不正URLへのアクセス、不正メールの受信

メール受信した
弊社お客様11社 URLアクセスした
弊社お客様0社

2021/08/13
※2021/09/30 更新
08/12から発生していたマルウェア（Vidar）に感染させると考えられるメールの受信・URLアクセスを検知

件名：
Payment Receipt - Payment Remitted  MT103- nnnnnn

※太赤字の「n」はランダムな数字が入ります。
※上記以外の件名が利用されている可能性があります。


添付ファイル名：
Payment Receipt and pending invoices.rar

※上記以外にも存在する可能性があります。


添付ファイルハッシュ値：
dfa9967bb5b34fbc5be77e639d388da5b7ba5e92cf82ed8976d2a0bc74744685

※観測できた全ハッシュ値を掲載しております。


感染プロセス
メール受信
↓
添付ファイルを開き
↓
rar解凍、xll実行


通信先一覧：
hxxp://himarkh[.]xyz/
hxxp://himarkh[.]xyz/1.jpg
hxxp://himarkh[.]xyz/2.jpg
hxxp://himarkh[.]xyz/3.jpg
hxxp://himarkh[.]xyz/4.jpg
hxxp://himarkh[.]xyz/5.jpg
hxxp://himarkh[.]xyz/6.jpg
hxxp://himarkh[.]xyz/7.jpg
hxxp://himarkh[.]xyz/main.php
※接続しようとしたURLは、不要なアクセスを避けるため、一部変更しております。


製品対応状況
▽m-FILTER
偽装判定、アンチスパムの対応状況は
お客様のご利用設定、ご利用のバージョン、受信した個々のメールによって異なりますので
m-FILTERのアクセスログをご確認ください。

▽i-FILTER
hxxp://himarkh[.]xyz/
hxxp://himarkh[.]xyz/1.jpg
hxxp://himarkh[.]xyz/2.jpg
hxxp://himarkh[.]xyz/3.jpg
hxxp://himarkh[.]xyz/4.jpg
hxxp://himarkh[.]xyz/5.jpg
hxxp://himarkh[.]xyz/6.jpg
hxxp://himarkh[.]xyz/7.jpg
hxxp://himarkh[.]xyz/main.php
カテゴリ状況：08月12日 [カテゴリ外](※1)
追加済みまたは反映予定：[脅威情報サイト]

（※1）「推奨フィルタ―設定」でブロック可能