Shathakに関する
攻撃キャンペーンの全体像
笹田 修平 ・ 田村 涼 ・ 丹羽 祐介 ・ 浜本 翔太郎 ・ 松本 拓馬

講演者/共著者 紹介
笹田 修平
株式会社サイバーディフェンス研究所

浜本 翔太郎NECソリューションイノベータ株式会社

分析官

マルウェアアナリスト
メール分析

IcedID 解析

文書ファイル解析

田村 涼
株式会社セキュアブレイン

松本 拓馬
株式会社ラック

SOCアナリスト

マルウェアアナリスト

インフラ分析

Ursnif 分析

IcedID 解析

インフラ分析

全体管理

丹羽 祐介
伊藤忠商事株式会社
ITCCERT サイバーセキュリティ分析官
Valak 分析

メール分析

校閲

2

はじめに
• 2020年10月末～11月に日本向けの攻撃キャンペーンが行われました• 日本への被害を減らす目的で分析結果の一部を公開しました

Mal-Eats IcedID

検索

https://mal-eats.net/

3

本講演のゴール
次回の攻撃キャンペーンに備えるため、下記の内容を理解する• 攻撃キャンペーンの全体像• メールや文書ファイルの特徴• 使用される多様なマルウェアの特徴• 攻撃者の目的• 現在の日本を取り巻く状況• 攻撃者グループの関連性• バンキングマルウェアのトレンドの変化

4

目次
1. 概要
2. 攻撃の全体像

3. メール・文書ファイルの特徴
4. Valakの特徴
5. Ursnifの特徴
6. IcedIDの特徴
7. 攻撃者グループの関連性

8. まとめ5

1.概要
6

Shathakに関連する攻撃の注目度• セキュリティベンダやリサーチャーブログでキャンペーンの情報が共有されている（図の引用元：上から参考文献[1]、[4]、[6]）7Shathakとは• マルウェア配信のためのネットワーク• SNS上で一部のリサーチャが呼称したことから定着• 本攻撃を行う攻撃者グループの名前としても使用されることがある• 別名「TA551」の厳密な定義は不明• メール配信からペイロード取得までの特徴
1.

何らかの方法で取得したメールの情報を流用：返信型メール

2.

パスワード付きZIPファイル + メール本文にパスワード3.

特徴的なURLパターンで通信する悪性文書ファイル• 活動• 遅くとも2018年から活動していると考えられる• 攻撃対象は、アメリカ、カナダ、イタリア、ドイツ、日本など

8

SNSでの報告件数の推移（月別件数／曜日割合）• Shathakに関連するメールや文書ファイルの報告は、増加傾向にある
12
水

1014%

火26%

816%

木
金

6

月
420%

24%

土
日

20件数
9

日本を狙った攻撃キャンペーン
• 日本を標的とした攻撃キャンペーンも行われている• 日本語のメール／悪性文書ファイルを使用する
年月

キャンペーン日数2018年11月

1日

2019年12月

1日

2020年3月

1日

2020年10月

3日

2020年11月

4日

2020年10月27日のメール・文書ファイルの例

10

2.攻撃の全体像
11感染する主要なマルウェア• Valak• 2019年10月頃から観測されているマルウェア [3][4]• 主に情報窃取と追加のマルウェアをダウンロードするために使用される• IcedIDをダウンロードすることがある• Ursnif• 複数の攻撃者グループによって使用されているバンキングマルウェア• IcedID• 2017年に報告されたバンキングマルウェア [11]• 複数の攻撃者グループによって使用されている• 現在は複数のダウンローダ／ローダを経由して、メモリ上にIcedID本体を展開する構成になっている

12

感染フロー
直接バンキングマルウェアに感染するケース

IcedID 感染

ZIP
メール

添付ファイル
パスワード付きZIP

Ursnif 感染

文書ファイル

ペイロードのダウンロード

Valakの感染を経由してバンキングマルウェアに感染するケース

Valak 感染

ペイロードのダウンロード

IcedID 感染

13

感染フローの変遷
12月20日文書ファイル → Ursnif → Valak/IcedID

12月3日
文書ファイル → Ursnif → Pushdo

2019

2020
3月26日
文書ファイル → Zloader

10月20日、12月17日
Valakが使用された可能性～2020年7月(A) 文書ファイル → Ursnif
2020年3月～2020年6月(B) 文書ファイル → Valak
2020年5月～2020年7月(C) 文書ファイル → Valak → IcedID
2020年3月～現在(D) 文書ファイル → IcedID
143.メール・文書ファイルの特徴
15

