[セキュリティブログ] あなたの会社を狙っている悪性スパムメール

 

ウェブ経由で収集したと思われる担当者の E メールアドレスあてに、下記のようなメールが届きました。

 

[図 1] 届いたメールの原文

 

 

メールには、｢詳細内容は添付ファイルの内容を確認後、返信して下さい。｣と記載されています。添付されたファイルの拡張子は [scr] であり、Windows  実行ファイルです。

 

[図 2] 添付されたファイル

 

 

ファイルの圧縮を解凍すると、次のようなアイコンをもつファイルが生成されます。ユーザーは、正常なフォルダと文書 (doc) ファイルであると考え、実行します。

 

[図 3] 圧縮解凍後に現れた生成ファイル

 

 

添付された悪性ファイルを実行すると、正常なファイルに見せかけるために [NVIDIA] の名称のフォルダ又はファイルを生成します。

 

 

exe ファイルはシステム再起動時に再度実行するようサービスに登録されます。サービスに登録される2つの exe ファイル (nvSmartMaxapp.exe、NvSmart.exe) は正常ファイルなので、その他の dll ファイル (nvSmartMax.dll、NvSmartMax.dll) が悪性ファイルである事が確認できます。

 

これは正常なサービス、正常なファイルに見せかけるために正常ファイルを生成し、そこにロードされる dll ファイルを悪性ファイルに変更して実行すると考えられます。

 

マルウェアに感染すると、キーボード経由でログインする時や実行時のデータ情報を盗んでファイルに保存する機能も確認されました。

 

 

そして、米国 (US) に位置する特定サーバーにアクセスを試みます(uscom.ws******in.com, uscom.******l.com - 67.**.***.228)。サーバーにアクセスする際、盗んだログイン情報やデータ情報を送信する等のビヘイビアを行うことが想定されます。

 

 

このように特定企業の内部情報を狙う攻撃は、他人事ではありません。身近な環境でいつでも起こりうる話です。セキュリティに関しては、常に緊張感をもって注意する必要があります。

 

 

 

＜V3 製品シリーズでの診断名＞

Backdoor/Win32.Etso (2012.07.04.03)

Win-Trojan/Plugx.208896 ( 2012.07.27.00)