2018/05/22(火)　『2018.5月分請求データ送付の件』の調査

毎週火曜日、不審メールのばらまきが起こりやすい曜日です。
.xlsファイル添付のursnifへの感染を狙ったものです。

■日時
2018/05/22 15:55 - 17:35 頃まで

※件名、本文共に5/15(火)、5/16(水)と同一です。
■件名
2018.5月分請求データ送付の件
.2018.5月分請求データ送付の件
Fwd: 2018.5月分請求データ送付の件
Fwd: Re:2018.5月分請求データ送付の件
Re: 2018.5月分請求データ送付の件
Re: Re: 2018.5月分請求データ送付の件

■本文

f:id:bomccss:20180523000931p:plain

■添付ファイル
※.(※).201805請求データ.xls
※にはそれぞれ数字1桁が入る
https://www.virustotal.com/#/file/e8377f2dbf433c248a2e0e8a9eaf6dfd5f3a82ceb5d8b371f9fd985746f910a9/detection
https://www.hybrid-analysis.com/sample/e8377f2dbf433c248a2e0e8a9eaf6dfd5f3a82ceb5d8b371f9fd985746f910a9
添付ファイルを開き、マクロを有効化するとバックグラウンドでマルウェアを取得しに行く通信と思われます。

■ダウンロードされるファイル(ursnif)
通信先: hxxp://komertonazza[.]com/ptvcon
IP: 85.119.144[.]217
https://www.virustotal.com/#/file/e70b478da1a676ec043eaae4c5aacbcf08cec8df94787c3fa0801041abf2bd21/detection
https://www.hybrid-analysis.com/sample/e70b478da1a676ec043eaae4c5aacbcf08cec8df94787c3fa0801041abf2bd21
https://app.any.run/tasks/ad60ebe9-11fe-4cd0-a80a-30b04bca3deb

取得しにいくドメインのトップレベルを調べてみたところ、以下のサイト表示でした。

コンテンツを作らないでマルウェア配布を優先して準備したのかもしれません。

f:id:bomccss:20180523001903p:plain
今回の解析では、xlsフファイルが取れなかったため、このursnifから解析を行っています。
今回、これまではbeblohを経由して送り込まれたursnifに感染していましたが、今回はダウンローダが取得したものは直接ursnifでした。この変化の意味はわかりません。
今回の検体はキーロガー機能はあっても動画の撮影機能はありませんでした。