パスワードZIP圧縮の中身が拡張子.vbeファイルウイルス添付メール事例

パスワードZIP圧縮の中身が拡張子.vbeファイルウイルス添付メール事例

チョイと珍しいトラップが施された英語表記な 迷惑メール（スパムメール）の事例を紹介するですます。

件名 Delivery confirmation form for purchase [英数字] from 30/04/15
Please fill out the attached form and return it to us.
Password protected a zip file archive contains your form.
Password : 3Sd2qQ1
Best regards, [人物名]

英文メールの内容は購入した商品の配達確認通知を装っていて、メールに添付してあるフォームから返信するよう要求してます。

そのフォームはZIP形式で圧縮されていて、パスワード付き圧縮ファイルになってるのが特徴で、本文中に解凍用の パスワード文字列 が書き出されてます。

パスワードが掛けられてるということは、セキュリティ製品でファイルスキャンされても中身のデータを認識できないので不正かどうか判定できないことに…。

添付ファイルは拡張子「.vbe」!? VBScriptのエンコード

パスワード（3Sd2qQ1）を反映させて圧縮ファイルを解凍してみると中身は…

添付ファイルの中身 delivery_form.vbe

VBScript言語で書かれたテキスト形式のスクリプトファイル（拡張子 .vbs）をエンコードして変換したのが、VBScript Encoded Script ファイル（拡張子 .vbe）という種類です。

form.vbe
[fec0769a67fd5eed77e6c45d8b2bc0a8]
www.virustotal.com/ja/file/efa53e0d2498ef78c485f4edc28e1cf51e7bc0040a048b1a604ae060aab53927/analysis/1430490315/

delivery_form.vbe
[0cdda9c25af7f3ad590d09ebd17fe2bb]
www.virustotal.com/ja/file/a39dcdeb7982885e517228e7a8e2349e501ce1c5be7a87aa3f5ba2de5ff13d7f/analysis/1430490624/

for delivery.vbe
[0eed6dc53b968bb80f07cd5c30d37f82]
www.virustotal.com/ja/file/7d759c4026362c71996a1d5bb985f5996471170ce6811cb466004ad48b540f87/analysis/1430492824/