423578-_doc.exe
- IMG_067791.exe
Formbook マルウェアは、現在実行中の正常なプロセスである explorer.exe および system32 のパスにあるもう一つの正常なプロセスにインジェクションを行うことにより、悪意のある行為が正常なプロセスによって実行される。Web ブラウザのユーザーアカウント情報以外にも、キーロガー、Clipboard Grabbing、Web ブラウザの Form Grabbing 等、様々な情報を奪取することができる。確認された Formbook の C&C サーバーアドレスは以下の通りである。
- hxxp://www.cunerier[.]com/svh9/
- hxxp://www.chaytel[.]com/zui/
- hxxp://www.psm-gen[.]com/dei5/
- hxxp://www.nelivo[.]com/ple/
- hxxp://www.magentos6[.]com/b3gc/
- hxxp://www.lownak[.]com/gnk/
- hxxp://www.forenvid[.]com/vns/
- hxxp://www.floryi[.]com/z1u/
- hxxp://www.curiget[.]xyz/uabu/
- hxxp://www.cunerier[.]com/svh9/
- hxxp://www.contorig2[.]com/uv34/
- hxxp://www.contex33[.]xyz/uwec/
- hxxp://www.cinmax[.]xyz/sbjq/
- hxxp://www.cinmax[.]xyz/n7ad/
- hxxp://www.chaytel[.]com/zui/
- hxxp://www.byonf[.]com/gmn/
- hxxp://www.byonf[.]com/dug/
Top 3 – Lokibot
Lokibot は 12.3%で、3位を占めている。Lokibot はインフォスティーラー型マルウェアとして、Web ブラウザ、メールクライアント、FTP クライアント等のプログラムに対する情報を流出させる。
スパムメールを介して配布される他のマルウェアのようにスパムメール形式で配布されるため、類似した配布ファイル名を持つ。
- DHL Receipt.bin
- DKOL0010-BA017..exe
- DKOL0010-BA018.exe
- DKOL0010-BB011.exe
- invoice-26.exe
- Junsung_210429 – 1.exe
- List of quotation items.exe
- LIST.exe
- ORDER.exe
- PO 210429-09.exe
- po 210430-102.exe
- PO#2021-834-1.exe
- PO.exe
- PO2604000093.exe
- PO5R57TGFFV.exe
- prj no. pg6432 khe shell-rfq-project documents & specs.exe
- QUOTATION-FORM.exe
- RFQ#42605_-_URGENT_QUOTE_REQUIRED.exe
- SYC-Q-12036(KP14 199252451) – FITTING(1).exe
- vt-154-21-khi ( 27-4-2021).exe
大半の Lokibot マルウェアの C&C サーバーは以下のように末尾が fre.php で終わる特徴を持っている。
- hxxp://173.208.204[.]37/k.php/9n12ImA5kRa6Y
- hxxp://104.168.140[.]79/bona/fre.php
- hxxp://104.168.140[.]79/oga/fre.php
- hxxp://104.168.175[.]179/capo/panel/fre.php
- hxxp://104.168.175[.]179/smick/panel/fre.php
- hxxp://104.168.213[.]88/ghost1/fre.php
- hxxp://173.208.204[.]37/k.php/209hwrrIygNFO
- hxxp://209.141.50[.]70/mmc/300/pin.php
- hxxp://31.210.20[.]71/tele/fre.php
- hxxp://bobydomain[.]com/okfile/five/fre.php
- hxxp://eyecos[.]ga/chang/gate.php
Top 4 – NanoCore
NanoCore が 7.0%で、4位を占めている。NanoCore は .NET で開発された RAT マルウェアとして、njRAT のようにキーロガーを含む情報流出および様々な攻撃者のコマンドを実行することができる。
NanoCore は AgentTesla、Formbook、AveMaria、Remcos 等のマルウェアのように .NET アウトラインのパッカーによりパッキングされ、スパムメールの添付ファイルを介して配布されている。すなわち、収集されるファイル名も以下のようにスパムメールを介して配布されるマルウェアと類似している。
- COMUNICADO DE PARTE DE LA SECRETARIA DE INDUSTRIA.exe
- DFG_20938765637893.exe
- ennoblers_6251.exe
- Hpn_3093876-093873invc.exe
- NZA_098765367KJFH.exe
- ORDER SHEET – SUMMER 2021.exe
- po#kv18re001_a5491ngocquangtradeproductionservices.exe
- po.pdf.exe
- PO_copy.pdf.exe
以下は、確認された NanoCore の C&C サーバードメインである。
- kengoerge018.ddns[.]net
- 1119.hopto[.]org
- seatosea.duckdns[.]org
- timmy04.ddns[.]net
- kenzeey.duckdns[.]org
- kenzeey.ddns[.]net
- haash.duckdns[.]org
- windowslivesoffice.ddns[.]net
Top 5 – RedLine
初めてランキングされた RedLine は 6.6%で、5位を占めている。RedLine マルウェアは Web ブラウザ、FTP クライアント、暗号通貨ウォレット、PC 設定等の様々な情報を奪取し、C&C サーバーからコマンドを受け取って追加のマルウェアをダウンロードすることがある。
以下は、確認された RedLine の C&C サーバードメインである。
- hxxp://briaseynan[.]xyz
- hxxp://87.251.71[.]153
- hxxp://videdoshin[.]xyz
Categories:総計