2018/06/12(火) 『【楽天市場】注文内容ご確認（自動配信メール）』の調査

6/7同様に、楽天市場を騙った不審メール の配布がありました。

■日時
2018/06/12 16:00頃 - 19:30頃
■件名
【楽天市場】注文内容ご確認（自動配信メール）

■送信者
order[@]rakuten.co.jp

■メール内リンクURL
ua.elpanal.com[.]uy
上記を例に、全て下記IPアドレスに解決されるドメイン
198.98.48[.]158

■ダウンロードされるファイル
メール内リンクにアクセスすると、ブラウザがChromeでアクセスしていれば以下のファイルがダウンロードされます。
（IEであればzipファイルがダウンロードされ、その中にjsファイルが含まれます。）
楽天銀行の重要な情報.pdf.js
https://www.hybrid-analysis.com/sample/3cd5240e10e1e8a7d5ff5a74fcbdcd41945df1387346426826cd519cd23d729d?environmentId=100

■追加ダウンロードファイル
jsファイルは以下へアクセスし、本体のマルウェアをダウンロードします。不正送金マルウェアursnifです。
hxxps://mm.unitedmfg[.]com/0.bin
198.98.48[.]158
https://www.hybrid-analysis.com/sample/9d55e7d8c83c70ea8c1e7ae17ef56380422dd73ecca008e3c65db0b5cf4e2d1f?environmentId=100