電子メールで配布される SnakeKeylogger マルウェア Posted By ATCP , 2024년 08월 06일 ASEC(AhnLab SEcurity intelligence Center)では最近、SnakeKeylogger マルウェアが電子メールで配布される事例を確認した。SnakeKeylogger は、.NET 言語で製作された Infostealer タイプのマルウェアであり、電子メール、FTP、SMTP、または Telegram などを利用したデータ流出方法が含まれることが特徴である。 最初の配布は、[図1]のように電子メールの形式であることが一般的だ。一般的に、比較的センシティブなトピックである金銭的な内容で興味を引き、添付されている実行ファイル(BankTran.exe)を実行するように誘導する。…
韓国の金融企業を対象に拡散している不正な LNK ファイル Posted By ATCP , 2024년 07월 31일 AhnLab Security Emergency response Center(ASEC)では、韓国の金融企業を対象に不正な LNK ファイルが拡散している状況を確認した。LNK ファイルを利用した攻撃は、過去から継続的に利用されてきた方式であり、ユーザーの注意が必要である。 最近確認された LNK ファイルは、不正な URL…
URL ファイルで配布される Xworm マルウェア(EDR 製品検知) Posted By ATCP , 2024년 07월 30일 マルウェアの配布段階において最も代表的なものとして使用されるフィッシング手法は、以前から持続的に使用されてきた。フィッシングメールでは主に請求書や見積書、税金計算書、召喚状などに偽装したファイルを添付し、マルウェアを実行するように誘導する。最近 ASEC(AhnLab SEcurity intelligence Center)で確認したケースでは、PayPal を詐称し、計算書に偽装したファイルを実行するように誘導する。 ダウンロードした圧縮ファイルには、Payment_Information_842.url というファイルが入っている。url 拡張子はインターネットショートカットファイルであり、url 拡張子のファイルは Web サイトに接続したり、共有フォルダーにアクセスして追加のファイルをダウンロードしたりすることができる。…
ゲームプラットフォーム「Steam」を悪用する LummaC2 マルウェア Posted By ATCP , 2024년 07월 26일 LummaC2 は情報窃取型マルウェアであり、SEO ポイズニング手法を使用した配布サイト、Youtube、LinkedIn などで Crack、Keygen、ゲームハックなどの違法プログラムに偽装して活発に配布されているマルウェアである。また、最近では Notion、Slack、Capcut などのホームページに偽装して検索エンジンの広告に表示させる方法で配布された履歴がある。 参考リンク：Notion インストーラーに偽装した MSIX マルウェアの拡散 マルウェアの実行方式においても、変形が発生し続けている。現在は単独の…
クラックに偽装したマルウェアの配布に注意(V3 Lite インストール妨害) Posted By ATCP , 2024년 07월 19일 AhnLab SEcurity intelligence Center(ASEC)では、以前「MS Office Crack に偽装して拡散中のマルウェア(XMRig、OrcusRAT 等)」ブログにてクラックプログラムに偽装したマルウェアの危険性について紹介したことがある。[1] クラックプログラムに偽装したマルウェアは主にウェブハードやブログ、Torrent を通じて配布され、多数のシステムが感染する傾向があり、感染したシステムは定期的なアップデートにより攻撃者から持続的に管理されるという特徴がある。 この事例で攻撃者は、V3 がインストールされているかどうかによってインストールするマルウェアを変えており、タスクスケジューラの登録によりマルウェアをアップデートしながら持続性を維持していることが確認できる。このような持続性の管理手法は、タスクスケジューラを駆除する…
持続的に攻撃に使用されているプライベート取引ツールプログラム Posted By ATCP , 2024년 07월 18일 AhnLab SEcurity intelligence Center(ASEC)は、過去の「Quasar RAT を配布するプライベート取引ツールプログラム」ブログにてプライベート取引ツールを通じて Quasar RAT を配布する攻撃事例を紹介したことがある。同じ攻撃者はマルウェアの配布を続けており、最近までも攻撃事例が確認されている。 マルウェアは過去同様、HPlus という名前の取引ツールを配布しており、全体的な感染フローは類似しているが、NSIS インストーラー形式であった初回配布ファイルの代わりに…
電子書籍に偽装して配布される AsyncRAT Posted By ATCP , 2024년 07월 09일 1. 概要 AhnLab SEcurity intelligence Center(ASEC)は、過去のブログで AsyncRAT が様々な拡張子(.chm、.wsf、.lnk)によって配布された事例を紹介したことがある。[1] [2] 上記のブログにおいて、攻撃者はマルウェアを隠蔽するために「アンケート」の内容を含む正常なドキュメントファイルをデコイファイルとして活用したことが確認できるが、最近は電子書籍に偽装してマルウェアが配布される事例が確認された。 [図1] マルウェアとともに配布される電子書籍 2….
Kimsuky グループの新たなバックドアが出現 (HappyDoor) Posted By ATCP , 2024년 07월 05일 目次 本レポートは、AhnLab TIP(AhnLab Threat Intelligence Platform)で紹介された「Kimsuky グループの HappyDoor マルウェア解析レポート」(韓国語にて提供) の要約版として、侵害事例の解析に必要な情報の一部をまとめたものである。AhnLab TIP 上のレポートではマルウェアの特徴と機能だけでなく、エンコード方式や暗号化方式、パケット構造などを詳細に取り上げており、とりわけ、解析者の便宜を図るために自社製作した…
ウェブハードによって拡散している XWorm v5.6 マルウェア Posted By ATCP , 2024년 05월 30일 AhnLab SEcurity intelligence Center(ASEC)は最近、韓国国内で収集されているマルウェアの配布元を監視していたところ、XWorm v5.6 マルウェアが成人向けゲームに偽装し、ウェブハードを通じて配布されている事実を確認した。ウェブハードと Torrent は、韓国国内においてマルウェア配布の際に主に使用されている代表的なプラットフォームである。 1. 概要 一般的に攻撃者は、njRAT や…
Dora RAT を利用した韓国国内企業を対象とする APT 攻撃事例の解析(Andariel グループ) Posted By ATCP , 2024년 05월 30일 AhnLab SEcurity intelligence Center(ASEC)では最近、韓国国内企業および機関を対象とした Andariel グループの APT 攻撃事例を確認した。攻撃対象として確認された組織は、韓国国内の製造業、建設業、および教育機関であり、バックドアだけでなくキーロガー、インフォスティーラー、そしてプロキシツールが攻撃に使用された。攻撃者はこれらのマルウェアを利用して感染システムを操作し、システムに存在するデータを窃取することができたものと推定される。 この攻撃では、Andariel グループの過去の攻撃事例において確認された複数のマルウェアがともに確認された。代表的なものとして、以下で取り上げるバックドアマルウェアである Nestdoor が存在し、そのほかにも…
