マルウェア

マルウェアの共闘: EmotetとTrickbotをプッシュするマルスパム

4 min read

概要

EmotetおよびTrickbotは、Windowsベースのコンピュータを標的とした情報窃取マルウェアです。これらは、バンキングマルウェアとしても有名です。通常これらは、それぞれ別の悪意のあるスパム(マルスパム)キャンペーンを介して配布されます。しかし、当社は今回、単一の感染チェーンで両方のマルウェアを観測しました。このEmotetとTrickbotの組み合わせにより、脆弱なWindowsホストの危険は倍増します。

2018年が経過するなか、依然としてTrickbotは、独自のマルスパムキャンペーンによって送信されていますが、Emotetを別の配布手法として使用するTrickbotの例も引き続き観測されています。EmotetおよびTrickbotに関する多くの記事は、個々のマルウェアの特性に重点を置いており、成功している感染チェーンの全体像について説明したものはほとんどありません。

このブログ投稿では、2018年のこれまでのEmotetマルスパムを精査し、Trickbotに焦点を当ててEmotet感染トラフィックについて詳しく考察します。

類似性

EmotetおよびTrickbotは、異なるマルウェアファミリですが、類似点がいくつかあります。どちらも、スパムやワームベースの拡散などの役割を果たす追加モジュールをロードできる情報窃取マルウェアです。また、昨年ごろには、どちらのマルウェアも最初の感染ベクトルとしてMicrosoft Word文書を使用するマルスパムを介して配布されていました。

Emotet

Emotetは、バンキングマルウェアとして2014年夏に初めて報告されましたが、以降進化しています。2017年には、さまざまな情報源でEmotetがDridexなど他のマルウェアのローダーとしての役割を果たしたことが報告されています。ある情報源によると、TrickbotをロードするEmotetが報告されており、今回の組み合わせに前例があったことがわかります。

2018年、Emotet感染トラフィックで、通常のフォローアップマルウェアとして、IcedIDバンキングトロイまたはZeus Panda Bankerが明らかになりました。2018年6月から、私はフォローアップマルウェアとしてTrickbotを伴ったEmotet感染トラフィックの例について投稿を開始しました。また、フォローアップマルウェアとしてスパムボットマルウェアも観察されており、この場合、感染したWindowsホストは多数のEmotetマルスパムを送出します。

現在のEmotetの感染は、Word文書内の悪意のあるマクロから始まります。マクロは、Microsoft Officeではデフォルトで無効に設定されています。ユーザーがセキュリティ警告を無視して、脆弱なWindowsホスト上でマクロを有効にすると、悪意のあるWord文書が感染チェーンを開始します。これらのマクロは、侵害されたサーバーからEmotetマルウェアを取得して、被害者のコンピュータに感染するよう設計されています。Emotetをプッシュするマルスパムは、以下の2つの標準的な手法のいずれかを使用して、最初のWord文書を配信します。

被害者が、電子メールのリンクから最初のWord文書を受け取る。
リンクのない受信者の電子メールにWord文書が直接添付されている。

図1: 2018年の現時点までのEmotet感染チェーン

Trickbot

Trickbotが初めて観測されたのは2016年秋で、最初は、認証情報窃取マルウェアであるDyrezaの後継と説明されていました。Trickbotは、モジュール型マルウェアで、電子メールスパマーなど他の機能も有しています。最も注目すべき機能は、横方向への展開です。2017年7月までは、Trickbotには、SMBベースのワーム拡散モジュールが追加されていましたが、エクスプロイトは含まれていませんでした。

2018年6月以降、私はmalware-traffic-analysis.netでSMB拡散を伴うTrickbot感染トラフィックの例について投稿し、Trickbotが感染したWindowsクライアントから脆弱なActive Directory (AD)ドメインコントローラに侵攻することを指摘してきました。TrickbotのSMBにおける横展開は、2017年に指摘されたWannaCryのEternalBlue実装とは明確に違うため、この手法によるSMB拡散は、Trickbot作成者が開発した別のエクスプロイトをベースにしていると思われます。

Trickbotは、通常独自のマルスパムベースの配布チャネルを持っていますが、現在のTrickbot攻撃者は、Emotetも使用して感染拡大を図っています。

Emotet配布

2018年6月11日月曜日から始まる一週間で、Emotetをプッシュする、米国国税庁(IRS)をテーマにしたマルスパムが米国の受信者に大量に送信されたことを観測しました。使用されたテーマはIRSだけではありませんが、このテーマが突出して目立っていました。2018年7月4日までの数日間には、Emotetをプッシュする、独立記念日をテーマにしたマルスパムが米国の受信者に送信されたことも観測しています。

