S-3. 標的型攻撃メールの偽装方法の特徴

文京学院大学
浜 正樹

このセッションの目的
1. 標的型サイバー攻撃メールによく使われる偽装方法について確認する
2. 自大学での標的型サイバー攻撃対策訓練用の偽装メール作成のヒントをつかむ標的型サイバー攻撃の流れ① 計画立案② 攻撃準備③ 初期潜入攻撃者

C&Cサーバ

①②
計画立案・
攻撃準備
③
初期潜入

④ 基盤構築④基盤構築⑤ 内部侵入
調査

RAT
感染

標的側組織
⑤内部侵
入・調査

⑥目的遂行
情報漏洩
破壊

⑥ 目的遂行
⑦ 再侵入

標的型攻撃メールについて
標的型サイバー攻撃は、メールとその添付ファイルやURL表記を悪用して「初期潜入」することが多い① 一般ユーザーにもメールの偽装を見抜くリテラシーが必須（サブジェクト・本文・送信者など）② セキュリティ担当者もメールヘッダー情報のチェック方法を確認して、インシデントレスポンスへ活用

1. 偽装メールのチェック方法（メール本文他編）

表1 標的型攻撃メールの偽装の特徴
項目

特徴① 知らない人からのメールだが、メール本文のU R L や添

送信者

付ファイルを開かざるを得ない内容⑧ 送信者のメールアドレスが署名と異なる⑨ 日本語の言い回しが不自然である（例1 ）大学への問い合わせを装ったメール⑩ 日本語では使用されない漢字（繁体字、簡体字）が使（例2 ）大学への苦情を装ったメール

われている（例3 ）研究内容への質問や論文の送付② 心当たりのないメールだが、興味をそそられる内容⑪ 実在する名称を一部に含むU R L が記載されている
本文⑫ 表示されているU R L （アンカーテキスト）と実際のリ（例1 ）議事録、プレゼン資料などの内部文書送付

ンク先のU R L が異なる（H T M L メールの場合）（例2 ）他大学学長等の訪問に関する情報⑬ 署名の内容が誤っている（例3 ）海外での盗難に対する救済依頼（例1 ） 組織名や電話番号が実在しない③ これまで届いたことがない公的機関からのお知らせ
サブジェクト⑦ フリーメールアドレスから送信されている（例2 ）電話番号がFA X 番号として記載されている（例1 ）情報セキュリティに関する注意喚起⑭ 添付ファイルがある（例2 ）防災情報⑮ 実行形式のファイル（exe / scr / jar /cpl 等）の添付④ 組織全体への案内（例1 ）辞令などの人事情報添付ファイル⑯ ショートカットファイル（lnk / pif / url）の添付⑰ 拡張子と異なるファイルアイコンに偽装されている（例2 ）学長・理事長からの年次方針説明資料（例1 ）二重拡張子（例3 ）全学教授会・FD /SD 資料の再送・差し替え（例2 ）拡張子の前に大量の空白文字の挿入⑤ 心当たりのない、決裁や配送通知 (英文の場合が多い)（例1 ）航空券の予約確認（例2 ）医療費・保険料の通知⑥ ID やパスワードなどの入力を要求するメール(例1 ) メールボックスの容量オーバーの警告(例2 ) 銀行からの登録情報確認<参考文献>
IPAテクニカルウォッチ「標的型攻撃メールの例と見分け方」（https://www.ipa.go.jp/files/000043331.pdf）

大学における標的型攻撃被害例
1. 大学におけるRAT感染被害• 報道だけでも、標的型攻撃メール偽装の特徴「②、③、⑤」の文面が確認されている

2. 大学におけるフィッシング被害• 職員がフィッシングサイトへアクセスし、ID・パスワードを窃取された• 窃取アカウント経由で学生の個人情報が漏えい• Office365アカウントの懸念点

⼤学を狙ったフィッシングについて その1⼤学を狙ったフィッシングが2016年4⽉から発⽣
1. 発⽣時期
 2016年4⽉未明

2. フィッシングメールサンプル

⼤学を狙ったフィッシングについて その1⼤学を狙ったフィッシングが2016年4⽉から発⽣
1. 発⽣時期
 2016年4⽉未明

2. フィッシングメールサンプル⑨日本語の言い回しが不自然

⼤学を狙ったフィッシングについて その1⼤学を狙ったフィッシングが2016年4⽉から発⽣
1. 発⽣時期
 2016年4⽉未明

2. フィッシングメールサンプル

⼤学を狙ったフィッシングについて その1⼤学を狙ったフィッシングが2016年4⽉から発⽣
1. 発⽣時期
 2016年4⽉未明

2. フィッシングメールサンプル
You are less active in Nagoya's e‐mail storage space. click here
Add space to your Nagoya active e‐mail storage.
Thank you very much.
Copyright 2016 Nagoya University. all rights reserved.

