仮想通貨業者の人材募集フォームを装ったWord文書によるマルウェアが拡散中 Posted By ATCP , 2020년 05월 14일 5月8日、このブログで掲載した内容の通り、メールを通して韓国国内のゲーム企業の証明書を盗用したマルウェアが出回っている件について共有した。当社 ASEC 分析チームでは、この種類のマルウェアが若干変形した形で、依然として様々なタイトルで出回っていることを確認したため、これに関して追加の内容を報告する。 このマルウェアは文書内容に仮想通貨業者の人材募集フォームを使用していた。 また「調整内容」という文書のタイトルを使用して各ユーザーが変更された内容を確認するために文書を閲覧するように誘導するものとみられ、文書タイトルから見たところ、特定の企業に対してそれぞれ異なるタイトルで拡散しているものと推定される。 出回っている文書タイトルの形式 – **news調整内容.docx – 内部調整.docx – **bit新入社員入力フォーム.docx このドキュメントの動作構造も、以前の方式と同じである。原本ドキュメントから追加でダウンロードした文書ファイルを通してネットワーク接続を試みる。このときに受け取ったファイルによって最終的に不正な DLL が動作する。…
Lazarusグループの防衛産業体を対象とする攻撃の増加 Posted By ATCP , 2020년 05월 08일 Lazarus グループの防衛産業体を対象とする攻撃が、4月から増加している。攻撃は Microsoft Office Word プログラムのO ffice Open XML タイプの Word 文書ファイルを利用している。(サンプル引用元：国外のTwitter)…
韓国国内大型ゲーム企業の証明書盗用マルウェア、文書ファイルを通して拡散 Posted By ATCP , 2020년 05월 08일 AhnLab ASEC 分析チームは、先月賞与金発行請求書に偽装した不正な文書に関するブログ記事を掲載した。今回、同じ種類のマルウェアが追加で確認され、以下の通り情報を公開する。 今回に確認された文書ファイルは、メールによって拡散した履歴が確認された。送信者のメールアドレスを特定報道機関のメールアドレスに詐称したものと思われる。最後に、最終的に実行される不正な DLL は、韓国国内の大型ゲーム企業の証明書を盗用して正常なファイルに偽装しようとしていたという特異点がある。 文書WORD1は、実行すると [図1] のように Microsoft が提供する案内メッセージ画面が表示されるが、これは単純にキャプチャされた画像ファイルであり、その画像の透明度を調節して背面の表をやや隠した状態で文書内容が構成されている。この文書ファイルを開くと、settings.xml.rels に記載された以下の…
[注意]履歴書に偽装したmakopランサムウェア(04.13) Posted By ATCP , 2020년 04월 13일 AhnLab ASEC 分析チームは4月13日、履歴書に偽装して出回っている makop ランサムウェアを発見した。電子メールの圧縮添付ファイル形式で拡散され、内部にはアレアハングル(.hwp)ドキュメントアイコンの実行ファイル(exe)が存在する。本日確認された拡散ファイル名は、以下のように違和感のある韓国語と分かち書きを使用していることがわかる。そのことから、マルウェアの拡散者は韓国語の使用に不得手であるものと推定される。 ポートフォリオ(200413)_常に何をしていたのか一生懸命最善を尽くします.exe 履歴書(200413)_常に何をしていたのか一生懸命最善を尽くします.exe 感染すると、原本ファイル名.[ランダムの8文字].[akzhq412@protonmail.ch].makopにファイル名が変更される。 MalPe パッカーを使用した履歴書偽装ランサムウェアは、ひと月に2～3回、それぞれ異なるランサムウェアを使用して拡散している。拡散方式とパッカーの使用に関して変更点はないが、頻繁に攻撃が実行されているため、ユーザーの注意が必要である。出所が不明なメールおよび添付ファイルを実行する場合、文書ファイルのアイコンで表示されるが、ファイルの拡張子が実行ファイル形式である場合は、疑わしいものとして実行してはならない。 現在 V3…
kimsukyグループによる国会議員の選挙期間を狙った攻撃を補足 Posted By ATCP , 2020년 04월 10일 昨日(2020.04.09)、当社は国会議員の選挙に関連する文書形式のマルウェアが出回っていることを公開した。この文書は、単独で国会議員の選挙に関連する文書かどうか判断できないが、他の文書のマクロによって発現することを確認した。特定の状況においてのみ選挙と関連する文書の内容が確認できるように巧妙に作られており、特定のシステムをターゲットにしたものと思われる。このマルウェアは、これまでに知られている kimsuky グループの攻撃であると確認され、追加の内容を共有する。 「WORD 1」は [図1] のように settings.xml.rels に明示されたアドレスの「saemaeul.mireene.com」ドメインに接続し、現在は追加データがダウンロードされないが、ダウンロードに成功すると生成されるドキュメント「WORD 2」においても、同じドメインへの接続を試みている。このドメインは、これまで認知されてきたように kimsuky グループが攻撃に使用してきた…
