無題なログ

セキュリティ情報、迷惑メール、フィッシング詐欺、Windows の小ネタを書いているブログです (*^ー^)ノ

2016/02

| ✏️ Firefly

日本郵政ジャパン迷惑メール 添付zipからjs/wsfファイルでウイルス感染被害！
 
郵便事業を提供する会社「日本郵政 - 郵便局」「日本郵政ジャパン」「JAPAN POSTジャパン」などと勝手に名乗り、荷物の配達通知っぽく装った日本語表記の不審な 迷惑メール（スパムメール） が不特定多数にバラ撒かれ続けてます。
 
 
件名 （なし） 
拝啓
配達員が注文番号[数字]の商品を配達するため電話で連絡を差し上げたのですが、つながりませんでした。従ってご注文の品はターミナルに返送されました。ご注文登録時に入力していただいた電話番号に誤りがあったことが分かりました。このメールに添付されている委託運送状を印刷して、最寄りの日本郵政取り扱い郵便局までお問い合わせください。
敬具

日本郵政ジャパンの宛先：
〒[数字]-[数字]
東京都港区芝浦4-13-23
MS芝浦ビル13F
日本郵政
ここ数日、偽メールに添付されてるファイルの形式・種類に変化があり、まさにそれを受け取って注意を促すユーザーさんたちを Twitter から～。
  
■ 佐々ャ木・コジローさんはTwitterを使っています: "郵便局を装った迷惑メールが届いた。郵送物に書かれているお客様の電話番号が間違っており、小包が返送されました、添付ファイルを印刷して最寄りの郵便局までお越しください、と書かれているメールなのだが、添付ファイルが JavaScriptなの。"
https://twitter.com/sasayaki_jiro/status/703690130607845378  
 
■ まきにょさんはTwitterを使っています: "「日本郵政ジャパン」で怪しさに気づくようにしてくれてる親切なSPAMだろうか？w 添付ファイルの中身は何かのjavascript"
https://twitter.com/makinyopp1/status/704099084554997760
 
■ イシダPさんはTwitterを使っています: "一瞬「ん？」と思って読んじゃう日本郵政を装ったスパム。よく見ると宛先欄が同姓のもので埋まってるし怪しさ満点なんだけど、眠い時とかにうっかり添付ファイルを解凍しちゃわないよう注意ですわね"
https://twitter.com/twit_chu/status/704156415951110144  
 
■ 鳩71さんはTwitterを使っています: "うおお、、レベルやや高めのウイルスメール来たわ。よく見たら変だけど、ぱっと見だと…"
https://twitter.com/fs7112/status/704117457376575488
https://twitter.com/fs7112/status/704124547021156353
 
ZIP形式の圧縮ファイルを解凍・展開してみると、今までの スクリーンセーバー（拡張子 .scr） に代わって、不正な JavaScript/JScriptファイル（拡張子 .js） が登場するのです。 ＜スクリプトウイルス！
 
イメージ 8
日本郵政の偽メールに添付されてた圧縮ファイル
 
イメージ 1
ファイルの種類（拡張子）に注意！ ダブルクリック厳禁！
 
【偽郵便局メールの添付ファイル】
 郵便局 _お問い合わせ番号_[数字]から100通JP.zip
お知らせ番号_郵便局 - 日本郵政_お問い合わせ番号_[数字]100通.zip
日本郵政_お問い合わせ番号_[数字]ら100通.zip 
　↓ ユーザーが手動で展開・解凍
 
郵便局 - 日本郵政_お問い合わせ番号_[数字]ら100通.js
　または
hfi - hwhx_mzgkddct_[数字]x100w.js … 解凍ソフト次第で文字化け現象発生
 
このJavaScript/JScriptファイル（拡張子 .js）の中身をテキストエディタで確認してみると、セキュリティ製品のファイルスキャンを軽々とスリ抜ける難読化処理が施されてます。 ＜ウイルス定義で対応される前は脅威と判定しない恐れ！
 
イメージ 2
パッと見では何してるのか分からんJavaScriptコード
 
イメージ 3
手動で難読化を解除しないと処理を把握できず
 
この JSファイル を仮にもWindowsパソコン上でダブルクリックして起動しまうと、海外サーバーから Windows用実行ファイル をヒッソリ裏でダウンロードしてきて起動する処理になってます。
 
