プロジェクト提案書を装ったフィッシングメールに注意

最近、AhnLab Security intelligence Center  (ASEC) は、プロジェクト提案書を装ったフィッシングメールが拡散されていることを確認した。このメールは、「できるだけ早く提案書と確定した納期スケジュールを提出してほしい」という内容を装い、添付された圧縮ファイルをダウンロードするよう誘導する。

[図1] フィッシングメール本文

ユーザーが添付された圧縮ファイルをダウンロードして展開すると、[図2] のように提案書を装った JS マルウェアが含まれている。

[図2] 圧縮ファイル

JS マルウェアは実行時に、[図4] のような PowerShell コマンドを実行する。PowerShellスクリプトは、JS ファイル内に暗号化された SnakeKeylogger のデータを引数として受け取り、復号した後、ディスクに保存することなくメモリ上で実行する。

[図3] 難読化された JS マルウェアの一部

[図4] 難読化された PowerShell スクリプトの一部

実行された SnakeKeylogger はインフォスティーラー型マルウェアであり、感染したシステムから Web ブラウザー情報、システム情報、キーロギングデータなどさまざまな情報を収集し、SMTP または Telegram を介して外部へ送信する。

使用される C2 サーバー情報は以下のとおりである。

SnakeKeylogger C2

• Mail Sever : mail.trimnt[.]com
• ID : nova3@trimnt[.]com
• Email To : keishstanford5@gmail[.]com

[図5] SnakeKeylogger マルウェアのメイン処理

対応ガイド

1. 送信者を確認する

• 送信者のメールアドレスが正規のドメインであることを確認する。

2. ハイパーリンクおよび添付ファイルを確認する

• メール本文で画像のクリックを促している場合は、クリックする前にリンク先 URL を確認する。不審な URL は、公式サイトではなく別の経路を経由し、最終的に正規サイトへリダイレクトされる場合があるため、十分注意して確認する必要がある。また、添付ファイルがある場合は、拡張子が不審なもの (.exe、.vbs、.jsなど) ではないか確認する。

3. 機密情報の入力に注意する

• ログインアカウント情報などの機密情報を求められた場合は、入力する前に必ずアクセス先ページの URL が公式サイトのものであることを確認する。公式サイトでない場合は、不審な URL である可能性が高いため注意が必要である。特に、機密情報を入力する前には、ページが HTTPS で保護されていることや鍵アイコンが表示されていることを確認し、不審な場合は絶対に情報を入力しない。