不正URLへのアクセス、不正メールの受信

メール受信した
弊社お客様3社 URLアクセスした
弊社お客様0社

2019/10/23
※2019/10/23 更新
10/22から発生していたマルウェアEmotetに感染させるメールの受信をブロック

件名：
Application pack
Mail
ドキュメント
メッセージ
情報 

※この件名の後にメールアドレスや名前などの文字が続く可能性があります。
※他にも多数の件名があると考えられます。


添付ファイル名：
331677_20191022.doc
6148 20191022.doc
794930 20191022.doc
Details_2019_10_22_S91550.doc
Documents-595.doc

※弊社で観測した添付ファイル名を載せています。
※他にも多数の添付ファイル名があると考えられます。


添付ファイルハッシュ値：
f98dfe7d249f0e31ea87b354eabc00028302d8e35d1d0d5d95fbbfb917e4860c
10c4581857fe680845c309cc7c5d25f62ac53289a7a3f0d2dcbff7569870a81e

※弊社で観測したハッシュ値を載せています。
※他にも多数のハッシュ値があると考えられます。


感染プロセス
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://www[.]solapurnaturals[.]com/wp-content/fhh67750/
hxxp://www[.]thevisionrecordsllc[.]com/wp-content/qpy348648/
hxxp://greenstalkproducts[.]com/cgi-bin/q0a44274/
hxxps://hsrvn[.]com/a/r03/
hxxp://egemennakliye[.]com/wp-includes/z3iw5037/

または
メール受信
↓
添付ファイルを開き、マクロを有効化する
↓
hxxp://www[.]quwasolutions[.]com/wp-includes/u3qtj/
hxxps://www[.]rccgfaithimpact[.]org/a/fXdqOez/
hxxp://shreeagaramschool[.]com/agaram/ogAHP/
hxxps://billiontexting[.]com/sdlkitj8kfd/xse6jxl/
hxxp://www[.]lemongrasshostel[.]net/sdlkitj8kfd/j2y/


※ 接続しようとしたURLは、不要なアクセスを避けるため、一部変更しております。


製品対応状況
▽m-FILTER
　偽装レベル4以上
　　・添付ファイル偽装判定
　アンチスパム
　　・システムフィルター判定
→「隔離/削除設定」でブロック可能

▽i-FILTER
hxxp://www[.]solapurnaturals[.]com/wp-content/fhh67750/
hxxp://www[.]thevisionrecordsllc[.]com/wp-content/qpy348648/
hxxps://hsrvn[.]com/a/r03/
hxxp://egemennakliye[.]com/wp-includes/z3iw5037/
hxxp://www[.]quwasolutions[.]com/wp-includes/u3qtj/
hxxps://www[.]rccgfaithimpact[.]org/a/fXdqOez/
hxxp://shreeagaramschool[.]com/agaram/ogAHP/
hxxps://billiontexting[.]com/sdlkitj8kfd/xse6jxl/
hxxp://www[.]lemongrasshostel[.]net/sdlkitj8kfd/j2y/
　2019年10月22日[カテゴリ外](※1)→[違法ソフト・反社会行為]を追加
　2019年10月23日[脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)

hxxp://greenstalkproducts[.]com/cgi-bin/q0a44274/
　2019年10月22日[企業・ビジネス・業界団体]
　2019年10月23日[脅威情報サイト](※2)を追加
　　ダウンロードフィルター(※3)


（※1）「推奨フィルタ―設定」でブロック可能
（※2）i-FILTER Ver.10のみ
（※3）i-FILTER Ver.10.3以降、ファイルのダウンロードをブロック可能


マルウェアEmotetの拡散経路や感染プロセスについて、詳細は以下セキュリティレポートをご覧ください。
改ざんサイトからダウンロードされるEmotet