配信されるメール• パスワード付きZIPファイルが添付されている• 「request.zip」「Info.zip」「＜送信元組織名（アルファベット）＞.zip」• メールの本文は簡素な内容となっている• 挨拶文（「おはようございます」「おはよう」など）• 添付ファイルの確認を促す文• パスワード（英数字"5桁" または "7桁"）• 差出人の署名

16配信されるメール• メールアカウントを侵害して、複数組織にメールを送信している可能性が高い• 2パターンが観測されている• (A) メールアカウントを悪用して、そのままメールが送信されたケース• (B) メールアカウントを悪用し、Envelope-FromとHeader-Fromを詐称してメールが送信されたケース• 窃取された実際のメールの内容が使用されることがある• 件名（返信形式「Re:」）• メールアドレス• 本文中の差出人の署名

17

メールヘッダの例
送信元メールアドレス
メールアカウント※同色部分は、同一の文字列詐称されたメールアドレスメールの配信に悪用されたアカウント18

文書ファイル• メールのパスワード付きZIPファイルに文書ファイルが含まれている• 文書ファイルには、攻撃対象国の言語で文章が記載されている• ユーザが文書ファイルを開き、コンテンツを有効にすることで不正なマクロが動作する

19

文書ファイル（日本向けの攻撃例：11月20日）

1

文書ファイル

mshta.exeをコピー/リネーム

3

実行

4

一時的にデータをレジストリへ登録して読み込み/削除（WSH実行）%TEMP%¥in.com
HKEY_CURRENT_USER¥¥Software¥¥mysoftware1¥¥key1（読み込み）
IcedID Installer

http://.../ahtap162

埋め込みデータをROT13で復号しhtmlに変換

5%TEMP%¥in.html

ダウンロード%TEMP%¥temp.tmp

6

rundll32.exeで %TEMP%¥temp.tmp
実行20

文書ファイルの特徴の変遷

2018

2019

2020

～2019年1月

Invoke-DOSfuscation、PowerShell ※1の使用
2019年2月～2019年8月

WSH、rundll32.exe、Invoke-Obfuscation ※1 の使用
Emotetの文書ファイルに類似 ※2
2019年8月～現在

LOLBASの多用 ※1, 2
wmic.exe、regsvr32.exe、rundll32.exe、WSH、cmd.exe、bitsadmin.exe、certutil.exeなど※1 一部の検体のみで確認されている特徴※2 継続的に確認されている特徴

21

LOLBASの変化• 様々なパターンを確認しているため、LOLBAS全般の悪用を警戒する必要がある• 類似する感染手法を断続的に使用する場合もある（時期ごとのサマリ）
wmic.exe

時期

cmd.exe

8月

✓12月

✓✓

2月

✓✓

2019年

✓3月

rundll32.exe

bitsadmin.exe

cmstp.exe

shell32.exe

✓

✓✓✓

6月
7月

2020年
8月

✓12月

WSH

✓

✓

certutil.exe

mshta.exe✓✓url.dll

✓
✓

10月

11月

regsvr32.exe✓

✓✓✓✓

✓✓✓✓

✓

✓
22

文書ファイルの通信パターン• 文書ファイルの通信パターンは、2020年10月から複雑化している
観測時期

HTTPリクエストの例

9月

GET /VRE/kotner.php?l=sola1.pas

11月

GET /QIC/tewokl.php?l=vunx1.spr

2月

GET /iwp01-2ksm/20918201.php?l=jsrxm1.sap

12月

GET /koorsh/soogar.php?l=weecum5.cab

7月

GET /xemcl/iba.php?l=unt1.cab

2018年

2019年

GET /_bxlzcpjlmpxlkzblf_zhlsplspz/wtlmwrqnnxfwgzzlkvzdbvnp_mphdqpggxfljvffj_.php?l=chfon13.ppt

