フィッシングサイトを通して配布される CryptBot 情報奪取型マルウェア Posted By Hansoyoung , 2021年 June 5日 ASEC 分析チームは、ユーティリティプログラムに偽装して情報奪取型マルウェアを配布するフィッシングサイトをブログで紹介している。このマルウェアはユーザーが Google 検索キーワードでユーティリティプログラム名を検索すると、比較的上部に表示される。現在まで活発に配布が続いており、その感染プロセスは変化し続けている。韓国国外では CryptBot として知られているこの情報奪取型マルウェアの最新配布ファイルの感染方式について説明する。 以下の図はユーティリティプログラムに偽装してマルウェアを配布するフィッシングサイトの様子である。英文サイト以外にも、韓国語に翻訳されたサイトも存在する。 マルウェアは zip 形式でダウンロードされる。圧縮ファイルには情報流出のマルウェアが含まれた別の zip 圧縮ファイルと、解凍パスワードが記載された…
ライブラリファイルを利用した韓国国内企業への APT 攻撃 Posted By Hansoyoung , 2021年 June 4日 最近になり、韓国国内企業を対象に持続的なターゲット型攻撃が発生した。企業の侵害システムから収集された不正なファイルのうち、その大半は動的ライブラリ(DLL)ファイルであった。しかし、今回の攻撃に使用されたファイルは一般的な DLL ファイルとは違っていた。収集されたファイルは、正常なライブラリが様々な方法で悪意を持って改ざんされたファイルであった。 どのような経路でシステムに不正なファイルが生成されたのか、また最初の攻撃流入経路は何であったのかは、まだ分かっていない。また、単独実行が不可能なライブラリの特性上、これを実行するトリガー行為や追加のファイル情報も確認されなかった。しかし、現在までに収集されたファイルだけでも今回の攻撃には明確な特徴がある。 正常なライブラリ(DLL)ファイルの Export 情報を改ざん(追加、置換え、変更)した不正ファイル 不正ファイルを実行するために、有効な引数やデータファイルが必要 引数やデータファイルを通じて機能のモジュール化および機能置換えが可能 ライブラリファイルを利用した攻撃の特徴 正常なライブラリファイルに Export…
デリバリーアプリに偽装したマルウェアの拡散に注意 Posted By Hansoyoung , 2021年 June 2日 5月10日に、AhnLab ASEC 分析チームはコロナウイルス(COVID-19)によりフードデリバリーの消費が急増している中、攻撃者がデリバリーアプリをだしにしてマルウェアを配布していることを確認した。 주문할게요 앱.zip (翻訳：注文お願いします アプリ.zip)(圧縮ファイル名) 주문할게요 앱\마케팅.docx (翻訳：注文お願いします アプリ\マーケティング.docx)(圧縮ファイル内部の XML External ドキュメントのマルウェア)…
V3 メモリ検知機能による AMSI の回避の試みを検知(CoinMiner) Posted By Hansoyoung , 2021年 May 27日 ASEC 分析チームは AMSI 検知機能を無力化する CoinMiner が配布されていることを確認した。AMSI は Windows 10 に追加された機能であり、マルウェア検知のためにアプリケーションとサービスをアンチウイルス製品と連動できるように、Microsoft がサポートしている機能である。現在 V3…
スパムメールによって拡散している HawkEye キーロガー Posted By Hansoyoung , 2021年 May 24日 HawkEye キーロガーは、主にスパムメールを通して配布される情報奪取型マルウェアである。最近では AgentTesla、Formbook、Lokibot がこのタイプのマルウェアの大半を占めているが、少し前までは HawkEye がこれらのマルウェアと同等に大量に拡散していた。 最近になって HawkEye の拡散が大きく減少したものの、それにも関わらず今年も一定の割合の HawkEye マルウェアが確認され続けている。配布方式は、以前からと同様にスパムメールの添付ファイルを通した形式がほとんどであるものと推定される。 以下は、2月と3月頃に韓国国内のユーザーをターゲットに配布されたスパムメールである。…
