情報搾取型マルウェア Lokibot が注文書を装って拡散中

本内容は、アンラボコリアより発表された内容を翻訳したものです。

--------------------------------------------------------------------------------------------

数年前から流行した Lokibot は、現在も最も多く発見されているマルウェアの一つである。

情報搾取型マルウェアである Lokibot は、Web ブラウザ、メールクライアント、FTP クライアントなど、感染 PC にインストールされているさまざまなプログラムからアカウント情報を搾取する。AgentTesla、Formbook、AveMaria と同様にほとんどがスパムメールを通じて流布され、ユーザーがメールに添付されたファイルを実行するとマルウェアに感染する。また、検知を回避するために外見を [.NET] にパッキング (packing) するのが特徴である。 

今回発見された Lokibot は、注文書 (P.O. – Purchase Order) 関連メールに偽装してユーザーが添付ファイルを実行するように誘導した。添付ファイルには cab フォーマットの圧縮ファイルが含まれており、圧縮を解除すると exe ファイル (Lokibot) が抽出される。このファイルを実行するとマルウェアに感染する。 

Lokibot が実行されると、プログラムのアカウント情報を搾取して C&C (Command & Control) サーバーに転送する。その後、[\AppData\Roaming\[ランダム]\[ランダム].exe] パスにファイルをコピーして隠しファイル属性を付与し、Run Key を登録して C&C サーバーと周期的に通信し、コマンドを実行する。

Lokibot の特徴は、攻撃対象プログラムの種類が他の情報搾取型マルウェアに比べて多いという点である。

Lokibot は、Web ブラウザ、メールクライアント、FTP クライアントのみならず、インスタントメッセージ、ファイル管理者、パスワード管理者、さらにポーカーゲームまで、さまざまなプログラムのアカウント情報を搾取する。

ただし、かなり前に作成されたマルウェアであるため、情報搾取機能が正常に動作しない場合もある。

ユーザーはマルウェア感染を未然に防ぐため、疑わしいメールに添付されたファイルの実行を控え、セキュリティ対策ソフトウェアを最新バージョンにアップデートする必要がある。

また、使用中のプログラムのアップデートや暗号化設定も、感染が発生した際にある程度情報流出を防げる対策になる。

現在、V3 製品では、上記のマルウェアを以下の診断名で検知している。

[ファイル検知]

- Trojan/Win32.Lokibot.R349444 (2020.08.28.04)

[ビヘイビア検知]

- Malware/MDP.Inject.M218

[関連 IOC 情報] 

< C&C >

http://79.124.8[.]8/plesk-site-preview/benetaeu-group.com/http/79.124.8.8/wj1/Panel/fre.php

< HASH >

d6e4167f31ade27c559b119adfbcfc88