ASEC 週間フィッシングメールの脅威トレンド (20230129 ~ 20230204)

ASEC 分析チームでは、ASEC 自動解析システム(RAPIT)とハニーポットを活用してフィッシングメールの脅威をモニタリングしている。本記事では、2023年01月29日から02月04日までの一週間で確認されたフィッシングメール攻撃の拡散事例と、これらをタイプ別に分類した統計情報を紹介する。一般的にはフィッシング攻撃者が社会工学技法を利用し、主にメールを利用して機関、企業、個人などに偽装したり、これらを詐称することで、ユーザーにログインアカウント(クレデンシャル)情報を流出させる攻撃のことを指す。また、フィッシングは広い意味で、攻撃者が各対象を相手にする情報流出、マルウェア配布、オンライン詐欺行為などの攻撃を可能にする不正な手口(technical subterfuge)を意味する。本記事では、フィッシングは主にメールで配布される攻撃というところにフォーカスをあてている。そして、フィッシングメールをベースに行われる様々な攻撃方式を詳細にカテゴライズする。そしてまだ発見されていなかった新たなタイプや注意すべきメールをキーワードとともに紹介し、ユーザーの被害の最小化に努める。本記事で扱うフィッシングメールは添付ファイルのあるメールのみとする。添付ファイルがなく、不正なリンクのみが本文に含まれているメールは本記事では扱わない。

フィッシングメールの脅威タイプ

一週間のフィッシングメールの添付ファイルのうち、最も多いタイプは情報窃取マルウェア(Infostealer、39%)であった。情報窃取マルウェアは AgentTesla、FormBook などが含まれており、Web ブラウザ、メールおよび FTP クライアント等に保存されたユーザー情報を流出させる。その次に多かったタイプは偽のページ(FakePage、36%)であった。偽のページは攻撃者がログインページ、広告ページの画面構成、ロゴ、フォントをそのまま模倣したページで、ユーザーに自分のアカウントとパスワードを入力するように誘導し、入力された情報は攻撃者の C2 サーバーに転送されたり、偽のサイトへのログインを誘導したりする。^{以下の<偽のログインページ C2>を参照} それ以外にもダウンローダー(Downloader、9%)、脆弱性(Exploit、4%)、トロイの木馬(Trojan、4%)、ワーム(Worm、4%)、バックドア(Backdoor、2%)、ドロッパー(Dropper、1%)タイプが確認された。  フィッシングメールの添付ファイルを利用した脅威タイプとその順位は<ASEC 週間マルウェア統計>で毎週公開しているマルウェアの配布順位と類似している。

添付ファイルの拡張子

上記で説明した脅威がどのようなファイル拡張子でメールに添付されて配布されるのかを確認した。  一週間のフィッシングメール添付ファイルのタイプにおける特異事項として、ONE 拡張子(ONE、4%)が増加し続けていることがあげられる。OneNote は Microsoft が開発したデジタルノートアプリで、Word プロセッサープログラムとは異なりページ内のどこにでもコンテンツを挿入することができるのが特徴である。偽のページは Web ブラウザで実行されなければならない Web ページスクリプト(HTML、SHTML、HTM)および PDF ドキュメントで配布されていた。情報流出型マルウェアとダウンローダーマルウェアを含むその他のマルウェアは GZ、ZIP、RAR、R00、R15、R17 などの圧縮ファイル、IMG ディスクイメージファイル、ONE、XLS、XLSX、PDF ドキュメントファイルなどを含む様々なファイル拡張子で、メールに添付されている。Web ページスクリプトファイル(HTML、HTM、SHTML)、PDF で拡散する偽のページを除いたマルウェアは、脅威タイプに関係なく様々なファイル拡張子で配布されていた。

配布事例

2023年01月29日から02月04日までの一週間の配布事例である。偽のログインページタイプと情報流出、ダウンローダー、脆弱性、バックドアを含むマルウェアタイプを分けて紹介する。メールの件名と添付ファイル名に表示される数字は一般的なものであり、固有 ID 値としてメールの受信者に応じて異なる場合がある。ハングルの件名の配布事例も確認された。グローバルに英文の件名および内容を配布するのではなく、韓国国内のユーザーを対象にした事例である。

事例: 偽のログインページ(FakePage)

事例: マルウェア(Infostealer、Downloader など)

注意するキーワード:「ONE」

偽のページ (FakePage) C2 アドレス

偽のページのうち、攻撃者が作った偽のログインページにユーザーが自分のアカウントとパスワードを入力すると、攻撃者サーバーにその情報が転送される。以下のリストは一週間で配布された偽のログインページの攻撃者 C2 アドレスである。

• hxxps://submit-form[.]com/QgFJw0n1
• hxxps://sagaschool.vip-saga.com[.]ua/wp-includes/zonic/newopo.php
• hxxps://newskoodai[.]com/press/bgLf4WBIDJaAjbgLf4WBIDJaAj
• hxxps://lifeushard[.]cyou/file.php
• hxxps://formspree[.]io/f/xdovnyrz
• hxxps://formspree[.]io/f/mgebolql
• hxxps://dearasia.bambooairways[.]com/wp-admin/inke/Macus_ssw.php
• hxxps://curriculums[.]cc/Xwery08/feedback.php
• hxxps://bkfkr.000webhostapp[.]com/kr/kr/act.php
• hxxp://charlesnewmarch.co[.]uk/wp-includes/4T4/mailform.php
• hxxp://benchmarkpk[.]com/wp-includes/@/cloudlog.php
• hxxp://accup.pluspluggg[.]com/mailb_fix.php

フィッシングメールを利用した攻撃は、ユーザーが偽のログインページにアクセスしたり、マルウェアを実行させたりするための送り状、税金納付書など、ユーザーを欺きやすい内容に偽装して配布される。偽のログインページは正常なページと似せており、時間をかけてさらに精巧になっている。マルウェアは圧縮ファイルフォーマットでパックされており、セキュリティ製品の添付ファイル検知を回避している。ユーザーは不正なフィッシングメールによる感染の被害にさらされないよう、最近の配布事例を参考にして特に注意しなければならない。ASEC 分析チームは以下のようなメールのセキュリティ規則を推奨している。

• 確認の取れない送信者からのメールに含まれたリンク、添付ファイルは内容が信頼できると確認されるまでは実行しない。
• ログインアカウントをはじめとする、プライベートな情報は信頼できるまで入力しない。
• 見慣れないファイル拡張子の添付ファイルは信頼できるまで実行しない。
• アンチウィルスをはじめとしたセキュリティ製品を利用する。

フィッシングメール攻撃は MITRE ATT&CK フレームワークでは、以下の Techniques に該当する。

• Phishing for Information(Reconnaissance, ID: T1598^[1])
• Phishing(Initial Access, ID: TI1566^[2])
• Internal Spearphishing(Lateral Movement, ID:T1534^[3])

関連 IOC および詳細な解析情報は、AhnLab の次世代脅威インテリジェンスプラットフォーム「AhnLab TIP」サブスクリプションサービスを通して確認できる。