2020年

10月

GET /TzjjNphW_iqhAegfQcItABSqdiNhdfprIBGPp/hnlNlyBhBigidYjnCRAogXjX/iuyala13
12月

GET /viewpost/_1FZFuY4dK1Bd3cLrNwcqF1PkbFpILKGwG9Njg3_9hqIhy3N8AMwQWVKqyPhWzWnwpVQ5QAN8/ff
slaey5?GUz=gJsXXYgYXl&AU=AKIQMf_CEuqrHaqiF&DYt=WnXpRUOcdkIP&Fb=pXDKCvWmCptWcCnRc

23

Geofenced• 文書ファイルがペイロードを取得する際、アクセス元のIPアドレスでペイロードの配信有無が変わる場合がある• 2020年11月4日の日本向けの攻撃では、下図の動作を観測した

JPのIPアドレスを割り当てた環境

マルウェアがダウンロードされる

USのIPアドレスを割り当てた環境

マルウェアがダウンロードされない

24

4.Valakの特徴
25

Valakとは• 2019年10月頃に発見されたモジュール型の情報窃取マルウェア・ローダ• ドロッパ（Valak DLL）、2段階のJavaScriptファイル（Valak JS 1st/2nd）、プラグイン（Valak Plugin）、プラグイン実行ファイル（Valak PluginHost）で構成される• 2種類のコマンドが実装されている（Version: 42時点）• TASK … ペイロードのタスク登録&実行• PLUGIN … プラグインのダウンロード&実行
プラグイン名説明

systeminfo

ローカル管理者とドメイン管理者の情報を収集する。

exchgrabber

資格情報やドメイン証明書など、Microsoft Exchangeメールシステムから機密情報を収集して窃取する。

clientgrabber

レジストリから電子メールの資格情報を窃取する。

ipgeo

地理情報を確認する。

procinfo

感染したマシンの実行中プロセス情報を収集する。

netrecon

ネットワーク偵察を実行する。

screencap

画面キャプチャを取得する。
26

HTTP(s)リクエスト
HTTP(s)レスポンス

Valakの感染フロー
GET /idq9p9t142vyk.php?l=frraw2.cab

文書ファイル実行

Valak DLLを取得

Valak DLLが配置された
サーバ

Valak DLL

ドロップ&実行

GET /license.jsp?client=…

AND
タスク登録
（Valak JS 2nd）

Valak JS 1st

Valak JS 2nd

Valak PluginHost

実行
GET /archive.jsp?page=…

タスク登録（他のマルウェア）

他のマルウェア
※1

Valak JS 2nd

実行

Valak PluginHost※2

CommandPayload

Valak
C2サーバ

GET /db.aspx?dfc=<PluginID>&VDImon=64

Valak Pluginを取得※1 マルウェアは、代替データストリーム（ADS：Alternate Data Stream）として保存される。
※2 プラグインは、ファイルとして保存されない。

27

Valakの設定情報• JavaScriptコード内に設定情報が存在する• 通信先には、正規のドメイン名（デコイ）が複数含まれる• Valak JS 1st••••••••PRIMARY_C2
SOFT_SIG
SOFT_VERSION
C2_REQUEST_SLEEPC2_FAIL_SLEEPC2_FAIL_COUNT
C2_OB_KEY
C2_PREFIX• Valak JS 2nd•••••••••COMMAND_C2
SOFT_SIG
CLIENT_ID
C2_REQUEST_SLEEPC2_FAIL_SLEEPC2_FAIL_COUNT
C2_OB_KEY
SOFT_VERSION
C2_COMMAND_PREFIX28

Valakの機能の変遷• 2019年12月から2020年12月にかけてバージョンが50近くアップデートされている• アップデートに伴い、機能が変化し、難読化が進んでいる•••

NaiveHashの導入(MD5ハッシュの利用を停止)

コマンド名の変更
プラグインの実行方法変更(PowerShell経由で実行)

初観測

2019
12345672020
89101112V.6

1234567891011

12V.9
V.22 V.23
V.24 V.30

V.32
V.33
V.41 V.42
V.51

難読化

V.51
29

5.Ursnifの特徴
30

HTTP(s)リクエスト
HTTP(s)レスポンス

Ursnifの感染フロー
GET /analytics/Dm5WhW8z60RTnmHCPa5ZTrPYh7q37TmyEG…
文書ファイル

Ursnifを取得

実行

ペイロードが配置された
サーバ

GET/images/brNDyeHFV7cJ7V2gTG1cM/_2B1WMqcRcU9Smpu/WcQ43TxCor
dlIl4/jzGdq52l4pVXseaMCF/2BCQoIHNR/a5RYi0RFqXsZZuSv3ON9/3au7
PoolezZkDuqQWIP/GCKDYEcbiKYFj_2B_2BTg3/26ReTyNuCVlPC/w5f.avi

