不正URLへのアクセス、不正メールの受信

メール受信した
弊社お客様6社 URLアクセスした
弊社お客様0社

2020/10/23
※2020/10/23 更新
10/22から発生していたマルウェアEmotetに感染させると考えられるメールの受信・URLアクセスを検知

件名：
failure notice

※上記以外にも、組織名や役職名や人名、実際に利用されたメールの件名などが引用されている可能性があります。


添付ファイル名：
●●●.doc
追加分も.doc
請求書●●●.doc

※上記以外にも存在する可能性があります。
※●●●には、ランダムな英数字やハイフンなどの記号、ドメインや日付と思われる文字列が含まれます。
　　例）請求書 RG0785825.doc


添付ファイルハッシュ値：
1187c0eada4a51b6b619b501e8681d2dc3baa45814095bd2f9f3b92e39b9358e

※他にも多数のハッシュ値ファイルがあると思われます。


感染プロセス
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxps://lifegear[.]store/wp-admin/RsMLwQ/
hxxps://emroozmarket[.]com/wp-content/2y/
hxxps://www[.]lingbaojuan[.]com/cache/TSkvly/
hxxp://raissamaison[.]com/wp-includes/EENf/
hxxps://converdrive[.]cl/administrative-assistant/onME1zxPMS/
hxxp://ortodonciatafur[.]com/cgi-bin/Ntl3kiFM/
hxxps://daga88[.]com/reviewl/Tj0Ntc/

※ 接続しようとしたURLは、不要なアクセスを避けるため、一部変更しております。


製品対応状況
▽m-FILTER
偽装判定、アンチスパムの対応状況は
お客様のご利用設定、ご利用のバージョン、受信した個々のメールによって異なりますので
m-FILTERのアクセスログをご確認ください。


▽i-FILTER
hxxps://lifegear[.]store/wp-admin/RsMLwQ/
hxxps://emroozmarket[.]com/wp-content/2y/
hxxps://www[.]lingbaojuan[.]com/cache/TSkvly/
hxxps://converdrive[.]cl/administrative-assistant/onME1zxPMS/
hxxp://ortodonciatafur[.]com/cgi-bin/Ntl3kiFM/
hxxps://daga88[.]com/reviewl/Tj0Ntc/
カテゴリ状況：10月22日 [カテゴリ外](※1)
追加済みまたは反映予定：[脅威情報サイト]

hxxp://raissamaison[.]com/wp-includes/EENf/
カテゴリ状況：10月22日 [IT情報・サービス]
追加済みまたは反映予定：[脅威情報サイト]

上記すべてのURL：ダウンロードフィルター(※2)

（※1）「推奨フィルタ―設定」でブロック可能
（※2）i-FILTER Ver.10.3以降、ファイルのダウンロードを制御することが可能です。