おいしいスパム：履歴書の後ろに隠れているランサムウェア

すべての電子メールベースの攻撃が、退位した専制君主の家族、奇跡の薬を売り込んでいる売り手、または配達を思い出させる配送会社から来るようには見えません。 仕事を探している不幸な人のように見える人もいます。 そして、この経済では、面接を受けることを望んで知っている人全員に履歴書を送る人が少なくとも一人知っています。

しかし、Cloudmarkが最新のTasty Spamの提出で述べたように、「予期しない履歴書に誘惑されることはありません。」 彼らはあなたを激しく噛むことができます。

Cloudmarkは最近、偽の履歴書の形で配信されるランサムウェアキャンペーンを見たと研究者のAndrew Conway氏は述べています。 攻撃自体は単純ではなく、recipintは悪意のあるファイルを数回開く必要がありますが、多くの被害者が影響を受けるほど効果的です。

コンウェイは、キャンペーンのさまざまな手順を説明しました。

攻撃メールはYahoo!から送信されます。 メールアカウントで、履歴書を装ったファイルが添付されています。 Conwayは、メッセージ内の4つの警告サインを指摘しました。それは未承諾メッセージでした。 送信者は姓を提供しませんでした。 履歴書は.zipファイルとして送信されました。 そして、文法、句読点、またはスペルの誤りに誤りがあります。

「履歴書を本当に提出する人は、彼らの仕事を校正するだろう」とコンウェイは言った。

受信者が.zipファイルを開くと、 resume7360.html などの名前のhtmlファイルが見つかります。 履歴書が.html形式であるという事実は、ほとんどの履歴書がテキスト、PDF、またはWord文書として送信されることを考えると、もう1つの赤い旗です。 「もちろん、未承諾のPDFファイルやWordファイルも開くことは悪い考えです」とConway氏は言います。

攻撃HTMLファイルのサンプルは次のようになります。

受信者がファイルを開こうとすると、ブラウザはIFRAMEタグにURLをロードしようとします。 「ユーザーに強制的にリンクをクリックさせるのと同じです」とConway氏は述べました。この場合、リンクは侵害されたWebサーバーを指していることに注意してください。 このURLはさらに別のHTMLファイルをロードします。このファイルには、Googleドキュメントリンクを指すリダイレクトリンクがあります。

リダイレクトはメタ更新タグを使用します。これは通常、Webページのコンテンツをリアルタイムで更新するために使用されます。 通常、異なるドメインのWebページへのメタリフレッシュは悪意のあるものです。 ほとんどの人は、メタリフレッシュではなく、HTTPリダイレクトまたはJavaScriptを使用してこれを達成します。 参考までに、侵害されたランディングページのHTMLは次のようになります。

Googleドキュメントのリンクは、 my_resume.zip という別のzipファイルをダウンロードします。このファイルには、 my_resume_pdf_id_8412-7311.scr などの名前のファイルが含まれています。 「インターネットからランダムにダウンロードされたファイル。危険、ウィルロビンソン！」 コンウェイは言った。

.scr接尾辞はWindowsスクリーンセーバー用ですが、基本的にはWindows用の特別にフォーマットされた実行可能ファイルです。.scr拡張子は、疑いを持たないユーザーにマルウェアを配信するために頻繁に使用されます。 被害者が.scrファイルを開くと、ランサムウェアがトリガーされます。 すべてのファイルは暗号化されており、数百ドルの請求書が提示されて、元に戻ります。

Conwayは、このランサムウェアキャンペーンについて興味深い点を挙げました。 攻撃者は非常に多くの複雑な手順を実行する必要がありました。最新のウイルス対策およびスパムフィルタリングツールが十分に効果的であるため、成功する唯一の方法は防御をバイパスするために複数の手順を連鎖することです。 履歴書を見るためだけに複数のホップをジャンプする必要があると感じたら、それは何かが間違っているという警告であるべきです。 電子メールの背後にいる人は、仕事にあまり興味がないかもしれません。