Your Amazon order has dispatched迷惑メールでウイルス感染ランサムウェアLockyが危険 : 無題なログ

Your Amazon order has dispatched迷惑メールでウイルス感染 ランサムウェアLockyが危険

Image いらすとや

添付されてる JScript Scriptファイル .js を開くよう誘導する英語表記のウイルス付きスパムメールが継続的にバラ撒かれてます。

思わず『ん!?』となってしまうだろう海外の通販サイト Amazon.com（米国）や Amazon.co.uk（英国）に成りすまし、もっともらしい注文商品の発送通知を装った 偽メール を紹介します。

添付ファイル付きAmazonウイルスメール事例

件名 Your Amazon.com order has dispatched (#[数字]-[数字]-[数字]) / Your Amazon.co.uk order has dispatched (#[数字]-[数字]-[数字])
送信者 Amazon.com <auto-shipping＠amazon.com> / Amazon.com <auto-shipping[数字]＠amazon.com> / Amazon Inc <auto-shipping[数字]＠amazon.com>
Dear Customer,
Greetings from Amazon.com,
We are writing to let you know that the following item has been sent using [Royal Mail/FedEx/DHL Express].
For more information about delivery estimates and any open orders, please visit: http：//www.amazon.com/your-account
Your order #[数字]-[数字]-[数字] (received [月] [日], 2016)
Your right to cancel:
At Amazon.com we want you to be delighted every time you shop with us.
ccasionally though, we know you may want to return items. Read more about our Returns Policy at: http：//www.amazon.com/returns-policy/
（～以下略～）

dispatched の意味 → 発送した

英語の意味が分からず、そもそも日本の Amazon.co.jp ではないので身に覚えがないユーザーさんが圧倒的に多いでしょう。

ところが、この通知メールの差出人はいちおう本物のアマゾン（偽装）になっており、「自分の名義で商品を勝手に注文された!?」みたいな不安にかられて無視できなくなるユーザーさんが出かねません。

添付ファイルを展開するとウイルス！

メールの添付ファイルはzip形式の圧縮アーカイブでした。

これを解凍・展開すると中身に不正な スクリプトファイル（拡張子 .js）が登場したので、Windowsユーザーさんを狙ってダブルクリックで開かせるウイルス感染手口と分かりました。

＜自爆感染を企んでる

注文ORDERの文書？圧縮アーカイブの中身の画像

【Amazon偽装メールの添付ファイル】
ORDER-[数字]-[数字]-[数字].zip
　↓ 手動で解凍・展開する
[数字]_[数字].js
F-[数字]-[数字]-[数字]-[数字].js

＜5月17日追記始め＞

不正な Word文書ファイル（拡張子 .docm）が添付された迷惑メールも確認しました。

＜添付ファイルの正体はマクロウイルス！

【Amazon偽装メールの添付ファイル】
ORDER-[数字]-[数字]-[数字].docm

＜追記終わり＞

ちなみに、今でも流行りの手口と紹介するブログの記事を見かけるけど、メールソフトのプレビューや添付ファイルのプレビューでウイルス感染はありません。

＜15年近く前に手口

起動するとランサムウェア Locky 感染

実際に、この.jsファイルをポチポチっとダブルクリックして故意に開いてみました。

すると、外部ネットワークからナゾの 実行ファイル（拡張子 .exe）がシレッとダウンロードされてきて起動したのでした。

wscript.exe の下に実行ファイルが起動し感染の瞬間

この実行ファイルの正体は、Windowsパソコンをターゲットにファイルを暗号化して破壊し、復号することを盾に身代金の支払いを要求するランサムウェア Locky ウイルスなのでした。

【LockyウイルスのVirusTotalファイルスキャン】
MD5 b81868c62aff2cce264471e18f773175
www.virustotal.com/ja/file/ed8390885a6bcdda11cb51f8d3c2553625d1c567f221a490450f44d2ac3cec3a/analysis/1462296560/

ファイルスキャンの検出率があまりに低いけれど、マルウェア攻撃者は新鮮な亜種を準備してきて、その後を追うセキュリティ製品の光景は普通に起こるので問題ありません。

■ スマホは大丈夫？

ちなみに、いずれも Windows XP/Vista/7/8/10 のみ影響する環境となり、それ以外の Mac OS X、Androidスマホ、iOS（iPhone/iPad）、ガラケーらへんは攻撃対象外で大丈夫です♪