サイランスは、2016年8月ごろに始まった日本企業や政府、教育機関を標的としたと思われる長期的な攻撃活動を新たに発見したと発表した。同社は、この攻撃を行っている脅威グループを「Snake Wine」と名づけて追跡調査を実施している。
調査によると、確認されているSnake Wineによるすべての攻撃は、標的企業を対象に試みられたスピアフィッシングによるものだった。最新のバッチでは、巧妙に作られたLNKファイルがパスワードで保護された類似した名前のZIPファイルに含まれている。このLNKファイルを開くと「cmd.exe /c」を介してPowerShellコマンドを実行し、追加のペイロードをダウンロードして実行する。サイランスは、攻撃者は現在、GoogleのURL短縮サービス「goog.gl」を好んでいるが、攻撃が進化するとすぐに変わる可能性があるとしている。
短縮URLは 「hxxxp://koala (dot) acsocietyy (dot) com/acc/image/20170112001 (dot) jpg」に接続していた。このファイルは、実際には「PowerSploit」、「https://github.com/PowerShellMafia/PowerSploit」から改造された別のPowerShellコードだった。このコードが次におとりのドキュメントを開き、約60KBの位置独立シェルコードのチャンクを実行する。
この攻撃では、Microsoft Wordドキュメントのアイコンで偽装したEXEとDOCXファイルに似た名前のZIPファイルが使われていた。サイランスでは、下記のZIPファイルに、攻撃に使われたものと同様の名前を持つ実行ファイルを確認している。
- 平成29年日米安保戦略対話提言(未定稿).zip
- 2016県立大学シンポジウムA4_1025.zip
- 日米関係重要事項一覧表.zip
- ロシア歴史協会の設立と「単一」国史教科書の作成.zip
- 日米拡大抑止協議.zip
- 個人番号の提供について.zip
- 11月新学而会.zip
サイランスでは、Snake Wineは順応性が非常に高く、標的の環境内への足がかりを得るために次々と新しい戦術を導入してきている。このグループは既存の攻撃インフラの構築と活用を始めており、日本政府、日本の教育機関や企業を特に標的に選ぶという傾向は今後も続くと予想されるという。