ばらまきメール回収の会
一般社団法人JPCERTコーディネーションセンター 佐條 研 @bomccss
株式会社サイバーディフェンス研究所 笹田 修平 @sugimu_sec

アジェンダ
1.
2.
3.
4.
5.
6.
7.

はじめに
Emotetの概要
Emotetが日本に与えた影響被害を減らす為の取り組み
Emotetのキャンペーン分析
対策まとめ１．はじめに自己紹介 ばらまきメール回収の会
ばらまきメール情報を共有する個人コミュニティ活動
ユーザ系企業CSIRT担当とベンダ所属が半々程度<発表者><モチベーション>@bomccss @sugimu_sec
ばらまきメールの情報を素早く入手・共有することで、被害を減らしたい<活動概要>
ばらまきメールをいち早く受信した組織が情報発信し、他の組織と一緒に分析し対策に必要な情報をオープンに発信<参考>ばらまき型メールから日本を守る、知られざる善意の50人
https://xtech.nikkei.com/atcl/nxt/column/18/00138/072700596/

の観測<Emotetの攻撃を長期的に観測>▪ 受信したメールの内容を共有▫ 主に自組織・個人に届いたメールの情報▪ 攻撃を分析▫ 早期の注意喚起に繋げる▪ 海外のリサーチャーと情報を共有

本日のテーマ
2019年の後半から日本に多大な被害を与えている
マルウェア Emotet の感染を狙った攻撃キャンペーンについて、観測したデータの分析結果をお伝えします。
▪ 感染拡大の概要▪ 日本への影響▪ 攻撃の目的※本発表における時間軸は JST(UTC+0900)で記載しています２．Emotetの概要

の概要
<特徴>
▪ 感染を狙った文書ファイルを開くことで感染▪ モジュール型のマルウェア▫
▫
▫
▫

端末内に保存されている情報の窃取
ネットワークを経由した拡散
感染を狙ったメールの拡散
悪性通信の転送▪ 他のマルウェアへの感染<時期>
2019年09月以降、攻撃対象に日本が加えられ感染を狙ったメールが配信されるようになった。

の感染を狙った攻撃の流れ▪ メールに添付された文書ファイルを開くと感染▪ 感染後は情報が窃取されたり、更なる拡散活動を行う① メール受信・感染
メール受信

Emotet配布サイト(改ざん)② 情報の窃取

情報窃取（メール関連情報の窃取を中心に説明）

③拡散活動
拡散活動

（メールによる拡散活動を中心に説明）

の感染を狙ったメール▪ 取引先や関係組織を装って送られてくる▪ 窃取されたメールの内容が悪用されていることがある▪ 文書ファイルやパスワード付きzipファイルなどが添付されている▪ 日本国内に配信されるメールは主に日本語がベースになっているメール内容の分類▪ メールの内容を特徴毎に分類
メールの内容ばらまき型メール●●

汎用的な内容が多い
本文に過去の返信履歴がなく、新規のメールとして送られてくる返信型メール●●

窃取したメールの返信として送られてくる
本文に過去のメールの履歴が残っている●●

汎用的な内容が多い（ばらまき型メールの一種）
メール本文の末尾に「----Original Message---」から始まる過去のメールヘッダを装った内容が記載されている

偽装返信型メール参考 ばらまき型メール
個人名
メールアカウント名
受信者名

送信元メールアドレス

メールアカウント名
受信者名

個人名

メールアドレス
ドメイン名

送信元メールアドレス

参考 返信型メール
過去のメールの件名

過去のメールの件名
メールアカウント名
受信者名

送信元メールアドレス

メールアカウント名
受信者名

送信元メールアドレス

個人名
メールアドレス
個人名

過去のメールの履歴

過去のメールの履歴参考 偽装返信型メール
個人名

個人名

メールアカウント名
受信者名

送信元メールアドレス

メールアカウント名
受信者名

ドメイン名

個人名
メールアドレス

受信者名
受信者名
メールアカウント名
メールアカウント名

メールアカウント名

送信元メールアドレス

メール受信から文書ファイルまで
説明

文書ファイル

メール
添付文書ファイルが添付されている（拡張子:.doc .docm .rtf ）パスワード付きzipファイルが添付されており、本文記載のパスワードで解凍が可能（拡張子: .zip -> .doc）
PDFファイルが添付されており、記載されているURLをクリックすると文書ファイルがダウンロードされる
メール本文にURLが記載されており、クリックすると文書ファイルがダウンロードされる

