不正URLへのアクセス、不正メールの受信
-
メール受信した
弊社お客様21社
URLアクセスした
弊社お客様1社
-
2020/10/19
※2020/10/21 更新
10/16から発生していたマルウェアEmotetに感染させると考えられるメールの受信・URLアクセスを検知
件名：
failure notice
center customer
仕事への招待●●●
会議への招待●●●
ビジネス会議への招待●●●
ミーティング●●●
※上記以外にも、組織名や役職名や人名、実際に利用されたメールの件名などが引用されている可能性があります。
※●●●には、ランダムな英数字やハイフンなどの記号、ドメインや日付と思われる文字列が含まれます。
添付ファイル名：
●●●.doc
●●●ご案内.doc
●●●更新の報告.doc
からの変更●●●.doc
に修●●●.doc
アンケート.doc
会議への招待.doc
報告.doc
変化●●●.doc
契約する.doc
構造図.doc
注文.doc
着金●●●.doc
給与.doc
総会●●●.doc
請求書●●●.doc
追加分も.doc
●●●更新の注文.doc
※上記以外にも存在する可能性があります。
※●●●には、ランダムな英数字やハイフンなどの記号、ドメインや日付と思われる文字列が含まれます。
例）からの変更20_10.doc
添付ファイルハッシュ値：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※他にも多数のハッシュ値ファイルがあると思われます。
感染プロセス
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://jashmusic[.]com/wp-includes/ueTmex/
hxxp://www[.]consultmyadvo[.]com/content/Jr6/
hxxp://thedibbsapp[.]com/backup-14-10-2020/yBV/
hxxp://cesurlarsearay[.]com/wp-admin/RuMpdND/
hxxp://methilinfotech[.]com/maliga/OFbr/
hxxp://anthonysarandrea[.]com/wp-content/Ge/
hxxp://upcloudweb[.]com/content/GVI7/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://triplesim[.]shop/wp-admin/XV/
hxxps://questioneverything2020[.]com/wp-admin/YEzfU0EZ/
hxxp://amarettobh[.]com[.]br/sys-cache/idPAR/
hxxp://travelakhalkalaki[.]com/badwords/ZRAf/
hxxp://blackmesagrp[.]com/wp-content/DZVi/
hxxp://high5branding[.]co[.]za/chalcid/1V6T8BH/
hxxps://sandivietnam[.]com/wp-admin/o/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://toyszone[.]in/wp-admin/WTmY9X/
hxxp://sakulaundry[.]com/sesv-myoffice/eX/
hxxps://craftware[.]gr/wp-content/a/
hxxp://domaineduvalhalla[.]org/wp-admin/P/
hxxp://electronicsvibes[.]com/wp-includes/bx65up/
hxxps://ezs[.]com[.]au/wy5/E/
hxxp://inkteach[.]com/cgi-bin/oArjP/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxps://quantumedu[.]com/wp-includes/2436iTm4ac/
hxxps://fastmotor[.]000webhostapp[.]com/wp-admin/NxoV4YIU/
hxxps://ecolek[.]ee/wp-admin/EV0P/
hxxp://www[.]pornman[.]com/img/C/
hxxps://examsinfo[.]in/wp-content/ohU8ZDC8IX/
hxxp://dealsmedia[.]in/wp-content/Ob73uI/
hxxp://hpwdy[.]com/docs/jcdutjj/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxps://rossie[.]in/wp/6L0U/
hxxps://envirohubconsulting[.]co[.]za/cgi-bin/vI5/
hxxps://grandages[.]org[.]my/office/y6Uz/
