2019/09/24（火） 『Ursnif-b/Dreambot』の調査
前の記事のメールの返信にhtmlファイルを添付して、その中に含まれるリンクからファイルをダウンロードする攻撃を、実際にサイトが動作している状態を確認しました。
この挙動は1週間以上同じ状態でした。
■日時
2019/09/24
■誘導先URL
hxxp://viewdocument.svaultz[.]com
※同一IPのドメインは同じ挙動を示す。
■ダウンロードファイル
緊急.zip
■通信先
hxxp://securecheck.christianguidegh[.]com
ダウンロードされるのは Dreambot です。
d4f5e224bae2557eed57b52d5da89dda
■C2
hxxp://check.vivianmaierphotos[.]com/images/~
C2からは日本を狙ったインジェクション用configがダウウンロードされます。
■挙動
https://app.any.run/tasks/61a4753c-d09c-4656-ba5a-1a3b5f941ba2/
■config
key=s4Sc9mDb35Ayj8oO
version=217027
id=1111
soft=1
server=12
2019/09/17（火） 『Ursnif-b/Dreambot』の調査
以下のURLへ誘導するメールが9/17頃に出ていたようです。
※自分で稼働を確認はしていないが、AnyRunで動作しているものを確認。
メールの返信に添付ファイルとしてhtml形式のファイルが添付され、その中のリンクからファイルをダウンロードするように誘導するものです。
調査すると、約3ヶ月前から行われていたようです。
■URL
hxxp://viewdocument.svaultz[.]com
※同一IPに紐づくドメインは同一の動作を行う
アクセスすると301で「もっと詳しくの情報はこちら.zip」がダウンロードされます。
その中に含まれるjsは以下のマルウェアを取得、実行します。
hxxp://viewdocument.johnsendim[.]com/jhjsd38.bin
ダウンロードされるマルウェアはUrsnif/Dreambotです。
MD5: 8f42a1f85bf5a9d0f253f3d211e42259
（参考）
https://app.any.run/tasks/cb1e3301-1ee5-46b5-83ea-193a813d067f/
https://app.any.run/tasks/5fa46331-3326-4cfd-81af-76410f902303
■コンフィグ
key=s4Sc9mDb35Ayj8oO
soft=1&version=217027&server=12&id=1011
2019/09/24（火） 『Webmoneyご購入の受注確認』の調査
Webmoneyをかたってマルウェアへ誘導するメールの第二弾です。
■件名
Webmoneyご購入の受注確認
■送信者（詐称）
ウェブマネー <mailmagazine[@]webmoney.ne[.]jp>
■誘導先URL
hxxp://185.251.249[.]172/
→リダイレクト
hxxps://www.mowebmong-you[.]com/
IP:103.100.211[.]61
https://urlscan.io/result/aee1544a-77f9-451f-a475-f17808ab8d97/
リダイレクトを挟んだ意図は不明です。
>ご購入をキャンセル からマルウェアがダウンロードされます。
■ファイル
webmony.msi
2938d162928b615a12f8385c18cb4fa2
https://app.any.run/tasks/ba51a788-395b-427e-92a5-4dff632e9bda/
msiファイルによりインストールされるものの中に #Gh0stCringe マルウェアがあります。
インストール中に実行されるのがMiarcsofttwebmoney.exeです。Miarcsofttwebmoney.exe
0a7ab8d1f8419c58cb7f0fe4c3620303
・pdb
D:\jenkins\workspace\ci.arphasdk.build\qtc_out\Release\arphaCrashReport.exe.pdb
・LegalCopyright
Copyright (C) 2018 Alibaba Group. All Rights Reserved
・OriginalFilename
arphaCrashReport.exe
このexeが以下のDLLを読み込んでいます。
arphadump.dll
3cf47cd8ad66f5e41d98f11521836f76
・pdb
C:\Users\pc\Desktop\LAPCOADLL\Release\LAPCOADLL.pdb
■挙動
https://app.any.run/tasks/63bea89d-d87f-41b0-b092-4a5edc172804/
■通信先
154.221.22[.]25:3336
ポートは場合により異なりますが、C2のIPは過去、地下鉄カードの頃から変化していません。
