前回の2016年6月17日に、バンキングトロージャン「Beloh」感染を狙った日本への攻撃が急増として取り上げましたが、その後も様々な日本語スパムメールでの攻撃が相次いで確認されています。
※ハンキングトロージャンとは、利用者のログイン、パスワードなど情報を盗み取る特徴を持っています。

いずれもESETでは「Win32/Spy.Bebloh.K」として検出するもので、前回ご紹介したものと亜種であることはすでに確認されています。2016年6月26日から6月29日かけて確認されている日本語による攻撃メールを以下に取り上げます。

これまでに確認されているバンキングトロージャン「Bebloh」感染を狙ったメール例

メール例1　出金取引をかたるメール

○件名
出金

○メール本文
出金取引をお知らせします。

利用日　　：平成28年6月29日
利用内容　：契約者貸付
利用金額　：170,000円
うち手数料：0円
利用先　　：インターネット
（送信番号631630T5522N000789）

◇ご連絡◇◇◇◇◇◇◇◇◇◇◇◇◇◇◇
℡03-○○○○－4976
Fax03-○○○○－4437

※電話番号は伏せています。

○添付ファイル
「19ELFVXPA545EPM3UG.zip」など

メール例2　管理費をかたるメール

○件名
ご確認

○メール本文
阪本様

お世話になっております。
月額管理費ですが、月額487,000円で認識はあっていますでしょうか。
宜しくお願いします。

※金額の数字はランダムに入ります。

○添付ファイル
「SKMBT_○○○○_(10桁数字).zip」

メール例3　ヤマト運輸をかたるメール

○件名
出金

○メール本文
■お届け予定日時
6月30日 時間帯希望なし

※お届け予定日時につきましては、ゴルフ・スキー・空港宅急便（施設宛）の場合、プレー日（搭乗日）を表示しております。

■品名：****************
■商品名：宅急便
■ご依頼主：
■伝票番号：8840－7844－6601

ヤマト運輸株式会社

○添付ファイル
「19ELFVXPA545EPM3UG.zip」など

メール例4　保安検査をかたるメール

○件名
保安検査

○メール本文
いつも大変お世話になっております。

添付ファイルをご確認ください。

○添付ファイル
「SKMBT_○○○○_(10桁数字).zip」

メール例5　銀行をかたるメール

○件名
（銀行）お振込受付のお知らせ

○メール本文
～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～
※本メールは、セキュリティ強化のため、電子署名をつけてお送りしています。
～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～∞～

2016年6月16日にお振り込みを受け付けいたしましたので、ご連絡いたします
（受付番号　20160616-001）。

本メールは、お取引の受付確認のために送信しております。
送信を中止することはできませんので、あらかじめご了承ください。

なお、お取引につきましては【入出金明細照会】等でもご確認ください。


──■□────────────────────────────────────□■──

■お問い合わせ先
　 ＜インターネットバンキングヘルプデスク＞

■本メールの送信アドレスは送信専用となっております。返信メールでのお問
　い合わせは承りかねますので、あらかじめご了承願います。

────────────────────────────────────
no:70767167545

メール例6　支払催促をかたるメール

○件名
Spam: 駐車　支払の件

○メール本文
If this email is not spam, click here to submit the signatures to FortiGuard - AntiSpam Service.
支払は2月29日に3月～5月分を支払い済み
1台1か月分15,000円
7月1台分を6月末に支払うつまり
15,000を6月末に支払ってください。

また次回7月末から毎月末に次月分15,000円を駐車料の前払いで払ってください。
--
※※※※※※※※※※※※※※※※※※※※※※※※

○添付ファイル
「SKMBT_○○○○_(10桁数字).zip」

この添付ファイルであるZIPファイルを展開すると、二重拡張子でファイル名が付けられています。このファイルですが、実際にはexe形式の実行アプリケーションであり、開いたユーザーに対して気づかせないようにするなど対策を施しているところは前回お知らせした手法と代わりません。一例として、以下のような作られ方をしています。

添付ファイルを展開後の見え方（アイコンを特大にした場合）

一見してテキスト形式のように見えるファイル名

エクスプローラで詳細表示での見え方

これまでの日本語スパムメールは、文章の途中に誤訳的なものや中国語フォントが使われているものなど、日本人が本文を読んで違和感ですぐに怪しいと気が付けるケースはありました。今回の例でいうとメール例6が特徴的だと思います。しかし、最近のものは、日本人が日本語として読めるような内容になってきており、精度が向上してきています。また、メール例1～5のようなケースで、普段から日本人同士でやりとりされている場合は、違和感なく読んでしまうケースも出てくると思います。

今後も、メール件名や本文を変えて、かつWin32/py.Beblohの亜種によるメール攻撃が継続されると思われますので、メールの取り扱いにご注意ください。また、感染に気付くのが遅れるケースもあります。そのような場合に備え、ログインに必要なパスワードなどは定期的に変更するなどに心がけていただき、リスクを最小限にできるよう対応してください。

なお、このウイルスは、ESET製品にて以下の通り検出されます。