FortiGuard Labs 脅威リサーチ
税理所員は眠らない
ほとんどの人にとって、税金とは疑いのないものです。通常、アメリカやカナダでは、春に個人や企業が納税申告書を提出します（ただし、新型コロナウイルス感染症の影響で、希望者には延長が認められました）。そのため、11月初旬に国税庁（IRS）から送られてきたと思われる納税申告書を含むEメールを目にしたとき、私たちは興味をそそられました。
影響を受けるプラットフォーム： Windows
影響を受けるユーザー： Windowsユーザー
影響： さらなる目的を達成するために追加のマルウェアを展開する可能性
深刻度： 中
FortiGuard Labsが発見したEメールは、当然のことながら悪意のあるものでした。ただ興味深いのは、このメールが最近復活したEmotetグループによって送信されたものであったという点です。Emotet（別名：GeodoおよびHeodo）は、金融機関を標的にするトロイの木馬として誕生しましたが、その後、複数の脆弱性を悪用して被害者を危険にさらす可能性のある万能ツールに変貌を遂げました。一度システムに感染すると、その後は通常、追加のペイロードが送り込まれます。また、モジュール型であるため、ユーザーが簡単にカスタマイズできます。この柔軟性と回復力は、少なくとも一度、2021年に業界と法執行機関が協調して取り締まりを行った際にもEmotetがなんとか持ちこたえた理由の1つです。
フィッシングメール
このフィッシングメールは、「IRS.gov」を名乗っているが、パキスタンのある組織の不正なEメールアカウントから発信されたものです。件名と本文には、受信者のIRS K-1フォームが、パスワード「0440」で暗号化されたZipアーカイブに添付されていると記載されています。
Schedule K-1とは、企業や金融機関のパートナー、または小規模会社の株主の収入、損失、配当を国税庁に報告するための米国連邦税の書類です。このフォームの内容は、個人の年間納税申告書に追加しなければならないため、個人所得税の提出期限である4月15日の1ヵ月前（3月15日）に提出しなければなりません。このため、11月8日にSchedule K-1フォームがメールに添付されているのを見たときには、注意が必要でした。
図1：フィッシングメール
Eメールには、Zipアーカイブである「K-1 form.zip」と国税庁のロゴ画像が添付されています。
K-1 form.zip
図2：暗号化され、パスワードで保護されたZipアーカイブ
この「K-1 form.zip」ファイルは、暗号化されたZipアーカイブで、解凍にはパスワードが必要です。Eメールの本文に、パスワード「0440」が記載されています。これにより、「K-1 form.xls」を開くことができます。
K-1 form.xls
ファイルを開くと、興味深いバナーとともにExcelのスプレッドシートが表示されます。このバナーでは、「セキュリティポリシーの要件に従って」、使用しているMicrosoft Officeのいずれかのバージョンの「Templates」ディレクトリにファイルをコピーし、ファイルを再起動するようにユーザーに促しています。
図3：ユーザーに表示されるK-1 form.xls
このファイルには複数のワークシート（合計7つ）が含まれています。そのうち6つのシートは保護されているため、変更できず、ユーザーはその内容を直接見ることはできません。
ご推察のとおり、このスプレッドシートには悪意のあるExcel 4.0マクロが含まれています。「Manage Names」の「Excel_BuiltIn_Auto_Open」エントリは、ブック内で保護されていない唯一のシートのセルで、コマンドを実行するように設定されています。
図4：スプレッドシートの自動オープン設定
Sheet6を詳しく見ると、G列が非表示になっていることがわかります。
図5：E列、F列、H列は表示（G列は非表示）
Pythonスクリプトにより、この悪意のあるファイルがどのように機能するかについて、詳細が明らかになります。
図6：K1 form.xlsの詳細が表示されていない
Pythonライブラリ「openpyxl」を使用することで、各ワークシートで非表示になっている詳細を表示することができました。図6に示すように、いくつかの行と列に非表示のコンテンツがあります。
たとえば、「Sheet4」のデータを掘り下げると、いくつかのURLの断片が明らかになります。
図7：Sheet4に含まれるURLの断片
さらにスクリプトが実行され、これらの断片がつなぎ合わせられます。
図8：URLの断片をつなぎ合わせたもの
これにより、次段階のペイロードの4つのダウンロード場所が明らかになります。
図9：考えられるペイロードのダウンロード場所
ダウンロードしたペイロードは、使用されるURLに応じて、oxnv1.ooccxxからoxnv4.oocccxxとして保存されます。次に、「C:\Windows\System32\regsvr32.exe /S ..\oxnv[n].ooccxx」コマンドで、このペイロードを「regsvr32.exe」経由で呼び出し、起動しようとします。
この実行ファイルはEmotetです。
oxnv[n].ooccxx
Emotetのペイロードは、Windows Dynamic Link Library（DLL）ファイルです。分析の結果、このキャンペーンのEメールが送信される直前に編集されたことがわかりました。
図10：Emotetファイルのタイムスタンプ
珍しいことに、このDLLには270を超えるエクスポート関数があります。
図11：エクスポート関数の一部のリスト
図11に示すように、関数名はランダム化されています。大半は呼び出し元への返送を提供します。これは、分析対策、デバッグ対策の手法と思われます。
図12：典型的なエクスポート関数
図13：コードと同じ関数
