Posted By ATCP , 2023년 06월 14일

ASEC マルウェア週間統計 ( 20230605～20230611 )

ASEC(AhnLab Security Emergency response Center)では、ASEC 自動解析システム RAPIT を活用し、既知のマルウェアに対する分類および対応を進めている。本記事では、2023年6月05日(月)から6月11日(日)までの一週間で収集されたマルウェアの統計を整理する。

大分類の上ではインフォスティーラーが44.6%と1位を占めており、その次にダウンローダーが43.9%、続いてバックドアが9.5%、ランサムウェアが2.0%の順に集計された。

Top 1 – Amadey

今週は Amadey Bot マルウェアが30.4%を占めて1位に名が上がった。Amadey はダウンローダーマルウェアであり、攻撃者の命令を受けて追加のマルウェアをインストールすることができる。また、情報窃取モジュールが使われる場合は、感染システムのユーザー情報を収集することもある。

一般的に Amadey は、正常なプログラムおよび Crack マルウェアに偽装して配布されている SmokeLoader によってインストールされる。しかし、最近は企業ユーザーを対象に、スパムメールに添付された不正なドキュメントファイルによって拡散しており、LockBit ランサムウェアをインストールする際に使用されている。

SmokeLoader によって拡散している Amadey Bot

Amadey Bot を利用した LockBit 3.0 ランサムウェアが拡散中

以下は、確認された C&C サーバーアドレスである。

hxxp://77.91.68[.]62/wings/game/index.php
hxxp://77.91.68[.]30/music/rock/index.php

Top 2 – AgentTesla

インフォスティーラー型マルウェアである AgentTesla は26.4%で2位を記録した。AgentTesla は Web ブラウザ、メールおよび FTP クライアント等に保存されたユーザー情報を流出させるインフォスティーラー型マルウェアである。

AgentTeslaマルウェア、どのようにして韓国国内に拡がっているのか？

収集した情報の流出には主にメール、すなわちSMTPプロトコルFTP使用しているが、FTP や Discord、WebHooks、Telegram API などを使用していたサンプルも存在している。直近のサンプルの C&C 情報は以下の通りである。

SMTP Server : mail.marineclaimoffice[.]com
User : chris@marineclaimoffice[.]com
Password : kensarow****7
Receiver : chris@marineclaimoffice[.]com
SMTP Server : us2.smtp.mailhostbox[.]com
User : log3@forrwel[.]net
Password : HNnNLPY*LPY3
Receiver : log3@forrwel[.]net
Discord WebHooks : hxxps://discord[.]com/api/webhooks/1109078597697802400/N0FrBeH_8MDeAwQC9ABA0W42QcoAZqnFM0qJOcVUO9LPKp2yMw5W1mobQTkR7BtIa2e8
Telegram API : hxxps://api.telegram[.]org/bot6118510930:AAGLmjz14DOBPW-OuVj-xMJhmBoGJAqv5to/sendDocument

大半が送り状(Invoice)、船積書類(Shipment Document)、購入注文書(P.O.– Purchase Order)等に偽装したスパムメールを通して配布されるため、ファイル名にも関連した単語や文章が使用される。拡張子の場合は、pdf、xlsx のようなドキュメントファイルに偽装したサンプルも多く存在する。

見積依頼の件.exe
注文 467589.exe
33690120233531MES_S Quote.exe
40023540MES_S Quote.exe
41570002689_20230609_05352297_HesapOzeti.exe
5314 Statement 0013167791.exe
Booking_002990pdf.exe
INVOICE_VM33020031052023.exe
MT103-draft.exe
New Order_xlsx.exe
OriginalCopy2023001982_pdf.exe
PO-5093027b.exe
RFQ_PO 211436 for Weatherbeeta pdf.exe
SOLICITUD DE PRESUPUESTO 08062023.exe

Top 3 – Guloader

12.8%で3位を占めている GuLoader は、追加のマルウェアをダウンロードして実行させるダウンローダー型マルウェアである。以前は検知を回避するために Visual Basic 言語でパックされていたが、最近では NSIS のインストーラーの形態で配布されている。従来は CloudEye という名前で知られており、GuLoader という名前になっているのは、ダウンロードアドレスとして Google ドライブが頻繁に使用されるためである。もちろん、Google ドライブ以外にも Microsoft の OneDrive、Discord など様々なアドレスが使われることもある。

