仮想通貨を要求する
セクストーションスパム

株式会社カスペルスキー 情報セキュリティラボ 大沼千亜希
JSAC 2019 Jan.18

#Who am I?
Chiaki Onuma・2008年から株式会社カスペルスキー勤務
・フィッシングサイト、偽ショッピングサイト、マルウェアを製品で検知できるように登録
・Kaspersky Daily（ブログ）執筆（たまに）・CSIRTのお仕事もしています
・ねこがすき#Agenda

1. 概要
2. 詳細
3. 被害額4. 今後の展開

#Agenda

1. 概要
2. 詳細
3. 被害額4. 今後の展開

Sex + Extortion(性的な) ＋（ゆすり・恐喝）はったりだけでぼろ儲け
スパムメール & Bitcoinアドレス

あなたの（ポルノに関わる）姿を録画したデータを破棄してほしければBitcoinを支払えSextorsionメールを受信した一般の人（日本人）の反応

こんなメールが来たんだけど、これはなに？

僕のタブレットでアダルトサイトを見たから？
だって、男だからさ。
でも、僕はカスペルスキー使ってるよ。
大丈夫かな？

“高度なマルウェアを使わなくてもスパムメール送信だけで攻撃者が収益を上げている”

#Agenda

1. 概要
2. 詳細
3. 被害額4. 今後の展開

#Time Line
海外でパスワードが記載

9月中旬、世界的に日本語で拡散する

2019年も同様の手口でされたSextortionスパ

Sextortionスパムメール

Sextortionスパムメール

Sextortionスパムメールの拡散が再開、多言語化にパスワードを記載した拡散が続く

日本語・韓国語も追加ものが出回る

Bluffed Sextortion Spam
Mail in world wide

Twisted Extortion Spam

ムメールが拡散、SANS,
Brian Krebs等より報告
Sextortion Spam
New Wave2018.7 - 8

2018.92018.10To be continue…

2019.NOW

#調査対象および調査期間
2018年7月 - 2019年1月10日
弊社で観測可能な *.jpアドレスで受信した
Sextortionスパムメール

Mail HeaderIP and Country
ユニークなIPアドレス数557

#スパムメールに利用された興味深いテクニック①

メール本文が画像

#スパムメールに利用された興味深いテクニック②

ダブルバイトのアルファベットが混ざっている#スパムメールに利用された興味深いテクニック③
送信元を宛先と同じメールアドレスに偽装差出人も宛先もksos@kaspersky.co.jp

#スパムメールに利用された興味深いテクニック④
過去にリークしたメールアドレスとパスワードを利用する

maby09「たとえば、xxxx@kaspersky.co.jpのパスワードはmaby09です」

#日本のメールアドレスに送られてきた韓国語・中国語のSextortionメール

#Agenda

1. 概要
2. 詳細
3. 被害額4. 今後の展開

*.jpアドレスでの受信メールに含まれるBTCアドレスへの支払い状況

BTCアドレスのユニーク数

124

BTC支払い総額

USD換算

JPY換算

72.65316854 265,877.21 28,908,700
BTC864 tx

被害額：28,908,700円⁉

①被害者が②攻撃者がBitcoinを③攻撃者がBitcoinをメールに記載された別のアドレスへ移動する

別のアドレスへ移動する

アドレスにBitcoinを支払う

被害者のBTCアドレスからスパムに書かれたBTCアドレスへのトランザクション

1H9bS7Zb6LEANLkM8yiF8EsoGEtMEeLFvC

被害者から1H9bS7Zb6LEANLkM8yiF8EsoGEtMEeLFvCへBTC支払い

被害者から集めたBTCをさらに別のアドレスへ移動

1H9bS7Zb6LEANLkM8yiF8EsoGEtMEeLFvCから別のアドレスへゆすりの相場感 (収集したコレクションより)•

英語＄100 - 7000

•

ドイツ語

$300

•

フランス語

$250 - 300

•

イタリア語

＄300

•

日本語

＄483 - 1000•

韓国語

＄800 - 900•

中国語$300 - 400

英語だけ要求金額の幅が広い
世界中で英語を理解する人は多いので、そんなに注意深く対象を選んでいない？

#Agenda

1. 概要
2. 詳細
3. 被害額4. 今後の展開

#攻撃の拡大①
Sextortionだけでなく、BTCを要求する脅しメール全般

https://www.bleepingcomputer.com/news/security/new-extortion-emailthreatens-to-send-a-hitman-unless-you-pay-4k/

#攻撃の拡大②

Sextortion + Malware

Sextortion + Malware

ダウンローダー → マルウェア
https://www.proofpoint.com/us/threat-insight/post/sextortion-side-ransomware

#より高度なソーシャルエンジニアリング
世界中でリークしたデータが大量にあるため、悪意ある集団が個人情報を悪用して攻撃する

攻撃の拡大を早期に検知するには？

#ご提案＆検証
スパムメールに書かれたAbused BTCアドレスをスパム判定に取り入れては？

BTCアドレスを検知要素とする理由
スパムメールに記載されている時点で、攻撃者に関連していると判断できる
お金を支払う部分なので、攻撃者が細工をやり難い（ユーザーがコピペしやすいように、正しいアドレスを書かなくてはいけない）

収集したSextortion
スパムメールからBTCアドレスを収集〜中略〜

BTCアドレスの文字列でパターンマッチングできるYARAルールを作る

70％以上検知

VirusTotal Intelligence Retro Scan

2300 +
HASH検知!!

宛先がxxx@xxx.go.jp

検証結果：Abused BTCアドレスを検知の要素として利用するのは有効
セクストーションだけでなく、スパムメール拡散の初期に利用されているBTCアドレスを検知することで、その後の被害を防げる可能性がある
シンプルなアプローチであるものの、既存のスパム判定手法と合わせて利用することで、検知精度を上げることができる
BTCアドレスを利用することで、新しい検体を入手できることがわかった→脅威ハンティングに利用できる！

•

スパムメール送信というごくシンプルな手段で攻撃者は収益を上げている•

Sextortionに限らず、脅してBitCoinをゆするスパムメールは続く→早期に組織間が情報共有することで、被害の低減やより良い調査ができる

Thank you!

conuma@kaspersky.co.jp
Kaspersky Lab Japan
www.kaspersky.com
Slide https://github.com/sanographix/azusa-keynote