2018/06/26(火) 『注文書の送付（2018.06.26）』『注文書よろしくお願いします。』の調査

添付ファイルを開きマクロを実行すると感染する不審メールのばらまきです。マルウェアbeblohおよびursnifに感染します。
主にインジケータ等のみ記載しておきます。

■日時

2018/06/26(火) 16:00 -

■件名
注文書の送付（2018.06.26）
注文書よろしくお願いします。

■添付ファイル
nnnn.注文書(2018.06.26).xls
※nnnnは数字4桁
https://www.virustotal.com/#/file/12259d8b5c59d3268a2a105832bdf2e573c29ce7f089296113a99ef02cf66962/community
https://www.hybrid-analysis.com/sample/61a35081cf789d8fb750b7312a54d4b9137ee498b572be951b3d1a80d46cf3a3?environmentId=100

■ダウンロード先
hxxp://gobertonis[.]com/note
47.74.148[.]105
ダウンローダ型マルウェアのbeblohです。
https://www.hybrid-analysis.com/sample/2cb254b33a9af6a024fcfa1da7365ee12c08f814163bece0d322895ecba7ba02?environmentId=100
https://www.virustotal.com/#/file/2cb254b33a9af6a024fcfa1da7365ee12c08f814163bece0d322895ecba7ba02/detection
C2: hxxps://bdv4cc9rub[.]com

■二次ダウンロード先
hxxp://wimkegravestein[.]nl/language/overrides/winteam.exe
バンキングトロジャン（不正送金マルウェア）のursnifです。
https://www.hybrid-analysis.com/sample/1d6b91d48665287502f6a0ed040f88dc064a1b433f8787374f8d304652f29fe3?environmentId=100
C2: hxxps://vachiderk[.]com