ASEC マルウェア週間統計 ( 20220516～20220522 ) Posted By ATCP , 2022년 05월 27일 ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。本記事では、2022年5月16日(月)から5月22日(日)までの一週間で収集されたマルウェアの統計を整理する。 大分類の上ではインフォスティーラーが71.8%と1位を占めており、その次に RAT(Remote Administration Tool)マルウェアが19.1%、ダウンローダーが3.7%、ランサムウェアが3.3%、バンキング型マルウェアが1.7%、バックドアが0.4%の順に集計された。 Top 1 – AgentTesla…
メールを通じて拡散する XLL マルウェア Posted By ATCP , 2022년 05월 27일 これまでに、マルウェアは様々な形態と手法で変化しながら製作され、また拡散している。AhnLab 分析チームでは、そのような変化を積極的にモニタリングしながら解析を行い、当社製品に検知を反映するようにしている。今回は、去年から拡散の状況が確認されていた XLL 形式のマルウェアについて紹介する。 .xll の拡張子で動作可能な XLL ファイルは Microsoft Excel(エクセル)のアドインファイルであり、MS Excel を通じてファイルを実行することができる。特異な点は、実行は…
PDF 内に添付されたファイルを安全なファイルに見せかけるための手法 Posted By ATCP , 2022년 05월 25일 ASEC 分析チームは、PDF の添付ファイル(Attachment)機能を利用してインフォスティーラー型のマルウェアが配布されていることを確認した。以前も確認されたことがある攻撃手法だが、最近になってこのようなタイプのマルウェアが再び活発に配布されている状況が確認されたため、ユーザーに注意を促している。注目すべき点としては、攻撃者がユーザーを欺くために、添付ファイル名を活用して単純なトリックを用いている点をあげられる。 Acrobat Reader には PDF ファイル自体に添付ファイルを追加できる機能が存在するが、デフォルトでブラックリストに指定された .bin/.exe/.bat/.chm 等の拡張子を持つファイルは危険要素と認識され、添付することができない。デフォルトでブラックリスト/ホワイトリストに存在しないその他のファイルについては、ユーザーの判断を確認するメッセージボックスが出力されるが、攻撃者はこの点を悪用している。 電子メールに添付された PDF…
様々なテーマの報道資料を詐称した Kimsuky の攻撃 Posted By ATCP , 2022년 05월 25일 ASEC 分析チームは、報道資料を装ったマルウェアが拡散していることを確認した。このマルウェアは、実行すると正常なドキュメントファイルをロードして不正な URL に接続を試みる。接続に成功すると、当該ページに存在するスクリプトが実行される。これは<対北朝鮮関連の原稿要求事項を装った APT 攻撃の試み (Kimsuky) >で確認された VBS コードと類似したタイプであることが確認された。 現在確認されているファイルは以下の通りである。 北朝鮮の新型コロナウイルス感染者発生の認定と今後の朝鮮半島の情勢展望.docx.exe 1. 報道資料(道内青少年対象、訪問ドローン体験教育運営).hwp .exe…
ASEC マルウェア週間統計 ( 20220509～20220515 ) Posted By ATCP , 2022년 05월 23일 ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。本記事では、2022年5月9日(月)から5月15日(日)までの一週間で収集されたマルウェアの統計を整理する。 大分類の上ではインフォスティーラーが79.4%と1位を占めており、その次に RAT(Remote Administration Tool)マルウェアが16.7%、バンキング型マルウェアが1.6%、ランサムウェアが1.6%、ダウンローダーが0.8%と集計された。 Top 1 – AgentTesla…
様々なファイルを通じて拡散する Emotet マルウェア Posted By ATCP , 2022년 05월 20일 ASEC 分析チームは最近、Emotet マルウェアがリンクファイル(.lnk)を通じて拡散していることを確認した。Emotet マルウェアは過去から何度も拡散が続いており、4月からは Emotet ダウンローダーが Excel ファイルだけではなく、リンクファイル(.lnk)も使用していることが確認された。 確保した EML ファイルは、すべてユーザーのメールに対する返信であるかのように装ってマルウェアを配布するという共通点が見られる。 [図1]…
マルウェア感染時、単純な駆除にとどめてはいけない理由 Posted By ATCP , 2022년 05월 20일 2022年1月、韓国国内の製造業分野で有数の企業において、内部システムの多数が Darkside ランサムウェアに感染する被害が発生した。 AD グループポリシーを利用して Darkside ランサムウェアが配布されたことが確認されたため、DC サーバーにフォレンジックを試みたものの、仮想環境で運用中であった DC サーバーの仮想環境運用システム自体が破損しており、DC サーバーを確保することができなかった。代わりに、Darkside ランサムウェアに感染した後、過去のバックアップを活用して復旧されたシステムのうち…
Log4Shell の脆弱性を悪用する Lazarus グループ (NukeSped) Posted By ATCP , 2022년 05월 19일 昨年12月、Java ベースのロギングユーティリティである Log4j の脆弱性(CVE-2021-44228)が世界的に問題となった。この脆弱性は、リモート先の Java オブジェクトのアドレスをログメッセージに含ませ Log4j を使用するサーバーに転送すると、サーバーから Java オブジェクトを実行できるリモートコード実行の脆弱性である。 https://asec.ahnlab.com/jp/29622/ ASEC…
コイン紛失、給与明細書に偽装した不正なヘルプファイル (*.chm) Posted By ATCP , 2022년 05월 16일 ASEC 分析チームは、Windows ヘルプファイル(*.chm)形式のマルウェアの拡散が続いていることを確認した。最近確認された chm ファイルは、<Windows ヘルプファイル(*.chm)によって拡散している APT 攻撃>で紹介したファイルと同じタイプであり、追加のマルウェアダウンロードを目的としている。 このタイプの chm ファイルは主に圧縮ファイル形式で配布されるものと推定される。確認された圧縮ファイル名と内部の chm…
ASEC マルウェア週間統計 ( 20220502～20220508 ) Posted By ATCP , 2022년 05월 12일 ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。本記事では、2022年5月2日(月)から5月8日(日)までの一週間で収集されたマルウェアの統計を整理する。 大分類の上ではインフォスティーラーが73.1%と1位を占めており、その次に RAT(Remote Administration Tool)マルウェアが19.3%、ランサムウェアが5.0%、ダウンローダーが2.5%と集計された。 Top 1 – AgentTesla…