復号後
vsydu=clcoqbg&soft=3&version=250154&user=29fa08d9dc11b4
460d08c77abbcff177&server=12&id=3815&crc=1&uptime=228

UrsnifUrsnifC2サーバ

31

Ursnifの設定情報の分析
観測日

2018年

2019年

2020年

サーペントキー

バージョン

ID

6月11日

10291029JSJUYNHG

2149991094

11月23日10291029JSJUYNHG

2170243044

2月1日

10291029JSJUYNHG

2140623175

4月2日

10291029JSJUYNHG

2140713261

5月9日

10291029JSJUYNHG

2171733317

6月6日

10291029JSJUYNHG

214082

3340

7月24日

10291029JSJUYNHG

2140823385

8月5日

10291029JSJUYNHG

214082

3400

9月25日

10291029JSJUYNHG

214085

3458

11月6日

10291029JSJUYNHG

2140983508

12月19日10291029JSJUYNHG

2171113555

12月25日10291029JSJUYNHG

217111

3558

1月21日

10291029JSJUYNHG

2171113569

2月4日

10291029JSJUYNHG

2141123581

3月3日

Gu9foUnsY506KSJ1217107300

3月10日

Gu9foUnsY506KSJ1217107300

3月13日

s4Sc9mDb35Ayj8oO

217107

20203

3月25日

10291029JSJUYNHG

2141313593

7月9日

10291029JSJUYNHG

250154

3812

12月4日

10291029JSJUYNHG

2501627243

32

6.IcedIDの特徴
33

IcedIDとは• 2017年に報告されたバンキングマルウェア [11]• 2019年9月からはステガノグラフィーを使用する [16]• 主な機能• Webインジェクション

• パスワードやCookieのダンプ・送信• ファイルのダウンロード・実行• シェルコードの実行• 感染端末の特定ファイルの送信• VNC• プロキシ34

HTTP(s)リクエスト
HTTP(s)レスポンス

IcedIDの感染フロー
GET /analytics/Dm5WhW8z60RTnmHCPa5ZTrPYh7q37TmyEG …

OR
文書ファイル

Valak JS 2nd
IcedID Installerを取得

実行
regsvr32.exerundll32.exeなどのプロセス（EXE版の場合は異なる）

ペイロードが配置された
サーバ

GET /background.png

IcedID Installer（EXE/DLL）

復号&実行

IcedID Downloader/Loaderを取得（ステガノグラフィー）

IcedIDのペイロードが配置されたサーバ

GET /image/?id=01D58E41094F4484B20000000000FF00000000

IcedID
Downloader/Loader（EXE/DLL）

IcedID Coreを取得（ステガノグラフィー）

復号&実行
msiexec.exe
プロセス

GET /audio/?z=＜Base64＞

タスク登録

IcedID Core
（Shellcode）

IcedID
C2サーバ

C2通信
35

※ダウンロードしたペイロードは感染PC上でファイルとして保存される。

Webインジェクション
• インターネットバンキングのログイン画面にアクセスした場合、不正なコードがインジェクトされる●●銀行

インジェクトされた不正なコードログイン
ログイン画面（Webブラウザ）ログイン画面（ソースコード）
アクセス時に発生するWebSocket通信※Webインジェクションは、C2サーバから設定ファイルを取得できた段階から動作する。

36

Webインジェクションの設定ファイル＝暗号化データ
復号（RC4）

IcedIDが生成する画像データ
例：%LOCALAPPDATA%¥{FC0E3655-C793-20750BD2-3FD837BB40E1}¥ijtada¥Asobewbt3.png

デコード

37

Webインジェクションの設定ファイル• 日本の銀行やカード会社などが狙われている• Webインジェクションの対象とするサイトは変化している
IcedIDのWebインジェクト対象サイト（日本）の変遷