以下は、2018年6月11日以降の最新のEmotetをプッシュするマルスパムで観測された、なりすましの送信者および件名のいくつかの例です。

なりすましの送信者:

From: [さまざまななりすましの送信者名および電子メールアドレス]
From: Internal Revenue Service <[なりすましの電子メールアドレス]>
From: Internal Revenue Service Online <[なりすましの電子メールアドレス]>
From: Internal Revenue Service Online Center <[なりすましの電子メールアドレス]>
From: IRS <[なりすましの電子メールアドレス]>
From: IRS <irsonline@treasury.gov> <[なりすましの電子メールアドレス]>
From: IRS <Press@treasury.gov> <[なりすましの電子メールアドレス]>
From: IRS <Transcript@treasury.gov> <[なりすましの電子メールアドレス]>
From: IRS Online Center <[なりすましの電子メールアドレス]>
From: IRS.gov <[なりすましの電子メールアドレス]>
From: Intuit <[なりすましの電子メールアドレス]>
From: Intuit Online Payroll Support Team <[なりすましの電子メールアドレス]>
From: Intuit Payroll <[なりすましの電子メールアドレス]>
From: Intuit Payroll Services <[なりすましの電子メールアドレス]>

件名:

Subject: 4th of July congratulation
Subject: 4th of July eCard
Subject: 4th of July Greeting eCard
Subject: Happy 4th of July Greeting Message
Subject: Record of Account Transcript from June 14, 2018
Subject: Tax Account Transcript from June 14, 2018
Subject: The Fourth of July wishes
Subject: Verification of Non-filing Letter
Subject: Verification of Non-filing Letter from 06/15/2018
Subject: Wage and Income Transcript
Subject: 0335363294
Subject: 2142 Payroll Summary
Subject: 3291 Payroll Summary
Subject: ACCOUNT#94895547-Milan Marsic
Subject: Engr.Abdul Rauf Invoice 8288592
Subject: Invoice 897614 from Patrick Bingham
Subject: Invoices Overdue
Subject: IRS Record of Account Transcript
Subject: IRS Record of Account Transcript from 06/14/2018
Subject: IRS Record of Account Transcript from 06/15/2018
Subject: IRS Record of Account Transcript from 06/14/2018
Subject: IRS Record of Account Transcript from 06/15/2018
Subject: IRS Tax Return Transcript from 06/12/2018
Subject: IRS Tax Return Transcript from June 11, 2018
Subject: IRS Tax Account Transcript
Subject: IRS Tax Account Transcript from 06/15/2018
Subject: IRS Tax Account Transcript from 06/15/2018
Subject: IRS Tax Return Transcript
Subject: IRS Verification of Non-filing Letter
Subject: IRS Verification of Non-filing Letter from 06/11/2018
Subject: IRS Verification of Non-filing Letter from 06/12/2018
Subject: IRS Verification of Non-filing Letter from 06/11/2018
Subject: IRS Verification of Non-filing Letter from June 14, 2018
Subject: IRS Wage and Income Transcript
Subject: IRS Wage and Income Transcript from 06/14/2018
Subject: IRS Wage and Income Transcript from June 11, 2018
Subject: IRS Wage and Income Transcript from June 15, 2018
Subject: New Invoice / WM2708 / RP# 09648
Subject: New Payroll Co.
Subject: NYPXV7-16497063849
Subject: Pay Invoice
Subject: Payment
Subject: Payroll Tax Payment
Subject: Scott Crowe The 4th of July Greeting eCard

これらの各電子メールには、Word文書が添付されているか、または、Word文書をダウンロードするためのリンクが含まれていました。

図2: マルスパム内のリンクを介して配信されたEmotet Word文書

図3: 添付ファイルとして配信されたEmotet Word文書

Emotetのレベルは2018年5月に急上昇し始める

Autofocusは、過去1年間のEmotetマルスパムの増加傾向を示しており、2018年5月にEmotet Word文書が急増し始めています。以下は、リンクまたは添付ファイルを介してEmotetとして確認されたヒット数のグラフです。リンクのヒット数は、Emotet Word文書をダウンロードするURLへのリクエストが確認された回数です。添付ファイルのヒット数は、Emotet Word文書がメッセージに添付されていることが確認された電子メールの数です。

