マルスパムメール、つまり悪意のあるスパムメールは、攻撃者が標的のユーザーにマルウェアを配信するために好んで利用するマルウェア配信チャネルの一つと考えられています。攻撃者は、大量のユーザーにマルウェアを配布するために、スパムメールキャンペーンを実行することもあります。
攻撃者が成功するには、2つの重要な要素があります。1つ目は、インストールされているセキュリティ製品のスパムメールフィルターを突破すること、2つ目は、ユーザーが添付ファイルを開くことです。2つ目の目的を達成するために、攻撃者は様々なソーシャルエンジニアリングの手法を用いて、悪意のあるメールを可能な限り本物のメールのように見せかけ、ユーザーに添付ファイルを開かせようとします。
Blank Slantマルスパムキャンペーンについて
2017年XNUMX月以降、私たちはこのキャンペーンを観察してきました。このキャンペーンでは、攻撃者は本文と件名を空白または不明瞭にしたメールを使用しています。そのため、「Blank Slate（ブランク・スレート）」と呼ばれています。送信者のメールIDが偽装されていることが判明しました。ユーザーは添付ファイル付きのメールのみを受信します。これらのフィールドがないため、ユーザーは添付ファイルを探す以外にメールの内容を理解する方法がありません。そのため、ユーザーは好奇心から悪意のある添付ファイルを開き、感染を引き起こします。Blank Slateキャンペーンで使用されている典型的なマルスパムは、以下の図のようになります。
図1：空白のメール
感染ルーチン:
これらのメールキャンペーンの添付ファイルには、ネストされたzipファイル（zipファイルの中にzipファイルがある）が含まれています。2つ目のzipファイル内には、マルウェアのダウンローダー本体が配置されています。現時点では、このマルスパムを介してJavaScript（.js）ファイルまたはMicrosoft Word文書（.doc）ファイルが配信されていることが確認されています。Blank Slateキャンペーンは、以下の感染ルーチンに従います。
図2: 白紙の感染ルーチン
どちらのケース（JavaScriptまたはWord）においても、最終的な感染はランサムウェアの亜種であることが確認されました。また、一部のケースでは、MS-Officeの脆弱なシステムにおいて、CVE-2017-0199を悪用しようとするドキュメントファイルも確認されました。
ランサムウェアの亜種を配信する白紙の状態
Cerber ランサムウェア
Blank Slateキャンペーンは2017年1月に初めて確認され、その後長期間にわたりCerberランサムウェアの拡散に利用されました。このキャンペーンで使用されたスパムメールは、図45214に示すものです。スパムメールの添付ファイルには、「44582_ZIP.zip」という名前の別のzipファイルが含まれていました。このファイルには、2.jsという名前のマルウェアダウンローダーが含まれていました。ユーザーがこの.jsファイルをクリックすると、Cerberランサムウェアが自動的にダウンロードされ、実行されます。このランサムウェアは、「.top」で終わるドメインからダウンロードされていました。Cerberは、過去XNUMX年間で最も蔓延したランサムウェアファミリーのXNUMXつです。暗号化に成功すると、この亜種は暗号化されたファイルに.aeac拡張子を追加します。
図3：身代金要求メッセージと暗号化されたファイルを含む、Cerberに感染したシステム
他にも、docファイルが配信されるスパムメールの事例がいくつか確認されました。これらのファイルは、被害者のコンピュータにマルウェアをダウンロードして実行するCVE-2017-0199を悪用しようとしていました。
Aleta – BTCWareランサムウェアの亜種
2017年XNUMX月の最終週には、BTCWareランサムウェアの亜種であるAletaがBlank Slateキャンペーンを通じて拡散しました。コンピュータに侵入すると、データを暗号化し、暗号化されたファイルに「.aleta」という拡張子を付加します。また、Aleta亜種がRDP（リモートデスクトッププロトコル）によるブルートフォース攻撃を用いて感染していることも確認されています。どちらのケースでも、感染経路が変化したにもかかわらず、暗号化の仕組みは変わりません。
GlobeimposterランサムウェアもBlank Slateを使用
Globeimposterランサムウェアは先月から活動を開始しています。暗号化されたファイルに、.HappyDayzz、.707、.700、.GOTHAM、.cryptといった様々な拡張子を付加します。このランサムウェアは、悪意のあるスパムメールを介してユーザーに配信されます。
「.crypt」亜種の場合、ランサムウェアはネストされたzipファイルに含まれる.jsファイルを介してBlank Slate Campaignを使用して配信されることが確認されています。暗号化が完了すると、「!back_files!.html」という名前の身代金要求メモファイルがドロップされ、復号キーを入手するために身代金を支払う方法に関する指示が記載されています。
図4：g lobimposter 身代金要求メモ
Seqrite エンドポイントセキュリティ検出
Seqrite Endpoint Securityのメール保護機能は、このキャンペーンを初期段階で検知し、ブロックすることに成功しました。
図5： Seqrite Endpoint Securityのメール保護機能がBlank Slate Campaignを検出します
ランサムウェアから身を守るためのセキュリティヒント
- 望ましくない、または予期しない送信元から届いたメールの添付ファイルはダウンロードしないでください。たとえ既知の送信元から届いたように見えても、まずは送信者に連絡して確認することをお勧めします。
- 不明瞭または不自然なメールを受け取った場合は、好奇心に負けず、返信しないでください。
- 定期的にファイルをバックアップしましょう。外付けハードドライブにバックアップしている間は、インターネットを切断することを忘れないでください。再びオンラインになる前に、ドライブの電源を切ってください。定期的にデータのバックアップを取ることができる無料および有料のクラウドバックアップサービスが市場にいくつかあります。
- ネットワーク共有への読み取り/書き込み権限は、必要な場合にのみ付与してください。ランサムウェアに感染した場合、共有は暗号化される可能性があるため、開いたままにしないでください。
- 感染したメールや悪意のあるウェブサイトから多層防御し、USBドライブを介して拡散する可能性のある感染を阻止するウイルス対策ソフトウェアを使用してください。ソフトウェアは常に最新の状態に保ってください。
- コンピュータのオペレーティング システムと、Adobe、Java、インターネット ブラウザーなどの他のすべてのプログラムに推奨されるセキュリティ更新プログラムを適用します。
謝辞
主題専門家
- プラシル・ムーン | クイックヒールセキュリティラボ
