不正URLへのアクセス、不正メールの受信
-
メール受信した
弊社お客様32社
URLアクセスした
弊社お客様3社
-
2020/07/28
※2020/07/31 更新
07/28から発生していたマルウェアEmotetに感染させると考えられるメールの受信・URLアクセスを検知
件名：
ご入金額の通知・ご請求書発行のお願い ●●●
ビジネス会議への招待 ●●●
ミーティング ●●●
会議への招待 ●●●
仕事への招待 ●●●
請求書の件です。 ●●●
請求書送付のお願い ●●●
Singaravel
failure notice
Our Meeting on Friday
パスワードのご連絡
Payment Details
Invoice ●●●
上記以外にも、組織名や役職名や人名、実際に利用されたメールの件名などが引用されている可能性があります。
※●●●には、ランダムな英数字やハイフンなどの記号、ドメインや日付と思われる文字列が含まれます。
例）請求書の件です。 6248-20200728
添付ファイル名：
●●● ご入金額の通知・ご請求書発行のお願い.doc
●●● 請求書の件です。.doc
●●● 請求書送付のお願い.doc
doc ●●●.doc
document ●●●.doc
INF ●●●.doc
INFO ●●●.doc
Instruction ●●●.doc
instructions ●●●.doc
Untitled ●●●.doc
アクションガイド ●●●.doc
ご入金額の通知・ご請求書発行のお願い ●●●.doc
ドキュメント ●●●.doc
ビジネス会議への招待.doc
ミーティング.doc
会議への招待.doc
規制 ●●●.doc
仕事への招待.doc
取扱説明書 ●●●.doc
情報 ●●●.doc
請求書の件です。 ●●●.doc
請求書送付のお願い ●●●.doc
説明書 ●●●.doc
文書 ●●●.doc
無題 ●●●.doc
Documentation.doc
File.doc
October documentation.doc
Scan.doc
Statement.doc
form.doc
report.doc
transfer form.doc
※上記以外にも存在する可能性があります。
※●●●には、ランダムな英数字やハイフンなどの記号、ドメインや日付と思われる文字列が含まれます。
例）請求書の件です。 6248_20200728.doc
添付ファイルハッシュ値：
9b50a60d26682dea32a7ea054c80a43435e71df4a9026a2340a9b3a38919a263
5d14f86800411ac42e5c78d976997736313e713600f84a41a0543a03173a5594
c5cb233e3c2e73b134480bb8a28251e6edf2bd624eb31dbb2cd9f82881bbb864
d6c659de36e232711b43510294de8d40e85bc20acb0bc406bc4c049ec95aa8bf
997b7506897a396b4c1e64626606dc6012bc47971998f43dfff8b8ad5b91058d
ee95f880d11f3e8074041aa372037edab39065c34e3c5e8e8d89e883d8ece490
d652244433caaa17c36aac28e633467530b4f4405da4280dc2ce54de0cee1f96
83221578d29e17d64f3decb87a3208d00d3dd5bb70cd37a3fd7c351a36d4eef9
dbbc5e0b658de103693d39c29896a39b41a07e9a5af4ee47f14d3a8aeb09262e
5a5dc20bcd019b0ac67a80f0eb70ec331c16dae156b9990db0a3e6f2907238dd
377efc74fcaa204e1a08541072f11bb32df483ead20b34c15be9c52360c7a541
0d39f230923320beb88f5bdeda5a7e91fa8120c2075accf63923d2f841c08417
1fd54e3cc24128cf2c2b89387bb44bf85928f0a2abf5c73031ef0bb0ca3506b4
8d26fc0912262525b4cbcee4b045ca067cf843f766c679e4d5e31c541cfe1bf5
685fe65dd45476948dd5aa1d2c6c68e0253fa4244253dc2f1fa852baf2dda698
32f566dd3818a6d76002fd83b8e82c36e05592ce154d47dfa7d0ab7416cff0e5
4236db6ed17851f49948cf69c3982c76b722422e8753115efcf9c7093ad32cc7
a644b61aea4e67fa295d3966ece9fd43e79e99047dd804a9d2e2e538c0711071
b2eeddd5041eedee7e49fe10f67bbf0e658f7636ccfd952737bb3938777ba2aa
79966e52f9d4d259bb91a43bea75abfeca7e4f069d8c71601479883d3061d148
a93a1bf908787a0e08f2c08df5fecefea3a5d60b10a85b73c28a715cc9ebe5fe
c61bc5c4278d71ed1df420e9a1efed922c0e7b7c8492294fb9c85e180589141b
8da322c0917711492e811f609a79c525df7261d0884d53d187bfc1af78990dcc