なお、メールソフトがサポートするメッセージのプレビューや、ファイルのプレビューでもって、ウイルスが強制的に起動してしまうことはないです。

不正なJSスクリプトファイルを踏んでみた！

さっそく手元で故意にJSファイルをポチポチッと開いて攻撃喰らってみる～。
 
イメージ 4
JavaScriptファイル起動直後のプロセスの様子
 
wscript.exe ファイルの下層にナゾのスクリーンセーバー（拡張子 .scr）が起動し、これが更にネットバンキング不正送金被害を引き起こすウイルス Rovnix をダウンロードしてきて感染させる模様です。
 
■ 日本郵政を騙った不審メールが急増していますのでご注意ください - 日本郵政
http://www.japanpost.jp/information/2016/20160216115665.html
 
ちなみに、一連の攻撃対象はWindowsパソコンに限定され、Mac OS X、Androidスマホ、iOS（iPhone/iPad）、ガラケーらへんは影響範囲外になります。
 
 
[3月5日 追記...]
 
添付されてるZIP形式の圧縮ファイルを解凍・展開してみると、今度はJavaScript/JScriptファイル（拡張子 .js）に代わって、Windows Scriptファイル（拡張子 .wsf） が登場するタイプが新たに投入されました。
 
イメージ 9
日本郵政の偽メールに添付されてた圧縮ファイル
 
イメージ 6
ファイルの種類（拡張子）に注意！ ダブルクリック厳禁！
 
【偽郵便局メールの添付ファイル】
日本郵政_お問い合わせ番号_[数字]ら100通.zip
[数字]_[英文字].zip 
　↓ ユーザーが手動で解凍・展開
 
郵便局 - 日本郵政_お問い合わせ番号_[数字]ら100通.wsf
　または
hfi - hwhx_mzgkddct_[数字]x100w.wsf … 解凍ソフト次第で文字化け現象発生
 
この wsfファイル もWindowsパソコン上でダブルクリックして起動してしまったら攻撃発動となり、最終的にネットバンキング不正送金被害に繋がるウイルス Rovnix の感染と相成ります。
 
テキストエディタで中身を確認してみると、↓選択反転させた部分以外の文字列は大量のゴミデータとなってて、何だかんだセキュリティ製品のファイルスキャンはスリ抜けてしまいます。
 
イメージ 5
 
難読化処理を手動で解除してやると、侵害されてる南米ブラジルの正規サーバーから不正な実行ファイルをダウンロードしてきて起動する処理を確認できました。
 
イメージ 7 
 
このようなjs/wsfスクリプトファイルをうっかり踏みそう？
 
ウイルス対策として、スクリプト実行を無効化し機能させないようにしたり、実行するか確認ダイアログを表示させることもできるので、やり方は↓関連記事を参照してください。
関連するブログ記事
タグ ：
#Windows
このエントリーをはてなブックマークに追加

| ✏️ Firefly

.asasinウイルス対策ポイント4つ ランサムウェアLockyからWindows死守には？

イメージ 4
Image いらすとや

写真、エクセル、ワード文書、動画、圧縮アーカイブといったファイルを暗号化して破壊し、元の状態に戻す 復元ツール の購入を名目に高額な身代金の支払いを要求するランサムウェア…

Locky
（読み方 ロッキー）

【file extension 拡張子】
.asasin .ykcol .lukitus .diablo6 .loptr .osiris .zzzzz .aesir .thor .shit .odin .zepto

とにかくLockyウイルスの感染被害を防ぎた～い！ それもお金をかけずに♪ ＜その他の身代金脅迫ウイルス TeslaCrypt（テスラクリプト）、Cerber Ransomware / CRBR Encryptor などでも有効

■ 詐欺ブログにご注意を

マルウェアの駆除方法を案内するかのよう装って、実際には海外製の有償ウイルス駆除ツール SpyHunter、Reimage、WiperSoft を騙して導入させることを狙った詐欺ブログが Google や Yahoo! の検索結果に溢れるのでご注意ください。