新たなNEMTYランサムウェア、v3.1が韓国国内で拡散中(2020.04.01) Posted By ATCP , 2020년 04월 02일 AhnLab ASEC 分析チームは2020年4月1日、Nemty ランサムウェアが NEMTY REVENUE 3.1 にアップデートされ、韓国の国内で出回っていることを確認した。拡散手法は従来と同じく、電子メールの添付ファイル形式を利用している。現在までに確認された添付ファイル名は、以下のように「履歴書」、「ポートフォリオ」、「不当電子商取引違反行為」等のフレーズを使用しており、従来のものと大きく変わりはなかった。 電算および非転写資料保存要請書(20200401)_資料を保存して今後の不当な利益を避けてください.exe 不当電子商取引違反行為案内(20200401)_資料を保存して今後の不当な利益を避けてください.exe 履歴書_キム・ジミョン_一生懸命情熱的に最善を尽くしますよろしくお願いします.exe ポートフォリオ_キム・ジミョン_一生懸命情熱的に最善を尽くしますよろしくお願いします.exe…
圧縮ツールごとに異なる圧縮解除方式を利用した攻撃手法(WinRARの使用誘導) Posted By ATCP , 2020년 03월 30일 AhnLab ASEC 分析チームは3月23日、不正な圧縮ファイルがメールによって拡散していることを確認した。メールの内容は以下の図のとおりであり、添付ファイルはZIP拡張子であるが、「Use Winrar.(翻訳：WinRAR を使用してください)」というフレーズを含み、特定の圧縮解除プログラムで圧縮解除をするように誘導している。 圧縮されたマルウェアがメールによって拡散される方式は、以前から知られている方式である。しかし、このメールの場合、ユーザーに [図1] の赤文字(Use Winrar)のように、「WinRAR」で圧縮を解除することを誘導している。この方式で拡散されたサンプルとしては、現在までに計2種類の名前が確認されている。 MV_GLOVIS_B35C_191850_12_02_2020.zip Scan_Covid19_2020.zip 以下、新型コロナウイルスの名前と関連した「Scan_Covid19_2020.zip」をサンプルに説明する。…
[注意]COVID-19と関連したマルウェアが多数拡散 Posted By ATCP , 2020년 03월 24일 AhnLab ASEC 分析チームは、世界的に問題となっている新型コロナウイルス感染症(COVID-19)に関連したマルウェアが出回っていることを確認した。文書の内容やファイル名等がCOVID-19と関連しており、2月末から現在までに様々な形式で継続的に出回っている。初期に出回っていたマルウェアは、テスト用やジョーク性のファイル等で拡散していた。しかし、最近ではバックドア、ダウンローダー等、様々なタイプのマルウェアが出回っており、ユーザーの特別な注意が必要である。 [1] COVID-19 予防法に偽装したマルウェア ファイル名：Medidas Preventivas contra el COVID-19.doc MD5: 6862a4ed7c8e3341fed411245028b35b…
不正なマクロコードを「さらに」隠したExcelファイルの拡散 – very hidden Posted By ATCP , 2020년 03월 11일 新たな方式で不正なマクロコードを隠した Excel ファイルが発見された。今回のファイルは Excel4.0(XLM) マクロシートを利用しているが、従来の不正なマクロシートを単純に隠していた方式から、一般的なユーザーインターフェースでは隠し属性を解除できないように変更された。VBA マクロコード方式を利用しているわけでもなく、XLM マクロシートを直接確認することもできないため、文書内のどこにマルウェアの存在有無を即座に確認することが困難である。 ファイル名 -invoice_805274.xls 生成日 -2020-03-09 15:30:32…
新天地イエス教会の緊急連絡先に偽装したBisonalマルウェアが拡散中 Posted By ATCP , 2020년 03월 05일 AhnLab ASEC 分析チームは現在、韓国で話題となっている新天地イエス教会に関連するマルウェアが出回っていることを確認した。拡散ファイル名は xlsx または ppt の文書ファイルに見えるが、Unicode RLO(Right to Left Override)方式を利用してファイル拡張子を別の形式のように表示している。実際の不正なファイルは *.scr…