添付

解凍
zipファイル添付

ダウンロードURL記載
PDFファイル

改ざんサイト

本文にURL記載

ダウンロード改ざんサイト文書ファイル▪ 文書ファイルを開きコンテンツが有効化されるとマクロが動作▪ スクリプトが実行され通信先からEmotetをダウンロード・実行▪ 日本語を使用したデザインの文書ファイルも存在▫ 明確に日本国内の組織を狙っている参考 文書ファイルのデザイン 一部紹介

文書ファイルから実行されるスクリプト▪ PowerShellスクリプトの場合とJavaScriptの場合がある▪ 実行されるスクリプトには複数のURLが格納されている▫ 改ざんされてEmotetが設置されたサイト（5~7URL）▫ 1つでも有効だとEmotetがダウンロード・実行

http://aktuel.marduk.kim/dooxi-fuel-hf09b/Logs/
http://braam.com.br/c/oaA7YWWX/
http://zebaorganics.com/wp-admin/en-US/
http://friendsofchrist10.com/streamlabs-obs-rarso/SIGNUP/
http://guojiazui.com/b/y0QnnWbk/
http://fi.bonitastores.com/n/WUGoZ/
http://iog.com.cn/css/Sys/

実行されるPowerShellスクリプト

格納されているURL

感染までの流れが変更<変更点>▪ 偽のエラーメッセージが表示されるようになる▪ DLL形式のEmotetをrundll32.exeで実行する
攻撃停止期間(11/01-12/20)

2020年10月31日

2020年12月21日

感染後の動き▪ 他のマルウェアに感染▫ 時期や環境にもよる▪ C2サーバから目的に応じたモジュールを受信▫ 例) 情報窃取、なりすましメール送信、悪性通信の転送

他のマルウェア
モジュール
C2サーバ
情報窃取

Emotet
感染端末

感染拡大活動など

のモジュール▪ Emotetはモジュール型のマルウェア▫ 情報窃取関連のモジュール▫ メール情報関連やブラウザ情報関連▫ メール送信関連のモジュール▫ ばらまき型モジュールと返信型モジュール▫ ネットワーク拡散モジュール▫ UPnPモジュール▪ 目的に応じてC2サーバからダウンロードされる▪ 2017年以降、不正送金モジュールは確認されていない
参考: https://eset-info.canon-its.jp/files/user/malware_info/images/ranking/pdf/MalwareReport_201910.pdf
https://research.checkpoint.com/2018/emotet-tricky-trojan-git-clones/

メール関連情報の窃取▪
▪
▪

Emotetを実行しているrundll32.exeから複数の子プロセスが起動▫ 正規ファイルをコピーしてインジェクションしているそれぞれが.tmpファイルを参照
引数 /scomma が渡されているプロセスはNirSoftのツールが読み込まれている文書ファイルを開いてからのプロセスツリー

certutil.exe
cmd.exe
参考: https://www.mbsd.jp/blog/20181225_2.html（2020年12月22日 確認）

窃取されるメール関連の情報▪ 抜き取った情報は一時的にファイルへ出力される▫
サーバへ情報が送信されるとファイルは削除される
抜き取られたメールアドレス

抜き取られた受信メール

送信者名と送信メールアドレス
受信者名と受信メールアドレス
件名

本文

以降、添付ファイル

参考 メール関連情報の窃取プロセスの流れなりすましメール送信の流れ▪ 窃取したメールアカウント情報でなりすましログイン▪ 正規メールサーバを経由して感染を狙ったメールを配信
メール送信モジュール
窃取したメーラ設定情報
窃取した連絡先
メール内容

コントロール

攻撃者

なりすましメールの配信

ログイン試行
メール送信

組織A

組織A

組織Z

組織Z

感染端末群

正規メールサーバ群

C2サーバ
メーラ設定情報
窃取した連絡先窃取したメールの内容

なりすましメール送信 受信のイメージ● 組織A社員・組織C社員端末のメーラ設定情報● 組織A社員・組織C社員端末の連絡先、メール内容※返信型メールが送信される/受信するまでの一例となります。

