このメールの添付ファイルは、1月中旬より観測されている　“Love You” malspamの内容を修正したもので、攻撃者の目的は最終的にランサムウェアGandCrab バージョン5.1拡散の狙いがあります。
事の発端はこうです。最近急増したロシアを標的にしたスパム攻撃の分析を実施している最中に（malicious spam targeting Russia）、ESETの分析モジュール上で巨大な波形を発見し、これを調査したところ、JS（JavaScript）を使用した新たなキャンペーンであることを確認しました。
図1に示すように、「Love you」マルスパムキャンペーンは2019年1月初旬から始まっています。この最新の「Love you」キャンペーンは2019年1月28日に開始され、第一波と比べてほぼ2倍の規模になっています。　攻撃の内容（ペイロード：パケット通信においてパケットに含まれるヘッダやトレーラなどの付加的情報を除いた、データ本体のこと）としては、暗号通貨ツール、システム設定変更ツール、悪意のあるダウンローダー、Phorpiex（ワーム）、ランサムウェアGandCrabバージョン5.1などをダウンロードさせようと試みます。

図 1 – Love you キャンペーンの最新の動向推移

2019年1月29日の時点で、検出の大部分は日本（95％^*注1）にあり、毎時何万もの悪意あるEメールが検出されています。JS / Danger.ScriptAttachment -（悪質なJavaScriptのESET名） - は、図2に示すように、日本におけるランキングでは、日本においては同日において最大の脅威ボリュームとなりました（同日付けで世界で4番目に大きな脅威サイズ）。

*注1（Globalを100%とした場合の値です。）

図 2 - JS/Danger.ScriptAttachment は1/29時点での最大の脅威　（01/29/2019付けデータ）

日本をターゲットにした攻撃手法

この最新のキャンペーンで、攻撃者は悪意ある電子メールのメッセージを、1月中旬の「Love You」キャンペーンのロマンチックな文面（以前のタイトルは、”My love letter for you”でした）から日本特有のトピックに変更しました。電子メールの件名と本文の両方でスマイリーが多用されていることは変わりません。
分析中に確認したメールには、以下の件名がありました。

• ：D
• Yui Aragaki ;）
• Kyary Pamyu Pamy ;）
• Kyoko Fukada;）
• Yuriko Yoshitaka;）
• Ringo Shiina;）
• Misia）

これらはご承知のとおり、すべて日本の人気芸能人です。
分析された悪意の添付ファイルは、「PIC0- [9-digit-number] 2019-jpg.zip」という形式の名前の画像ファイルを装ったZIPファイルです。

図3は、今回のメールの例を示しています。

図3 – 今回のキャンペーンにおけるメール例

ZIPファイルには、同じ名前形式のJavaScriptファイルが含まれ、末尾は「.js」です。抽出および起動されると、JavaScriptファイルは攻撃者のC&Cサーバーから第１ステージのペイロードをダウンロードします。これは、ESET製品によってWin32 / TrojanDownloader.Agent.EJNとして検出されたEXEファイルです。
このペイロードへのURLのパスは[bl * wj * b.exe]（卑猥な表現の為非表示(*)としました）と[krabler.exe]で終わり、これらのペイロードはローカルの[C：\ Users \ [username] \ AppData \ Local\ Temp [random] .exe]にダウンロードされます。

攻撃の第１ステージでは、同じC&Cサーバーから複数のマルウェアをダウンロードします。

• GandCrabランサムウェア、バージョン5.1
• Cryptominer（暗号通貨用ツール）
• Phorpiexワーム
• 言語ロケール固有のダウンローダー（被害を受けたコンピュータの言語設定により、被害者が中国、ベトナム、韓国、日本、トルコ、ドイツ、オーストラリア、またはイギリスにいることが示唆される場合にのみ追加ペイロードをダウンロードするよう設定してあります）
• システム設定ツール

図4 – GandCrab v5.1 ランサムウェア

GandCrab v5.1は、1月中旬から動きが活発になり、ウクライナに存在すると思われるIPアドレス92.63.197 [.] 153からダウンロードされ、「Love you」スパムキャンペーンで使用されています。

対処について

悪意あるスパムの被害に遭わないようにするには、添付ファイルを開く前、またはリンクをクリックする前に、必ずメールの信頼性を確認してください。必要に応じて、送信者へ送付物の確認を実施してください。
Gmailユーザーは、およそ2年間前からGmailで受信したメールと送信したメールの両方で、JavaScriptの添付ファイルをブロックしていることを知っておくとよいでしょう。
会社のメールサーバーを含む他のメールサービスのユーザーは、悪意のあるJavaScriptファイルを検出してブロックすることができるセキュリティ製品を使用しない限り、ご自身がその判別を実施する必要があることを自覚してください。
ESETセキュリティ製品の複数の機能では、これらの悪意のあるJavaScriptファイルやそれらが後で取得するオブジェクトを個別に検出してブロックします。

以下はセキュリティ監視に有効な属性です。運用監視にご活用ください。