【セキュリティ情報サイトを装った詐欺ブログ】
jp.pcmalwareremoval[.]com
www[.]4-cybersecurity[.]com/jp
www[.]2-remove-virus[.]com/jp
removespyware.makepcsafer[.]com
www[.]uninstallallmalwares[.]com
www[.]tips2-remove[.]com/jp
www[.]2-remove-malware[.]com/jp
www[.]removeuninstallpcmalware[.]com
jp.virusspywarecleaner[.]com
cleanspyware.vir.us[.]com
www[.]removetrojanspyware[.]com
sakujosuru[.]jp
uirusu[.]jp

その多くが機械翻訳による不自然でメチャクチャな日本語の文章で書かれてます。

Lockyウイルス感染被害時の症状

感染症状を把握するため、手元の環境で故意にLockyランサムウェアを感染させた時の様子をイメージ画像で。

イメージ 1
Windows のデスクトップ壁紙を脅迫文に変更
Image Malwr.com
 
イメージ 5
アイコンは白紙、ファイル名や拡張子は英数字に変更

イメージ 3
『重要な情報 すべてのファイルはRSA-2048およびAES-128暗号で暗号化』
!!! IMPORTANT INFORMATION !!!!
All of your files are encrypted with RSA-2048 and AES-128 ciphers. FireflyFramer
More information about the RSA and AES can be found here:
http ://en.wikipedia.org/wiki/RSA_(cryptosystem)
http ://en.wikipedia.org/wiki/Advanced_Encryption_Standard
Decrypting of your files is only possible with the private key and decrypt program, which is on our secret server. FireflyFramer
To receive your private key follow one of the links:
[URL]
!!! Your personal identification ID: ~~~~~~~~~~~~ !!!

【脅迫文HTML/テキスト/画像】
_Locky_recover_instructions.bmp / _Locky_recover_instructions.txt
_RESTORE_instructions.html / _RESTORE_instructions.bmp
_[数字]_HELP_instructions.html / _HELP_instructions.html / _HELP_instructions.bmp / _HELP_instructions.txt
_[数字]_HOWDO_text.html / _HOWDO_text.html / _HOWDO_text.bmp
_[数字]_WHAT_is.html / _WHAT_is.html / _WHAT_is.bmp
_[数字]-INSTRUCTION.html / -INSTRUCTION.html / -INSTRUCTION.bmp
OSIRIS-[英数字].htm / OSIRIS.htm / OSIRIS.bmp
loptr-[英数字].htm / loptr.htm / loptr.bmp
diablo6-[英数字].htm / diablo6.htm / diablo6.bmp
lukitus-[英数字].htm / lukitus.htm / lukitus.bmp
ykcol-[英数字].htm / ykcol.htm / ykcol.bmp
asasin-[英数字].htm / asasin.htm / asasin.bmp


ネットバンキングウイルスと違い目に見えて感染症状が現れるから異変に気づけるけど、ファイルの破壊がかなり進んでることも多く後の祭りのパターンです。

感染経路2つに見合う無料ウイルス対策

Windows Vista/7/8/10パソコンを使うユーザーさん向けに Locky ランサムウェアの感染被害を100％防ぐ効果的なウイルス防止対策です。 ＜チェックポイント4つ！
  • （Windowsパソコンなのに） 自分は関係ないので大丈夫 → 感染
  • セキュリティソフトの導入でウイルス対策バッチリ → 感染
《感染経路1》 ネットサーフィン中の強制インストール

セキュリティ用語で ドライブバイ・ダウンロード という攻撃手口になるけど、ネットサーフィン中にいきなりランサムウェアの強制感染という悲劇が降りかかります。

□ Windows Update の今月分までの適用を確認した «無料»