組織A

組織B
取引先、関係組織

C2サーバ● メール送信モジュール● 感染端末から窃取したメーラ設定情報● 感染端末から窃取した連絡先● メール内容

感染端末組織CのメールアドレスをエンベロープFROMとして組織
A社員を騙り組織B社員にメールを配送

正規メール
サーバ

組織B社員が受信するメール例（返信型）
件名：Re:先日の会議につきまして● 組織C社員端末のメーラ設定情報を悪用してログイン● メール送信

組織D

組織C

From : 組織A社員名 <組織C社員メールアドレス>
To : 組織Bメールアドレス
添付ファイル : 請求書.doc

感染端末

いつもお世話になります。
09月度の請求書をDOCにて送信いたします。
以降に実際の過去メールの履よろしくお願いします。

感染端末

正規メール
サーバ歴が残っているお世話になっております。
先日の開催しました会議にご参加いただき、

参考 感染端末より施行されたログイン▪ 窃取されたメールアカウント認証情報が悪用される
感染端末からのログイン試行

メールによるの感染拡大サイクル③ メール送信コントロール

攻撃者

メール送信モジュール
メール関連情報

C2サーバ

ログイン試行
メール送信

感染端末群

メール拡散

正規のメールサーバ群

攻撃者が読める状態にある

メール受信
情報窃取モジュール・メール設定情報
・アドレス帳・メール・件名・本文・添付ファイル

窃取した情報② 情報の窃取配布サイト
Emotetダウンロード （改ざん）実行① メール受信・Emotetに感染ボットネット

エポック▪ ボットネットは大きく分けて3種類▫ それぞれEpoch1、Epoch2、Epoch3と呼称されている▪ それぞれのEpochごとに固有な情報▫ メール文面、メールの宛先▫ Emotetが設置されているサイトのURL▫ Emotet本体に含まれるC2リストやRSAキー▪ 主な標的が異なる▫ 日本はEpoch3(E3)の主要な標的となっている
参考: https://paste.cryptolaemus.com/emotet/2020/10/25/25-emotet-malware-IoCs_10-25-20.html

ボットネット
感染端末
Epoch 1

Epoch 2

Epoch 3

メール文面
添付ファイルエポック
送信先

download
URL

Emotet

RSAキー

C2サーバ

サーバの冗長化▪ C2サーバの通信先はEmotet本体に格納されている▪ Epochごとにそれぞれ最大128個▪ C2サーバの約8割はBotC2サーバ、約2割はTier1 C2サーバ▫ BotC2サーバはUPnPモジュールを読み込んだ感染端末▫ Tier1 C2サーバへの通信を転送する▫ Tier1 C2サーバは侵害されたLinuxサーバ▪ 上記以外にTier2 C2サーバが存在▫ Tier1 C2サーバはTier2 C2サーバへ通信を転送する▪ テイクダウン対策が主な目的と思われる▪ 他のモジュールにはさらに別のC2サーバのIPアドレスが格納
参考: https://blog.lumen.com/emotet-illuminated-mapping-a-tiered-botnet-using-global-network-forensics/
https://hello.global.ntt/ja-jp/insights/blog/behind-the-scenes-of-the-emotet-infrastructureサーバの冗長化
検体にハードコードされるC2サーバ

Tier1 C2
(改ざんサイト)

感染端末感染端末

uPnP
Bot C2 モジュール(感染端末)

感染端末

uPnP
Bot C2 モジュール(感染端末)

Tier1 C2
(改ざんサイト)Tier2 C2

検知回避を目的とした機能▪ ウイルス対策ソフトによる検知の回避▫ 感染端末ごとのハッシュ値のユニーク化▫ 本体の定期的な更新（ハッシュ値の変更）▫ 一日に最大5回程度▫ 土日などの休日に加え、攻撃停止日も更新される
ハッシュ値の変更回数（日別）

攻撃停止期間(11/1-12/20)

