11月に流行ったIcedIDと呼ばれる標的型攻撃のメール．NRIセキュアの分析結果が発表されていました．


【検証】マルウェア「IcedID」の検知傾向と感染に至るプロセスを徹底解説
https://www.nri-secure.co.jp/blog/explaining-the-tendency-of-malware-icedid

　mshta.exeをリネームしているのか．mshta.exeはMicrosoft HTML Application Hostといわれる古典的なWebエンジンだけれど，これを悪用するのか．
　WindowsとInternet Explorerが一体化したころｗから存在していると思うけれど，実質役目を終えているが互換性のために残っているのだと思う（想像）　そして悪用されちゃう．

　滅多に起動されないので，LOLBAS としてプログラム起動は検知するようにしているけれど，ハッシュ値でも登録しといたほうがいいな．

　あと，感染してしまっている場合，revopilte3[.]club、aweragiprooslk[.]cyou へのビーコン通信があるそうだから，プロキシログみチェックだね．