韓国国内の企業をターゲットにした FRP(Fast Reverse Proxy)を使用する攻撃グループ Posted By ATCP , 2022년 08월 31일 最近、外部に公開された脆弱なサーバーを手掛かりに侵入した攻撃者が、内部ネットワークまで掌握する侵害事例が、韓国国内の企業を対象に頻繁に起きている。 脆弱な Atlassian Confluence サーバーをターゲットにした攻撃事例 韓国国内の医療機関の脆弱なサーバをターゲットに拡散する Meterpreter 脆弱な MySQL サーバーをターゲットに拡散している AsyncRAT マルウェア…
FileLess 形式で拡散する AsyncRAT Posted By ATCP , 2022년 08월 25일 ASEC 分析チームは最近、FileLess 形式で AsyncRAT マルウェアが拡散していることを確認した。拡散している AsyncRAT は多数のスクリプトファイルを通じて FileLess 形式で実行され、電子メール内の圧縮ファイルとして添付されて拡散しているものと推定される。AsyncRAT は .NET で開発されたオープンソース…
Windows ライセンス認証ツールを利用して拡散している BitRAT、XMRig コインマイナー Posted By ATCP , 2022년 08월 25일 ASEC 分析チームでは最近、Windows ライセンス認証ツールを装って BitRAT や XMRig コインマイナーが配布されていることを確認した。BitRAT は以下のブログでも取り上げたとおり、以前もウェブハードを通じて MS Windows ライセンス認証ツールや MS…
ウェブハードによって拡散しているモネロコインマイナーマルウェア Posted By ATCP , 2022년 08월 08일 ウェブハードは、韓国国内のユーザーをターゲットにする攻撃者たちが使用する代表的なマルウェア配布プラットフォームである。ASEC 分析チームでは、ウェブハードを通じて配布されるマルウェアをモニタリングしており、過去にいくつかのブログを通じて情報を共有してきた。 一般的に攻撃者たちは、成人向けゲームや私用ゲームのクラックバージョンのような違法プログラムと共にマルウェアを配布する。このようにウェブハードを配布経路に使用する攻撃者たちは、主に njRAT や UdpRAT、DDoS IRC Bot のような RAT タイプのマルウェアをインストールする。 最近…
韓国国内の企業をターゲットとした Gwisin ランサムウェア Posted By ATCP , 2022년 08월 03일 最近、韓国国内の企業をターゲットにした Gwisin ランサムウェアの被害が増加している。このランサムウェアは特定の企業をターゲットに製作、配布されており、Magniber と同じく MSI インストーラーの形式で動作する。不特定多数をターゲットに配布される Magniber とは異なり、Gwisin ランサムウェアはファイルの単独実行だけでは振る舞いが発現せず、特別な実行引数値が必要である。このような引数値は MSI 内部に含まれた DLL…
攻撃者のメールに返信した場合に外部リンクで提供される Word ドキュメント (Kimsuky) Posted By ATCP , 2022년 08월 02일 ASEC 分析チームは、対北朝鮮に関する内容の不正な Word ドキュメントが継続的に拡散していることを確認した。確認された Word ドキュメントは AhnLab TIP に公開された「2021年 Kimsuky 攻撃ワード(word)ドキュメント事例総整理解析レポート」および「外交/安全保障関連の内容の Word…
韓国国内の大学をターゲットにした不正な CHM が拡散中 Posted By ATCP , 2022년 08월 02일 ASEC 分析チームは、韓国国内の特定の大学をターゲットに不正な CHM ファイルが多数拡散している状況を捕捉した。拡散している不正な CHM ファイルは、5月に紹介したものと同じタイプであることが確認された。 https://asec.ahnlab.com/jp/34041/ [図1]は不正な CHM の内部に存在する HTM ファイルのコードであり、「2022年度_基礎科学研究力量強化事業_着手報告会_開催_計画…
韓国国内のポータルサイトの Daum を装ったフィッシングメール Posted By ATCP , 2022년 07월 28일 ASEC 分析チームは、2022年7月21日に韓国国内のポータルサイトである Daum を装ったフィッシングメールが拡散している状況を捕捉した。このフィッシングメールの件名は RFQ を含んでおり、見積依頼書を偽装し、添付ファイルを利用してフィッシングページに誘導するように作られている。 添付ファイルは HTML ファイルになっており、添付ファイルを実行すると自動で、以下のアドレスにリダイレクションされる。 hxxps://euoi8708twufevry4yuwfywe8y487r.herokuapp[.]com/sreverse.php リダイレクションされた後、以下のような Daum…
Proxyware を利用して利益を受け取っている攻撃者たち Posted By ATCP , 2022년 07월 28일 Proxyware とは、インストールされたシステムから、現在使用できるインターネット帯域幅の一部を外部に共有するプログラムである。一般的にこのプログラムをインストールしているユーザーは帯域幅を提供する代わりに一定の金額を受け取っている。このようなサービスを提供している業者としては Peer2Profit、IPRoyal のような企業がある。これらの事業は、提供された帯域幅を他の事業に提供するといった方式で収益を得ているが、ホームページによるとソフトウェアの配布、市場調査、広告検証、ソフトウェアテストのような様々なビジネスパートナーがいると主張している。 ユーザーの立場からすると、システムに Proxyware をインストールすることで一定の収益を得ることができるが、外部のユーザーが自分のネットワークを利用して特定の振る舞いを行うという点において、危険性を承知していなければならない。すなわち、ユーザーは Proxyware 事業で主張しているものが具体的にどこにあるのか確認できず、当該事業で自主的に検証を行っていると言っても、その後の自分のインターネット帯域幅が不正に使用されてるのかを確認できないといった危険性が存在している。 最近 ASEC 分析チームでは、ユーザーの同意を得ずに…
特定軍部隊のメンテナンス企業をターゲットとした AppleSeed の拡散 Posted By ATCP , 2022년 07월 28일 ASEC 分析チームは最近、特定の軍部隊のメンテナンス企業をターゲットに AppleSeed を配布している状況を捕捉した。AppleSeed マルウェアは Kimsuky グループが主に使用しているバックドア型マルウェアであり、最近は様々な対象をターゲットに活発に配布されている。 https://asec.ahnlab.com/jp/36228/ 今回は、特定の軍部隊の名前が含まれた以下のようなファイル名で、マルウェアが配布されている。 20220713_****部隊_配置予定日程V004_***** 修正_6.xls 最初は…