分類

件数※
2020年10月27日

2020年11月20日

2020年11月24日

銀行

1732

20

カード

11

1212

ショッピング

1

11

その他

3

55

合計

3250

38

※共同利用型のインターネットバンキングサービスを含むため、対象サイトは記載の数より多い可能性がある。

38

Webインジェクションの設定ファイル• 対象サイトのURLを示す正規表現は最適化されている• 2020年11月20日

対象サイトの正規表現の最適化• 2020年11月24日

39

マニピュレーションサーバ
• 日本向けにおいては、Yummba が使用される• 2種類の通信先が存在する• hxxps://[.]com/jpccgrab（pkey：nI2uKn3k2d2）• wss://[.]com/cdd4c0d40

7.攻撃者グループの関連性
41

分析の観点
1. 通信先のドメイン名の特徴
2. 他の文書ファイルとの類似性

3. IcedIDを使用する他の攻撃事例
4. Webインジェクションの対象サイトの類似性

42通信先のドメイン名の特徴• 500件以上のドメイン名を分析
ドメイン名
取得日

文書ファイル

Valak

UrsnifIcedID

攻撃実施日

攻撃実施日
(一部異なるものが存在)

攻撃実施日

攻撃実施の約7~10日前

レジストラ

•

“Key-Systems GmbH”•“Key-Systems GmbH”(一部異なるものが存在)•“Key-Systems GmbH”(一部異なるものが存在)••“NameSilo”“Purkbun”(一部異なるものが存在)

TLD

•

.com

•

.com

•
•
•

.com
.at.top•••••••.top.xyz.best.casa.co.cyou.directory

その他•

ランダムな文字列
de9383sox0[.]com
単語と数字の組み合わせ
soda8729[.]com
xgk-company2593[.]com
ドメイン名取得の自動化の可能性
2020-07-23T10:14:21Z
2020-07-23T10:14:24Z
2020-07-23T10:14:31Z••

ランダムな文字列
c71yovern[.]com
bn60pabmloz[.]com
tobmojiol2adf[.]com•

同じような文字列の使用
ldrglobal[.]casa
ldrtango[.]casa••

ランダムな文字列
foe318[.]com•
単語の組み合わせのような文字列
delandwinebar[.]com
48boden-flow[.]com
naturestyle-moebel[.]comなど

43

他の文書ファイルとの類似性• 比較対象1：• Emotetの文書ファイル（2019年2月）• 調査の過程で発見• 比較対象2：• 2020年10月に確認された文書ファイル• 「#Thallium」や「#APT」とともに「#TA551」(Shathak) が使用されている• Thallium = Kimsuky
北朝鮮が関与しているとされる攻撃者グループ

https://twitter.com/cyberwar_15/status/1313379907926335489

44

他の文書ファイルとの類似性（比較対象1）
Shathak

Emotet

デザイン

プロセス
ツリー

通信先の列挙ファイルパス

通信先の列挙ファイルパススクリプト

ファイルダウンロードルーチン（検体：10d99e33a408dd532033a3606f86895b、920166dca03d295c2d29fe8cbd77f019 観測時期：2019年2月）

ファイルダウンロードルーチン
45他の文書ファイルとの類似性（比較対象2）• 本攻撃にShathakは関与していないものと考えられる
理由1

理由2

文書ファイルのデザイン全体をコピーした形跡がある

VBAのコードがShathakの傾向と異なる

Shathakで使用される画像

本攻撃で使用された画像

46

IcedIDを使用する他の攻撃事例
攻撃事例 1

攻撃事例 2••••

時期 ： 2019年10月～2019年11月
対象国：ドイツ、イタリア、アメリカ
使用マルウェア：IcedID、CobaltStrike、Maze
攻撃経路：メール＋添付ファイル(.doc)••••

時期 ：2020年5月
対象国：アメリカ
使用マルウェア：IcedID
攻撃経路：メール＋添付ファイル(.doc)•

ドイツの連邦財務省やISP、イタリアの歳入庁、アメリカの合衆国郵便公社(USPS)などを騙ったメール使用。
攻撃者グループは「TA2101」と呼ばれる。

••

アメリカ合衆国労働省を騙ったメールを使用。
“COVID-19”や“FMLA”などのキーワードを用いて、新型コロナウイルス感染症に関する通知に見せかけるなどの工夫を凝らしている。

