対北朝鮮に関する質問書タイトルのアレアハングルドキュメント(HWP)の拡散 Posted By ATCP , 2021년 04월 14일 最近、AhnLab ASEC 分析チームは 対北朝鮮に関する内容を含んでいる不正な WORD ファイルの拡散について共有した。そして今日、対北朝鮮に関する質問書内容のマルウェアがアレアハングルドキュメント(HWP)形式で配布されている状況を捕捉した。 捕捉した内容を確認すると、韓国国内の放送局が2020年12月15日、北朝鮮関連の討論アンケートで使用した文書が、マルウェアの製作者によって修正されたものと推定される。この不正なアレアハングル形式のファイルは、過去にも共有した手法の「リンクオブジェクト」が含まれているが、オブジェクトを挿入したパスの情報(C:\Users\Snow\AppData\Local\Temp)を通じて、Snow という名前のコンピュータ名を持つシステムにおいて当該ドキュメントが製作されたものと推定される。 文書タイトル：질의서-12월15일.hwp (翻訳：質問書-12月15日.hwp) 文書内容 上記…
検知を回避する方法で武装した Dridex マルウェアの拡散方式の分析 Posted By ATCP , 2021년 04월 07일 Dridex(または Cridex、Bugat)は金融情報を流出させる代表的なマルウェアである。サイバー犯罪組織によって、グローバルに大々的に拡散しており、主にスパムメールに含まれる Microsoft Office Word や Excel ドキュメントファイルのマクロを利用している。Dridex マルウェアの最も大きな特徴はダウンローダー、ローダー、ボットネットなどの機能に合わせてファイルをモジュール化して動作する点である。Dridex マルウェアを利用して DoppelPaymer や…
軍事安保月刊誌(4月号)に偽装した不正な Word ドキュメントが拡散中 Posted By ATCP , 2021년 04월 05일 AhnLab ASEC 分析チームは以前対北朝鮮に関する内容を含んだ不正な DOC(Word)ドキュメントについて紹介した。この形式は文書内部の XML ファイルに作成された「外部 External 接続アドレス」にアクセスし、追加ファイルをダウンロードする構造である。 最近になって、この方式を利用した不正な Word ドキュメントが軍事安保月刊誌(4月号)に偽装し、拡散していることが確認された。現在拡散しているファイル名は以下の通りである。 월간KIMA2021_4월호군사안보0330.docx…
謝金依頼書に偽造した不正な Word(External 接続 + VBA マクロ) Posted By ATCP , 2021년 04월 01일 ドキュメント型マルウェアが流行中といっても過言ではないほど様々な形式の不正なドキュメント(HWP、WORD、EXCEL、PDF 等)が出回っており、AhnLab ASEC 分析チームもこれまでに多数の関連内容を提供してきた。そして、今回も新たな形式の不正な Word ドキュメントが確認されたため、これについて紹介する。 「謝金支給依頼書」に偽造した不正な Word 形式で、従来のものとやや異なる点は、不正な External 接続と VBA…
対北朝鮮に関する本文内容の External リンクを利用した不正な Word ドキュメント Posted By ATCP , 2021년 03월 24일 AhnLab ASEC 分析チームでは、様々な形式のドキュメント型マルウェアについて紹介してきた。その中で、対北朝鮮に関する本文内容の不正なドキュメントは主に HWP (アレアハングル)形式で製作されており、過去の ASEC ブログでもその内容を確認できる。今回紹介する内容は、対北朝鮮に関する本文内容が記載された不正な DOC(Word)ドキュメントであり、ASEC 分析チームがこれまでに確保した当該ドキュメントの一部を公開する。 電子メールによって配布されたものと推定される当該ドキュメントは、以下のような本文内容を含んでおり、ドキュメント内部の XML に記述されたコードに「外部…