３．
が日本に与えた影響

日本に対する攻撃時期（日付）
2019年04月12日

アクティビティ

備考

日本語のメールを確認（一時的なもの）

他のマルウェアへ二次感
染未確認

09月27日 本格的に日本が標的となる
11月頃 返信型メールにより感染数が増加
11月23日 日本への攻撃がさらに激化
2020年02月06日 世界的に攻撃が停止
07月17日 世界的に攻撃が再開

他のマルウェアへ二次感
染確認
日本語未対応日本語対応

日本に対する攻撃時期（日付）

アクティビティ

備考

2020年08月28日 全てのEpochで日本が標的になる

日本宛メールの急増

08月31日 日本国内の感染数が増加

28日に比べ約200%増

09月02日パスワード付きzipファイルが添付されるようになる
感染急増の要因

09月25日文書ファイルのデザインに日本語が利用され始める

10月31日 世界的に攻撃が停止
12月21日 世界的に攻撃が再開

日本宛は少数日本を標的とする日
Emotetメール送信日と日本が標的となった日
黄色：
Emotetメール送信あり
日本対象外
赤色：
Emotetメール送信あり
日本対象
約半数で日本が標的に含まれる

メールの傾向や特徴の変化▪ 初期の攻撃▫ 汎用的な英語から機械翻訳された内容▫ ドキュメント、請求書を装った内容や添付ファイル▪ 時期にあったテーマが使用される傾向（2019年12月から）▫ 賞与、クリスマス▫ 新型コロナウイルス▪ 流暢な日本語の文面が使用される傾向（2020年01月から）▫ 窃取されたメールから流用▫ 攻撃者側の学習▪ 返信型は一貫して利用▫ 文面や種類は徐々に複雑になっている参考 代表的なメール種別と頻度
種別

初回確認日

最終確認日

日数

件名（例）

添付ファイル（例）

備考

請求書

2019/4/12

2020/8/13

8

請求書の送信47434999183 703679.doc

汎用2019/9/27

2020/10/17

37

ドキュメントPO# 08182020Ex.doc

請求書2019/11/27

2020/12/30

62

請求書の件です。 [数字日付 ]請求書の件です。 167204 20200728.doc

賞与2019/12/9

2020/12/30

17

賞与支払届

12月賞与.doc

クリスマス

2019/12/18

2020/12/29

6

メリークリスマス

メリークリスマス .doc

会議開催通知2020/1/14

2020/2/3

16

会議開催通知会議開催通知 .doc

会議への招待2020/1/17

2020/12/30

34

会議への招待 [宛先domain]

ビジネス会議への招待 .doc

コロナ

2020/1/28

2020/9/15

7山城南保健所福祉室 [日付]

通知 [日付].doc

会議の議題

2020/8/12

2020/9/30

13

金曜日の次の会議の議題。

金曜日の会議のチェックリスト。

協力会社

2020/9/1

2020/10/28

25[宛先表示名 ]変化[日付].doc

トレンド

2020/9/3

2020/9/28

9トレンドマイクロ・

カスタマー満足度アンケー .doc

更新

2020/9/25

2020/10/28

14[宛先表示名 ]更新のご案内 .doc

返信型でも使用追加分

2020/9/29

2020/10/20

9[宛先表示名 ]追加分も .doc

返信型でも使用

返信型でも使用国内を宛先とするメールの規模 日別
国内ドメイン(.jp)のメールアドレス宛メール数（観測したメールデータをベースに算出、2020年07月-2021年01月）

一時攻撃停止(10/6-10/13)
一時攻撃停止(9/6-9/13)

攻撃停止期間(11/1-12/20)※実際の数値は事情により示すことが困難ですが、万通という規模感です。その時点における感染数の推移 月別
窃取後、悪用された国内ドメイン(.jp)のメールアカウント数（観測したメールデータをベースに算出、2020年07月-2021年01月）

参考 その時点における感染数の推移 月別
窃取後、悪用された国内ドメイン(.jp)のメールアカウント数（観測したメールデータをベースに算出、2019年9月-2021年1月）

その時点における感染数の推移 日別
窃取後、悪用された国内ドメイン(.jp)のメールアカウント数（観測したメールデータをベースに算出、2020年07月-2021年01月）

一時攻撃停止(9/6-9/13)

一時攻撃停止(10/6-10/13)

攻撃停止期間(11/1-12/20)

