ASEC マルウェア週間統計 ( 20210614～20210620 )

ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。ここでは、2021年6月14日(月)から2021年6月20日(日)までに収集された1週間の統計を整理する。

大分類の上ではインフォスティーラーが79.6%と1位を占めており、その次に RAT(Remote Administration Tool)マルウェアが18.5%、ダウンローダーが1.9%と集計された。

Top 1 –  AgentTesla

AgentTesla は22.0%を占めており、1位となった。AgentTesla は Web ブラウザ、メールおよび FTP クライアント等に保存されたユーザー情報を流出させるインフォスティーラー型マルウェアである。

最近流入しているサンプルは、収集した情報を流出させる時に以下のようなメールサーバーおよびユーザーアカウントを利用する。

• smtp.babcockvalve[.]com (208.91.198[.]143)
  sender : ziara.landa@babcockvalve[.]com
  receiver : ziara.landa@babcockvalve[.]com
  user : ziara.landa@babcockvalve[.]com
  pw : hA$***%9
• mail.necltd[.]com (207.244.65[.]197)
  sender : mech1295@necltd[.]com
  receiver : mech1295@necltd[.]com
  user : mech1295@necltd[.]com
  pw : @Navay***@
• smtp.globaloffs-site[.]com (208.91.199[.]223)
  sender : staffs@globaloffs-site[.]com
  receiver : staffs@globaloffs-site[.]com
  user : staffs@globaloffs-site[.]com
  pw : yLxC***2

大半が送り状(Invoice)、船積書類(Shipment Document)、購入注文書(P.O.– Purchase Order)等に偽装したスパムメールを通して配布されるため、ファイル名にも同様に上記のような名前が使用される。また、拡張子の場合は pdf、xlsx のようなドキュメントファイルや .dwg、すなわち Auto CAD 図面ファイルに偽装したものも多数存在する。

• new inquiry.exe
• PO-3100012464.exe
• SWIFT Transfer (103) 000000886106.exe
• invoice-21-05.exe
• 20210615192456.pdf.exe
• vbc.exe
• Seoulkorea KCTC International Ltd.exe
• RFQ REF R2100131410.pdf.exe
• #RFQ Price List.exe
• 201910152133발주분(신규)_10115_지아이테크_0.exe (翻訳：発注分(新規)_10115_gitech_0.exe)
• Company Registration Form.exe
• SHIP’S PARTICULARS.pdf.docx.exe
• Amended order 210617.pdf.exe

Top 2 – Formbook

Formbook はインフォスティーラー型マルウェアとして17.5%を占めており、Top 2に名が上がった。

他のインフォスティーラー型マルウェアと同様に、大半はスパムメールを通して配布され、配布ファイル名も類似している。

• Img-347654566091235.exe
• PO_20210204.exe
• PI_OIUYT0987654456.exe
• regasm.exe
• Drawings – xls.exe
• BankCopy6152021_pdf.exe
• brsi.exe
• Proforma invoice EUR-398746345334.pdf.exe
• RFQ.exe
• Poczta Polska Informacje o transakcjach2021.exe

Formbook マルウェアは現在実行中の正常なプロセスである explorer.exe および system32 のパスにあるもう一つの正常なプロセスにインジェクションを行うことにより、悪意のある行為が正常なプロセスによって実行される。Web ブラウザのユーザーアカウント情報以外にも、キーロガー、Clipboard Grabbing、Web ブラウザの Form Grabbing 等、様々な情報を奪取する場合がある。以下は、確認された Formbook の C&C サーバーアドレスである。

• hxxp://www.tomrings[.]com/oiia/
• hxxp://www.suxfi[.]com/plq/
• hxxp://www.solevux[.]com/fw6/
• hxxp://www.smacey[.]com/nmda/
• hxxp://www.resctub[.]com/dlwk/
• hxxp://www.racevx[.]xyz/r690/
• hxxp://www.psm-gen[.]com/dei5/
• hxxp://www.nivxros[.]com/k8n/
• hxxp://www.nelivo[.]com/cca/
• hxxp://www.mimik33[.]info/uauc/
• hxxp://www.magetu[.]info/p2io/
• hxxp://www.magen-tracks[.]xyz/uoe8/
• hxxp://www.magentos6[.]com/n8ih/
• hxxp://www.luisxe[.]info/b3pa/
• hxxp://www.joomlas123[.]info/3nop/
• hxxp://www.iregentos[.]info/nu8e/
• hxxp://www.danfrem[.]com/gw2/
• hxxp://www.cunerier[.]com/m3rc/
• hxxp://www.contorig2[.]com/u8nw/
• hxxp://www.chaytel[.]com/dxe/
• hxxp://www.casnop[.]com/ccr/
• hxxp://www.byonf[.]com/nyd/
• hxxp://www.bunies3[.]com/cu6s/
• hxxp://www.brateix[.]info/e8ig/
• hxxp://www.bonap56[.]com/o84d/
• hxxp://www.blinbins[.]com/q4kr/
• hxxp://www.blaxies3[.]com/pba2/
• hxxp://www.baincot[.]com/zrmt/

