2019/09/21（土） 『Facebook変更の提示』の調査

前日からばらまかれているFacebookを騙ってマルウェアをダウンロードさせるメールが、URLが変わって再びばらまかれました。

■日時
2019/09/21 7:00-

■件名
[Facebook]--変更の提示

■送信者(詐称)
"Facebook" <registration[@]facebookmail[.]com>

■URL
hxxps://www.oitunmy[.]com/
https://urlscan.io/result/01437e61-3ba5-4082-80f7-dc7b192086ed/
・8:00頃からは以下へ変更
hxxps://www[.]unm-fackbook[.]com/
IP: 103.100.211[.]61
https://urlscan.io/result/28795106-b85c-429f-9ce1-768deee0bff6/

■挙動参考
https://app.any.run/tasks/6dda6394-5608-4df7-b51b-488c8940d877/

■ダウンロードされるファイル
facebookmin.zip
https://www.virustotal.com/gui/file/799ef2c38874a6911615c8a007f226a938fbdd268fdf799768082d0524d646c5/detection

■展開される中身
facebookmi.exe
https://www.virustotal.com/gui/file/e18d9da28f0aebcba48a2b37f2afb57086e89c61674123980b181d224811f507/detection
https://app.any.run/tasks/83728698-0fe9-41dc-b6b5-a55faa2f79c0/
VM検知されていますが、昨日同様、Applem.exeが実行されており、中身は変わらないと思われます。