[セキュリティブログ] Eメール経由での APT 攻撃に注意
最近 Eメールを介して文書ファイル (DOC、PDF 等) の脆弱性を突いて特定のシステムを狙う APT 攻撃が複数発見されました。以前のように不特定多数を対象に Eメールを配布する方法ではなく、特定の集団 (機関、学校、会社) を対象としており、悪性ファイルをドロップする文書ファイルを添付して閲覧を誘導する、標的型攻撃です。
【標的型攻撃の際、発送する Eメールの特徴】
1. タイトルが刺激的で、重要なメールのような印象を与える
2. 脆弱性を突いた文書ファイルが添付されており、添付ファイル名が重要なタイトルになっている
3. Eメール本文の内容は簡略で、詳細は添付ファイルを確認するよう誘導している
Eメールに添付された文書ファイルは、既知の脆弱性を突いています。この脆弱性がパッチされない状態で文書ファイルを開くと、悪性ファイルが生成されユーザーのシステムを感染させます。システムが感染しても、文書ファイルは正常に開くため、ユーザーは感染した事実を認知する事ができません。
下図は、Eメールに添付された PDF 文書の一部です。別途確認プロセスが無い場合、送信者が悪意をもって Eメールを送信したかそうでないかを判断することが困難です。
[APT 攻撃に使われた悪性 PDF 文書]
この悪性文書ファイルは、エクスプロイトの動作と共に次のパスにふたつのファイルをドロップします。
---------------------------------------------------------------------------------------------------------------------
- C:\Documents and Settings\ [ユーザー]\スタートメニュー\プログラム\スタートアップ\ld.exe
- C:\Documents and Settings\[ユーザー]\Local Settings\Temp\AdobeARM.dll
---------------------------------------------------------------------------------------------------------------------
これらの悪性ファイルは、スタートアップに登録されて起動時に実行し、周期的に C&C サーバー( 17*.***.***.*90:80, http://Ch****k.K**k.** )にアクセスしてコマンドを実行します。
下記の内容を参考にして、Eメール経由の APT 攻撃を事前に防ぎましょう。
1. 不明な送信者から届いたメールは、閲覧を控える
2. 作者不明の添付ファイルは開かない
3. 文書に関するアプリケーションは、周期的にアップデートして常に最新バージョンを維持する
4. 使用しているアンチウイルス製品のリアルタイムスキャンをオンにし、常に最新バージョンのエンジンを維持する
＜V3 製品シリーズでの診断名＞
- Win-Trojan/Dropper.36352(2012.06.21.00)
- Win-Trojan/Agent.32768.CEU(2012.06.21.00)
- PDF/Exploit(2012.06.20.03)
