社内メールを装った悪性メールに注意

----------------------------------------------------------------------------------------------

社内メールを装って悪性ファイルが添付されたメールを送信する攻撃に注意が必要である。
英国の主要銀行の一つである NatWest(National Westminster Bank) への攻撃事例をみると、悪性メールの送信者は 「natwest.com」 というメールアドレスを使用しており、社内メールを装っていることが分かる。(図 1)
メールの受信者は、社内からのメールだと思い、疑わずにメールに添付された悪性ファイルを実行してしまう可能性が高い。

[図 1] 悪性ファイルが添付されたメール

メールに添付されたファイルは ZIP 形式の圧縮ファイルであり、圧縮を解除すると、以下のような PDF アイコンの実行ファイル(exe)が作成される。

 [図 2] 添付された悪性ファイル

悪性ファイルに感染すると、図 3のようなファイルおよびプロセスが生成される。

[図 ３] 生成されるファイルおよびプロセス

悪性ファイルは、自らを %Temp% フォルダの 「ccpin.exe」という名前のファイルに変え、実行する。

[図 4] 生成されたプロセス

実行された悪性ファイルは SetWindowsHookExA を通じてキーボードおよびマウス情報をフッキングする。

[図 5] SetWindowsHookExA の情報

一方、C&C サーバーに関する情報は確認されていない。

■ AhnLab の V3 製品群では、次のように検知・駆除することが可能である。