マルウェア開発者へ。これはどうすればいいですか ?


By アンドリュー・ブラント / Andrew Brandt

この 1 年間で多数の感染をもたらした Tacticlol ダウンローダーは、メッセージに添付した .zip アーカイブとドライブバイ ダウンロードの 2 通りの方法で感染を広げてきました。スパム フィルター提供企業がついにこの罠に気付いたのか、Tacticlol の開発者が単に混乱させようとしているだけなのかわかりませんが、一方的に送られてきた最新のサンプルには頭を悩ませられました。

他のサンプルと同様、このサンプルも UPS が決して送らないメッセージに見せかけたメールに添付されて届きました。これまでと同様にこのメッセージも、添付ファイルは出荷ラベルであり、「荷物を受け取る」にはこのファイルを開いて印刷する必要があると受信者を信じさせようとします。そしていつものように、この添付ファイルにはトロイの木馬の実行可能なインストーラーが含まれています。

Dear customer (お客様)

Your parcel has arrived at the post office on October 9. Our
Driver was unable to deliver the parcel to your address. (10 月 9 日にお客様のお荷物が郵便局に届いておりますが、弊社のドライバーがお客様のご住所にお届けできませんでした。)
To receive a parcel you must go to the nearest UPS office and
show your mailing label. (お荷物をお受け取りいただくには、最寄りの UPS オフィスにお越しいただき、お客様の宛名ラベルをご提示いただく必要があります。)
Mailing label is attached to this letter. (宛名ラベルはこのメールに添付されています。)

You need to print mailing label, and show it in UPS office to
receive the parcel. (この宛名ラベルを印刷し、UPS オフィスでご提示の上、お荷物をお受け取りください。)

Thank you for your attention. (よろしくお願いいたします。)
UPS International Services. (UPS インターナショナル サービス)

ただし今回は、.zip 拡張子の .zip アーカイブではなく .jpg 拡張子の .zip アーカイブを添付したメッセージが送信されていました。もちろん、機能するわけがありません。

このファイルは JPEG 画像ファイルではありません。ブラウザーや画像エディターで開こうとすると、このファイルは画像ファイルではないというエラーが表示され、お語はそこでおしまいになります。ロシアのマルウェア開発者の何人かは、完璧に機能していた詐欺を無駄にしたことに 2 人並んで手で顔を覆っていることでしょう。ソーシャル エンジニアリングは失敗です。

ただし、好奇心旺盛なマルウェア研究者なら、このファイルをエディターで開き、ファイル ヘッダーに PK とあるのを見て、これがアーカイブであることに気付きます (PK-Zip の場合、.zip アーカイブの先頭は常に「PK」の 2 文字となります)。


GT2 などのツールでこのことを確認したところ、アーカイブ内の実際のペイロードのファイル名は非常になじみのある Label_UPS_Nr343.exe だとわかりました。

彼らはまだ、ロシア語の「number」 (HOMEP、発音は「ノメール」) の略語 (HP) である「Nr」を使っているのです。君たち、せめて頑張ってるふりをしてみせてくれませんかね。このソーシャル エンジニアリングの落ちこぼれの頑迷さをデモンストレーションするには、3 人並んで手で顔を覆う必要がありそうです。それも、デモンストレーション番号 1 番でです。

研究者でないユーザーがどのくらい感染するか、正確にはわかりません。最も賢明なユーザーは、UPS がメールを送ってくることはあっても、このメッセージとは異なり、この運送業者が自分たちの倉庫を「郵便局」と呼ぶはずがないと気付くことでしょう。また、ユーザーがこのメッセージを削除せずに画像ファイルを装ったアーカイブを無駄に開こうとしても、コンピューターはファイル タイプが正しくないというメッセージを表示して、ファイルを開くことをやめるだけでしょう。

幸いなことに、私はそう簡単にあきらめるたちではなく、何かを打ち破るのが大好きです。次の投稿では、このダウンローダーがもたらす非常に迷惑なマルウェアの親切さについてご説明します。

wordpress blog stats