hxxp://dailypharmajobs[.]com/cgi-bin/CyCdO/
hxxps://comercialadvance[.]com/images/MFXxM5Tg/
hxxps://royalnight[.]in/wp/lEA2gXXBj/
hxxps://gymmuscle[.]tk/wp-content/U8j1Bkh/
※ 接続しようとしたURLは、不要なアクセスを避けるため、一部変更しております。
製品対応状況
▽m-FILTER
偽装判定、アンチスパムの対応状況は
お客様のご利用設定、ご利用のバージョン、受信した個々のメールによって異なりますので
m-FILTERのアクセスログをご確認ください。
▽i-FILTER
hxxp://www[.]consultmyadvo[.]com/content/Jr6/
hxxp://thedibbsapp[.]com/backup-14-10-2020/yBV/
hxxp://anthonysarandrea[.]com/wp-content/Ge/
hxxp://upcloudweb[.]com/content/GVI7/
hxxp://triplesim[.]shop/wp-admin/XV/
hxxps://questioneverything2020[.]com/wp-admin/YEzfU0EZ/
hxxp://amarettobh[.]com[.]br/sys-cache/idPAR/
hxxp://travelakhalkalaki[.]com/badwords/ZRAf/
hxxp://sakulaundry[.]com/sesv-myoffice/eX/
hxxps://craftware[.]gr/wp-content/a/
hxxp://domaineduvalhalla[.]org/wp-admin/P/
hxxp://electronicsvibes[.]com/wp-includes/bx65up/
hxxps://ezs[.]com[.]au/wy5/E/
hxxp://inkteach[.]com/cgi-bin/oArjP/
カテゴリ状況：10月16日 [カテゴリ外](※1)
追加済みまたは反映予定：[脅威情報サイト]
hxxp://cesurlarsearay[.]com/wp-admin/RuMpdND/
hxxp://methilinfotech[.]com/maliga/OFbr/
hxxp://high5branding[.]co[.]za/chalcid/1V6T8BH/
hxxps://sandivietnam[.]com/wp-admin/o/
hxxp://toyszone[.]in/wp-admin/WTmY9X/
カテゴリ状況：10月16日 [企業・ビジネス・業界団体]
追加済みまたは反映予定：[脅威情報サイト]
hxxp://jashmusic[.]com/wp-includes/ueTmex/
hxxp://blackmesagrp[.]com/wp-content/DZVi/
カテゴリ状況：10月16日 [IT情報・サービス]
追加済みまたは反映予定：[脅威情報サイト]
hxxps://quantumedu[.]com/wp-includes/2436iTm4ac/
hxxps://fastmotor[.]000webhostapp[.]com/wp-admin/NxoV4YIU/
hxxps://ecolek[.]ee/wp-admin/EV0P/
hxxps://examsinfo[.]in/wp-content/ohU8ZDC8IX/
hxxp://dealsmedia[.]in/wp-content/Ob73uI/
hxxps://envirohubconsulting[.]co[.]za/cgi-bin/vI5/
hxxps://grandages[.]org[.]my/office/y6Uz/
hxxps://comercialadvance[.]com/images/MFXxM5Tg/
hxxps://royalnight[.]in/wp/lEA2gXXBj/
hxxps://gymmuscle[.]tk/wp-content/U8j1Bkh/
カテゴリ状況：10月20日 [カテゴリ外](※1)
追加済みまたは反映予定：[脅威情報サイト]
hxxp://dailypharmajobs[.]com/cgi-bin/CyCdO/
カテゴリ状況：10月20日 [企業・ビジネス・業界団体]
追加済みまたは反映予定：[脅威情報サイト]
hxxp://hpwdy[.]com/docs/jcdutjj/
hxxps://rossie[.]in/wp/6L0U/
カテゴリ状況：10月20日 [IT情報・サービス]
追加済みまたは反映予定：[脅威情報サイト]
hxxp://www[.]pornman[.]com/img/C/
カテゴリ状況：10月20日 [ポルノ・アダルトサイト]
追加済みまたは反映予定：[脅威情報サイト]
上記すべてのURL：ダウンロードフィルター(※2)
（※1）「推奨フィルタ―設定」でブロック可能
（※2）i-FILTER Ver.10.3以降、ファイルのダウンロードを制御することが可能です。