hxxp://107.172.148[.]208/blk/jzKrFwCeIEvTEpb62.bin
hxxp://107.172.148[.]208/id/ItohJUoNuBuEH73.bin
hxxp://107.172.148[.]217/cl/cc/GxwFzwcvtovTBxiVO240.bin
hxxp://107.172.148[.]217/re/rs/IRjVevieEjoNGeLpLWfDSZKIoW131.bin
hxxp://156.96.113[.]118/POVwBXwZMXSLQfyOjJ204.bin
hxxp://212.192.219[.]58/LgUXia76.bin
hxxp://34.138.169[.]8/wp-content/themes/seotheme/GXwzZXw152.bin
hxxp://78.138.105[.]156/xvNMB69.bin
hxxp://93-103-1-247.static.t-2[.]net/wordpress/wp-content/plugins/3d33e57e8d4b43cba374b2cf2ad480f6/y/mm/mmd/ScGHQrDJqjlyYsDeuBTQACc52.bin
hxxp://zhaoziliao1668[.]cn/PuTDpilZWMlYmw7.bin
hxxps://drive.google[.]com/uc?export=download&id=1BE6BAHmf3NoHDjFdwRJlJOUVWfeDM-eO
hxxps://drive.google[.]com/uc?export=download&id=1JntGzXZnkoZtzjegN4HaFkjUeolR96CA
hxxps://drive.google[.]com/uc?export=download&id=1K-sbxDlPJ-TxrtE_l-4l5bvddXLb5MZ3
hxxps://drive.google[.]com/uc?export=download&id=1TCu7G14PuLCh2gEmhGzMtc7xp72fyCOq
hxxps://drive.google[.]com/uc?export=download&id=1WDiaeKNkPyf1Q5pDiJRZhtZE_2LpKJn5
hxxps://drive.google[.]com/uc?export=download&id=1YH9fubB4nrYg6Lwvpi2mMkfl1k3mjHCY
hxxps://www.dropbox[.]com/s/zgeyqforih4yvth/guIVxDWTwsIKbwd35.bin?dl=1
hxxps://www.hadxxx[.]cf/qMvHJhXhgprKB96.bin

GuLoader は検知を避けるためにファイル形式で配布されず、メモリ上にダウンロードされる。また、ダウンロードされたファイルも PE ではなく、エンコードされている。その後はメモリ上でデコードされて実行されるが、ダウンロードされたマルウェアは Formbook や AgentTesla のようなインフォスティーラー型マルウェア及び Remcos や NanoCore のような RAT マルウェアがある。

大半が送り状(Invoice)、船積書類(Shipment Document)、購入注文書(P.O.– Purchase Order)等に偽装したスパムメールを通して配布されるため、ファイル名にも同様に上記のような名前が使用される。また、拡張子の場合は pdf、xlsx のようなドキュメントファイルや .dwg、すなわち Auto CAD 図面ファイルに偽装したものも多数存在する。

31883190ELECTRICAL.exe
Damages_Report.exe
DOCS-INV.PKL-778012DHL-PARCEL_INFO.exe
JUSTIFICANTE_DE_PAGO.exe
RFQ#84839_A2023_TEXHONG_TAN CANG_SAMPLES_PRODUCTS.exe
Sgevindue Formateringsproblemets.exe

Top 4 – Lokibot

Lokibot マルウェアは8.8%で4位を記録した。Lokibot はインフォスティーラー型マルウェアとして、Web ブラウザ、メールクライアント、FTP クライアント等のプログラムに対する情報を流出させる。

発注書メールに偽装して拡散しているLokibotマルウェア

スパムメールを通して配布される他のマルウェアと類似したファイル名で配布されている。

140300838898 JAYA SENTOSA.exe
DHL Express_#AWB.exe
DHL Receipt_6005195460.exe
FedEx Shipping Documents.exe
Maersk Line Shipping documents.exe
PSVD.exe

大半の Lokibot マルウェアの C&C サーバーアドレスは以下の通り末尾が fre.php で終わる特徴を持っている。

hxxp://185.246.220[.]60/sirR/five/fre.php
hxxp://185.246.220[.]85/fresh/five/fre.php
hxxp://185.246.220[.]85/office2/five/fre.php
hxxp://185.246.220[.]85/project/five/fre.php
hxxp://161.35.102[.]56/~nikol/?p=143606594
hxxp://161.35.102[.]56/~nikol/?p=314875839320
hxxp://161.35.102[.]56/~nikol/?p=41491438105
hxxp://161.35.102[.]56/~nikol/?p=7398172063
hxxp://161.35.102[.]56/~nikol/?p=7855399
hxxp://161.35.102[.]56/~nikol/?p=882166721559

Top 5 – Formbook

Formbook マルウェアは5.4%で5位を記録した。

他のインフォスティーラー型マルウェアと同様に、大半はスパムメールを通して配布され、配布ファイル名も類似している。

Documents.exe
ORDER.exe
PORTUGAL ORDER FOR JULY SALES PO#10-PAM USD.exe
Purchase Order RFQ# 10075311 USD.exe
RFQ-20013654.exe

Formbook マルウェアは現在実行中の正常なプロセスである explorer.exe および system32 のパスにあるもう一つの正常なプロセスにインジェクションを行うことにより、悪意のある行為が正常なプロセスによって実行される。Web ブラウザのユーザーアカウント情報以外にも、キーロガー、Clipboard Grabbing、Web ブラウザの Form Grabbing 等、様々な情報を窃取する場合がある。

以下は、確認された Formbook の C&C サーバーアドレスである。