先日、社内から「怪しいメールが届いた」との報告がありました。今回は、そのメールやダウンロードされる不正プログラムなどについて、調査結果を共有したいと思います。みなさんにとって有益な情報になれば幸いです。今回届いたメール実際に届いたメールはこちらになります。送信者のメールアドレスは、国内の携帯電話キャリアのアドレスでした。偽装は考えにくく、実際に携帯電話から送信された可能性が高いと考えられる状態でした。話をメール本文に戻したいと思います。あり、見るからに怪しいですね。アクセスをすると架空の履歴書が表示されます。年ですので、誕生日(1984年)と年齢(30)がミスマッチですね。この架空の履歴書について調べてみると、過去事例でも利用されていたことが確認できました(少しだけ内容が更新されていますが)。先ほどのメールの文面についても、同様に使いまわされていることを確認しました。同じアクター「Winnti」による活動と関連していることが疑われます。このサイトにアクセスしたところ「info.zip」というファイルがダウンロードされる事象を確認したのですが、二回目以降は再現性がなくサーバ側で何らかの制御を行っていることが考えられます。「info.zip」に含まれるファイルが異なるとの報告もありましたが、今回の調査では確認には至りませんでした。「info.zip」の調査に進みたいのですが、その前に先ほどのダミーサイトについて少しだけ追加情報を共有したいと思います。アドレスが変更されていました。アドレスであることが確認できました。アドレスに紐づけたことが伺えます。ダウンロードされてきたファイル改めて「info.zip」の調査結果の共有です。「Resume.app」が含まれており、その中に既に不正データとして検知される「Resume.jar」が含まれていました。不正データの実体は「Resume.jar」内の「Updater.class」になります。これらのデータのハッシュ値はブログ末尾に記載しました。アップロードされていることが確認できました。ファイルのタイムスタンプを踏まえると、作成してすぐに何らかのキャンペーンに利用されたことが伺えます。月に利用した点は、標的型攻撃と呼ぶには粗雑な印象を受けます。テンプレートとなっており、中身は先ほどのサイトとは異なる架空の履歴書となっていました。ハッシュ値で調査をすると、このファイルも「Winnti」の過去の活動で利用されていた可能性を確認できました。不正データの中身では「Updater.class」をデコンパイルしてみてみましょう。関数以外に以下の関数が定義されていることが確認できます。関数を確認したところ、設定データ「Flash.dat」内のパラメータで分岐などを行っていました。この「Flash.dat」を確認するとプレーンテキストのデータであり、以下のような内容でした。関数の処理)が行われるようです。関数に渡して復号していることがわかります。関数は以下になります。値)があることがわかります。サンプルコードを確認することができました。関数については、ほぼそのまま流用されており、どうやら攻撃者はサンプルコードを流用して今回の「Updater.class」を作成したようです。実際にどんな値が得られるのか復号をしてみましょう。「Flash.dat」の値をそのまま渡してみます。"";}}}実行結果は以下のようになり、60秒毎にコールバック先のホストと通信を行うことが確認できます。このホストについて調べると、やはり「Winnti」の活動との関連性を確認することができました。多くのセキュリティベンダが「不正な活動を行うドメイン」として認定していることも確認ができましたので、再利用するにはリスクが高すぎると考えられます。標的型攻撃にしては、粗雑な印象が拭えません。今回の調査では「Resume.jar」の動的解析を行い、実際にこのホストとの通信が行われることを確認しています。パケットデータ取得、中身の確認も行いましたが、攻撃者によるアクティビティが確認できるほどの長期観測は行っていませんので割愛します。最後にさて、今回の攻撃は標的型攻撃だったのでしょうか?調査で得られた情報からは、特定のアクターとの関連性が強く、少なくともばらまき型の攻撃ではないとは言えそうです。一方で、十分に準備された標的型攻撃である、と言うには粗雑な点が多くみられました。「Winnti」の活動は、ある程度の範囲を狙った攻撃を行うことも報告されていますので、その一定の範囲において行われた初動であったのかもしれません。最後に、今回の気づきについて共有したいと思います。社内からのエスカレーションは非常に頼もしい。エスカレーションが気軽に行える文化は素晴らしいですね。うまく活用することで、多くの情報や気づきを得ることができます。必要に応じて積極的に活用できると良いですね。攻撃者も人である以上、何らかの痕跡やサインを残します(今回は多すぎる気がしますが...)。話とも関連しますが、そのようなパターンから攻撃者の把握ができるケースもあります。相手を知ることで、次の攻撃に備えることや、攻撃を未然に防ぐことができるかもしれません。初動は必要最小限で良いブログではダウンロードされたサンプルの中身などを共有しましたが、実際の初動は接続先の把握と遮断、影響を受けた端末の確認(今回はコールバックした端末の確認)です。この限りにおいてはサンドボックス環境での動的解析で十分です。他の接続先がないかなどは、遮断後に継続監視と並行してサンプルをセキュリティベンダに提供しての相談で良いでしょう。今回の共有は以上となります。最後までお読み頂きありがとうございました。ブログ内の情報と合わせて、みなさまの一助となれば幸いです。智悟マルウェア解析とハンティング担当。趣味はインシデントハンドリングと軽登山。ARCHIVES2020年2月2020年1月2019年12月2019年11月2019年10月2019年8月2019年7月2019年6月2019年5月2019年4月2019年3月2019年2月2019年1月2018年12月2018年11月2018年10月2018年9月2018年8月2018年7月2018年6月2018年5月2018年4月2018年3月2018年2月2018年1月2017年12月2017年11月2017年10月2017年9月2017年8月2017年7月2017年6月2017年5月2017年4月2017年3月2017年2月2017年1月2016年12月2016年11月2016年10月2016年9月2016年8月2016年7月2016年6月2016年5月2016年4月2016年3月2016年2月2016年1月2015年12月2015年11月2015年10月2015年9月2015年8月2015年7月SHAREリクルートグループサイトへ利用規約プライバシーポリシーお問い合わせ。