韓国国内メールサービスユーザーをターゲットにしたフィッシングサイト(2) Posted By ATCP , 2021년 06월 21일 今まで、本ブログを通して様々なフィッシングメールを ASEC 分析チームが共有してきた。今回も、以前共有した韓国国内のメールサービスのユーザーをターゲットとして拡散するフィッシングサイトのタイプにおける新たなサイトがを発見したため、これについて公開する。 最近確認されたフィッシングサイトは、NAVER メール(mail.naver)、Daum メール(mail2.daum)、Hiworks のユーザーを対象に ID とパスワード(Password)、ユーザー IP 等を収集し、攻撃者のメールに転送する。 最上位のドメイン…
ASEC マルウェア週間統計 ( 20210607～20210613 ) Posted By ATCP , 2021년 06월 18일 ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。ここでは、2021年6月7日(月)から2021年6月13日(日)までに収集された1週間の統計を整理する。 大分類の上ではインフォスティーラーが67.7%と1位を占めており、その次に RAT(Remote Administration Tool)マルウェアが20.3%、バンキングマルウェアが8.8%、ダウンローダーが2.2%と集計された。ランサムウェアは数が少なく、集計されなかった。 Top 1 – AgentTesla…
不特定多数をターゲットにメールで拡散している不正な Excel マクロに注意！ Posted By ATCP , 2021년 06월 16일 ASEC 分析チームは最近、同じタイプの不正なマクロを含んでいる Excel ファイルが、メールによって不特定多数に拡散している状況を捕捉したため、これについて紹介する。 このようなタイプの Excel ファイルの内部には、マルウェアを追加でダウンロードさせるマクロが含まれており、最近では不特定多数をターゲットとする返信メールに、脅迫的な文章や不正な Excel マクロファイルを添付しているものが確認された。 確保した EML の共通点としては、ユーザーのメールに対する返信であるかのように装って不正なマクロ付き…
短縮 URL を悪用した特定機関を騙るフィッシングメールに注意！ Posted By ATCP , 2021년 06월 15일 ASEC 分析チームでは、フィッシングメールに関連する内容をブログで継続的に紹介し、ユーザーへの注意を呼びかけている。最近添付されたファイルからは、同類と判断できるフィッシングメールが大量に配布されている状況が捕捉された。 この種類のフィッシングメールの特徴は、最終的に接続されるフィッシングサイトの HTML ファイルの構造こそ異なるが、メールに添付されたリダイレクト機能の HTML ファイルの構造が同じであり、特定の短縮ドメイン(chilp.it)を使用してフィッシングページの URL を隠匿するという点である。別個の二つのフィッシングメールを通して、同類であると判断できる構造的な特徴を説明する。 以下の[図3]、[図4]は、上記[図1]、[図2]のフィッシングメールに添付された HTML ファイルであり、これらのファイルはどちらも実行すると3秒後にフィッシングページに接続(リダイレクト)する機能を実行し、文法も同じ構造を持っている。目につく特徴としては、特定の短縮…
ASEC マルウェア週間統計 ( 20210531～20210606 ) Posted By ATCP , 2021년 06월 14일 AhnLab ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。ここでは、2021年5月31日(月)から2021年6月6日(日)までに収集された1週間の統計を整理する。 大分類の上ではインフォスティーラーが82.5%と1位を占めており、その次に RAT(Remote Administration Tool)マルウェアが16.0%、ダウンローダーが1.5%と集計された。バンキング型マルウェアとランサムウェアは数が少なくなり、集計されなかった。 Top 1…
正常な Excel/Word ドキュメントに偽装したマルウェア Posted By ATCP , 2021년 06월 11일 ASEC 分析チームは最近、特定タイプの不正なマクロを含むドキュメントファイルの拡散が続いていることを確認した。このタイプの不正ファイルは以下のように様々なファイル名で配布されており、そのすべてが正常なファイルを装うような内容を含んでいるため、ユーザーの注意が必要である。 제헌절 국제학술포럼.doc (翻訳：制憲節国際学術フォーラム.doc) 제28차 남북관계전문가토론회***.doc (翻訳：第28回南北関係専門家討論会***.doc) 사례비 양식.doc (翻訳：謝礼費様式.doc) email_20210516.xls…
