PowerShell Empireを利用した標的型攻撃 | LAC WATCH

2017年7月20日、そして7月24日と立て続けにアメリカ学会より同組織を装った不審メールが送信されていることが報告されました。（図1） 当社のサイバー救急センターの脅威分析チームが、この不審メールを調査したところ、この攻撃は、PowerShell Empireを利用した標的型攻撃の可能性があることが確認できました。 今回は、当該攻撃の調査結果を報告します。 アメリカ学会より報告された情報を元にVirusTotalやPassive Total等のサービスを利用して検体を調査したところ、アメリカ学会から報告があったと思われる不審メールが確認できました。（図2） このメールを確認すると、外部のストレージサービスからファイルをダウンロードさせ、別途送付されたパスワードで解凍させるという手口を利用しています。 図1 アメリカ学会からの緊急不審メール情報 図2 不審メール(一部抜粋) 図3は、外部の

[N_T]

"AppLockerやソフトウェアの制限のポリシーなどを利用して、PowerShellの実行制限" "HTAを攻撃に悪用する事例も増加しているため、併せてmshta.exeをAppLockerやソフトウェアの制限のポリシーなどで制限することも推奨"