フィッシングメールの脅威タイプ
一週間のフィッシングメールの添付ファイルのうち、最も多いタイプはの偽のページ(FakePage, 58%)であった。偽のページは攻撃者がログインページ、広告ページの画面構成、ロゴ、フォントをそのまま模倣したページで、ユーザーに自分のアカウントとパスワードを入力するように誘導し、入力された情報は攻撃者の C2 サーバーに転送されたり、偽のサイトへのログインを誘導したりする。以下の<偽のログインページ C2>を参照
その次に多かったタイプはワーム(Worm、15%)であった。Worm マルウェアは伝播機能を含むマルウェアの分類で SMTP プロトコルを使用し、大量のメールを送信するなどの様々な方式でマルウェアを伝播している。
3番目に多い脅威タイプは情報窃取(Infostealer、8%)およびダウンローダー(Downloader, 8%)マルウェアであった。情報窃取マルウェアは AgentTesla、FormBook などが含まれており、Web ブラウザ、メールおよび FTP クライアント等に保存されたユーザー情報を流出させる。ダウンローダーマルウェアは主に Remcos のようなバックドアやランサム ウェアがダウンロードされる。
その他にもランサムウェア(Ransomware、7%)、トロイの木馬(Trojan、4%) タイプが確認された。
フィッシングメールの添付ファイルを利用した脅威タイプとその順位は<ASEC 週間マルウェア統計>で毎週公開しているマルウェアの配布順位と類似している。
添付ファイルの拡張子
上記で説明した脅威がどのようなファイル拡張子でメールに添付されて配布されるのかを確認した。偽のページは Web ブラウザで実行されなければならない Web ページスクリプト(HTML、HTM)、および PDF ドキュメントで配布されていた。情報流出型マルウェアとダウンローダーマルウェアを含むその他のマルウェアは RAR、ZIP、ACE などの圧縮ファイル、IMG ディスクイメージファイル、XLS ドキュメントファイルなどを含む様々なファイル拡張子で、メールに添付されている。Web ページスクリプトファイル、PDF で拡散する偽のページを除いたマルウェアは、脅威タイプに関係なく様々なファイル拡張子で配布されていた。一週間のフィッシングメールの添付ファイルのタイプでは、特に圧縮ファイル(Compress、43%)が高い比率を示していた。
配布事例
2023年1月1日から1月7日までの一週間の配布事例である。偽のログインページタイプと情報流出、ダウンローダー、脆弱性、バックドアを含むマルウェアタイプを分けて紹介する。メールの件名と添付ファイル名に表示される数字は一般的なものであり、固有 ID 値としてメールの受信者に応じて異なる場合がある。ハングルの件名の配布事例も確認された。グローバルに英文の件名および内容を配布するのではなく、韓国国内のユーザーを対象にした事例である。
事例: 偽のログインページ(FakePage)
| メールの件名 | 添付ファイル |
| message-calls |
Original-invoice_username.htm
|
| VENDOR FORM INVIOCE |
Shipment-AWB-6588476487.html
|
| Votre conseiller Chronopost vous informe | PO.1070.html |
| Missed Call=== Tuesday 16th, 2022. |
VENDOR-INVOICES.shtml
|
| Aviso de Factura – REF (357480) |
SCAN_WV1775.pdf
|
| Atencion! ultima advertencia (645446) |
Audio4689022189.htm
|
| COLIS-L36114210003688450012154SFB |
CFEG380213QM5_Factura_B_43609_BA8FE438-D923.pdf
|
事例: マルウェア(Infostealer、Downloader など)
| メールの件名 | 添付ファイル |
| Re: pago rechazado de Banco Banamex SA de CV (Ref 0180066743) |
Aviso de pago.pdf.img
|
| openb-execnonex01 |
Fatura_SUN202244000166.r00
|
| fatura görüntüsü | PE22142554.rar |
| [EXTERNAL] [WARNING : VIRUS DETECTED]Factura del pedido |
wild-imgs.jpg.exe
|
| Re[2]: very wonderful photos PRIVATE |
privateimg.jpg.scr
|
| cool pics only for you |
wild__action.jpg.exe
|
| Re[4]: very wonderful images |
private__images.gif.scr
|
| very nice pictures imortant |
invoices 0322.rar
|
| Wire Payment Confirmation.. | Swift Copy.rar |
注意するキーワード: 「RAR」
偽のページ (FakePage) C2 アドレス
偽のページのうち、攻撃者が作った偽のログインページにユーザーが自分のアカウントとパスワードを入力すると、攻撃者サーバーにその情報が転送される。以下のリストは一週間で配布された偽のログインページの攻撃者 C2 アドレスである。
- hxxps://cortinasdivinas.com/wp-admin/NEW/anydomain.php
- hxxps://masjidsalaam.co.ke/wp-project/anydomain.php
- hxxps://formspree.io/f/xdovnyrz
- hxxps://gojobs.in/xzx/dhl.php
フィッシングメールの攻撃予防
フィッシングメールを利用した攻撃は、ユーザーが偽のログインページにアクセスしたり、マルウェアを実行させたりするための送り状、税金納付書など、ユーザーを欺きやすい内容に偽装して配布される。偽のログインページは正常なページと似せており、時間をかけてさらに精巧になっている。マルウェアは圧縮ファイルフォーマットでパックされており、セキュリティ製品の添付ファイル検知を回避している。ユーザーは不正なフィッシングメールによる感染の被害にさらされないよう、最近の配布事例を参考にして特に注意しなければならない。ASEC 分析チームは以下のようなメールのセキュリティ規則を推奨している。
- 確認の取れない送信者からのメールに含まれたリンク、添付ファイルは内容が信頼できると確認されるまでは実行しない。
- ログインアカウントをはじめとする、プライベートな情報は信頼できるまで入力しない。
- 見慣れないファイル拡張子の添付ファイルは信頼できるまで実行しない。
- アンチウィルスをはじめとしたセキュリティ製品を利用する。
フィッシングメール攻撃は MITRE ATT&CK フレームワークでは、以下の Techniques に該当する。
- Phishing for Information(Reconnaissance, ID: T1598[1])
- Phishing(Initial Access, ID: TI1566[2])
- Internal Spearphishing(Lateral Movement, ID:T1534[3])
関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム「AhnLab TIP」サブスクリプションサービスを通して確認できる。
Categories:総計