不正URLへのアクセス、不正メールの受信

メール受信した
弊社お客様10社 URLアクセスした
弊社お客様3社

2019/10/15
※2019/10/20 更新
10/15から発生していたマルウェアEmotetに感染させるメールの受信をブロック

件名：
Agreement
Comments for
Customer Feedback Information
Files for
General Enquiry
INFO (PRODUCTION)
Notice
Re: FW:
Re: Re:
Urgent info!
Signed Agreement
Mail from
Application pack
RE:

※この件名の後にメールアドレスや名前などの文字が続く可能性があります。
※他にも多数の件名があると考えられます。


添付ファイル名：
DATA_20191015_761286.doc
FILE 20191015 F562920.doc
File 20191015 5467908.doc
INFO-6730210.doc
Mail-2019_10_15-432250.doc
Mail-2019_10_15-N246972.doc
PACK 2019_10_15 HSP14884.doc
comments 20191015 A643.doc
comments 2019_10_15 XFO1774.doc
doc_20191015_MU78097.doc
list 2019_10_15 1092.doc
INFO_20191016_8824.doc
919 20191016.doc
Documents.doc
DOC_20191016_J820.doc
MES_571.doc

※弊社で観測した添付ファイル名を載せています。
※他にも多数の添付ファイル名があると考えられます。


添付ファイルハッシュ値：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感染プロセス
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://www[.]offmaxindia[.]com/wp-includes/smu471/
hxxp://ahenkhaircenter[.]com/blogs/k8iuno285918/
hxxps://dieutrixuongkhop[.]xyz/wp-admin/rts7nl6310/
hxxp://bluem-man[.]com/wp-content/uploads/2019/10/btrua567818/
hxxps://agusbatik[.]xyz/wp-includes/5e6252/

または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://rastreon[.]com/wp-admin/901/
hxxp://www[.]offmaxindia[.]com/wp-includes/smu471/
hxxp://ahenkhaircenter[.]com/blogs/k8iuno285918/
hxxp://bluem-man[.]com/wp-content/uploads/2019/10/btrua567818/
hxxps://agusbatik[.]xyz/wp-includes/5e6252/

または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxps://filegst[.]com/wp-admin/Kl/
hxxps://www[.]merceko[.]com/wp-content/1ek7/
hxxps://kampusmania[.]com/wp-content/4f2c8/
hxxps://vps333[.]com/07h31/1gjy9/
hxxp://nuttlefiberart[.]com/wp-admin/eIDCaO/

または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://dsiun[.]com/wp-content/plugins/ku799fw5/
hxxps://kenoryn[.]com/wl96sonk/3twu0732/
hxxps://monteriaradio38grados[.]com/93dqf1b/2778/
hxxp://digitalvriksh[.]com/database/g31259/
hxxps://ncaaf-live-broadcast[.]xyz/wp-admin/v532/

※ 接続しようとしたURLは、不要なアクセスを避けるため、一部変更しております。


製品対応状況
▽m-FILTER
　偽装レベル4以上
　　・添付ファイル偽装判定
　アンチスパム
　　・システムフィルター判定
→「隔離/削除設定」でブロック可能


▽i-FILTER
hxxp://www[.]offmaxindia[.]com/wp-includes/smu471/
　2019年10月15日[企業・ビジネス・業界団体]→[脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)

hxxp://ahenkhaircenter[.]com/blogs/k8iuno285918/
　2019年10月15日[違法ソフト・反社会行為]→[脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)

hxxps://filegst[.]com/wp-admin/Kl/
hxxps://kampusmania[.]com/wp-content/4f2c8/
　2019年10月15日[IT情報・サービス]→[脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)

hxxps://dieutrixuongkhop[.]xyz/wp-admin/rts7nl6310/
hxxp://bluem-man[.]com/wp-content/uploads/2019/10/btrua567818/
hxxps://agusbatik[.]xyz/wp-includes/5e6252/
hxxp://rastreon[.]com/wp-admin/901/
hxxps://www[.]merceko[.]com/wp-content/1ek7/
hxxps://vps333[.]com/07h31/1gjy9/
hxxp://nuttlefiberart[.]com/wp-admin/eIDCaO/
　2019年10月15日 [カテゴリ外](※1)→[脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)

hxxp://dsiun[.]com/wp-content/plugins/ku799fw5/
　2019年10月16日[カテゴリ外](※1)→[脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)

hxxps://monteriaradio38grados[.]com/93dqf1b/2778/
　2019年10月16日[IT情報・サービス]→[違法ソフト・反社会行為]を追加
　2019年10月17日[脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)

hxxps://kenoryn[.]com/wl96sonk/3twu0732/
hxxp://digitalvriksh[.]com/database/g31259/
hxxps://ncaaf-live-broadcast[.]xyz/wp-admin/v532/
　2019年10月16日[カテゴリ外](※1)→[違法ソフト・反社会行為]を追加
　2019年10月17日[脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)


（※1）「推奨フィルタ―設定」でブロック可能
（※2）i-FILTER Ver.10のみ
（※3）i-FILTER Ver.10.3以降、ファイルのダウンロードをブロック可能


マルウェアEmotetの拡散経路や感染プロセスについて、詳細は以下セキュリティレポートをご覧ください。
改ざんサイトからダウンロードされるEmotet