サイバー犯罪集団「TA505」によるスパムメール送信活動で新しいマルウェア「Gelup」と「FlowerPippi」を確認

サイバー犯罪集団「TA505」に関する最新の調査以来、ここ数週間にわたってさまざまな国を狙う同集団の活動が確認されています。TA505は、アラブ首長国連邦（UAE）やサウジアラビアのような中東の国、インド、日本、アルゼンチン、フィリピン、そして韓国のようなその他の国を狙っていることが判明しました。

本記事では、TA505の活動に関する新しい情報と侵入の痕跡（Indicators of Compromise、IoCs）、最新の手口、そして特に2019年6月に確認された活動の手順について解説します。また、今回新しく確認された2つのマルウェアの解析も行いました。

「Gelup」（「Trojan.Win32.GELUP.A」として検出）は6月20日の活動で利用されました。このマルウェアは「ユーザー アカウント制御（UAC）」を回避し、その他の脅威を読み込むローダとして機能します。また、以前の活動で利用された遠隔操作ツール（Remote Access Tool、RAT）「FlawedAmmyy RAT」と同じパッカーを使用しています。「FlowerPippi」（「Backdoor.Win32.FLOWERPIPPI.A」として検出）は、日本、インド、そしてアルゼンチンを狙った活動で利用が確認された新しいバックドア型マルウェアです。GelupおよびFlowerPippiに関する、感染の流れやコマンド&コントロール（C&C）通信を含む詳細な解析結果は技術的概要を参照してください。

(さらに…)