•

攻撃事例 3

攻撃事例 4••••

時期 ：2020年5月
対象国：アメリカ
使用マルウェア：IcedID
攻撃経路：メール＋添付ファイル(.xls)••••

時期 ：2020年6月～2020年11月
対象国：不明使用マルウェア：IcedID、Zloader
攻撃経路：メール＋添付ファイル(.xlsb/パスワード付き.xls)•

商品の発送通知に偽装したメールを使用。

•「求人に関心があるので履歴書を送付する」などの内容のメールを使用。
47

Shathakの文書ファイルのデザイン

IcedIDを使用する他の攻撃事例
攻撃事例 1

攻撃事例 2

左図：「https://www.proofpoint.com/us/threat-insight/post/ta2101-plays-government-imposterdistribute-malware-german-italian-and-us」より引用

攻撃事例 3

攻撃事例 4

パスワード付き.xlsが添付されている
48

2020年の日本における主なバンキングマルウェアの動向• IcedID以外にも多用なバンキングマルウェアが日本を取り巻く状況にある
分類

攻撃経路

Shathak

メール

Emotet

ばらまきメール（添付ファイル）

メール（添付ファイル、リンク）

メール（添付ファイル）

感染するバンキングマルウェア※•

IcedID•••

Qbot
Zloader (SG)Trickbot

比較対象1•

Zloader (r1/r2)

比較対象2

RIG EK
Fallout EK

Drive-by Download••

UrsnifZloader (DLLobnovaなど)

Bottle EK

Drive-by Download•

Cinobi※丸括弧内の文字列はボットネットIDを示す。

49

Webインジェクションの設定の類似性（比較対象1）• Emotet経由で感染する Zloader(SG)と比較• IcedIDとZloader(SG)のWebインジェクションの設定は、類似している
1. マニピュレーションサーバ（pkeyを含む）が同一
2. Webインジェクト対象とするサイトが類似
Zloader(SG)分類

IcedID2020年9月24日

2020年10月27日

2020年11月20日

2020年11月24日

銀行

16173220

カード

12111212

ショッピング

1111

その他

3355

合計

32325038

対象サイトURLの類似度

95%80%※※IcedIDの対象サイト設定(正規表現)の複雑化により単純比較が困難なため算出していない。

50

Webインジェクションの設定の類似性（比較対象2）• ばらまきメール経由で感染する Zloader(r1/r2)と比較• IcedIDとZloader(r1/r2)のインジェクションの設定は、類似している
1. マニピュレーションサーバ（pkeyを含む）が同一
2. Webインジェクト対象とするサイトが類似
Zloader(r1/r2)

分類

IcedID2020年10月15日

2020年10月27日

2020年11月20日

2020年11月24日

銀行

25173220

カード

12111212

ショッピング

1111

その他

4

355

合計

42325038

対象サイトURLの類似度

84%
91%
※

※IcedIDの対象サイト設定(正規表現)の複雑化により単純比較が困難なため算出していない。

51

8.まとめ52

Shathakの全体像• Shathak とは、マルウェア配信のためのネットワーク、または、攻撃者グループを指す• メール配信からペイロード取得までの特徴
1.

返信型メール

2.

パスワード付きZIPファイル

3.

特徴的なURLパターンで通信する悪性文書ファイル• 攻撃で使用される悪性文書ファイルは、LOLBASのテクニックを多用する• 他のマルウェアとして、Valak、Ursnif、IcedID を使用する

53

攻撃者グループの関連性文書ファイル•

ShathakとEmotetの過去の文書ファイルは、類似している（生成ツールを共有している可能性）•ThalliumとShathakは関連がないものと推察する

IcedID•

IcedIDは複数の攻撃者グループで使用される（IcedIDが売買されている可能性：MaaS, CaaS）

Webインジェクション
•IcedIDのWebインジェクションの対象には、日本の銀行やカード会社などのサイトが含まれている•

IcedIDとZloader(SG, r1/r2)のマニピュレーションサーバは同一•

IcedIDとZloader(SG, r1/r2)のWebインジェクションの対象サイトは類似している

54

対策例
メールの監視／ブロック•

添付ファイル名が「Info.zip」や「request.zip」など•

メールの件名に「Re:」が含まれる•

メール本文が次の文字列から始まる「おはようございます」「おはよう」「Good Morning」「Good Afternoon」など

エンドポイントの監視／ブロック•

LOLBAS(mshta.exe、certutil.exeなど)を別のフォルダにコピー、リネームして実行する•

rundll32.exeやregsvr32.exeから wscript.exe経由でValak JSを実行する（例） wscript.exe //E:jscript "C:¥Users¥Public¥xbMXehwAN.NAMAM"

