ボットネット「Cutwail」、日本狙うメール攻撃に新展開 - 画像に命令埋め込む「ステガノグラフィ」を悪用

問題のExcelファイルではマクロを悪用。保護ビューでは攻撃が成立しないため、マクロが動作するようファイル内に「コンテンツの有効化」を行うよう指示を記載している。

命令の伝達に利用されたファイルを画像として表示したところ。先頭部分に命令が仕込まれていた。赤線は解析したCrowdStrikeによるもの

メール受信者が指示に従ってマクロを有効化してしまうと、VBAコードによる難読化ルーチンを起動。さらに「PowerShell」を実行し、攻撃へ気が付かれないよう、命令を埋め込む「ステガノグラフィ」を施した画像ファイルをダウンロードした上で解析、命令を受け取っていた。

さらに受け取った命令に従い、実行された地域をチェック。ユーザーエージェントをブラウザに偽装した上で、外部より「URLZone」「Shiotob」といった名称でも知られるマルウェア「Bebloh」をダウンロードし、実行させていた。

同マルウェアは、コマンド＆コントロールサーバから命令を受け取り、さらに別のマルウェアをダウンロードさせるという。ダウンロードされる具体的なマルウェアは特定されていないが、過去の事例では、同じく不正送金マルウェアで、「Gozi」「DreamBot」「Snifula」「Papras」としても知られる「Ursnif」をダウンロードしていた。

今回、攻撃グループが「ステガノグラフィ」を活用した点についてCrowdStrikeは、セキュリティ製品の検出を回避し、感染率を改善させる手法の開発に取り組んでいることを示唆していると指摘している。

（Security NEXT - 2018/11/01 ）ツイート

ボットネット「Cutwail」、日本狙うメール攻撃に新展開 - 画像に命令埋め込む「ステガノグラフィ」を悪用

関連リンク

PR

関連記事