不正URLへのアクセス、不正メールの受信

メール受信した
弊社お客様11社 URLアクセスした
弊社お客様4社

2019/10/11
※2019/10/20 更新
10/11から発生していたマルウェアEmotetに感染させるメールの受信をブロック

件名：
Comments
Enquiry for
Mail from
コメント
ドキュメント
リマインダー
現在のバージョン 20191011
※この件名の後にメールアドレスや名前などの文字が続く可能性があります。
※他にも多数の件名があると考えられます。


添付ファイル名：
0652413 20191011.doc
52692089_20191011.doc
59619_20191011.doc
8135648-20191011.doc
Details-2019_10_11.doc
details_20191011_W7970.doc
file 965.doc
※弊社で観測した添付ファイル名を載せています。
※他にも多数の添付ファイル名があると考えられます。


添付ファイルハッシュ値：
67d74e39f53376e995030fae714751bec03c7e443801ee2949b4eeceaf1c4a03
6b76cfb62fde46d91b72d988e975aa6efb9d3c41f9ee27ab07a95cf1c8f66091
e2fadd35a02d442135b03f2c173076f7a20bb9a70c8e1ec44d5b1d16403a0333
d99e4693a9578240d0242e52a925349f3f67eac78e0b5ac4bba4e0823ead705b
db86311a75d0778a2575dd66ccf2302d2aa444c94926fbe725396e37990ae8ac
f545b66dbb508ae3c8f73402e369373d3c53bf9df4da475d6a55f4f0eeda33c5
23239eae561c6fd8df76581756166525ec3b4b67b402100c6d90f4d4fc1a418b
d72443e1e19bb9c72c01cb339bf8404df43445442f619a51979cc52f3613b5ab
bf30c5d34a0f27c3e70fa461b5903ad3573e651417d6974b466d10caa0301d7d
e25b24e06b0954a21635b829e04146e6dc007ee8d579669e7fdd994bb5e539da
22c8e27b676b58d3273191a1aa78d2920dd90222b378c300692906b61d6da34e


感染プロセス
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://mayurpai[.]com/wp-admin/lb8232/
hxxp://mastersjarvis[.]com/7eds52/14/
hxxp://lagriffeduweb[.]com/clients/w9pw59/
hxxp://nyc[.]rekko[.]com/65r8ry/zmt61884/
hxxp://onickdoorsonline[.]com/wp-includes/g0uyt12/

または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://thijsmorlion[.]com/wp-admin/h52077/
hxxp://thegioigas[.]com/Login/1g98/
hxxp://yy6262[.]com/wordpress/h670/
hxxp://thenews4views[.]com/9mcmnp3/2i36/
hxxp://queeniekawabe[.]com/all_photos/4el75/

※ 接続しようとしたURLは、不要なアクセスを避けるため、一部変更しております。


製品対応状況
▽m-FILTER
　偽装レベル3以上
　　・添付ファイル偽装判定

▽i-FILTER
hxxp://queeniekawabe[.]com/all_photos/4el75/
　2019年9月3日 [IT情報・サービス]
　2019年10月11日 [脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)

hxxp://mastersjarvis[.]com/7eds52/14/
hxxp://lagriffeduweb[.]com/clients/w9pw59/
　2019年10月10日 [IT情報・サービス]
　2019年10月11日 [脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)

hxxp://thijsmorlion[.]com/wp-admin/h52077/
hxxp://thegioigas[.]com/Login/1g98/
hxxp://yy6262[.]com/wordpress/h670/
hxxp://thenews4views[.]com/9mcmnp3/2i36/
hxxp://mayurpai[.]com/wp-admin/lb8232/
hxxp://nyc[.]rekko[.]com/65r8ry/zmt61884/
hxxp://onickdoorsonline[.]com/wp-includes/g0uyt12/
　2019年10月11日 [カテゴリ外]（※1）→[脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)


（※1）「推奨フィルタ―設定」でブロック可能
（※2）i-FILTER Ver.10のみ
（※3）i-FILTER Ver.10.3以降、ファイルのダウンロードをブロック可能


マルウェアEmotetの拡散経路や感染プロセスについて、詳細は以下セキュリティレポートをご覧ください。
改ざんサイトからダウンロードされるEmotet