V3 ネットワークの検知機能による Log4j 脆弱性(CVE-2021-44228)の検知 Posted By ATCP , 2021년 12월 28일 2021年12月10日、Apache Log4j 脆弱性(CVE-2021-44228)が公開されたことにより、Github に様々な POC(Proof of Concept：概念実証)がアップロードされた。Log4j 脆弱性は攻撃者がログメッセージに不正なアドレスクラスを挿入し、Web サーバーに攻撃者が製作した不正なクラスを実行させることができるため、波及力が大きい。 AhnLab では Log4j…
Kimsuky グループの APT 攻撃事例 (PebbleDash) Posted By ATCP , 2021년 12월 27일 最近 ASEC 分析チームは、APT 攻撃を試みるマルウェアの動向を継続的に把握しており、関連内容を共有している。今回確認された事例は PebbleDash バックドア型マルウェアを利用した攻撃事例であり、このほかにも AppleSeed、Meterpreter およびさらなる別のマルウェアのログを確認することができた。 PebbleDash バックドア 攻撃者は以下のようなスピアフィッシングメールを送信して、ユーザーが添付ファイルのリンクをクリックして圧縮ファイルをダウンロードし、実行させるように誘導している。 添付の zip ファイルを解凍すると以下のような「준공계.pif」(翻訳：竣工届.pif)ファイルを確認できる。このマルウェアは実際に不正な振る舞いを実行する PebbleDash バックドア型マルウェアをドロップするドロッパーマルウェアである。 ドロッパーマルウェアは PebbleDash…
[お知らせ] Log4j の新たな脆弱性 (CVE-2021-45105) – Log4j 2.17.0 Posted By ATCP , 2021년 12월 23일 2021年12月18日、Log4j 2.16.0 バージョンで動作する CVE-2021-45105 の脆弱性が追加で公開された。(CVSS 7.5) 1. 脆弱な製品のバージョン Log4j 2.0-beta9 ~ 2.16.0…
同じパスワードが設定された Local Administrator アカウントを使用する企業のランサムウェア感染事例 Posted By ATCP , 2021년 12월 20일 ASEC 分析チームは最近、Lockis ランサムウェアへの感染被害を受けた企業の被害システムを解析した結果、攻撃者が被害を受けたシステムのローカル Administrator アカウントで RDP 接続後にランサムウェアを実行させていたことを確認した。 被害を受けたシステムのローカル Administrator 情報を調査した結果、1～2年間パスワードを変更しておらず、すべて同じパスワードが設定されていることが確認された。 さらに、その NTLM…
デザイン修正リクエストのドキュメントに偽装した情報窃取目的の不正な Word Posted By ATCP , 2021년 12월 09일 ASEC 分析チームは、韓国国内ユーザーをターゲットにした不正な Word ドキュメントが拡散していることを確認した。ファイル名は デザイン修正リクエスト.doc であり、以下のようにマクロの実行を誘導する画像が含まれている。 この Word ファイル内部には以下のように hxxp://filedownloaders.com/doc09 から追加ファイルをダウンロードする不正なマクロが含まれている。ユーザーがコンテンツの有効化ボタンをクリックすると、マクロが自動で実行され、追加の不正なファイルをダウンロードする。 その後、ダウンロードした…
韓国の国税庁を騙るメールを通じて Lokibot マルウェアが拡散中 Posted By ATCP , 2021년 12월 08일 ASEC 分析チームは最近、ホーム TAX を詐称する不正なメールが出回り続けていることを確認した。メール送信者のアドレスは昨年と同じくホーム TAX に偽装した hometaxadmin@hometax.go[.]kr, hometaxadmin@hometax[.]kr であり、本文内容にも電子税金計算書関連の内容が含まれている。 このタイプのメールは以前から拡散が続いており、昨年の「国税庁「電子税金計算書」を詐称する Lokibot の拡散」の記事で共有した詐称メールの場合は不正なマクロが含まれた…
