[セキュリティブログ] RapidFax を装ったスパム

[図 1] RapidFax を装った添付ファイル

[図 2] 発信者のメールアドレス

添付されたファイルは、PDF 文書のように見えますが、実際には .exe拡張子の実行ファイルです。添付された文書が実行されると下記のようなファイルを生成し、システムが起動することで、自動的にマルウェアを実行する為のレジストリ値が生成されます。　

[生成されたファイル]
C:\DOCUME~1\ADMINI~1\LOCALS~1\Temp\5304453.exe
C:\Documents and Settings\Administrator\Application Data\Opasm
C:\Documents and Settings\Administrator\Application Data\Opasm\acacga.exe
C:\Documentsand Settings\Administrator\Local Settings\Application Data\ygfywe.eqe

[生成されたレジストリ]
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\{4C07DB3F-FE50-AD7D-9383-D25FA52EF14D}                                                          
""C:\Documents and Settings\Administrator\Application Data\Opasm\acacga.exe""

加えて、周期的に米国マサチューセッツにある特定　IP への接続を試みていました。[図 3]

[図 3] IP 位置

[図 4] パケットキャプチャ画面を見ると、SYN パケットを送信し、接続を周期的に実行していることが確認できます。ターゲットとなった特定 IP のシステムは、まだ接続要求を受け入れておらず、継続して RST パケットを送信しています。

[図 4] パケットキャプチャ画面

以上のような RapidFax を装った不正メールの被害を防ぐ為にセキュリティシステムを積極的に導入する必要があります。 AhnLab　V3 シリーズでは、次の名前で診断されます。