送金確認書を装ったフィッシングメールに注意

最近、AhnLab Security intelligence Center (ASEC) は、送金確認書を装ったフィッシングメールの拡散事例を確認した。このメールは、韓国の特定企業の社員になりすまし、受信者に添付された支払い関連の送金確認書を装った悪意ある XLS ファイルを確認するよう誘導する。

ユーザーが添付された XLS ファイルをダウンロードして開くと、[図1] のように正常な送金確認書の内容が表示される。これは、ユーザーの警戒心を下げるためのおとり文書 (Decoy) として機能する。

しかし、この文書には OLE オブジェクトを悪用した CVE-2017-0199 の脆弱性が含まれている。

この脆弱性は、Microsoft Office の OLE2Link 機能を悪用したリモートコード実行 (RCE) の脆弱性であり、ユーザーが文書を開くと外部 URL へ自動的にアクセスし、追加の悪意のあるファイル (HTAなど) をダウンロードして実行することが可能となる。

今回の事例では、以下の C2 サーバーから悪意のある HTA ファイルをダウンロードして実行する。

HTA ダウンロード C2

• hxxp://144.172.104[.]196/35/smallbackpackcomingfromthebestplaces.hta

[図1] おとり文書を装った悪意のある XLS ファイル

[図2] CVE-2017-0199 の脆弱性

C2 サーバーからダウンロードされた HTA ファイルが実行されると、WMI の Win32_Process.Create() メソッドを利用し、難読化された PowerShell スクリプトをバックグラウンドで実行する。

[図3] 悪意のある HTA スクリプトの一部

実行された PowerShell スクリプトを復号した内容は [図4] のとおりである。

このスクリプトは、追加の C2 サーバーからステガノグラフィを施した PNG ファイルをダウンロードし、「IN-」および「-inl」という文字列をマーカーとして利用して、Base64 でエンコードされた .NET ローダー型マルウェアを抽出する。

その後、このマルウェアを復号してメモリ上にロードし、実行する。この際、ローダーは Remcos RAT をダウンロードするための C2 サーバーアドレスを引数として受け取り動作する。

ステガノグラフィ PNG ダウンロード C2

• hxxps://blue-paper-f69f[.]acrypters.workers.dev/FTM0-40PO-AO28-G98E/img_qiql6d.png

Remcos RAT ダウンロード C2

• hxxp://144.172.104[.]196/vzt/vzt_175159.cat

[図4] 悪意のある PowerShell スクリプト

[図5] ステガノグラフィが施された PNG 内の Base64 データ

[図6] ステガノグラフィが施された PNG ファイル

最終的に実行される Remcos RAT は、感染したシステムでリモートからのコマンドを受信して実行するマルウェアであり、キーロギング、画面キャプチャ、ファイル操作などのさまざまな機能を通じてシステムおよびユーザー情報を収集する。

収集した情報や実行結果は、C2 サーバーとの通信を通じて外部へ送信される。

Remcos RAT C2

• guhudeolokghguhumandeylikebroemdfhhfhsjj.duckdns[.]org:4087

[図7] 最終的に実行される Remcos RAT

対応ガイド

1. 送信者を確認する

• 送信者のメールアドレスが正規のドメインであることを確認する。

2. ハイパーリンクおよび添付ファイルを確認する

• メール本文で画像のクリックを促している場合は、クリックする前にリンク先 URL を確認する。不審な URL は、公式サイトではなく別の経路を経由し最終的に正規サイトへリダイレクトされる場合があるため、十分注意して確認する必要がある。

  また、添付ファイルがある場合は、拡張子が不審なもの (.exe、.vbs、.jsなど) ではないか確認する。

3. 機密情報の入力に注意する

• ログインアカウント情報などの機密情報を要求された場合は、入力する前に必ずアクセス先ページの URL が公式サイトであることを確認する。公式サイトでない場合は、不審な URL である可能性が高いため注意が必要である。

  特に、機密情報を入力する前には、ページが HTTPS で保護されていることや鍵アイコンが表示されていることを確認し、不審な場合は絶対に情報を入力しない。