4e55de6543c564fb58c03b66c1d5ded780d350f7c135a72663dad5b168b28371
d5a5e07b856fa95bb954729db5a02b3415dd89b0be6048cc7d0e3f0a8afd89f7
28ad746a87c186873fd8d644a8ca704b9768959c1d8cc780bbd1e4fcec07256c
17af6364aa5e152191cfc5bf34f2365e03da7c8a7040ccd4174f096a601b5e04
434275c04e5ac65d4e763e14aa5291f8e9e7b344fb8e4768dcdfbdeea9af06b5
3b09e8a435bd124aa267a50b832dbf1e60b767fa961239a86f9cbcad1c0a8344
412fb57e72ba6ac81ae2808528e48e74eff28cccc8244172b6755b864b86b3fc
1a36bd245a9053a5742fb8aca3169f91382921c429bc62eaef3471cb4bfc743e
edffc299063e343351d529e84129e771c7c6e2b1894d86ebc91c78d0bad815c8
484aa306f8fd4547a34730926158c67ec133ce25c888f4d6434a0ce8e1ca8a31
201be4f7a7d31a69ca92f73a75c5a4df9eedda88e619a35fc83f3b9d318a4703
f6e93dab00f7bdbe24a8c69f83230bf76e626abc42f83f0065cd99b483bdbc06
c6aa5aa617a2a3c5e2a7c89473de3696d26eea416fff75aa2d82a1c59274d8af
fcc525f6dd0c743849afb4e000a0829d47f24999eea8c8689721e2afd70df51b
88b43a2266e4e59cd4da2bf956472fd54c2fd005863486c58ee81adcfa917b17
84f1793acc6d7c229aed03c0334fcb223eb89415c1d96b08822e988c1a5652af
bccd68cf81a5cc4554c31a0a234fd6e2532c1024c829ff50d3f38b375f57d59a
f1761ccaa75c38c0b7a7816b613688bcc01590af8717fef82dc50d9620ff7838
f109e6ae9c85ddfe69a3f7312184afd244ca7deea6b5f977cd6b9869dbbbe860
88a8cc5f762749790bd0cf686c79950ba34466fad7753f87b86a7c94a4ea6e8c
24cdf8b366b0eac10b89d7613809bc9297d51e9bc8f69019000225739d5516e2
8e78935c6ae4c5164c54350ae754eee471aee652bbc37521c1fe2706c62303e3
1fdeae96ad87a812d89ec2e1bbb4ed273300603ddca204080bdff6a7c26769bd
66085c735437c4206d1b68f2453b4af28ee07b594884331ca242f8bd8074756e
※他にも多数のハッシュ値ファイルがあると思われます。
感染プロセス
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://xeda[.]cz/MqjiWrT/
hxxp://zentroser[.]com/wp-admin/LonYwsGW/
hxxp://si-sq[.]com/glpi/slliHcwAH/
hxxp://witje[.]be/awstats/lseZLdJ/
hxxp://automaticrefreshments[.]com/wp-includes/bVhbrGmu/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://subwaynut[.]com/scgi-bin/Ipyc42/
hxxp://skare[.]net/cgi-bin/uKq/
hxxp://www[.]richardkellogg[.]com/wp-admin/pnfil354257/
hxxp://webappbr[.]com/wp-admin/qDYRmlKo/
hxxps://wolung[.]com/wp-includes/rZr/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxps://mossfs[.]com[.]au/wp-content/fVrTuWOb/
hxxps://rtisistemas[.]com[.]br/jdetsob/Ov3a8106w4g7x17030547/
hxxp://slbqms[.]co[.]ls/cgi-bin/CHrsuXU/
hxxp://sertcom[.]net/_vti_bin/LiUoBmTHW/
hxxp://skpsoft[.]com/wp-admin/YnsFh/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://whateverest[.]ch/meditationes/4Pdv9304pyj8191258/
hxxp://signworld[.]nl/website-ivo-2019/nRxK/
hxxp://grieta[.]net/cgi-bin/rzXeV/
hxxp://itcnt[.]com[.]np/wp-admin/AXc/