より精巧になった不正な PPT を通じて AgentTesla が拡散中 Posted By ATCP , 2021년 12월 07일 ASEC 分析チームは、昨年から拡散が続いている不正な PPT ファイルについて紹介してきた。最近では、不正な PPT ファイルで実行されるスクリプトに、様々な不正な機能が追加されたことが確認された。不正な PPT ファイルが実行される方式はこれまでに紹介してきたものと同じであり、不正なスクリプトによって追加でマルウェアの実行、Anti-AV、UAC bypass 等の機能を遂行する。 PPT ファイルを開くと、従来と同様、以下のようにマクロを含むかどうかを選択する警告ウィンドウが表示される。このとき、マクロを含むボタンを選択すると不正なマクロが自動で実行される。…
韓国国内の研究機関および企業をターゲットとするフィッシングメールの拡散 Posted By ATCP , 2021년 12월 06일 ASEC 分析チームでは、韓国国内の研究機関と企業をターゲットとしてパスワードを窃取するフィッシングメールの拡散を確認した。このフィッシングメールは国際運送業者を詐称しており、通関情報の提出、添付ファイルの閲覧等を要求し、リンクのクリックを誘導する内容で構成されている。メール内に含まれているリンクをクリックすると、パスワードの入力を誘導するフィッシングページにリンクする。同じドメインを使用して、研究機関だけでなく複数の企業をターゲットとして配布された状況も確認されており、注意が必要である。 収集されたサンプルは、以下のように貨物到着(予定)のお知らせに関するメールを装っており、有名な海外の運送会社を詐称している。本文の内容では通関情報を入力するためにリンクをクリックするよう促しており、当該リンクをクリックするとフィッシングページにリンクする。 もう一つのサンプルでは、以下の画像のようにメール本文に添付ファイルが存在するかのように偽装している。添付ファイル情報に見える部分は実際には画像ファイルで、ハイパーリンクが挿入されており、クリックするとフィッシングページにリンクするようになっている。こちらも同じく、有名な運送会社を詐称している。 フィッシングページではセッションの有効期限が切れているというメッセージを表示し、パスワードの入力を誘導する。ユーザーが入力したパスワードは GET 方式によって攻撃者のサーバーに送られる。上記サンプルにおいて使用されたフィッシングページのアドレス形式は以下の通りである。 hxxp://survoltropic[.]pt/consequuntursed/koream/koream.php?main_domain=[リダイレクト URL]&email=[メールアカウント]&subdomain=[URL] フィッシングページは Iframe によって[リダイレクト…
ブラックフライデーシーズンを狙った、企業をターゲットとする不正な Excel ドキュメントの拡散 Posted By ATCP , 2021년 11월 29일 ブラックフライデーシーズンを狙った不正な Excel ドキュメントが企業をターゲットに出回っている。11月25日付で確認された電子メールは、某企業から収集された。電子メールは Excel ドキュメントファイルを添付ファイルとして含んでいる。Excel ドキュメントファイルは XLSB Excel のバイナリフォーマットである Excel 4.0 Macro(XLM)マクロシートを確認された電子メールは、韓国国内の某企業から収集された。電子メールは…
海外サイト直接購入最盛期に合わせ「Emirates Post」を騙るメールが拡散中 Posted By ATCP , 2021년 11월 23일 ASEC 分析チームは、様々な企業を騙るフィッシングサイトを紹介してきた。最近では海外サイトからの直接購入が最盛期を迎え、運送会社である Emirates Post を騙る不正なメールが出回っていることを確認した。 出回っている不正なメールは以下の通りであり、メール本文には配送先住所に問題があるため、購入者に確認および返品を要請するという内容を使用している。当該メール内の「Tracking Number」と「Click Here」に不正なリンクが添付されており、そのリンクはフィッシングサイトに接続される。また、当該リンクは24時間以内に期限が満了するというメッセージを利用し、ユーザーがリンクをクリックするように誘導している。 メール内に添付されているリンクのアドレスは、以下の通りである。不正なサイトのアドレスは正常な Emirates Post の…