新たに確認した感染数の推移 日別
窃取後、新たに悪用された国内ドメイン(.jp)のメールアカウント数（観測したメールデータをベースに算出、2020年07月-2021年01月）
一時攻撃停止(9/6-9/13)

一時攻撃停止(10/6-10/13)

攻撃停止期間(11/1-12/20)

国内の累計感染数の推移 日別
窃取後、悪用された国内ドメイン(.jp)の累計メールアカウント数（観測したメールデータをベースに算出、2020年07月-2021年01月）

日本語デザインの文書ファイル最初の観測(9/25)
zipファイル最初の観測(9/2)
全てのEpochで標的に(8/28)

一時攻撃停止(10/6-10/13)
一時攻撃停止(9/6-9/13)

長期攻撃停止期間(11/1-12/20)

参考

メールアカウント数について<留意点>▪ .jp に限る（他に含まれる日本は便宜上数えない）▪ メールの送信元に悪用された数（右下図赤枠）であり、正確な感染数ではない▫ 1つの端末から複数のメールアカウントが窃取される場合や1つも窃取されない場合がある▪ メールの送信量に影響される▫ 送信量が少ないと観測数が減り傾向と乖離している可能性がある

４．被害を減らす為の取り組み

情報発信Twitter等で最新のEmotet動向を情報発信、注意喚起
パスワード付きzipの観測

感染時の対応手順

情報発信▪ メールテンプレート▫ 新型コロナウイルスをテーマとしたメール▫ トレンドマイクロ社を騙ったメール▪ 新たな手法の早期発見▫ パスワード付き ファイルの使用▪ 日本語のデザインの文書ファイル▪ ダウンロードの共有（への登録）注意喚起▪ 時には所属組織の助力を借りることも▪ 2019/11/27 JPCERT/CC Emotetの注意喚起発行▫ 2019/12/02 ブログEmotetへの対応FAQ公開
https://blogs.jpcert.or.jp/ja/2019/12/emotetfaq.html
11/28 官房長官がエモテットの注意喚起

世界的な協力▪ Emotetは世界的な脅威であり、Emotetに対抗する世界的なグループ「Cryptolaemus」が存在▫ 世界中から有志のセキュリティ専門家が集結▪ 日本からの情報を共有し協力▫ TTPsなどの情報共有▫ タイムゾーンを補完▪ 手法を合わせ、Emotetの通信先はURLHausへ登録▫ URLHausのフィードにより世界中でblock可能
参考: https://paste.cryptolaemus.com/
https://www.zdnet.com/article/meet-the-white-hat-group-fighting-emotet-the-worlds-most-dangerous-malware/

改ざんサイトの通報▪ 改ざんされた正規サイトの早期発見▫ 文書ファイルが設置されているサイト▫
本体が設置されているサイト▪
サービス事業者の窓口へ連絡▪ 運営組織のやセキュリティ担当へ連絡→ 感染の流れを断ち切ることで新規感染数を減らす

悪用されたメールアドレスへの通知▪ 観測により送信に悪用されるメールアドレスを把握▪ 感染して悪用されるメールアドレスへ通知▫ 感染に気が付き、対処してもらう▫ これまでに4,500件以上通知▫ 多いのはISPなどの個人メールアドレス▪ 既に気が付き対処済のケースや気がついていても対処法が不明/不足のケースもあり▫ 必要に応じてメール、電話で対応を相談▪ 通知先により説明や対応が困難なケースも有▫ 自身でEmotet感染有無を確認できる必要性▪ Emotetは特有の痕跡、命名規則が存在した▫ 上記を元に感染有無を確認することが可能▫ コンセプトを提案し、開発をお願い→ ツール EmoCheck のリリース
https://github.com/JPCERTCC/EmoCheck/releases

５．Emotetのキャンペーン分析

の攻撃の狙い▪ Emotetの攻撃には2つの立場がある▫ Emotetを使ってメール配信をする立場▫ Emotet自身の攻撃グループ▫ Emotetを利用して別のマルウェアに感染させる立場▫ 別のマルウェアを使いたい別の攻撃グループ