　└ Internet Explorer、Google Chrome、Edge、Firefox で更新済みか確認を

□ Java（JRE） が最新版に更新されてることを確認した «無料»
　└ Java が不必要なら削除してもＯＫ

この3つを確実に満たせておくと、感染経路1でのランサムウェア被害はほぼ100％起こりえません。 ＜対策のための更新作業にお金はいっさいかからない♪

ちなみに、ネットサーフィン中ということだけど、次のような巷で目にする 時代錯誤の甚だしい似非ウイルス対策はほとんど意味がない のはご注意を。

× 危険なサイトやエロサイトにアクセスしない
× 怪しいリンクをクリックしない

《感染経路2》 メールの添付ファイルから自爆感染

上の感染経路1よりも圧倒する被害者数を生み出してるのがメール由来！

くれぐれもセキュリティソフトの検出対応、迷惑メールフィルタの判定にベッタリ依存し過信してはダメッ！ ＜攻撃者側の努力で後手に回るセキュリティ製品



迷惑メールから入手した 不正なファイル をユーザーの意思のもとにダブルクリックさせて開かせる攻撃手口です。
  1. スクリプトファイル … 拡張子 .js .jse .vbs .wsf
  2. ワード/エクセルファイル … 拡張子 .doc .docm .xls .xlsm
  3. マクロウイルス入り PDF文書 … 拡張子 .pdf
  4. 実行ファイル … 拡張子 .exe
  5. HTMLアプリケーション … 拡張子 .hta
感染経路2 は次のような抽象的なウイルス対策が要求されて無謀なところに、Windowsユーザーさんの ヒューマエラー をキッカケに陥落するのが常です。
  • 怪しいメールを開くな！
  • 不審なファイルを開くな！
そこで、人間はうっかりミスを犯すのは当たり前と考えて 不正なファイルと気付かず安易にポチポチッと開いた にも関わらず、ランサムウェアの感染は100％失敗するとしたら凄くないですか？

そんな無料ウイルス対策がコチラ♪ ＜セキュリティソフトの宣伝はなし


最終更新日: 2017/10/11
タグ ：
#Windows
このエントリーをはてなブックマークに追加

| ✏️ Firefly

【注意】zepto/lockyファイル暗号化ランサムウェア被害 日本語で身代金要求ウイルス！
 
イメージ 5
（Image いらすとや）
 
Windows XP/Vista/7/8/10パソコン を攻撃ターゲットに Locky（ロッキー） という新しいファイル暗号化タイプの ランサムウェア（身代金型ウイルス） が昨日か今日らへんに投入されたみたい。
 
あの有名な映画と同じじゃんと思ったら、あれはスペル違って「Rocky」ね。

ファイル名がメチャクチャな英数字に…

暗号化されてしまったファイルは、ファイル名のところが32ケタの英数字（アルファベット大文字と数字）で破壊されて、拡張子が「*.locky」「*._locky」になってる形です。
 
イメージ 3
破壊前の元のファイルが何なのか分からんLOCKYファイル
 
暗号化したことを示す脅迫テキストファイル「_Locky_recover_instructions.txt」「_HELP_instructions.txt」「_HELP_instructions.html」「_RESTORE_instructions.html」 の中身は何と 日本語 で記載されていて、感染マシンのIPアドレス（→言語設定みたい）に合わせて多言語対応してる模様。
 
イメージ 1
日本語メッセージは文法メチャクチャではないものの
機械翻訳してるのかビミョーに不自然な表現も登場…
【Locky recover instructions / RESTORE HELP instructions 】
            !!! 重要な情報 ！！！！
すべてのファイルは、RSA-2048およびAES-128暗号で暗号化されています。
RSAの詳細については、ここで見つけることができます：
    http：//ja.wikipedia.org/wiki/RSA%E6%9A%97%E5%8F%B7
    http：//ja.wikipedia.org/wiki/Advanced_Encryption_Standard
あなたのファイルの復号化は秘密鍵でのみ可能であり、私たちの秘密のサーバー上にあるプログラムを、復号化します。
あなたの秘密鍵を受信するには、リンクのいずれかに従います:
    1. http：//～～～
このすべてのアドレスが使用できない場合は、次の手順を実行します。
    1. ダウンロードして、Torのブラウザをインストールします: https：//www.torproject.org/download/download-easy.html
    2. インストールが正常に完了したら、ブラウザを実行し、初期化を待ちます。
    3. アドレスバーにタイプ： ～～～
    4. サイトの指示に従ってください。
!!! 個人識別ID： ×××××××××× !!!
匿名通信Torネットワーク上に用意されてる身代金支払いページでは、暗号化したファイルを元に戻す復元ツール「Locky Decrypter TM」を購入しろと英語で指示してます。 ＜身代金要求額は仮想通貨ビットコインで 0.5 BTCから～
 
