Posted By Hansoyoung , 2021年 June 2日

デリバリーアプリに偽装したマルウェアの拡散に注意

5月10日に、AhnLab ASEC 分析チームはコロナウイルス(COVID-19)によりフードデリバリーの消費が急増している中、攻撃者がデリバリーアプリをだしにしてマルウェアを配布していることを確認した。

주문할게요 앱.zip (翻訳：注文お願いしますアプリ.zip)(圧縮ファイル名)
주문할게요 앱\마케팅.docx (翻訳：注文お願いしますアプリ\マーケティング.docx)(圧縮ファイル内部の XML External ドキュメントのマルウェア)
주문할게요 앱\수정사항.docx (翻訳：注文お願いしますアプリ\修正事項.docx)(圧縮ファイル内部の XML External ドキュメントのマルウェア)

(今回発見された不正な zip ファイルに使用されているファイル名は正常なアプリケーションとは全く関連性がなく、攻撃者が当該アプリ名を盗用したものと見られる)

攻撃者が使用した XML External 手法は、過去の ASEC ブログで紹介している。

https://asec.ahnlab.com/jp/23020/ (米国の投資銀行を騙った不正な Word ドキュメント(External 接続 + VBA マクロ))

このような攻撃方法は MS Office Open XML(OOXML)ドキュメントのフォーマットのテンプレート(Template)属性を通して実際の不正なマクロを外部から読み込んで実行する。この攻撃手法をテンプレートインジェクション(Template Injection)手法という。

https://attack.mitre.org/techniques/T1221/ (MITRE 参考：Defense Evasion – Template Injection 手法の紹介)

MITRE ATT&CK でもこの手法を検出回避(Defense Evasion)に分類したように、不正なマクロが最初のドキュメントファイルに存在せず、External によって追加でダウンロードされるドキュメントファイルに存在するため、セキュリティプログラムでは最初のドキュメントファイルだけで不正かどうかを判別するのが難しい。

Template 属性の External によって最終的に実行された DOTM ファイルに存在する不正なマクロの機能は、以下の通りである。

[図3] XML External により実行された追加の不正なマクロコードの一部

hxxp://kr2959.atwebpages.com/view.php?id=2 に接続して cvwiq.zip をダウンロードおよび圧縮解凍 -> C:\Users\Public\wieb.dat パスに PE 実行ファイルを生成
C:\Users\Public\nwib.bat ファイル生成および実行 -> “rundll32.exe “C:\Users\Public\wieb.dat” Run”, “del /f /q %0″” コマンド実行