の攻撃の狙い▪ Emotetの攻撃には2種類の攻撃者が関与している
コントロール

メール送信モジュール
メール関連情報

ログイン試行
メール送信

C2サーバ

攻撃者

感染端末群

メール拡散

正規のメールサーバ群
メール受信

モジュール
依頼、使用料情報窃取
コント
ロール
別の攻撃者

別のマルウェアのC2
サーバ

別のマルウェア

Emotetダウンロード実行

配布サイト
（改ざん）

の攻撃グループ▪ Emotetは単一のグループが使用するマルウェア▪ 攻撃グループはMealybugs, Mummy Spider, TA542などの名前で呼ばれる（どれも同じ）▫ CryptolaemusはIvanと呼ぶ▪ Emotetは別のマルウェアに感染させる為の道具▫ 別のマルウェアを感染させることで別の攻撃グループから使用料を得ている

の攻撃グループの目的
Emotetの感染端末を増やすことで▫ 別のマルウェアに感染させる機会が増加→ 収益が増加▫ メール送信基盤の増強▫ 新規攻撃対象（メールアドレス）の増加
感染端末を増加させることに特化できる仕組み→防御する側は如何に感染数を減少傾向にできるかを利用する攻撃グループの目的▪ Emotetから二次感染するマルウェア（2019/09-）
マルウェア

時期

備考

Ursnif

2019/09-10

日本のみ感染確認

Trickbot

2019/10-2,2020/07-

日本でも感染確認

Qakbot2020/07-

日本でも感染確認

Zloader

2020/09-

日本のみ感染確認

IcedID2020/10-

日本では未確認▪ どれも不正送金マルウェア▪ マルウェア毎に攻撃グループは異なる可能性がある

から二次感染するマルウェア▪ 二次感染するマルウェアは感染した際のIPのGeoLocationによって決まる▫ 攻撃対象の国であれば二次感染し、対象外なら感染しない▪ 日本でのみ二次感染するマルウェアは日本が標的▫ Ursnif、Zloader▪ 日本へのEmotetの攻撃を減らすには、この二次感染を狙う攻撃グループの目的を阻害することも有効
参考: https://d00rt.github.io/emotet_network_protocol/#country

から二次感染する▪ Emotet経由のUrsnif(Dreambot)、Trickbot▫ UrsnifとEmotet経由のUrsnifは同一設定▫ UrsnifとTrickbotのWebInjectsのURLは一致→ 攻撃グループはUrsnif-Bと考えられる。
[JSAC2020発表参照]
https://jsac.jpcert.or.jp/archive/2020/pdf/JSAC2020_5_sajo-takeda-niwa_jp.pdf▪ この攻撃グループはその後のレポートで「Jer」というアカウントを使用していることが分かっている
参考: https://medium.com/csis-techblog/the-end-of-dreambot-a-loved-piece-of-gozi-24cc9bfc8122

参考▪ Trickbotは様々な攻撃グループが使用▫ 全部のTrickbotの配布、Emotet経由のTrickbotの配布がJerではない。
▪ 日本向けのWebInjectsは2019/10/15-2020/03まで1レコードグループに存在（全体の約30%弱)▫ この利用者がJerと考えられる▫ 2020/03 以降、TrickbotのWebInjectsから上記日本向けを含む大半のレコードグループが削除→同タイミングでTrickbotの攻撃グループが更に高機能なBazzarマルウェアへ移行したと言われているから二次感染する▪ Zloader▫ 2020/09以降、日本でのみ観測▫ 同じタイミングで日本へのメール増加▪ 前後して日本を狙うZloaderは3つの経路がある▫ Emotetの二次感染マルウェア▫ xls添付のばらまきメールからの感染▫ Exploit-Kit経由での感染▪ 3系統のZloaderは設定、C2が同一▫ 同一のグループが攻撃を行っている▫ 日本の金融機関を狙うWebInjects
参考: https://www.lac.co.jp/lacwatch/people/20201106_002321.html

の感染経路と設定の関係
感染経路は異なるが、一部設定、C2サーバ等は同じ
Botnet ID
攻撃者

SGEmotet

Emotet感染端末

Zloader

添付メール

添付メール

Zloader

Exploit Kit

Zloader

C2サーバ

マニピュレー
ションサーバC2サーバ

マニピュレー
ションサーバWebInjects
r1

Web閲覧

マニピュレー
ションサーバWebInjects
r1/r2

攻撃者

C2サーバ

WebInjects

から二次感染するマルウェアの関係▪ Emotet経由で感染するUrsnifとZloaderの各攻撃グルー
プは、Emotet以外の経路でも感染を狙う▫ Emotetは攻撃経路の1つでしかない▪ 2つのマルウェアのキャンペーンには共通点が存在▫ メール件名、本文▫ 文書ファイルのデザイン▫ WebInjects