注意！マグニバー(Magniber)ランサムウェア CVE-2021-26411 の脆弱性により韓国国内で拡散中 Posted By ATCP , 2021년 03월 17일 マグニバー(Magniber)ランサムウェアの攻撃者は、V3 の診断を回避するために進化を続けてきた。AhnLab ASEC ブログを講読してきた読者であれば、AhnLab とマグニバーランサムウェア製作者の間で繰り広げられている、追いつ追われつの長い歴史についてはよくご存知だろう。 マグニバーの配布者は、AhnLab の創立記念日(3/15)による休日を狙い、これまで使用してきた脆弱性(CVE-2020-0968)の代わりに、CVE-2021-26411脆弱性へと緊急変更した。AhnLab ASEC 分析チームは、このような検知回避の試みを素早く認知するための自動対応および収集システムを構築、運営しており、当該システムを通じて今回 CVE-2021-26411脆弱性スクリプトに変更されたことをすぐ捕捉することができた。この脆弱性は3月9日に Microsoft からセキュリティパッチが配布されたため、Internet…
知らないうちにインストールされてしまう BeamWinHTTP マルウェア！ Posted By ATCP , 2021년 03월 08일 AhnLab ASEC 分析チームが毎週公開している週間マルウェア統計でも確認できるように、ここ数週間でダウンローダー型のマルウェアである BeamWinHTTP が頻発に発生している。 過去の ASEC 週間マルウェアの統計によると、BeamWinHTTP マルウェアは Top 3に分類されるほど、たくさん出回っている。また、実行するたびに異なるマルウェアをダウンロードしているため、特に注意が必要である。 BeamWinHTTP…
履歴書/著作権に関するメールとして拡散しているマルウェア (ランサムウェア、インフォスティーラー) Posted By ATCP , 2021년 02월 26일 AhnLab ASEC 分析チームは、以前から履歴書に偽造して持続的に出回っていたマルウェアが、最近も履歴書および著作権に関するファイルに偽装して拡散していることを確認した。最近拡散しているファイルも以前と同じく NSIS (Nullsoft Scriptable Install System)形式であり、以下のように様々なファイル名で出回っている。 이미지 원본(제가 제작한 이미지)과…
見積りや発注書のメールに注意 Posted By ATCP , 2021년 02월 22일 2021年の開始とともに、各企業が事業を本格的に開始した中で、事業に関連する内容に偽装した不正な電子メールが相次いで発見されており、注意を求めている。発見された攻撃は「見積依頼」、「発注書」などの業務に関する内容に偽装したメールに不正なファイルを添付する方式であり、添付ファイルを開くとアカウント情報を要求するフィッシングサイトへ接続、または情報を奪取するマルウェアに感染する。 AhnLab ASEC は、今年1～2月の間に「見積依頼」、「発注書」などに偽装した電子メールで、ユーザーの情報奪取を試みる事例を多数発見した。電子メールの本文には比較的に自然な韓国語で「添付ファイルを確認してください。」という内容が記載され、ユーザーの添付ファイル実行を誘導していた。また、攻撃者は疑いを避けるため本文に特定の職員を詐称し、メールの署名を作成することもあった。以下は、発見された攻撃事例2件の内容をまとめたものである。 1.見積依頼に偽装した不正なメール まず、今年の1月には「견적의뢰 건(翻訳：見積依頼の件)」という件名の不正な電子メールが発見された。本文には「発注書を送付いたしますので、ご参考の上製品の納期をお願いします。」という内容が書かれていた。攻撃者は、このメールに「Purchase order.html」および「Request for PO.html」という2つの不正な HTML ファイルを添付した。…
「2021年 国防部業務報告修正」文書に偽装したマルウェアの拡散 Posted By ATCP , 2021년 02월 03일 1月24日、AhnLab ASEC では「2021年 国防部業務報告修正」という文書に見せかけてマルウェアが共に配布されている状況を確認した。このマルウェアの拡張子は以下のように *.pif で作成されて配布されているが、実際のファイルは EXE 拡張子のような実行可能なファイルである。ファイルを開くと以下の [図1] のように、現在国防部のホームページで提供されている正常な PDF ドキュメントの内容と同じファイルがユーザーに表示される。しかし、正常な…
