不正URLへのアクセス、不正メールの受信

メール受信した
弊社お客様43社 URLアクセスした
弊社お客様8社

2021/12/09
※2021/12/23 更新
12/09から発生していたマルウェア（Emotet）に感染させると考えられるメールの受信・URLアクセスを検知

メール及び添付ファイルを開かないでください

■メール情報
件名：
※実際に利用されていたと思われるメールの件名などが引用されています。

添付ファイル名：
●●●.xlsm

※●●●には、ランダムな英数字や記号と思われる文字列が含まれます。


■IoC
添付ファイルハッシュ値：
2db32f3a6aa69193d5379a061c3c0010e705f2b7f89647baea034237e6328b66
6811543ba47fff984680204eb7ab7cd013d821122f8de8762435ccc270c09cca
9c2fcc82bf10e1b51edb58537f0d8640914d1b40d553404cd15c60eb4c8a956d
c0b73566ab02e59204b363a97af60cc5fc25ea6f028c2f93511cb8a0d54de5aa
f2a4ad1d67aaa4e7355cba00416885b0d8578fe7d54f0bedf0ae2f8c00944c9d
0c0235d80f930fde70ee5556deee52cdad4cb11bd70d05f34a011c219e6ba339
0c97d92d1a7324ac034a1c0a00b0159c33ac3e9e973a369933baa83a8e06a2c6
1c72fcadde21749696baa02788d8e01da7784de7f0ea16f3db772859b9569d46
28353079e2d0e20c083445a105c2754b63980400e228f14929f5b17182ed59e4
2a0dfbc3e57e8f65cd66a3bd76fcd7a90917ea1f265659c2806c11adf84c4937
2db32f3a6aa69193d5379a061c3c0010e705f2b7f89647baea034237e6328b66
39e289dadcb72834ff639563b3aaa753ff82658b92e7ff2dceed04a512862d35
40b6227c76515be10453019baa7a1cdac660ccb1c24f55f1674a7b0a8decfc3a
40b6e0ef4fcf42c2ef76e909087ac368fcb049c6637dbd9559aa7d408773de66
43c736be0928cab1dd9df12c83b3954cd10e3ff47dd34dbda0b0e20a8fec79a9
5036783582fc190ba8333544b2a9cbbc1893537950331d71fb3125fa5c282eb1
6811543ba47fff984680204eb7ab7cd013d821122f8de8762435ccc270c09cca
7d70e473f002bdd4f7e67d494d08570fc2ba788bbc526ff549017657972aa23b
879a802be7a8a80e0e2aac5062862ee6beb3a889384e0a9664a1185a2871b761
8e2562cb768096045bcfec8dfd4868f4f211aef17b578e726f496d9b8ef50822
9c2fcc82bf10e1b51edb58537f0d8640914d1b40d553404cd15c60eb4c8a956d
bd95809909b2963bf43e383e9e03df2db0f92884d07a104ad7c67c0e5d996c81
c0b73566ab02e59204b363a97af60cc5fc25ea6f028c2f93511cb8a0d54de5aa
c4df53ff2d45c0ce2524e44938b4127d0a9567c7b532edaa1c94305f9635f176
c5f032e79924928b30dd2e4a638c2de64be3e7ef4dfbd949525909347c6b1b40
d707c6c07664db29547c291d5c5999bde93ec8a5b4489d81052a2e883a3cfed5
f2a4ad1d67aaa4e7355cba00416885b0d8578fe7d54f0bedf0ae2f8c00944c9d
f5266ba70fc27285884c14116608b9f0217c14106ccdeada956c2b7ca122141e

※メールアーカイブにて検索が可能です。
※「添付ファイルハッシュ値」は弊社で観測したすべての情報を掲載しております。

通信先一覧：
hxxp://87[.]251[.]85[.]100/PP/pp[.]html
hxxp://87[.]251[.]85[.]100/PP/PP[.]PNG
hxxp://vihaconsultancy[.]com/wp-content/MWBgbwwN/
hxxp://cuoihoitugia[.]com/aecidiostage/Uwp2XxU2yzt21weDcM2/
hxxp://chauvettheatre[.]com/wp-includes/ET4J79HDZCA4C9rdOso/
hxxps://www[.]cursossemana[.]com/wp-content/JH9krpK5ihDIelvNL7/
hxxps://shopallcars[.]com/scripts/4mUdXWhBECsusJbAAzlDZP/
hxxps://www[.]gethealthyproject[.]com/getbiggotowork[.]com/sOgQMVR893qIjwv8IjM/
hxxp://monorailegypt[.]com/wp-admin/36tiKwe85v3/
hxxp://my[.]tortona[.]tv/get/4mlFH/
hxxp://pilotscience[.]com/Halimat/1VODveKhzNICs/
hxxp://pilotscience[.]com/cgi-sys/suspendedpage[.]cgi
hxxp://rjmtel[.]com/wp-content/NvOsnUQEmOy1EK7r9t/
hxxp://www[.]royalerenovation[.]com/wp-admin/7dLuTyMr1R6V726Wy/
hxxp://www[.]snkre[.]com/wp-content/xCAzUEoE/
hxxps://kambingmedan[.]net/content/MDgTzDXF/

※「i-FILTER」アクセスログを検索し端末を特定してください
※「通信先一覧」は不要なアクセスを避けるため、一部変更しております。


■製品対応状況
▽m-FILTER
・偽装レベル2以上で隔離可能
    ・添付ファイル偽装判定（添付ファイルマクロ）で判定
    ・送信元偽装判定（送信元認証失敗）で判定（部分的に有効）
 
▽i-FILTER
・[脅威情報サイト]カテゴリでブロック可能なよう対処済み
・ダウンロードフィルターでブロック可能
 
※暗号化された通信の場合は、SSL Adapterの設定を「利用」にする必要があります。
※ブロックの可否は各製品の設定によるため、実際の結果はアクセスログを参照してください。