文書ファイルのデザインの比較▪ Emotetの日本語の文書ファイルとZloaderに感染する
xlsb添付のデザインは同じ、画像は同一hash▪ Jerがほぼ同一の画像を過去に使用▫ hash改変のため画像がモザイクがかっている
Emotetおよびzloaderのデザイン

2018/12/28のUrsnifのデザイン

メールの本文の比較
2020/10/14 Zloaderのメール▪ 2020/10/14のZloaderのばらま
きメールの本文は2017/06/13-2017/11/22のUrsnifのメール本文と同一▪ 上記以外も、Zloaderのばらま
きメールの本文は過去にJerのUrsnifのメール本文で使用されているもの
参考: https://www.jc3.or.jp/topics/vm_index.html
https://bomccss.hatenablog.jp/entry/2020/10/28/132546

2017/06/13 Ursnifのメール▪ WebInjectsの対象▫ Ursnif、Zloaderには主に銀行、カード会社が標的であり、標的の組織は同一▫ ZloaderのWebInjectsは追加・変更が頻繁にあり継続して開発中と考えられる▪ 日本向けのWebInjectsで、銀行、カード会社双方を対象とするものは他にない▫ Ramnit,PandaBankerは過去カード会社を標的▫ Ursnifの一部に銀行を標的とするものは存在
参考: https://blog.trendmicro.co.jp/archives/19291
https://www.botconf.eu/wp-content/uploads/2018/12/2018-J-Wyke-Tracking-actors-through-their-webinjects-.pdf

と添付メール

Emotet

同一
デザインの関係性
C2サーバ

malware同一

WebInjects

マニピュレーション

Zloader

Zloader
攻撃者
Jer

同一メール本文
UrsnifUrsnif

同一
URL

Trickbot
同一対象攻撃グループの目的▪ Emotetの攻撃グループはEmotetをより拡散することが金銭的利益に繋がる▪ 二次感染するUrsnif、Zloaderは同一攻撃グループ▫ Banking Trojanを使った金銭狙い▫ 他のマルウェアに変わる可能性もあるが、今後も継続して攻撃が行われる可能性が高い▪ 海外で発生しているEmotet経由のランサムウェア攻撃が日本で狙われる可能性は低いのではないか

6．対策

対策▪
▪
▪
▪
▪
▪

OSやソフトウェアを最新に保つ
ウイルス対策ソフトのパターンファイルを最新に保つ
感染を狙ったメールのブロック
文書ファイルにおけるマクロ自動実行の無効化
スクリプトによる外部への通信禁止設定
IoCsを活用した通信のブロック▫ URLHausに共有されている通信先▫ feodo.trackerに共有されているC2サーバのIPアドレス▪ メールアカウントの多要素認証の導入▪ 管理共有の制限▪ 最新情報による定期的な注意喚起▫ 特にTwitter上では最新の情報が共有されている▫ paste.cryptolaemus.com

７．まとめまとめ▪ Emotetの日本を狙った攻撃キャンペーンを解説▫ 感染を狙った攻撃の流れ▫ 日本における感染状況を共有▫ Emotetを利用する攻撃グループを分析
Emotetの感染を狙った攻撃キャンペーンは変化が激しいので、Twitterなどから最新のTTPsやIoCs情報を積極的に取り込んで、対策に役立てましょう。
皆でEmotetの感染を減らしましょう。

@bomccss@sugimu_sec

Work with Community@abel1ma@waga_tw@58_158_177_102@wato_dn@gorimpthon@papa_anniekey@satontonton@catnap707@tiketiketikeke@autumn_good_35@00001B1A@AIR3_ytakeda@tachi4439@fumik0_@AES256bit@romonlyht@anemone_ﬁsh@ozuma5119@sepi140, Icon designed by Freepik from Flaticon@Sec_S_Owl