Top 3 –  Lokibot

今週は Lokibot が16.7%を占めており、Top 3に名が上がった。Lokibot はインフォスティーラー型マルウェアとして、Web ブラウザ、メールクライアント、FTP クライアント等のプログラムに対する情報を流出させる。

スパムメールを通して配布される他のマルウェアのようにスパムメール形式で配布されることにより、類似した配布ファイル名を持つ。

• zXe132g5moApokA.exe
• 발주분(신규)_10115_[새너]_210617.exe (翻訳：発注分(新規)_10115[SANNER]_210617.exe)
• 견적의뢰서_BK210617.exe (翻訳：見積依頼書_BK210617.exe)
• custom invoice june AIT.exe
• $riem6in.exe
• PURCHASE_ORDER.exe
• 발주분(신규)_10115_지아이테크_210616.exe (翻訳：発注分(新規)_10115_gitech_210616.exe)
• SOA27012021_PDF.scr
• takwqaytr.exe
• vbc1.exe
• IRASAN TERMINAL INFORMATION.pdf.exe

大半の Lokibot マルウェアの C&C サーバーは以下の通り末尾が fre.php で終わる特徴を持っている。

• hxxp://www.tepevizyon[.]com.tr/ssl/Panel/fre.php
• hxxp://www.chika1995[.]xyz/enfix/chik/ad/Panel/five/fre.php
• hxxp://vihaiha[.]com/.cc/news/school/boy/choo/fre.php
• hxxp://swissbully[.]gq/gates/fre.php
• hxxp://sspmoct[.]xyz/tkrr/T1/w2/fre.php
• hxxp://mxrz[.]xyz/tker3/w2/fre.php
• hxxp://manvim[.]co/fb20/fre.php
• hxxp://ddbrawijaya[.]com/xx/fre.php
• hxxp://colbaservices[.]ml/marshall/fre.php
• hxxp://candestie[.]pw/debs/fletch/fre.php
• hxxp://bellyfatz[.]xyz/enfix/irk/ad/Panel/five/fre.php
• hxxp://apponline97[.]ir/msn/Panel/fre.php
• hxxp://aft-forge-tw[.]com/Bn4/fre.php
• hxxp://192.119.111[.]43/smick/fre.php
• hxxp://142.11.193[.]233/Panel/five/fre.php

Top 4 –  CryptBot

今週は CryptBot マルウェアが14.0%で4位を占めている。CryptBot は PUP プログラムを通してダウンロードされ、追加で情報奪取およびマルウェアをダウンロードする機能を持つ。

CryptBot は主に Google で特定のキーワードを検索すると表示されるユーティリティプログラムのダウンロードページに偽装したフィッシングサイトから拡散している。

以下は、確認された CryptBot の C&C サーバーアドレスと追加マルウェアのダウンロードアドレスである。

• C&C1 : hxxp://olmxqj73,top/index,php
  C&C2 : hxxp://morayp07,top/index,php
  DownloadURL : hxxp://vamalv10,top/download,php?file=lv,exe
• C&C1 : hxxp://kiyfsx16,top/index,php
  C&C2 : hxxp://mormbl01,top/index,php
  DownloadURL : hxxp://peoldb01,top/download,php?file=lv,exe
• C&C1 : hxxp://olmdge23,top/index,php
  C&C2 : hxxp://mortyl02,top/index,php
  DownloadURL : hxxp://vamzxy03,top/download,php?file=lv,exe

ユーティリティプログラムのダウンロードページに偽装したフィッシングサイトから配布されるファイル名は、以下の通りである。

• setupinstall.exe
• setup.exe
• setup_x86_x64_install.exe 
• x86_x64_setup.exe
• p6.exe
• p6-2.exe

Top 5 – NanoCore

NanoCore が6.8%で、5位を占めている。NanoCore は .NET で開発された RAT マルウェアとして、njRAT と同じようにキーロガーを含む情報流出および様々な攻撃者の命令を実行できる。

NanoCore は AgentTesla、Formbook、AveMaria、Remcos 等のマルウェアのように .NET アウトラインのパッカーによりパッキングされ、スパムメールの添付ファイルを通して配布されている。すなわち、収集されるファイル名も以下のようにスパムメールを通して配布されるマルウェアと類似している。

• Order EA566821.exe

以下は、確認された NanoCore の C&C サーバードメインである。

• shahzad73.ddns[.]net
• wekeepworking.sytes[.]net
• wealthybillionaire.ddns[.]net
• ryan903.duckdns[.]org
• safeduringthecoronavirus.duckdns[.]org
• strongodss.ddns[.]net
• backupjuly.duckdns[.]org
• startedhere.ddns[.]net
• jlogins123.duckdns[.]org
• aaronberry872.ddns[.]net