入社志望内容に偽装したメールで拡散している NSIS 形式の LockBit 3.0 ランサムウェア Posted on 2022年 September 27日 ASEC 分析チームは LockBit 2.0 ランサムウェアがメールを通じて配布されていることを2月、6月と続けてブログに掲載してきたが、新たなバージョンの LockBit 3.0 ランサムウェアが類似する方式によって現在も多数拡散していることを本記事で報告する。6月には著作権関連のメールで多数配布されていた一方で、最近では入社志望に関連する内容に偽装したフィッシングメールを通じて拡散している。 上記の図のように、添付された圧縮ファイル名そのものに圧縮を解凍するパスワードが記入されているケースがあるが、圧縮ファイル名に記入せず、メールの本文に圧縮ファイルを解凍するパスワードを記入したケースも確認されている。後者の場合、メールを受信したユーザーのみがこの圧縮を解凍して中身を開くことができる。これは、圧縮ファイルだけでは内部のファイルが分からないようにすることで、アンチウイルスの検知を回避するためであるとも取れるが、特定のメール受信者をターゲットにして配布するためであるとも取れる。 圧縮ファイルの内部には alz 形式で更に圧縮されたファイルが存在し、この圧縮ファイルを解凍すると、アレアハングルファイルのアイコンに偽装した…
V3 Lite のアイコンを装って配布されているマルウェア Posted on 2022年 July 21日 ASEC 分析チームは、V3 Lite のアイコンに偽装したマルウェアが .NET のフレームワークのパッカーでパックされて配布されている状況を確認した。実際の V3 Lite 製品のアイコンと非常に似せて作られており、これはユーザーを欺くための目的だと判断できる。実際に直近1か月間は AveMaria RAT と…
著作権関連のメールに偽装した LockBit ランサムウェアの拡散 Posted on 2022年 June 24日 ASEC 分析チームは、過去に紹介した方法と同様の、著作権法違反の内容に偽装したフィッシングメールによって LockBit ランサムウェアが再び拡散していることを確認した。今年2月に拡散したフィッシングメール(下記のリンクを参照)の本文と類似した内容で作成されており、従来と同様、添付されたファイル名に圧縮ファイルのパスワードが記載されて配布されている。 履歴書および著作権に関するメールで LockBit ランサムウェアが拡散中 [図2] のように、フィッシングメールに添付された圧縮ファイルには、追加の圧縮ファイルが存在していることが確認できる。 内部の追加圧縮ファイルを解凍すると、[図3]のような PDF ファイルアイコンに偽装した実行ファイルが存在している。…
メールを通じて拡散する XLL マルウェア Posted on 2022年 May 27日 これまでに、マルウェアは様々な形態と手法で変化しながら製作され、また拡散している。AhnLab 分析チームでは、そのような変化を積極的にモニタリングしながら解析を行い、当社製品に検知を反映するようにしている。今回は、去年から拡散の状況が確認されていた XLL 形式のマルウェアについて紹介する。 .xll の拡張子で動作可能な XLL ファイルは Microsoft Excel(エクセル)のアドインファイルであり、MS Excel を通じてファイルを実行することができる。特異な点は、実行は…
税金計算書を装って配布される Remcos RAT マルウェア Posted on 2022年 March 7日 ASEC 分析チームは、税金計算書を装った Remcos RAT マルウェアが配布されている状況を確認した。フィッシングメールの内容とタイプは過去に当ブログを通じて何度も共有してきた形式と大きく変わらない。メール本文には、ぎこちない文法で書かれた短いメッセージが含まれている。ただし関連する業務に従事している場合、メールの内容はあまり意に介さずに何気なく添付ファイルを開いてしまう可能性があるため、注意が必要である。 添付ファイル「Tax.gz」を解凍すると、「Tax.com」という実行ファイルが存在しており、デバッグによってファイル内部を確認したところ、以下のようなコードを確認できた。実行環境が64ビットである場合「hxxp://zhost.polycomusa[.]com/Chrimaz.exe」から当該環境に適合する不正なファイル(1df2bf9313decafd0249d6a4556010bc)をダウンロードして実行し、そうでない場合は「3xp1r3Exp.ps1」という PowerShell ファイルをダウンロードしてさらなる不正な振る舞いを実行する。 この PowerShell スクリプトは以下の図4)に示す通り UAC…
