ZIPアーカイブには同様の命名方法のJavaScriptファイルが、拡張子「.js」で保存されています。解凍され実行されると、このJavaScriptはEXEファイル（ESET製品ではWin32/TrojanDownloader.Agent.EJNとして検出）を、第1段階のペイロードとして攻撃者のC&Cサーバーからダウンロードします。このペイロードをホストしているURLは、パスの末尾が「bl*wj*b.exe」（卑猥な表現を含むため修正）や「krabler.exe」で終わるもので、このペイロードは、「C:\Users\[ユーザー名]\AppData\Local\Temp[ランダムな文字列].exe」にダウンロードされます。

第1段階のペイロードは以下の最終段階のペイロードを、１つ、またはそれ以上、同様のC&Cサーバーからダウンロードします。

• GandCrabランサムウェア、バージョン5.1
• 暗号通貨マイニングマルウェア
• Phorpiexワーム
• 特定の言語ロケールにのみ作用するダウンローダー（攻撃されたコンピューターの言語設定によって、被害者が中国、ベトナム、韓国、日本、トルコ、ドイツ、オーストラリア、イギリスのいずれかの国にいると考えられる場合のみ、次のペイロードをダウンロードする)
• システム設定変更ツール

バージョン5.1のGandCrabランサムウェアはファイルを暗号化し、ランダムな5文字の文字列をファイル名に追加します。そして、この拡張子がファイル名とコンテンツの両方に追加され、それらの情報を含む身代金のメモが攻撃対象となったすべてのフォルダに作られます。

この新しい攻撃で使用されたペイロードは、92.63.197[.]153というIPアドレス（ウクライナと考えられる）からダウンロードされており、1月中旬から始まった「ラブ・ユー」攻撃の拡散に使用されていたものと同じでした。

悪意のあるスパムの被害に遭うことを防ぐため、電子メールの添付ファイルを開く前やリンクをクリックする前には、本当に信頼できるものかどうかを必ず確認しましょう。必要ならば、送信元と思われる組織の公式Webサイトに掲載されている連絡先の情報を確認しましょう。

Gmailのユーザーには有益な情報があります。Gmailは、JavaScriptの添付ファイルを受信メールからも送信メールからもすでに2年ほど前から、ブロックする仕様になっています。

企業のメールサーバーなど、他の配信サービスを使用している電子メールユーザーは、悪意のあるJavaScriptファイルを検出してブロックできるセキュリティソリューションを導入していない場合、管理者が適切にセキュリティ対策を講じていることを信頼するしかありません。

ESETのセキュリティ製品のさまざまなモジュールは、このような悪意のあるJavaScriptファイルと、さらにこれらのファイルによって導入される脅威を独自の方法で検出、ブロックします。

2019年1月30日にWeLiveSecurityに掲載された記事を再掲載しています。