Surtr ランサムウェア、韓国国内で拡散中 Posted By Hansoyoung , 2022年 November 3日 ASEC 分析チームは最近、内部モニタリングを通じてファイルを暗号化した後、原本ファイルの拡張子名に「[DycripterSupp@mailfence.com].[<ランダム文字列>].Surtr」を追加する Surtr ランサムウェアが配布されていることを確認した。 Surtr ランサムウェアに感染すると、[図1、2]のように感染した PC のデスクトップ背景を変更し、ランサムノートの生成によってユーザーにランサムウェアに感染した事実を注視させ、[図3]のように感染したファイルが存在するフォルダーごとにランサムノートファイル(SURTR_README.hta および SURTR_README.txt)を生成するといった特徴がある。 Surtr ランサムウェアは実際のファイル暗号化を実行する前、当該ファイルが実行される国の…
素早く変化している Magniber ランサムウェア Posted By Hansoyoung , 2022年 October 25日 Magniber ランサムウェアは最近、素早く変化している。拡張子の変更からインジェクション、UAC 回避の手法まで、最近 Magniber ランサムウェアはアンチウイルスの検知を回避するために素早い変形を見せている。過去に把握されてきた解析内容を通じて、ここ数か月間の Magniber ランサムウェアの変化を当記事にて整理した。 [表1]は Magniber ランサムウェアの日付別配布ファイルの主な特徴である。4か月間にわたり msi、cpl、jse、js、wsf の5種類の拡張子で配布され、直近の9月には4回(cpl…
Word ドキュメントを通じて拡散する LockBit 3.0 ランサムウェア Posted By Hansoyoung , 2022年 September 28日 ASEC 分析チームは入社志望に偽装したメールで拡散している NSIS 形式の LockBit 3.0 ランサムウェアが Word ドキュメント形式でも拡散していることを確認した。正確な配布経路は確認されていないが、配布ファイル名に「イム・ギュミン.docx」、「ジョン・チェリン.docx」等の、人名を使用していることからして、以前と同じくエントリーシートを装って配布されたものと推定される。 確認された Word ドキュメント内部の…
入社志望内容に偽装したメールで拡散している NSIS 形式の LockBit 3.0 ランサムウェア Posted By Hansoyoung , 2022年 September 27日 ASEC 分析チームは LockBit 2.0 ランサムウェアがメールを通じて配布されていることを2月、6月と続けてブログに掲載してきたが、新たなバージョンの LockBit 3.0 ランサムウェアが類似する方式によって現在も多数拡散していることを本記事で報告する。6月には著作権関連のメールで多数配布されていた一方で、最近では入社志望に関連する内容に偽装したフィッシングメールを通じて拡散している。 上記の図のように、添付された圧縮ファイル名そのものに圧縮を解凍するパスワードが記入されているケースがあるが、圧縮ファイル名に記入せず、メールの本文に圧縮ファイルを解凍するパスワードを記入したケースも確認されている。後者の場合、メールを受信したユーザーのみがこの圧縮を解凍して中身を開くことができる。これは、圧縮ファイルだけでは内部のファイルが分からないようにすることで、アンチウイルスの検知を回避するためであるとも取れるが、特定のメール受信者をターゲットにして配布するためであるとも取れる。 圧縮ファイルの内部には alz 形式で更に圧縮されたファイルが存在し、この圧縮ファイルを解凍すると、アレアハングルファイルのアイコンに偽装した…
メールを通じて拡散する XLL マルウェア Posted By Hansoyoung , 2022年 May 27日 これまでに、マルウェアは様々な形態と手法で変化しながら製作され、また拡散している。AhnLab 分析チームでは、そのような変化を積極的にモニタリングしながら解析を行い、当社製品に検知を反映するようにしている。今回は、去年から拡散の状況が確認されていた XLL 形式のマルウェアについて紹介する。 .xll の拡張子で動作可能な XLL ファイルは Microsoft Excel(エクセル)のアドインファイルであり、MS Excel を通じてファイルを実行することができる。特異な点は、実行は…
