スパムメール攻撃は、ペイロード配布の効率性を高め、マルウェアをより多くのユーザーに拡散させる複数のランダム手法を用いたものが増加しています。こうした攻撃は、ランダムに急増していることが観測されています。2014年半ばに初めて観測された同様の手法は、マルウェアの配布にも使用されていました。 Poweliksファイルレスマルウェア.
観察されたキャンペーンの技術的分析
このキャンペーンでは、攻撃者はXMLスクリプトとWindows Script Component（WSC）を用いて悪意のあるペイロードを配信します。この手法は難読化を容易に変更できるという利点があります。一連の命令を記述した小さなXMLスクリプトは、侵害されたウェブサイトから別のスクリプトファイルをダウンロードするために使用されます。攻撃者がこのXMLファイルを使用するのは、コードを簡単に変更して新たな亜種を配信できるためです。
攻撃チェーンシーケンス
命令セットは次のように機能します
ここで、rundll32 は、次のコマンドラインを使用して DLL ファイルを実行し、そのライブラリをメモリに配置するために使用されます。
Rundll32.exe 、
Rundll32 がどのようにしてパラメータと引数を解析できるのかを理解しましょう。Rundll32 は内部的にコマンドラインを解析し、コンマ (',') を検索して DLL 名を特定し、スペースを検索してエントリポイント名を特定します。
上記のスクリプトコードでは、Rundll32はdll名としてmshtml、エントリポイントとしてRunHTMLApplicationを検索します。現時点では、プレフィックス「javascript:」は不要なようです。RunHTMLApplicationは「CreateUrlMoniker」を呼び出し、コマンドラインを解析して「:」の前の文字列、つまりJavaScriptを検索します。「Microsoft HTML」はJavaScriptのハンドラです。
XMLファイルで配信されるスクリプトファイルには、悪意のあるペイロードの実際の場所と、マルウェアの難読化を解除するための指示が含まれています。ペイロードの場所は毎回異なります。
同じ手法は、 TrickBot マルウェア Microsoft Office ドキュメントにマクロ スクリプトがあり、実際のペイロードがダウンロードされます。
Seqrite 検出
1. Seqrite エンドポイントセキュリティウイルス対策は、このような悪意のあるスクリプトファイルやドキュメントファイルを正常に検出します。
2. Seqrite エンドポイントセキュリティのブラウジング保護機能は、悪意のあるURLを「有害」としてブロックします。
3. Seqrite エンドポイントセキュリティのメール保護機能は、このような悪意のある添付ファイルがシステムに感染する前に、効果的にブロックします。
こうした脅威から逃れる方法
- 予期しないソースや不明なソースから受信した電子メール内のリンクをクリックしたり、添付ファイルを開いたりしないでください。
- doc.js、wsf.js、vbs.doc などの二重拡張子のファイルをクリックして開かないでください。これらは、二重拡張子を使用してユーザーを騙す悪意のあるファイルである可能性があります。
- コンピュータの OS、ソフトウェア、インターネット ブラウザに推奨されるすべての更新プログラムを適用して、最新の状態に保ちます。
- 正規の信頼できるソースからのソフトウェアのみをインストールしてください。
- ドキュメントで「マクロ」または編集モードを有効にするように求められた場合は、決して有効にしないでください。
主題専門家
プラシャント・ティレカー | クイックヒール・セキュリティ・ラボ
