2019/03/27（水）添付ファイル付不審メール（bebloh/ursnif(A)）の調査

3週間ぶりに、日本語の不審メールのばらまきがありました。
メールに添付されているxlsファイルはダウンローダ型のマルウェアです。
同じくダウンローダ型マルウェアのbeblohに感染する可能性があります。
更に不正送金マルウェアのursnifに感染しますのでご注意ください。

メールの件名、本文、添付ファイルは主に2パターンありますが、どちらも通信先は同じです。

■日時

2019/03/27 17:00頃～

■件名（7種類）

3月→
3月の請求書を添付するので
Ｆａｘください
郵送願います
【ご請求書】【ライフラインのご連絡先】
請求書を添付いたします
こちらの入金期日は3月15日の午後12時までと

■添付ファイル

f:id:bomccss:20190328031201p:plain

■件名（2種類）

写真添付
写真添付の件

■添付ファイル

f:id:bomccss:20190328031216p:plain

■プロセス
添付のxlsファイルを実行し、マクロを有効化すると感染活動が行われます。
初めにexeファイルを実行し、そこからWMIC.exeを実行します。
その後別プロセスとしてPowershellを実行し、32bitのエクスプローラを起動し、そこにbeblohをインジェクションします。

f:id:bomccss:20190328031725p:plain

f:id:bomccss:20190328031744p:plain

beblohがC2から命令を受け取った際には更にマルウェアのダウンロードがされ、ursnifに感染します。

■通信先
・追加スクリプトの取得先
hxxps://onbraker[.]com/image.rar
47.74.250[.]194
中身は難読化されたPowerShell スクリプトです。
　ursnifのダウンロードも上記ドメインから実施します。詳細なパスは不明です。

・beblohのC2
hxxps://podertan[.]com
5.188.60[.]40
・ursnifのC2
hxxps://sumeriun[.]com
5.8.88[.]205

f:id:bomccss:20190328032151p:plain

f:id:bomccss:20190328050549p:plain

■bebloh (DLL)

なお、explorer.exeにインジェクションされているものはMZヘッダが消された状態です。

f:id:bomccss:20190328032604p:plain

■ursnif

ursnfはPCのシャットダウン時にのみファイルとなり、起動後はメモリ上でのみ存在します。
感染中にセーフモードで起動すると以下の様に確認できます。

f:id:bomccss:20190328050531p:plain

f:id:bomccss:20190328050452p:plain

f:id:bomccss:20190328050506p:plain

f:id:bomccss:20190328050518p:plain

（参考）
beblohのC2
マルウェアにハードコードされた1つ目のC2アドレスにアクセス出来ない場合、以下のドメイン群へアクセスします。一部を記載しています。

oith3sgi.net　（※シンクホール済）
gcgw21sb2hhywr.com
kgg9r4xgfc4w2z.net
mmp9hvkpcgotlh.com

bomb_log