インフォスティラー攻撃者が収益を得る方法 Posted By ATCP , 2023년 01월 03일 インフォスティラーは情報窃取型マルウェアであり、Web ブラウザや電子メールクライアントのようなプログラムに保存されているユーザーアカウント情報や仮想通過ウォレットアドレス、ファイルのようなユーザー情報を窃取することを目的としたマルウェアである。 2022年の第3四半期の ASEC レポートによると、インフォスティラーは実行ファイルフォーマット基準でクライアントから受け取ったり収集されたりしたマルウェアのタイプのうち、半数以上を占めている。ダウンローダータイプのマルウェアも実質的にインフォスティラーやバックドアタイプのマルウェアをインストールするため、配布される数だけを見ると一般のユーザーや企業ユーザーをターゲットとした攻撃の大半を占めていると言える。[1] [図1] 2022年第3四半期のマルウェアの状況 一般的にインフォスティラーは商用ソフトウェアの Crack、シリアル生成プログラムのダウンロードページに偽装した不正なサイトから配布したり、スパムメールの添付ファイルを通して拡散されたりする。以下は2022年第3四半期に確認されたインフォスティラーマルウェアの比率である。AgentTesla、Formbook、Lokibot、SnakeKeylogger は主にスパムメールの添付ファイルを通して配布され、RedLine や CryptBot、Vidar…
ASEC マルウェア週間統計 ( 20221219～20221225 ) Posted By ATCP , 2023년 01월 02일 ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。本記事では、2022年12月19日(月)から12月25日(日)までの一週間で収集されたマルウェアの統計を整理する。 大分類の上ではインフォスティラーが37.3%と1位を占めており、その次にダウンローダーが35.7%、バックドアが23.9%、ランサムウェアが3.1%の順に集計された。 Top 1 – BeamWinHTTP 23.3%で1位を占めた BeamWinHTTP…
最新 .NET パッカーの種類および韓国国内の拡散動向 Posted By ATCP , 2022년 12월 28일 0. 概要 本内容は TI レポートの「最新 .NET パッカーの動向および分類レポート(日本語なし)」を縮約した内容であり、詳しい内容は、最下段のリンクから確認できる。 最近 .NET で作られたパッカーが韓国国内外で多数確認されている。そのため ASEC 分析チームでは、韓国国内で主に配布されている5つの種類の…
ASEC 週間フィッシングメールの脅威トレンド (20221211 ~ 20221217) Posted By ATCP , 2022년 12월 26일 ASEC 分析チームでは、ASEC 自動解析システム(RAPIT)とハニーポットを活用してフィッシングメールの脅威をモニタリングしている。本記事では、2022年12月11日から12月17日までの一週間で確認されたフィッシングメール攻撃の拡散事例と、これらをタイプ別に分類した統計情報を紹介する。一般的にはフィッシング攻撃者が社会工学技法を利用し、主にメールを利用して機関、企業、個人などに偽装したり、これらを詐称することで、ユーザーにログインアカウント(クレデンシャル)情報を流出させる攻撃のことを指す。また、フィッシングは広い意味で、攻撃者が各対象を相手にする情報流出、マルウェア配布、オンライン詐欺行為などの攻撃を可能にする不正な手口(technical subterfuge)を意味する。本記事では、フィッシングは主にメールで配布される攻撃というところにフォーカスをあてている。そして、フィッシングメールをベースに行われる様々な攻撃方式を詳細にカテゴライズする。そしてまだ発見されていなかった新たなタイプや注意すべきメールをキーワードとともに紹介し、ユーザーの被害の最小化に努める。本記事で扱うフィッシングメールは添付ファイルのあるメールのみとする。添付ファイルがなく、不正なリンクのみが本文に含まれているメールは本記事では扱わない。ログインアカウント情報流出タイプは、偽のログインページで用語を定義している。 フィッシングメールの脅威タイプ 一週間のフィッシングメールの添付ファイルのうち、最も多いタイプは情報窃取マルウェア(Infostealer, 54%)である。情報窃取マルウェアは AgentTesla、FormBook などが含まれており、Web ブラウザ、メールおよび FTP…
