12月報告書? 発注書受信? 迷惑メールzipのjsファイルでウイルス感染 対策は?

イメージ 5
Image いらすとや

Windows パソコンをターゲットにネットバンキング不正送金 Ursnif(読み方 アースニフ)ウイルスの感染 を狙った日本語表記の 迷惑メール(スパムメール) が無差別にバラ撒かれてます。

■ 警視庁犯罪抑止対策本部さんのツイート: "【サイバー犯罪対策課】 ウイルス付メールが拡散中!件名は「発注書を作成しましたのでお送りします」「送付」。本文は添付書類の確認を求める内容となっていますが、添付ファイルはPDF文書を装ったウイルスです。ご注意ください!"
https://twitter.com/MPD_yokushi/status/823802930650222592

■ 警視庁犯罪抑止対策本部さんのツイート: "【サイバー犯罪対策課】 ウイルス付メールが拡散中!件名は「12月報告書を送りますので」「2017-2016」「12.2016」。本文は添付書類の確認を求める内容となっていますが、添付ファイルはエクセルファイルを装ったウイルスです。ご注意ください!"
https://twitter.com/MPD_yokushi/status/824046109827862528

攻撃手口はスクリプトファイル

メールに添付されてるのはzip形式の圧縮ファイルです。

そのままでは意味ないので、ファイルを手動で解凍・展開すると次のような スクリプトファイル拡張子 .js) の登場します。

イメージ 1
スクリプトファイルのウイルス実物画像

【不正なスクリプトファイル】
12-X32094875000293.XLS
.js
Doc1099289388728737872.doc.js
01.17_0293538409856340968.pdf.js

ユーザーに文書を送ってきたかのよう錯覚させるため、エクセルファイル(~.XLS.js)、ワード(~.doc.js)、PDF文書(~.pdf.js) ってな感じに 二重拡張子 のトリックが施されてます。


スマホは大丈夫!?

スクリプトファイルの動作環境は Windows XP/Vista/7/8/10 であり、それ以外の環境 Mac OS X、Androidスマホ、iOS(iPhone/iPad)、ガラケー は動作対象外の形式で影響はなく大丈夫です。

jsファイル開くとUrsnifウイルス感染

この不正なjsファイルを Windows パソコン上でポチポチッとダブルクリックして開いたら攻撃処理の発動となります。

手元で動作確認してみると、欧州チェコのサーバー(織物の製造サイト?)にヒッソリ接続して、Windows 向け実行ファイルをダウンロードしてきてシレッと感染させる症状を確認できました。

イメージ 2
wscript.exe を介して実行ファイルのダウンロード

このチェコのサーバーは、攻撃者がハッキングしてるようで マルウェア置き場 として悪用されてます。 <そのディレクトリに実行ファイルが

イメージ 3
チェコドメインのサーバーに実行ファイル


【実行ファイル Ursnifウイルス】
MD5 353da5597147886fc827db726f1afd84
www.virustotal.com/ja/file/3246db31ed00388a565dca96b781fbc5b0595b4869e02fd7ac3a6f837236ead0/analysis/1485243540/

100%攻撃防ぐ無料ウイルス対策2つ

【1】 スクリプトファイルの無害化

スクリプト実行環境の設定を変更すると jsファイル、vbsファイル、wsfファイル を開いた直後にユーザーに対して実行していいか 確認ダイアログ を表示させることできます。

イメージ 4
  • [実行する(R)] ボタンを押す → 感染アウト!
  • [実行しない(D)] ボタンを押す → 何ら危険なことは起こらずセーフ
危険なファイルの拡張子 に気付けず、スクリプトファイルをうっかり踏み抜いても [実行しない(D)] ボタンを押すことで感染回避できるチャンスが創生できてオススメです。

これは Windows のレジストリをいじる必要があるものの、Windows の設定を単に変えるだけなので、いっさいお金のかからない無料ウイルス対策です。


【2】 ファイアーウォールの活用

Windows の正規プログラム wscript.exe がマルウェア本体のダウンロード処理に悪用されてるので、ファイアーウォールを使って外部通信を遮断しておくのも有効なウイルス対策です。

これは Windows に標準で実装されてる Windows ファイアーウォールでも無料で対処できます。

関連するブログ記事