様々なテーマを利用して CHM マルウェアを拡散している Kimsuky Posted By gygy0101 , 2023年 June 21日 AhnLab Security Emergency response Center (ASEC)では、Kimsuky グループの APT 攻撃を絶えず追跡しており、先月5月の1か月間に確認された内容を紹介する。Kimsuky グループはマルウェアの配布にドキュメントファイルを多用してきたが、最近では CHM を利用した配布方式が多数確認されている。また、ほとんどのドキュメント内で対北朝鮮に関するテーマを扱っていたこれまでとは異なり、様々なテーマを利用して攻撃を試みている。…
中国ハッカーグループによる韓国国内企業情報の窃取 Posted By kingkimgim , 2023年 May 15日 最近、SQL サーバーや IIS Web サーバーのように、外部からアクセスできる脆弱なサーバーを対象に攻撃する侵害事例が頻繁に確認されている。 今回の事例で確認された被害企業は、半導体企業と AI を活用したスマート製造企業の合計2社である。ハッキング攻撃を実行した攻撃グループで、ハッキングツールの使用方法が書かれた中国語のテキストファイルが確認されたことから、暁騎営(シャオチーイン)や Dalbit のような中国ハッカーグループのものであると推定されている。 中国ハッカーグループのガイドライン reg…
正常なドキュメントに偽装したマルウェア(Kimsuky) Posted By yeeun , 2023年 February 15日 ASEC 分析チームは最近<原稿委託書に偽装したマルウェア(安保分野従事者が対象)>で紹介したマルウェアが安保分野だけでなく、マスコミや一般企業をターゲットに拡散していることを確認した。この不正なファイルはすべて上記のブログで紹介したマルウェアと同じようにテンプレートインジェクション(Template Injection)技法を使用しており、不正な Word マクロドキュメントをダウンロードして実行する。確認された配布ファイル名は以下の通りである。 [kbs 日曜診断]質問用紙.docx イム** 自己紹介書.docx app-planning – copy.docx \word\_rels\settings.xml.rels で確認される…
AD 環境で伝播機能を含んだ DarkSide (ダークサイド)ランサムウェア Posted By Bellyoon , 2023年 February 7日 DarkSide (ダークサイド)ランサムウェアは解析およびサンドボックス検知を回避するために、Loader とデータファイルが両方あることで初めて動作する。「msupdate64.exe」名のローダーは(同じパスに存在する)ランサムウェアをエンコード状態でしている「config.ini」データファイルを読み込み、正常なプロセスのメモリ上でランサムウェアを実行する。実行すると、特定の引数値を合わせて動作する構造であり、タスクスケジューラに登録されて周期的に動作するように構成されている。 [図1] ランサムウェアの動作方式 ダークサイドランサムウェアの機能は以下の通りである。 1) ランサムウェアの暗号化対象除外リスト 正常なプロセスにインジェクションされたランサムウェアは、特定のフォルダーおよびファイル名を除くすべてのファイルを暗号化する。以下の[表1]、[表2]は暗号化除外と関係するファイルパスおよびファイル名である。 暗号化除外フォルダーパス “AppData” “Boot”…
原稿委託書に偽装したマルウェア(安保分野従事者が対象) Posted By Hansoyoung , 2023年 January 17日 ASEC 分析チームは、1月8日に安保分野の従事者を対象に原稿委託書に偽装したドキュメントタイプのマルウェアを配布した状況を確認した。確保されたマルウェアは Word ドキュメント内 External を通して追加の不正なマクロを実行する。このような技法はテンプレートインジェクション(Template Injection)技法と呼ばれ、以前のブログで似たような事例を紹介したことがある。 https://asec.ahnlab.com/jp/21467/ Word ドキュメントを実行すると、攻撃者の C&C サーバーから追加の不正な…
