【秘文】某大手企業から来た添付ファイルが酷い件について【悪い文明】

サイバー攻撃、死角なくせ、日立ソリューションズ、情報流出「出口」で監視。 | SECURITY SHOW

日立ソリューションズは１２月１日から、企業向けセキュリティーサービス「秘文」シリーズに、標的型メール攻撃対策サービスを追加する。三菱重工業や外務省、衆議院、参議院など最近被害の発覚が相次いでいるタイプの攻撃に、対策の焦点を絞った。

7年ほど前日立ソリューションズさんが、悪名高い秘文シリーズの営業を最近サイバー攻撃の被害が発生している 三菱重工業や外務省 などをターゲットに攻勢をかけるようなニュースが流れていました

現物を見ることはなかったのですが、今年、某大手企業から 送られてきた見積書の PDF が酷い物でした。

・PDFを添付する旨が書かれている
・別メールで、さも当たり前であるかのように「先ほどの添付ファイルのパスワードは xxxxxxxxxxです」と言う通知が来る。
・添付ファイルの拡張子は .EX になっている。

VirusTotal でスキャンすると 2件 安全ではないファイルとしてブロックされました。
念のためリソースハッカーで開いてみましょう

CONTROL "このファイルは暗号化されています。展開するためのパスワードと展開先フォルダ名を入力してください。", 1101, STATIC, SS_LEFT | WS_CHILD | WS_VISIBLE | WS_GROUP, 50, 15, 267, 20
CONTROL "パスワード(&P)：", -1, STATIC, SS_LEFT | WS_CHILD | WS_VISIBLE | WS_GROUP, 73, 44, 85, 10
CONTROL "展開先フォルダ名(&F)：", -1, STATIC, SS_LEFT | WS_CHILD | WS_VISIBLE | WS_GROUP, 73, 68, 85, 20
CONTROL "参照(&R)...", 1008, BUTTON, BS_PUSHBUTTON | WS_CHILD | WS_VISIBLE | WS_TABSTOP, 323, 66, 40, 14
CONTROL "OK(&O)", 1, BUTTON, BS_DEFPUSHBUTTON | WS_CHILD | WS_VISIBLE | WS_TABSTOP, 186, 96, 85, 26
CONTROL "キャンセル(&C)", 2, BUTTON, BS_PUSHBUTTON | WS_CHILD | WS_VISIBLE | WS_TABSTOP, 278, 96, 85, 26

32, "実行中の自己復号型機密ファイルを上書きしようとしています。\n別のフォルダへ復号するか、又は自己復号型機密ファイルの名称を変更してから再度実行してください。"
33, "ファイルを展開できません。\n展開するファイル名と同名のフォルダが存在します。"
34, "フォルダを展開できません。\n展開するフォルダ名と同名のファイルが存在します。"
35, "ファイルを作成できません。"
36, "不正なフォルダ名が指定されました。"
37, "展開先ファイル名が最大値を %s 文字超えています"
38, "サブディレクトリの作成に失敗しました。"
40, "Cabinet.dll のAPIの実行中に予期しないエラーが発生しました。\nAPI = %s\n詳細情報 = %s\n エラーコード = %d\n"
41, "圧縮ファイルがオープンできません。"
42, "秘文機密ファイルが壊れています。"
43, "秘文機密ファイルが壊れています。"
44, "展開するファイルの作成に失敗しました。"
45, "ファイルを復号化しています\nしばらくお待ちください．．．"
46, "一時ファイルの作成に失敗しました。再度実行してください。"
47, "一時フォルダ名が不正です。"
48, "このフォルダには既に’%s’ファイルが存在します。"
49, "Cabinet.dll が見つかりません。\n\n%s、または\n%s 下にCabinet.dllを置いてください。"
50, "TMPフォルダの作成に失敗しました。\nWindowsフォルダへのアクセス権があるか確認してください。\nエラーコード = %s"
51, "作業フォルダの作成に失敗しました。\n以下のフォルダに書き込み権限があるか確認してください。\n作業フォルダ = %s\nエラーコード = %d"
52, "展開処理をキャンセルしますか？"
53, "sfmkslfd.dll が見つかりません。"
54, "sfmkslfd.dll内にsfmk_loadDecInfoFileが見つかりません。"
55, "自動復号情報ファイルの読込みに失敗しました。"
56, "メディア暗号鍵が違います"
57, "ファイルを展開できません。\nアクセスできないファイルが展開先のフォルダにないか確認してください。"
58, "サポートしていない日付を持つファイルが見つかりました。\n\nお使いのファイルシステム(FAT/FAT32)では、1980年よりも古い\nファイル日付をサポートしていません。\n［はい］をクリックすると、自動的にサポート可能な日付範囲に変換して\n処理を続けることができます。\n以降のファイルも全て自動的に変換されます。\n\n日付を自動的に変換して処理を続けますか？\n［いいえ］をクリックすると処理を中断します。"
59, "展開先フォルダの作成に失敗しました。\n展開先の書き込み権限を確認し、作成途中の不要な\nフォルダがあれば削除してください。"
60, "フォルダが存在しません。\n作成しますか?"
61, "Version %s "
62, "ファイルを展開できません。\nライトプロテクトを解除してください。 "
63, "フォルダを選択してください"

Icon_7
これが秘文のアイコンだ･ω･

Icon_8
電子署名なんて無かった。
ファイル情報領域にバージョンリソースすら含まれていない不審な実行ファイルを送り付けるわけですね。

HIBU3
怖いので、仮想環境でスタンドアロンのWindows 2000で実行したらこうなった。

fcwin2kでOS偽装してみた
HIBU4
あの、展開できたんですけど、XP以前でブロックする意味あるんですか？
これ、XP以前では解凍できないような暗号使ってるとか言うスタイルを偽装してるんでしょうか？
まぁ、確かに、自己解凍プログラムが SSE2命令で書かれてるので、古いPCでは解凍できない様ではあります

少し解析してみると HibunEmbedded4V9 の文字列がありました、次のバージョンの 秘文V10製品ですら既に2017/6/30で販売が終了しています。

日立さんはそうそうに非を認めて撤退したのかと思ったら違いました。

現行製品の 秘文AE ContentsGate で同じことやっていますね

秘文の 何がまずいかってのは

・安易に添付ファイルの実行ファイルを実行させることによって取引先のセキュリティ意識を低下させる。
・EXEファイルなので、Windows の特定環境でしか解凍できない。
・実行ファイルに電子署名が無いので、信頼できるファイルなのか一見判定できない。
・同じネットワークで パスワードを送り付けるので、セキュリティ的にあまり意味はない。

秘文は悪い文明。滅ぶべきです　･ω･

おすすめ

コメントを残す

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です