図4: 2017年5月～2018年5月のEmotet Word文書のヒット数

図5: 2018年5月のEmotet Word文書のヒット数

Active Directory環境でのEmotet感染

2018年6月15日のmalware-traffic-analysis.netの筆者のブログ投稿に、Emotetマルスパムからの感染トラフィックの例が記載されています。この分析は、Windows Server 2008 R2のパッチが未適用なバージョンを実行するドメインコントローラーを使用したActive Directory (AD)環境で実施されました。Windowsクライアントは、Windows Professional 7 Service Pack 1のパッチが未適用なバージョンを実行していました。

図6: AD環境で成功を収めたEmotet+Trickbot感染チェーン

図7: Wireshark内でフィルターされた感染からのトラフィック

図7は、192.168.200.95にあるWindowsクライアントでのEmotetからの初期感染トラフィック、続いて、同じホストでのTrickbot感染トラフィクを示しています。

Trickbotは、SMBを介して、Windowsクライアントから192.168.200.4にある脆弱なドメインコントローラーに伝播しました。約20分後に、脆弱なADドメインコントローラーはTrickbot感染の兆候を示しています。

図8は、Trickbotが192.168.200.4にあるドメインコントローラーに送信されたトラフィックを示しています。

図8: Trickbotがドメインコントローラーに送信された、Wireshark内のSMBトラフィック

結論

この活動は、Emotetの大量配信の増加と、Trickbotの横方向の展開機能を組み合わせています。Emotet+Trickbotの組み合わせは、より強力な感染を表しており、脆弱なWindowsホストにとっての危険性を倍増させています。

適切なスパムフィルタリング、適切なシステム管理、および最新のWindowsホストを装備している組織は、感染のリスクがかなり低くなります。パロアルトネットワークスのお客様は、この脅威から保護されています。当社の脅威防御プラットフォームは、EmotetとTrickbotの両方のマルウェアを検出します。AutoFocusをご使用のお客様は、EmotetおよびTrickbotタグで、この活動を調べることができます。

当社は、対象のインジケータを見つけてこの活動を引き続き調査します。そして、さらなる情報をコミュニティに提供し、脅威防御プラットフォームの強化に努めていきます。

付録A

2017年5月～2018年5月のEmotet Word文書のヒット数:

月/年: リンク - 添付ファイル - 合計

2017年5月: 8,423 - 1,421 - 9,844
2017年6月: 1,154 - 173 - 1,327
2017年7月: 2,868 - 390 - 3,258
2017年8月: 3,273 - 3,803 - 7,076
2017年9月: 4,650 - 2,211 - 6,861
2017年10月: 9,289 - 3,407 - 12,696
2017年11月: 10,676 - 1,737 - 12,413
2017年12月: 10,499 - 217 - 10,716
2018年1月: 5,287 - 2 - 5,289
2018年2月: 16,637 - 265 - 16,902
2018年3月: 29,801 - 2,680 - 32,481
2018年4月: 6,138 - 3,533 - 9,671
2018年5月: 13,150 - 289,308 - 302,458

付録B

2018年5月のEmotet Word文書のヒット数:

日付: リンク - 添付ファイル - 合計

2018/05/01: 383 - 0 - 383
2018/05/02: 45 - 437 - 482
2018/05/03: 43 - 150 - 193
2018/05/04: 41 - 604 - 645
2018/05/05: 38 - 0 - 38
2018/05/06: 36 - 0 - 36
2018/05/07: 218 - 711 - 929
2018/05/08: 476 - 9 - 485
2018/05/09: 65 - 1 - 66
2018/05/10: 155 - 957 - 1,112
2018/05/11: 47 - 25 - 72
2018/05/12: 26 - 0 - 26
2018/05/13: 45 - 5 - 50
2018/05/14: 350 - 19 - 369
2018/05/15: 1,274 - 325 - 1,599
2018/05/16: 1,119 - 10,929 - 12,048
2018/05/17: 746 - 19,311 - 20,057
2018/05/18: 386 - 27,437 - 27,823
2018/05/19: 61 - 270 - 331
2018/05/20: 60 - 234 - 294
2018/05/21: 1,632 - 9,098 - 10,730
2018/05/22: 381 - 4,656 - 5,037
2018/05/23: 920 - 7,050 - 7,970
2018/05/24: 536 - 5,169 - 5,705
2018/05/25: 481 - 4,206 - 4,687
2018/05/26: 78 - 134 - 212
2018/05/27: 171 - 743 - 914
2018/05/28: 734 - 13,105 - 13,839
2018/05/29: 1,678 - 35,909 - 37,587
2018/05/30: 566 - 109,409 - 109,975
2018/05/31: 359 - 38,405 - 38,764
合計: 13,150 - 289,308 - 302,458

マルウェアの共闘: EmotetとTrickbotをプッシュするマルスパム

概要