hxxp://intere[.]com[.]br/erros/trdodu31307815/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxps://denizyahci[.]com/asset/4z8qjblu71664/
hxxps://cimsjr[.]com/hospital/lowxvel44660441/
hxxp://defiteqazerbaycan[.]com/admin/1arj7yzuc64148024/
hxxp://etawala[.]com/BACKUP/egNICnA/
hxxp://www[.]faulidi[.]com/oqFagLcs/
または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://binaboud[.]com/picaboud/images/4k9w0176085/
hxxp://diavlos6[.]gr/radio/CQDun43o75761/
hxxp://www[.]earnmoneynow[.]nl/wp/wp-content/kuZFc658768/
hxxp://fericire[.]zamira[.]ro/wp/iMC97lw278iw91398794/
hxxp://barkhone[.]ir/logs/Tqh/
※ 接続しようとしたURLは、不要なアクセスを避けるため、一部変更しております。
製品対応状況
▽m-FILTER
偽装判定、アンチスパムの対応状況は
お客様のご利用設定、ご利用のバージョン、受信した個々のメールによって異なりますので
m-FILTERのアクセスログをご確認ください。
▽i-FILTER
hxxp://xeda[.]cz/MqjiWrT/
hxxp://zentroser[.]com/wp-admin/LonYwsGW/
hxxp://witje[.]be/awstats/lseZLdJ/
hxxp://www[.]richardkellogg[.]com/wp-admin/pnfil354257/
hxxp://skare[.]net/cgi-bin/uKq/
hxxp://webappbr[.]com/wp-admin/qDYRmlKo/
hxxps://wolung[.]com/wp-includes/rZr/
カテゴリ状況：07月28日 [カテゴリ外](※1)
追加済みまたは反映予定：[脅威情報サイト]
hxxp://si-sq[.]com/glpi/slliHcwAH/
カテゴリ状況：07月28日 [企業・ビジネス・業界団体][IT情報・サービス]
追加済みまたは反映予定：[脅威情報サイト]
hxxp://automaticrefreshments[.]com/wp-includes/bVhbrGmu/
カテゴリ状況：07月28日 [企業・ビジネス・業界団体]
追加済みまたは反映予定：[脅威情報サイト]
hxxp://subwaynut[.]com/scgi-bin/Ipyc42/
カテゴリ状況：07月28日 [乗り物][IT情報・サービス]
追加済みまたは反映予定：[脅威情報サイト]
hxxps://rtisistemas[.]com[.]br/jdetsob/Ov3a8106w4g7x17030547/
hxxp://slbqms[.]co[.]ls/cgi-bin/CHrsuXU/
hxxp://sertcom[.]net/_vti_bin/LiUoBmTHW/
hxxp://whateverest[.]ch/meditationes/4Pdv9304pyj8191258/
hxxp://signworld[.]nl/website-ivo-2019/nRxK/
hxxp://grieta[.]net/cgi-bin/rzXeV/
hxxp://intere[.]com[.]br/erros/trdodu31307815/
カテゴリ状況：07月29日 [カテゴリ外](※1)
追加済みまたは反映予定：[脅威情報サイト]
hxxps://mossfs[.]com[.]au/wp-content/fVrTuWOb/
hxxp://itcnt[.]com[.]np/wp-admin/AXc/
カテゴリ状況：07月29日 [企業・ビジネス・業界団体]
追加済みまたは反映予定：[脅威情報サイト]
hxxp://skpsoft[.]com/wp-admin/YnsFh/
カテゴリ状況：07月29日 [IT情報・サービス]
追加済みまたは反映予定：[脅威情報サイト]
hxxps://denizyahci[.]com/asset/4z8qjblu71664/
hxxps://cimsjr[.]com/hospital/lowxvel44660441/
hxxp://defiteqazerbaycan[.]com/admin/1arj7yzuc64148024/
hxxp://etawala[.]com/BACKUP/egNICnA/
hxxp://www[.]faulidi[.]com/oqFagLcs/
hxxp://binaboud[.]com/picaboud/images/4k9w0176085/
hxxp://diavlos6[.]gr/radio/CQDun43o75761/
hxxp://www[.]earnmoneynow[.]nl/wp/wp-content/kuZFc658768/
hxxp://fericire[.]zamira[.]ro/wp/iMC97lw278iw91398794/
hxxp://barkhone[.]ir/logs/Tqh/
カテゴリ状況：07月30日 [カテゴリ外](※1)
追加済みまたは反映予定：[脅威情報サイト]
上記すべてのURL：ダウンロードフィルター(※2)
（※1）「推奨フィルタ―設定」でブロック可能
（※2）i-FILTER Ver.10.3以降、ファイルのダウンロードを制御することが可能です。