IoCの収集／活用•

公開情報などからShathakによる攻撃キャンペーンのIoCを入手、セキュリティ製品に適用する（Twitterで「#Shathak」「#TA551」「#IcedID」などのハッシュタグで検索すると収集しやすい）55

Thank you
Any Questions?
SPECIAL THANKS :Malware Traffic Analysis

ばらまきメール回収の会

56

参考文献
1. 「Evolution of Valak, from Its Beginnings to Mass Distribution」, Palo Alto Networks, 2020/07/24
https://unit42.paloaltonetworks.com/valak-evolution/

2. 「Threat Spotlight: Valak Slithers Its Way Into Manufacturing and Transportation Networks」, Cisco Systems,
2020/07/01
https://blog.talosintelligence.com/2020/07/valak-emerges.html

3. 「Valak Malware and the Connection to Gozi Loader ConfCrew」, SentinelOne, 2020/06/09
https://labs.sentinelone.com/valak-malware-and-the-connection-to-gozi-loader-confcrew/

4. 「Valak: More than Meets the Eye」, Cybereason, 2020/05/28
https://www.cybereason.com/blog/valak-more-than-meets-the-eye(日本語訳) https://www.cybereason.co.jp/blog/cyberattack/4747/

5. 「TA551 (Shathak) Word docs push IcedID (Bokbot)」, Brad, 2020/08/07
https://isc.sans.edu/forums/diary/TA551+Shathak+Word+docs+push+IcedID+Bokbot/26438/

6. 「2020-09-10 - PCAP ONLY: TA551 (SHATHAK) SENDS ICEDID」, Malware Traffic Analysis, 2020/09/10
https://www.malware-traffic-analysis.net/2020/09/10/index.html

57

参考文献
7.

「TA2101 plays government imposter to distribute malware to German, Italian, and US organizations」,
Proofpoint, 2020/11/14
https://www.proofpoint.com/jp/threat-insight/post/ta2101-plays-government-imposter-distribute-malware-german-italian-and-us

8.

「COVID-19 and FMLA Campaigns used to install new IcedID banking malware」, Juniper Networks,
2020/06/18
https://blogs.juniper.net/en-us/threat-research/covid-19-and-fmla-campaigns-used-to-install-new-icedid-banking-malware

9.

「2020-05-01 - XLS MACRO --> LOADER EXE --> ICEDID (BOKBOT)」, Malware Traffic Analysis,
2020/05/01
https://www.malware-traffic-analysis.net/2020/05/01/index.html

10. 「Threat Profiles GOLD CABIN」, SecureWorks, 掲載日時不明(最終閲覧:2021/01/05)
https://www.secureworks.com/research/threat-profiles/gold-cabin

58

参考文献
11. 「New Banking Trojan IcedID Discovered by IBM X-Force Research」, IBM, 2017/11/13
https://securityintelligence.com/new-banking-trojan-icedid-discovered-by-ibm-x-force-research/

12. 「IcedID: When ice burns through bank accounts」, Group-IB, 2020/05/29
https://www.group-ib.com/blog/icedid

13. 「A Deep Dive Into IcedID Malware: Part I - Unpacking, Hooking and Process Injection」, Fortinet, 2019/07/22
https://www.fortinet.com/blog/threat-research/icedid-malware-analysis-part-one

14. 「A Deep Dive Into IcedID Malware: Part II - Analysis of the Core IcedID Payload (Parent Process)」 , Fortinet,
2019/07/16
https://www.fortinet.com/blog/threat-research/icedid-malware-analysis-part-two

15. 「A Deep Dive Into IcedID Malware: Part III - Analysis of Child Processes」 , Fortinet, 2019/07/22
https://www.fortinet.com/blog/threat-research/deep-dive-icedid-malware-analysis-of-child-processes

16. 「New version of IcedID Trojan uses steganographic payloads 」, Malwarebytes, 2019/12/03
https://blog.malwarebytes.com/threat-analysis/2019/12/new-version-of-icedid-trojan-uses-steganographic-payloads/

59