ASEC マルウェア週間統計 ( 20210524～20210530 ) Posted By ATCP , 2021년 06월 09일 AhnLab ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。ここでは、2021年5月24日(月)から2021年5月30日(日)までに収集された1週間の統計を整理する。 大分類の上ではインフォスティーラーが79.4%と1位を占めており、その次に RAT(Remote Administration Tool)マルウェアが19.0%、ダウンローダーが1.1%、ランサムウェアが0.4%、CoinMiner が0.2%と集計された。 Top…
ランサムウェアによる企業への攻撃が増加！企業のシステムを狙うランサムウェアの攻撃事例 Posted By ATCP , 2021년 06월 08일 企業をターゲットとするサイバー攻撃が日に日に増加している。この5月だけでも、米国の最大送油管運営企業がランサムウェアによる攻撃を受け、送油管施設の稼働が全面中断する事例があった。また、韓国国内の有名なデリバリープラットフォーム企業もランサムウェアによる攻撃を受け、数万個の店舗とライダーが被害を受けた。 韓国の科学技術情報通信部が報道した資料[1]によると、<直近3年間の韓国国内ランサムウェア通報現況>は、年々増加している状況である。ランサムウェアは企業のサービス運用と内部の機密情報を人質にとり、仮想通貨を要求する。最近になって仮想通貨の価格が大幅に上がったため、すぐにサービスの運用再開を必要とする立場である企業をターゲットにして、攻撃が増加しているのである。 マルウェアの機能においても、企業をターゲットとする攻撃が増加している状況を確認できる。一般の個人ユーザーか企業かを確認して、異なる機能が動作するようにしている。多数のユーザーが存在する企業の特性上、システムが AD(Active Directory)環境で構成されたドメインに属している場合が大半である。マルウェアは、ドメインの存在有無によって企業であるかどうかを判断している。ドメインに参加しているシステムの場合、アカウントの奪取と内部伝播のためにハッキングツールをインストールしたり、追加のマルウェアをダウンロードしたりする。マルウェアは企業情報を奪取し、最終的にはランサムウェアを実行する。 これまで AhnLab が解析して公開したマルウェアのうち、企業をターゲットにしたマルウェアには以下のような事例がある。参考に、バックドアやダウンローダー系のマルウェアはランサムウェアを直接生成、および実行するのではなく、ハッキングツールで制御するためのバックドアを追加でインストールして企業のシステムを掌握している。以降、攻撃者はハッキングツールを利用してシステムにランサムウェアを実行する。現在までに確認された攻撃はすべて Cobalt Strike ハッキングツールを利用していた。 BazarLoader,…
フィッシングサイトを通して配布される CryptBot 情報奪取型マルウェア Posted By ATCP , 2021년 06월 05일 ASEC 分析チームは、ユーティリティプログラムに偽装して情報奪取型マルウェアを配布するフィッシングサイトをブログで紹介している。このマルウェアはユーザーが Google 検索キーワードでユーティリティプログラム名を検索すると、比較的上部に表示される。現在まで活発に配布が続いており、その感染プロセスは変化し続けている。韓国国外では CryptBot として知られているこの情報奪取型マルウェアの最新配布ファイルの感染方式について説明する。 以下の図はユーティリティプログラムに偽装してマルウェアを配布するフィッシングサイトの様子である。英文サイト以外にも、韓国語に翻訳されたサイトも存在する。 マルウェアは zip 形式でダウンロードされる。圧縮ファイルには情報流出のマルウェアが含まれた別の zip 圧縮ファイルと、解凍パスワードが記載された…
ライブラリファイルを利用した韓国国内企業への APT 攻撃 Posted By ATCP , 2021년 06월 04일 最近になり、韓国国内企業を対象に持続的なターゲット型攻撃が発生した。企業の侵害システムから収集された不正なファイルのうち、その大半は動的ライブラリ(DLL)ファイルであった。しかし、今回の攻撃に使用されたファイルは一般的な DLL ファイルとは違っていた。収集されたファイルは、正常なライブラリが様々な方法で悪意を持って改ざんされたファイルであった。 どのような経路でシステムに不正なファイルが生成されたのか、また最初の攻撃流入経路は何であったのかは、まだ分かっていない。また、単独実行が不可能なライブラリの特性上、これを実行するトリガー行為や追加のファイル情報も確認されなかった。しかし、現在までに収集されたファイルだけでも今回の攻撃には明確な特徴がある。 正常なライブラリ(DLL)ファイルの Export 情報を改ざん(追加、置換え、変更)した不正ファイル 不正ファイルを実行するために、有効な引数やデータファイルが必要 引数やデータファイルを通じて機能のモジュール化および機能置換えが可能 ライブラリファイルを利用した攻撃の特徴 正常なライブラリファイルに Export…