ASEC マルウェア週間統計 ( 20221212～20221218 ) Posted By ATCP , 2022년 12월 26일 ASEC 分析チームでは、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。本記事では、2022年12月12日(月)から12月18日(日)までの一週間で収集されたマルウェアの統計を整理する。 大分類の上ではダウンローダーが61.9%と1位を占めており、その次にインフォスティラーが24.7%、バックドアが12.5%、ランサムウェアが0.9%の順に集計された。 Top 1 – SmokeLoader Smokeloader はインフォスティーラー…
Microsoft 認証書として署名されたマルウェアの配布に注意 Posted By ATCP , 2022년 12월 26일 Microsoft から、Microsoft 認証書として署名されたマルウェアが拡散している内容について公開された。[1]この内容によると、Microsoft の様々な開発者アカウントが流出したことにより、Windows ハードウェア開発者プログラム(Windows Hardware Developer Program)で認証したドライバーが悪用されており、被害を防ぐために Microsoft では関連したアカウントを遮断しセキュリティアップデート(Microsoft Defender 1.377.987.0…
ASEC 週間フィッシングメールの脅威トレンド (20221204 ~ 20221210) Posted By ATCP , 2022년 12월 22일 ASEC 分析チームでは、ASEC 自動解析システム(RAPIT)とハニーポットを活用してフィッシングメールの脅威をモニタリングしている。本記事では、2022年12月04日から12月10日までの一週間で確認されたフィッシングメール攻撃の拡散事例と、これらをタイプ別に分類した統計情報を紹介する。一般的にはフィッシング攻撃者が社会工学技法を利用し、主にメールを利用して機関、企業、個人などに偽装したり、これらを詐称することで、ユーザーにログインアカウント(クレデンシャル)情報を流出させる攻撃のことを指す。また、フィッシングは広い意味で、攻撃者が各対象を相手にする情報流出、マルウェア配布、オンライン詐欺行為などの攻撃を可能にする不正な手口(technical subterfuge)を意味する。本記事では、フィッシングは主にメールで配布される攻撃というところにフォーカスをあてている。そして、フィッシングメールをベースに行われる様々な攻撃方式を詳細にカテゴライズする。そしてまだ発見されていなかった新たなタイプや注意すべきメールをキーワードとともに紹介し、ユーザーの被害の最小化に努める。本記事で扱うフィッシングメールは添付ファイルのあるメールのみとする。添付ファイルがなく、不正なリンクのみが本文に含まれているメールは本記事では扱わない。ログインアカウント情報流出タイプは、偽のログインページで用語を定義している。 フィッシングメールの脅威タイプ 一週間のフィッシングメールの添付ファイルのうち、最も多いタイプはの偽のログインページ(FakePage, 36%)であった。偽のログインページは攻撃者が正常なログインページの画面構成、ロゴ、フォントをそのまま模倣した Web ページで、ユーザーに自分のアカウントとパスワードを入力するように誘導させる。入力された情報は攻撃者の C2 サーバーに転送される。以下の<偽のログインページ C2>を参照…
韓国国内の有名金融アプリに偽装したフィッシング攻撃 Posted By ATCP , 2022년 12월 22일 ASEC 分析チームは最近、金融関連の正常な Web サイトをターゲットとした不正なドメインが多数生成されている状況を確認した。 11月の初めから以下のような NAVER カスタマーセンターを偽装したフィッシングメールの拡散が多く確認され、これらを通してメールに含まれた不正な URL をモニタリングしていた。 送信者の Username は「Naver…
仮想ディスクファイル(*.vhd)で拡散している Qakbot Posted By ATCP , 2022년 12월 22일 最近、ディスク画像ファイルを利用したマルウェアの配布が増加している。その中でも Qakbot マルウェアは ISO および IMG ファイルを通して配布されてきており、現在は VHD ファイルに形態を変更して拡散されていることが確認された。このように Qakbot マルウェアがディスク画像ファイル(IMG、ISO、VHD)を利用するのは、MOTW(Mark of…
様々なプラットフォームを悪用する Vidar Stealer Posted By ATCP , 2022년 12월 22일 Vidar マルウェアは継続的に拡散している情報窃取マルウェアとして、最近の配布量が目に見えて増えている。Telegram、Mastodon などの有名なプラットフォームを中間 C2 に活用しているのが特徴である。 以下のリンクは Mastodon を活用して不正な振る舞いを行う事例について取り上げた記事である。 SNS のマストドンを悪用する Vidar マルウェア…
