不正URLへのアクセス、不正メールの受信
-
メール受信した
弊社お客様15社
URLアクセスした
弊社お客様2社
-
2020/01/28
※2020/01/30 更新
01/28から発生していたマルウェアEmotetに感染させると考えられるメールの受信・URLアクセスを検知
件名：
請求書送付のお願い ●●●
請求書の件です。 ●●●
会議開催通知
ご入金額の通知・ご請求書発行のお願い ●●●
※上記以外にも、実際に利用されたメールの件名が引用されている可能性があります。
※●●●には、ランダムな英数字やハイフンなどの記号、日付と思われる数字などが含まれます。
例）請求書送付のお願い 48444 2020_01_28
添付ファイル名：
請求書送付のお願い ●●●.doc
請求書の件です。 ●●●.doc
会議開催通知.doc
ご入金額の通知・ご請求書発行のお願い ●●●.doc
※●●●には、ランダムな英数字やハイフンなどの記号、日付と思われる数字などが含まれます。
例）請求書送付のお願い 48444 2020_01_28.doc
添付ファイルハッシュ値：
97de0d19eda60a69636d2f91d9780e66d22693d55dcde7bdd20873276ea4406f
37f7008209b0cf19267afa8ccdab629b76f4bfa992d7f77ce2c098e5e473c8db
7cf8f24d7e8b1e2f63bfa7a18cd420a03fff44126e80aed8cb90fba3c4e986ac
5452b9448c3310adaa86f6020c32d6ae4727fce5049f613ad9242e2f35e94eff
※他にも多数のHASH値ファイルがあると思われます。
感染プロセス
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxps://fietsenmetkinderen[.]info/App_Data/ASHFouI/
hxxps://rokonworld[.]xyz/cgi-bin/bf99ypv-nka70qs-62/
hxxp://www[.]meubelontwerpstudioheyne[.]nl/languages/ndZNarqnj/
hxxp://bursary[.]engsoc[.]queensu[.]ca/wp-admin/48ech-ddpjkzp-29821620/
hxxp://lapmangfpt[.]haiphong[.]vn/wp-admin/k50i2cm5qi-9wnfau-7879373385/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://www[.]oasineldeserto[.]info/mio/8ji5-gr4qnc20-78404477/
hxxps://wieland-juettner[.]de/tmp/wTYnLQCN/
hxxp://humanhair[.]vn/wp-includes/vBmdKMH/
hxxp://upstart[.]ru[.]ac[.]za/87/TVYvWFb/
hxxps://www[.]jigsaw[.]watch/d3mged4g/ud5-dl1qkgvdx-290694387/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://andarealestate[.]com[.]au/kqmfgn/PTNzCb/
hxxp://copytak[.]ir/wordpress/iBzrxYetL/
hxxp://nicewebs[.]ir/wp-includes/4479qjck6-bso-9081935/
hxxp://kanok[.]co[.]th/wp-content/TDykCnZIC/
hxxp://essensetech[.]com/cpyzf0/9wgwtrg-w2d3p8-322443/
※ 接続しようとしたURLは、不要なアクセスを避けるため、一部変更しております。
製品対応状況
▽m-FILTER
偽装レベル2以上
・添付ファイル偽装判定
アンチスパム(※場合により判定されないものがあります)
・システムフィルター判定
→「隔離/削除設定」でブロック可能
▽i-FILTER
hxxps://rokonworld[.]xyz/cgi-bin/bf99ypv-nka70qs-62/
hxxp://www[.]meubelontwerpstudioheyne[.]nl/languages/ndZNarqnj/
hxxp://lapmangfpt[.]haiphong[.]vn/wp-admin/k50i2cm5qi-9wnfau-7879373385/
カテゴリ状況：01月28日 [カテゴリ外](※1)
追加済みまたは反映予定：[違法ソフト・反社会行為]、[脅威情報サイト](※2)
hxxps://fietsenmetkinderen[.]info/App_Data/ASHFouI/
カテゴリ状況：01月28日 [企業・ビジネス・業界団体]
追加済みまたは反映予定：[違法ソフト・反社会行為]、[脅威情報サイト](※2)
hxxp://bursary[.]engsoc[.]queensu[.]ca/wp-admin/48ech-ddpjkzp-29821620/
カテゴリ状況：01月28日 [IT情報・サービス]
追加済みまたは反映予定：[違法ソフト・反社会行為]、[脅威情報サイト](※2)
xxp://www[.]oasineldeserto[.]info/mio/8ji5-gr4qnc20-78404477/
カテゴリ状況：01月29日 [カテゴリ外](※1)
追加済みまたは反映予定：[脅威情報サイト](※2)
hxxps://wieland-juettner[.]de/tmp/wTYnLQCN/
カテゴリ状況：01月29日 [違法ソフト・反社会行為]
追加済みまたは反映予定：[脅威情報サイト](※2)
hxxp://upstart[.]ru[.]ac[.]za/87/TVYvWFb/
カテゴリ状況：01月29日 [学校・教育施設]
追加済みまたは反映予定：[違法ソフト・反社会行為]、[脅威情報サイト](※2)
hxxp://humanhair[.]vn/wp-includes/vBmdKMH/
hxxps://www[.]jigsaw[.]watch/d3mged4g/ud5-dl1qkgvdx-290694387/
カテゴリ状況：01月29日 [カテゴリ外](※1)
追加済みまたは反映予定：[違法ソフト・反社会行為]、[脅威情報サイト](※2)
hxxp://essensetech[.]com/cpyzf0/9wgwtrg-w2d3p8-322443/
カテゴリ状況：01月30日 [IT情報・サービス]
追加済みまたは反映予定：[違法ソフト・反社会行為]、[脅威情報サイト](※2)
hxxp://andarealestate[.]com[.]au/kqmfgn/PTNzCb/
hxxp://copytak[.]ir/wordpress/iBzrxYetL/
hxxp://nicewebs[.]ir/wp-includes/4479qjck6-bso-9081935/
hxxp://kanok[.]co[.]th/wp-content/TDykCnZIC/
カテゴリ状況：01月30日 [カテゴリ外](※1)
追加済みまたは反映予定：[違法ソフト・反社会行為]、[脅威情報サイト](※2)
上記すべてのURL：ダウンロードフィルター(※3)
（※1）「推奨フィルタ―設定」でブロック可能
（※2）i-FILTER Ver.10のみ
（※3）i-FILTER Ver.10.3以降、ファイルのダウンロードをブロック可能。