イメージ 2
Lockyランサムウェアウイルスの身代金支払いページ
Locky Decrypter Page
We present a special software -  Locky Decrypter -
which allows to decrypt and return control to all your encrypted files.
How to buy Locky decrypter?
（～以下略～）

ランサムウェアの感染経路

Locky（ロッキー）ランサムウェアの感染経路の1つはメールの添付ファイルです。
この”うっかり”なヒューマンエラーが原因でブツが送り込まれてくるパターンとなってて、実際に手元でもこのルートで感染させて記事にしてます。
 
イメージ 4
docファイルを開いてマクロを有効にした瞬間のプロセスの様子
 
不正なマクロの処理により cscript.exe を介してナゾのWindows用実行ファイル（asddddd.exe） が外部ネットワークからダウンロードされ起動しており、このファイルの正体が Lockyウイルス なのでした。
 
ちなみに、jsファイルやwsfファイル、マクロ付きdocファイルは、Mac OS X、Androidスマホ、iOS（iPhone／iPad）、ガラケー らへんの環境では動作しないため攻撃対象外になります。
 
 
 
[2016年2月18日～ 追記...]
 
暗号化されたLockyファイルを無料で元に戻して復元する手段があるかは不明です。
 
■ The Locky Ransomware Encrypts Local Files and Unmapped Network Shares - Bleeping Computer
http://www.bleepingcomputer.com/news/security/the-locky-ransomware-encrypts-local-files-and-unmapped-network-shares/
 
Windows に実装されてる ボリュームシャドウコピー が作成した過去のバックアップデータが仮に残っていれば昔のファイルを取り戻せるやも…。 （Lockyウイルスはこのデータの消去を試みるけど）
 
■ ShadowExplorerでファイル復元復旧！ 削除破損を元に戻せる使い方
http://fireflyframer.blog.jp/19064015.html
 
大規模に行われたウイルスメール配信以外の感染経路として、ネットサーフィン中の強制インストール（ドライブバイ・ダウンロード攻撃） も同時に始まってるそう。
 
■ Dridex Actors Get In the Ransomware Game With "Locky" | Proofpoint
https://www.proofpoint.com/us/threat-insight/post/Dridex-Actors-Get-In-the-Ransomware-Game-With-Locky 
 
セキュリティ会社のシマンテックやトレンドマイクロも新しいランサムウェアが登場したというブログ記事を18、19日に投稿してます。
 
■ ランサムウェア Locky、被害者を狙う攻撃が激化 | Symantec
http://www.symantec.com/connect/blogs/locky
 
■ 新たな多言語対応ランサムウェア「Locky」が国内でも拡散中 | トレンドマイクロ
http://blog.trendmicro.co.jp/archives/12894
 
セキュリティ会社の脅威情報です。
 
■ Ransom:Win32/Locky.A - Microsoft Malware Protection Center
http://www.microsoft.com/security/portal/threat/encyclopedia/search.aspx?query=Win32/Locky
 
 
 
Lockyウイルスの対策は、次の2点をあらかじめ感染前に実施しておきます。
  1. 英語表記な迷惑メールからのスクリプトファイル＆マクロウイルスの対処
  2. 悪用されるソフトが最新版に更新できてるか確認する作業
 
[2016年6月 追記...]
 
暗号化した目印として文書や画像のファイル名＆拡張子を『[GUID値/32ケタ].zepto』に変更する新バージョンが投入されてます。 ＜GUIDは「********-****-****-****-************」というパターンのランダム英数字！
 
 
 
[2016年9月 追記...]
 
暗号化した目印として文書や画像のファイル名＆拡張子を『[GUID値/32ケタ].odin』に変更する新バージョンが投入されてます。
 
 
 
[2016年10月 追記...]
 
ファイルを復元させるための暗号化で文書や画像のファイル名＆拡張子の変更は『[GUID値/32ケタ].shit』に切り替わりました。
 
関連するブログ記事
タグ ：
#Windows
このエントリーをはてなブックマークに追加

↑このページのトップヘ