マルスパムキャンペーンは、マルウェア拡散の主要な媒体として広く利用されています。以前、悪意のあるマクロを仕込んだMS Officeファイルや脆弱性を悪用したキャンペーンについて記事を書きました。最近では、マルウェアを拡散し、セキュリティ機能を回避させるために、.urlファイルを第一段階のダウンローダーとして利用するスパムキャンペーンを確認しました。
2016年9月13日、マイクロソフトはセキュリティ速報MS16-104 [1]を公開し、Internet Explorerに影響を与える複数の脆弱性に対処しました。これらの脆弱性の1つがCVE-2016-3353で、これは「.URL」ファイルの処理方法におけるセキュリティ機能バイパスのバグです。このセキュリティ上の問題自体はリモートコード実行を可能にするものではありませんが、攻撃者がユーザー操作を伴う攻撃においてセキュリティ警告を回避できるようにします。
Quarkslabは、「攻撃者は、バイパスを悪用するように特別に細工された.URLファイルを標的のユーザーに送信できる」と述べています。一方、ZDIのアドバイザリZDI-16-506では、「被害者が.URLファイルを開くと、攻撃者はユーザーの権限で被害者のマシン上で任意のコードを実行できる」と述べています。また、ZDIは、このバグはEduardo Braun Prado氏によって発見されたと述べています。
参考文献・引用元
MS16-104 の分析: .URL ファイルのセキュリティ機能バイパス (CVE-2016-3353)
以下に、そのようなマルスパムキャンペーンの1つを詳細に分析します。 Seqrite ラボ
.url ファイルとは何ですか?
URLファイルは、Microsoft Internet Explorer (MSIE)、Apple Safari、Google Chromeなどのウェブブラウザが参照するショートカットファイルです。URLファイルには、ウェブサイトのURLアドレスの情報が含まれており、URLショートカットのアイコンとして表示されるfavicon.icoファイルへの参照も含まれている場合があります。ユーザーがこのアイコンをクリックすると、URLファイルが参照され、ユーザーのインターネットブラウザはURLで指定されたウェブページを起動します。
これらのファイルはそれほど大きな悪意のある脅威ではありませんが、悪意のあるリンクを作成するために悪用される可能性があります。このキャンペーンの特徴は、このファイル形式の使用だけでなく、その設定方法にも見られます。
観察期間中、特定のURLのみが発見されました。このキャンペーンでは、URLの代わりに、JSファイルをダウンロードする直接ファイルリンクが使用されています。
下の図 1 は、上記の .url ファイルの内容のサンプルを示しています。
図1: .urlファイルの内容
このキャンペーンは通常、ローカルファイルシステムへのアクセスに使用されます。また、WindowsのSMBプロトコルを介してアクセスされるリモートファイルシステムにも使用される可能性があります。これは、SMBプロトコルを入力チャネルとして利用してマルウェアを拡散する新しい拡散手法です。
感染ルーチン
このキャンペーンの攻撃はスパムメールから始まります。このメールにはzipファイルが含まれています。このトリックにより、攻撃者は以下のメリットを得られます。
- メールはターゲットユーザーにとってより正当なものに見える
- 電子メール保護セキュリティ モジュールでは、zip ファイル内のファイルをスキャンすることが困難です。
下の図 2 は、このキャンペーンで使用された電子メールのサンプルを示しています。
図2：スパムメール
このzipファイルをダウンロードし、解凍に成功すると、「Random_name.url」ファイルが生成されます。ユーザーがこのファイルをクリックしてコンテンツを開くと、ホストは攻撃者が管理するサーバーとのSMB接続を確立しようとします。ユーザーのシステム上には、図3に示すように、悪意のあるペイロード（.jsファイル）が配置され、実行の可否をユーザーに確認するメッセージが表示されます。
図 3: ダウンロードした JS の実行プロンプト。
したがって、JS ファイルは別のリモート サーバーに接続し、そこから他の悪意のあるコードを含む実行可能ファイルをダウンロードします。
図 4. 悪意のあるアクティビティのプロセス ツリー。
図 4 は、.url ファイルを実行した後の完全なステップバイステップの実行を示しています。
しかし、これまでのところ、これはQuant Loaderマルウェアの新たな亜種であることが確認されています。このキャンペーンの目的は、ホストシステムに侵入し、ユーザーの情報を窃取する可能性のある他のマルウェアをダウンロードすることです。
Seqrite 検出
Seqrite ウイルス対策機能は、システムにペイロードを送り込む悪意のある.urlファイルを正常に検出し、ブロックします。
図5。 Seqrite URLファイルに対するウイルス対策警告
図6。 Seqrite 悪意のあるペイロードに対するウイルス対策警告
マルウェア攻撃から身を守るためのベストプラクティス
- 不要なメールや予期しないメールの送信元から受信した添付ファイルをダウンロードしたり、リンクをクリックしたりしないでください。
- 入れておくか アンチウイルス 更新して最新バージョンを使用していることを確認してください。
- 重要なデータのバックアップを常に安全に保管してください。
- オペレーティング システムと、Adobe、Java、インターネット ブラウザーなどのプログラムに推奨されるすべての更新を適用します。
- コンピュータの自動更新が有効になっていることを確認してください。
主題専門家：
グラムガウス・シャイク、プラシル・ムーン |クイックヒールセキュリティラボ