「oxnv[n].ooccxx」が実行されると、「C:\Windows\System32」の下のランダムな名前のディレクトリにコピーされ、その後同じくランダムな名前に変更されます。regsvr32.exeのプロセスが再起動され、名前が変更されたファイルが新しい場所で使用されます。
図14：「C:\Windows\System32」の下にあるランダムな名前のディレクトリ
図15：ランダムな名前のディレクトリ内のランダムな名前のDLL
図16：プロセスの再起動
Emotetが起動すると、Command and Control（C2）サーバーノードの1つに接続を試みます。この例では、20個のIPが使用されます（以下のIOC（Indicators of Compromise：侵害指標）セクションに示されています）。マルウェアは、つながるまで順にループします。マルウェアは、試行が失敗すると一時停止してから、必要なだけもう一度サイクルします。
結論
国税庁が与える恐怖ほど、特に納税の季節においては、新しいフィッシングの誘い文句に騙されてしまいそうです。国税庁が納税者にメールで連絡することはないとはいえ、国税庁から連絡があったと考えることほど、受信者に行動を起こさせる（結果的に警戒心をなくさせる）ものはないでしょう。この脅威は、税金に関連して行われるフィッシングの通常の期間外に配信されたため、特に興味深いものです。また、Emotetや他に類似する脅威アクターは、恐怖によって受信者の警戒心が麻痺してしまうことを狙っているため、このような通常とは異なるEメールを受け取った場合、慎重に扱うことが最善であるという警告にもなります。
フォーティネットのソリューション
フォーティネットのお客様は、以下のように、FortiGuardのWebフィルタリング、アンチウイルス、FortiMail、FortiClient、FortiEDRサービスを通じて、このマルウェアからすでに保護されています。
以下の（アンチウイルス）シグネチャは、このブログで紹介したマルウェアサンプルを検知します。
MSExcel/Agent.DKF!tr.dldr
W32/Emotet.PACA!tr
Webフィルタリングクライアントは、ネットワーク上のすべてのURLをブロックします。
フォーティネットは、ユーザーがフィッシングの脅威を理解し、検知するためのトレーニングを支援するように設計された複数のソリューションを提供しています。
FortiPhishフィッシングシミュレーションサービスでは、実際の攻撃をシミュレーションし、フィッシングの脅威に対するユーザーの認識や備えをテストするほか、フィッシング攻撃を受けた場合の適切な対処方法を訓練および強化できます。
組織ではこれらの保護に加え、フォーティネットが無償で提供するNSEトレーニング：NSE 1 – 情報セキュリティ意識向上の受講をお勧めします。このトレーニングには、インターネットの脅威に関するモジュールが含まれ、エンドユーザーは各種のフィッシング攻撃を識別して自らを保護する方
IOC（Indicators of Compromise：侵害指標）
ファイルベースIOC：
ファイル名 |
SHA256 |
K-1 form.zip |
be2bb6f684cd23a66667a563a78ebfa43de4bb958dc0465a830229a9b927b714 |
K-1.xls |
8c3cfdd7e1e162129eedf2c3d9f6f63c133622bfe5d04bccbd823486a85b69ed |
oxnv[n].ooccxx
|
9efdbe83c874a14282b0105fcec8dc46d9ba1de6496f5d570fa14915b8fd3285 |
ネットワークベースIOC:
IOC（Indicators of Compromise：侵害指標） |
IOCタイプ |
hXXp://www[.]spinbalence[.]com/admin3693/Z6WQpmNRNj6041fU2zpt/ |
C2 |
hXXp://kabaruntukrakyat[.]com/wp-content/ES/ |
C2 |
hXXps://chobemaster[.]com/INFECTED/LEdXM4gdwN4mgnlC/ |
C2 |
hXXp://cngst[.]com/data/fXWpDbJ3KwAybE/ |
C2 |
45[.]235[.]8[.]30:8080 |
C2 |
94[.]23[.]45[.]86:4143 |
C2 |
119[.]59[.]103[.]152:8080 |
C2 |
169[.]60[.]181[.]70:8080 |
C2 |
164[.]68[.]99[.]3:8080 |
C2 |
172[.]105[.]226[.]75:8080 |
C2 |
107[.]170[.]39[.]149:8080 |
C2 |
206[.]189[.]28[.]199:8080 |
C2 |
1[.]234[.]2[.]232:8080 |
C2 |
188[.]44[.]20[.]25:443 |
C2 |
186[.]194[.]240[.]217:443 |
C2 |
103[.]43[.]75[.]120:443 |
C2 |
149[.]28[.]143[.]92:443 |
C2 |
159[.]89[.]202[.]34:443 |
C2 |
209[.]97[.]163[.]214:443 |
C2 |
183[.]111[.]227[.]137:8080 |
C2 |
129[.]232[.]188[.]93:443 |
C2 |
139[.]59[.]126[.]41:443 |
C2 |
110[.]232[.]117[.]186:8080 |
C2 |
139[.]59[.]56[.]73:8080 |
C2 |
詳しくは、フォーティネットのFortiGuard Labs脅威リサーチ / グローバルインテリジェンス部門、およびFortiGuardのAIを活用したセキュリティサービスのポートフォリオを参照してください。
