マルウェア感染時、単純な駆除にとどめてはいけない理由 Posted By ATCP , 2022년 05월 20일 2022年1月、韓国国内の製造業分野で有数の企業において、内部システムの多数が Darkside ランサムウェアに感染する被害が発生した。 AD グループポリシーを利用して Darkside ランサムウェアが配布されたことが確認されたため、DC サーバーにフォレンジックを試みたものの、仮想環境で運用中であった DC サーバーの仮想環境運用システム自体が破損しており、DC サーバーを確保することができなかった。代わりに、Darkside ランサムウェアに感染した後、過去のバックアップを活用して復旧されたシステムのうち…
Log4Shell の脆弱性を悪用する Lazarus グループ (NukeSped) Posted By ATCP , 2022년 05월 19일 昨年12月、Java ベースのロギングユーティリティである Log4j の脆弱性(CVE-2021-44228)が世界的に問題となった。この脆弱性は、リモート先の Java オブジェクトのアドレスをログメッセージに含ませ Log4j を使用するサーバーに転送すると、サーバーから Java オブジェクトを実行できるリモートコード実行の脆弱性である。 https://asec.ahnlab.com/jp/29622/ ASEC…
コイン紛失、給与明細書に偽装した不正なヘルプファイル (*.chm) Posted By ATCP , 2022년 05월 16일 ASEC 分析チームは、Windows ヘルプファイル(*.chm)形式のマルウェアの拡散が続いていることを確認した。最近確認された chm ファイルは、<Windows ヘルプファイル(*.chm)によって拡散している APT 攻撃>で紹介したファイルと同じタイプであり、追加のマルウェアダウンロードを目的としている。 このタイプの chm ファイルは主に圧縮ファイル形式で配布されるものと推定される。確認された圧縮ファイル名と内部の chm…
ASEC マルウェア週間統計 ( 20220502～20220508 ) Posted By ATCP , 2022년 05월 12일 ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。本記事では、2022年5月2日(月)から5月8日(日)までの一週間で収集されたマルウェアの統計を整理する。 大分類の上ではインフォスティーラーが73.1%と1位を占めており、その次に RAT(Remote Administration Tool)マルウェアが19.3%、ランサムウェアが5.0%、ダウンローダーが2.5%と集計された。 Top 1 – AgentTesla…
ASEC マルウェア週間統計 ( 20220425～20220501 ) Posted By ATCP , 2022년 05월 09일 ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。本記事では、2022年4月25日(月)から5月1日(日)までの一週間で収集されたマルウェアの統計を整理する。 大分類の上ではインフォスティーラーが70.3%と1位を占めており、その次に RAT(Remote Administration Tool)マルウェアが18.8%、ランサムウェアが7.9%、ダウンローダーが2.5%、コインマイナーが0.5%と集計された。 Top 1 – AgentTesla…
文書編集およびメッセンジャープログラムに偽装したバックドア (*.chm) Posted By ATCP , 2022년 05월 09일 ASEC 分析チームは、不正な CHM ファイルを通じて韓国国内で多数のユーザーが利用している文書編集およびメッセンジャープログラムに偽装したバックドアが拡散していることを確認した。最近様々な形で拡散している不正な CHM ファイルについては、3月にも ASEC ブログを通じて二度紹介したことがある。今回解説する不正な CHM ファイルは、以前とは異なるプロセスを経てさらなる不正なファイルを実行する。 現在拡散している CHM…
北朝鮮の4.25観兵式に関する内容の不正な Word ドキュメントの拡散 Posted By ATCP , 2022년 05월 03일 ASEC 分析チームは本日(04/29)、北朝鮮の観兵式に関する内容の不正な Word ドキュメントが拡散している状況を確認した。配布者は、侵害したものと推定される韓国国内の Web サーバーに不正な Word ドキュメントをアップロードした。Web サーバーには不正な Word ドキュメントだけではなく、攻撃者が OLE…
外交/安全保障関連の内容の Word ドキュメントが拡散中 Posted By ATCP , 2022년 05월 02일 ASEC 分析チームは、対北朝鮮に関するファイル名で不正な Word ドキュメントが継続的に拡散していることを確認した。 Word ドキュメントには不正な VBA マクロコードが含まれており、<対北朝鮮に関する本文内容を含む不正な Word の持続的な拡散を確認>において紹介したドキュメントファイルと同じタイプであると確認できる。最近拡散が確認された Word ドキュメントのファイル名は以下の通りである。…
ASEC マルウェア週間統計 ( 20220418～20220424 ) Posted By ATCP , 2022년 04월 26일 ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。本記事では、2022年4月18日(月)から4月24日(日)までの一週間で収集されたマルウェアの統計を整理する。 大分類の上ではインフォスティーラーが70.5%と1位を占めており、その次に RAT(Remote Administration Tool)マルウェアが17.8%、ダウンローダーが7.4%、バンキング型マルウェアが1.8%、ランサムウェアが2.5%の順に集計された。 Top 1 – AgentTesla…
INITECH プロセスを悪用する Lazarus 攻撃グループの新種マルウェア Posted By ATCP , 2022년 04월 26일 AhnLab ASEC 分析チームは、2022年第1四半期に防衛産業企業を含む約47個の企業および機関が Lazarus グループから配布されているマルウェアに感染した状況を把握し、これらを深刻なものと判断してモニタリングを続けている。 被害を受けた企業では、INITECH 社のプロセス(inisafecrosswebexsvc.exe)により不正な振る舞いが発生することが確認された。 まず、被害を受けたシステムにおいて inisafecrosswebexsvc.exe に対する以下のような内容を確認した。 inisafecrosswebexsvc.exe ファイルは …
