itochuci.co.jp · Published 11 Jun
ホテル業界を標的とした不審メールの分析（パート2: 技術詳細編）
Excerpt
ホテル業界を標的とした不審メールの分析
編）
攻撃の概要（全体像）
攻撃手法の詳細分析
多段スクリプト
JavaScript ファイル（TonRAT）
TonRAT の通信プロトコル
通信先の分析
まとめ
Appendix
IoC（ファイル）
IoC（通信先）
本記事はパート1「キャンペーン概要編」の続編です。パート
や攻撃キャンペーンの全体像を解説しました。パート
的な分析結果を解説します。
パート1の記事はこちらです。
攻撃の概要（全体像）
パート1で解説した通り、今回確認された攻撃の流れは以下の通りです。
1. Booking.com を装ったメールがホテル運営会社へ送付される
2. メール内のリンクをクリックすると
3. zip ファイル内の lnk
ファイル(ps1)がダウンロードされ実行される
4. PowerShell コマンドがファイル内の暗号化された
イルとして書き出す
5. PowerShell コマンドが
TonRAT を実行する
6. TonRAT が感染端末の情報収集と動作の永続化を行い、
得する
7. TonRAT が TON API
zip
ファイルを実行すると
Node.js ランタイム
から取得した C2 へ
（パート2: 技術詳細
1では、
2では攻撃に使用された検体や通信先などの技術
Booking.com を騙った不審メール
ファイルがダウンロードされる
PowerShell コマンドが実行され、追加で
JavaScript ファイル（T…
The opening of the report, shown for reference. The full report, with its figures and indicators, is published by itochuci.co.jp on blog.itochuci.co.jp.
More from itochuci.co.jp1
itochuci.co.jp · Web page · Published 11 Jun
ホテル業界を標的とした不審メールの分析（パート1: キャンペーン概要編）
ホテル業界を標的とした不審メールの分析 ーン概要編 背景 Booking.com 攻撃の全体像 まとめ Appendix ） を詐称した不審メール メールヘッダーの分析 送信元インフラの一致 送信者名の偽装 Reply-To 添付ファイル（ メール本文のリンクの分析 ショートカットファイルの分析 IoC（ファイル） IoC（通信先） 本記事は2部構成です。パート 詳細分析を解説します。 パート2の記事はこちらです。 背景 宿泊施設のネット予約サービスを提供する す。このサイバー攻撃は、Booking.com…