おまけ問題

次に出てくる2つのURLのうち、本物のURLはどちらでしょうか？

www.komaba.com
www.kοmaba.com「Punycode(ピュニコード)」を悪⽤した進化型ホモグラフ攻撃「komaba」の中に⾒える「o」(オー)は、ギリシャ⽂字の「ο」(オミクロン)でも従来からの問題として・・・「L」「Z」問題
⼩⽂字の「L」と⼤⽂字の「I」はフォントによっては⾒分けがつきにくく、また数字の「2」と「Z」も⼿書きの場合は区別がつきにくい

www.worIdisnotenough.com
13

http://gigazine.net/news/20170418-fake-domain-homograph-attack/2. 偽装メールのチェック方法（メールヘッダー編）

メールヘッダー情報の基礎知識
1. Date情報：日本からの送信であれば “+0900” が普通
2. Received情報：送信元メールアドレス（From情報）は偽装可能だが、Receivedは偽装不可能

安全なメール例（JPCERT/CCからのメール）

電子署名（PGP）が使われている安全なメールのヘッダー例
Received: from vmta01.cc.example.jp (vmta01.cc.example.jp [172.16.1.11])
by vmta03.cc.example.jp (Postfix) with ESMTPS id E10EA40975
for <contact@ml.example.jp>; Thu, 24 Dec 2015 17:26:09 +0900 (JST)Received: from mx.jpcert.or.jp (mx.jpcert.or.jp [210.148.223.5])
by vmta01.cc.example.jp (Postfix) with ESMTP id 0BF1940E6A
for <contact@ml.example.jp>; Thu, 24 Dec 2015 17:26:08 +0900 (JST)X‐PGP‐Universal: processed;
TLD “.jp” は日本by pgpgw.jpcert.or.jp on Thu, 24 Dec 2015 17:26:06 +0900
IPアドレスも日本
References:<SG2PR06MB0856205AB47FCF15FA898378E2E70@SG2PR06MB0856.apcprd06.prod.outlook.com>
To: "contact@ml.texample.jp" <contact@ml.example.jp>
From: JPCERT/CC WW Group <ww‐info@jpcert.or.jp>
X‐Enigmail‐Draft‐Status: N1110
Date: Thu, 24 Dec 2015 17:25:59 +0900+0900は日本時間

疑わしいメール例（ヤマト運輸を騙ったメール）

疑わしいメールのヘッダー例
TLD “.pl” はポーランド

IPアドレスはポーランド
Received: from vmta01.cc.example.jp (150.7.250.201) by※ ポーランド：中央ヨーロッパ
DB3FFO11FD026.mail.protection.outlook.com (10.47.217.57) with Microsoft SMTP
Server (version=TLS1_2, cipher=TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384_P384) id
15.1.577.8 via Frontend Transport; Fri, 17 Aug 2018 09:19:39 +0000
Received: from public‐gprs353102.centertel.pl (public‐gprs353102.centertel.pl [37.47.10.143])by vmta01.cc.example.jp (Postfix) with ESMTP id 6ACD040A37
for someone@example.jp; Fri, 17 Aug 2018 18:18:07 +0900 (JST)
From: =?iso‐2022‐jp?B?GyRCJWQlXiVIMT9NIhsoQg==?= <mail@kuronekoyamato.co.jp>
Subject: =?iso‐2022‐jp?B?GyRCQnA1XkpYPHU8aDtYRGokNDBNTWo8dUlVNDBOOyROJCpDTiRpJDsbKEI=?=
To: <someone@example.jp>
Message‐ID: <f1fb‐50366@GKW4FL1ZH1172.tnt.kuronekoyamato.co.jp>
Date: Fri, 17 Aug 2018 10:18:21 +0100
MIME‐Version: 1.0
Return‐Path: someone@example.jp+0100は中央ヨーロッパ時間