2018/06/12(火) 『カード利用のお知らせ』の調査

楽天市場をかたったメールに引き続き、楽天カードをかたったメールの配信がありました。
また、翌日にも一時的に同一件名、同一検体ハッシュで配信がありました。
ともに、楽天市場をかたったメールと検体は一緒です。

■日時
2018/06/12(火) 16:35頃 - 19:35頃
2018/06/13(水) 12:40頃 - 13:10頃
※翌日も一時的に同一件名、同一検体ハッシュで配信がありました。

以下、楽天市場と同一です。
■メール内リンクURL
ua.elpanal.com[.]uy
上記を例に、全て下記IPアドレスに解決されるドメイン
198.98.48[.]158

■ダウンロードされるファイル
メール内リンクにアクセスすると、ブラウザがChromeでアクセスしていれば以下のファイルがダウンロードされます。
（IEであればzipファイルがダウンロードされ、その中にjsファイルが含まれます。）
楽天銀行の重要な情報.pdf.js
https://www.hybrid-analysis.com/sample/3cd5240e10e1e8a7d5ff5a74fcbdcd41945df1387346426826cd519cd23d729d?environmentId=100

■追加ダウンロードファイル
jsファイルは以下へアクセスし、本体のマルウェアをダウンロードします。不正送金マルウェアursnifです。
hxxps://mm.unitedmfg[.]com/0.bin
198.98.48[.]158
https://www.hybrid-analysis.com/sample/9d55e7d8c83c70ea8c1e7ae17ef56380422dd73ecca008e3c65db0b5cf4e2d1f?environmentId=100