配達員が注文番号？郵便局EMS日本郵政偽装の迷惑メールでウイルス感染被害 : 無題なログ

配達員が注文番号？ 郵便局EMS日本郵政偽装の迷惑メールでウイルス感染被害

Image いらすとや

日本の「郵便局」「日本郵政」に成りすまして、注文した商品のEMS発送通知を装った 迷惑メール（スパムメール） が不特定多数にバラ撒かれてます。

件名 ?iso-2022-jp?B?GyRCMyQzMCROTTlKWDZJJWolcyUvGyhCIC0gGyRCRnxLXE05SlgbKEI=?= / Express Mail Service (EMS) / 日本郵便追跡サービス [数字]
送信者 <info.postal＠express.japanpost.jp> <info.ems＠ems.japanpost.jp> <jp-express＠postal.japanpost.jp> <info.ems＠post.japanpost.jp> <info-express＠ems.japanpost.jp>

拝啓
配達員が注文番号( [数字] )の商品を配達するため電話で連絡を差し上げたのですが、つながりませんでした。
従ってご注文の品はターミナルに返送されました。
ご注文登録時に入力していただいた電話番号に誤りがあったことが分かりました。
このメールに添付されている委託運送状を印刷して、最寄りの郵便局 - 日本郵政取り扱い郵便局までお問い合わせください。
敬具
EMS（国際スピード郵便） - 郵便局 - 日本郵政

日本語で表示されるはずの件名は「?iso-2022-jp?B?うんたら～」のように文字化けしていて、本来は次のような件名にしたかったようです。

＜ウイルス攻撃者側がミスったみたい？

■ 警視庁犯罪抑止対策本部さんのツイート: "【サイバー犯罪対策課】ウイルス付メールが拡散中！件名は「Express Mail Service(EMS)」「予告無しの連絡先変更やアドレス変更」「海外の郵便局リンク‐日本郵便」「EMS配達状況の確認‐郵便局‐日本郵政」。ご注意ください！"
https://twitter.com/MPD_yokushi/status/854143985790500864

ほぼ似た文章のウイルスメールは 2015年や 2016年にも配信されていて、その時はネットバンキングウイルス Rovnix（読み方ロブニクス）の感染を狙ってました。

添付ファイルはウイルスexeファイル

メールの添付ファイルはzip形式の圧縮アーカイブなので、解凍・展開してみると次のような Windows向け実行ファイル（拡張子 .exe）が登場します。

”委託運送状” でも何でもない実行ファイル

二重拡張子を施してPDF文書とユーザーに誤認させようとしてるけどファイルの種類（拡張子）に注意を払うと異変に気づけてマルウェアの脅威を見抜けます。

■ (204700938849221)_EMS.JP.PDF.exe
c0e5e6ab4053c57fee1c06cb2a03f77c
www.virustotal.com/ja/file/523fd989046e60f45edd9a2b96870c5cc9ad46ad784af7cba33f98a6a7ee08e0/analysis/1492499239/

■ E M S ( 320950286501108 ) . PDF.exe

8b02bef795df2b42e342c6c407d24d72
www.virustotal.com/ja/file/9865832d5fb7c3b3b5353c50d8e602d10b1d8152c441178026157992f554f970/analysis/1492473553/