1/1-13の顔文字件名のスパムメールによるPhorpiex/GandCrabの調査まとめこの広告は、90日以上更新していないブログに表示しています。2019-01-141/1-13の顔文字件名のスパムメールによるPhorpiex/GandCrabの調査まとめmalware年始より、不審メールのばらまきが発生しています。それについて、情報をまとめていきたいと思います。マルウェアを解析する環境がないため、sandobxやtwitterの情報を参考にしてまとめます。日本の不審メールのばらまき情報の蓄積は以下が参考になります。ねこ(@catnap707)さんによる「ばらまき型メールカレンダー」docs.google.comにゃん☆たく(@taku888infinity)さんによる「外部公開用_ウイルス付メール(ばらまきメール)まとめ」docs.google.com上記によると、1/1-6、1/8、1/11、1/13にばらまきが発生しています。これらは全て、GandCrabランサムウェア等への感染を狙ったものです。今回のキャンペーンについては以下の記事で述べられています。Worm」https://www.trendmicro.com/vinfo/us/security/news/cybercrime-and-digital-threats/javascript-malware-in-spam-spreads-ransomware-miners-spyware-worm?utm_source=trendmicroresearch&utm_medium=smk&utm_campaign=0119_java※トレンドマイクロは日本と海外で2つ記事が出ていますが、整合性が取れていないです。ついて、分かっている範囲でまとめました。※slpsrgpsrhojifdij[.]ruは92.63.197[.]48のIPに紐付いていますhttps://www.virustotal.com/#/ip-address/92.63.197.48同様の件名、通信先を利用するところから、同じ攻撃キャンペーンであると考えて良いと思われます。メールに添付されているzipファイルを解凍し、jsファイルを実行すると一次接続先からファイルをダウンロードし、マルウェアに感染します。この時、スパムメールの配信時にマルウェアをダウンロード可能にはしていないようです。土日の間からメールは配信しておき、マルウェアの配置は平日の間だけ行われているように思えます。発覚を遅くする目的と思われます。このキャンペーンは日本をターゲットにしていると考えられます。一つは、トレンドマイクロの記事では全世界400万通のうち、98%が日本で検知されたと書いていること。一つは、顔文字のスパムが話題になっていたのが日本が中心であったこと。海外のアナリストの間ではほぼ情報が出ていませんでした。世界的に拡散されたのは1/8でそれまでは日本中心だったのでは、と思われます。日本をターゲットにしていながら、内容が海外の顔文字だったり英文だったりと、本当に日本を狙っているのか?という疑問はあります。攻撃者側が入手したターゲットリストがたまたま日本だったが日本についてはよく分かっていない、というようなものなのかもしれません。次に、このキャンペーンで使われたマルウェアについて、見ます。マルウェアは各種サンドボックスでIMG*_2018-JPG、Love_You_*-2019-txtなどのファイル名で検索すると出てきます。出ている検体として、以下をメインの検体として調査しました。app.any.run・jsファイル内で同じパス(hxxp://slpsrgpsrhojifdij[.]ru/krablin[.]exeなど)に対して、2度アクセスをします。どちらも同じマルウェア(ハッシュ値同じ)を落としてきます。ダウンロードしたファイルはwinsvcs.exeという名前で再実行されます。https://virustotal.com/en/file/4c0103c745fa6e173821035c304863d751bea9c073d19070d9ebf8685da95040/analysis/このファイルが更に色々なファイルをダウンロードします。・追加のダウンローダをダウンロードします。hxxp://slpsrgpsrhojifdij[.]ru/1.exehttps://virustotal.com/en/file/056b7eb0c06645e1f51ed77f4fa18a4bed47135108371a84f0482f141ae0d769/analysis/・CoinMinerをダウンロードし、実行します。hxxp://slpsrgpsrhojifdij[.]ru/3.exehttps://virustotal.com/en/file/b8bf5b607b305139db81c48e96010a67768488b01edc8c615306ed303c545b0d/analysis/・ランサムウェアGandCrabをダウンロードし、実行します。hxxp://92.63.197[.]48/m/1.exehttps://virustotal.com/en/file/035ae8f389e0a4cb58428d892123bc3e3b646e4387c641e664c5552228087285/analysis/これらをわかりやすく示しているのが、以下の記事にある図です。CenterTrendMicroの記事によると、ダウンロードするファイルはそれだけではないようです。USACoinMiner、GandCrabだけでなく、Phorpiex、AZORultなどもあるようです。URLhousでhxxp://92.63.197[.]48/2[.]exeの調べた履歴を見ると、様々なハッシュがあったことがわかります。https://urlhaus.abuse.ch/url/101635/幾つか、VTで検知名を調べてみると、Phorpiex、AZORult、LoveGateなど複数種類と思われる検知名が出てきます。検知名であり実際に動作させていないため本当のところはわかりませんが。このうち、PhorpiexはこれまでもGandCrabの配信に使われていたようです。昨年のPhorpiexの解説の記事です。www.proofpoint.comblog.inquest.netこの記事から現在の変更としては、IRCベースからHTTPベースに変わっているようです。実際出ている通信はhttpです。2019件名は同じように検体に書かれているようですが、記事からは変わり最近のばらまきの件名になっているようです。2019軽く解析しました。2019送信元のメールアドレスの仕組みについては、変化はないようです。国内で観測されていgandgrabメールですが、当社では昨日の23:29から接到を確認。二万通を分析した特徴として、同一アドレスに複数接到(平均15通ほど)。Fromアドレスは100ほどの名前+数字二桁@数字四桁.comの特徴。2019国内で観測されていgandgrabメールですが、当社では昨日の23:29から接到を確認。二万通を分析した特徴として、同一アドレスに複数接到(平均15通ほど)。Fromアドレスは100ほどの名前+数字二桁@数字四桁.comの特徴。2019これらを防御策および検知策を考えます。メールの流入については、以下にあるようなパターンで隔離出来ると効果的と思われます。62,490通を分析。送信量に事故的開封がないとも言えず、これらのデータとDGAのドメイン一つをシンクホールして得られた情報から当社で対策として実施する(実施テストする策)として選択したものは以下。メールの隔離そもそも、メールの添付ファイルの中にjsファイルが含まれているものを隔離できれば、より望ましいです。ダウンローダのマルウェアの感染の防止、検知には、今のところ、以下のIPへのアクセスをFW等でブロック、検知するのが良いと思われます。BITS/7.5となっていますので、組み合わせの条件にすると良いと思われます。BITS/7.5は通常利用でも発生するため、単体で使う場合には、通常使われるアクセス先(主にMS系)を除外する必要があります。ダウンローダのマルウェアはUser-Agentは以下で通信をします。XのFirefox25を示していますが、古いので検知条件として良いかと思います。Phorpiexも同様に上記UAでアクセスをします。同じUAの使うので、同じものなのか、あるいはセットで利用されるものなのかもしれません。それ以外にはPhorpiexは現状では以下のパスへアクセスしますので、それで検知が出来るかもしれません。/m/attachment.js/m/mnum.txt/m/1994.txtなお、現時点ではGandCrabV5.04の復号化ツールはありません。感染したら戻す手段はありません。Trojans」レポートハニーポットのログ分析まとめ(2019年03月度)ハニーポットのログ分析まとめ(2019年02月度)ハニーポットのログ分析まとめ(2019年01月度)ハニーポットのログ分析(2019/03/31)月別アーカイブ注目記事はてなブログをはじめよう!Sec-Owlさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。