4ensiX

4ensiX

FPと言ったものはFPを選んだが表示はTPになっていることに気づいた。

LetsDefend level 1 alert SOC101 - Phishing Mail Detected event-id 27

Details

EventID: 27
Event Time: Oct. 29, 2020, 7:25 p.m.
Rule: SOC101 - Phishing Mail Detected
Level: Security Analyst
SMTP Address 146.56.209.252
Source Address ndt@zol.co.zw
Destination Address susie@letsdefend.io
E-mail Subject UPS Your Packages Status Has Changed
Device Action Blocked

playbook

Are there attachments or URLs in the email?

Answer:Yes

Analyze Url/Attachment

Sender IP 146.56.209.252

VirusTotal: https://www.virustotal.com/gui/ip-address/146.56.209.252/detection
AbuseIPDB: https://www.abuseipdb.com/check/146.56.209.252
ip-sc: https://ip-sc.net/ja/r/146.56.209.252

ip元は中国でShenzhen Tencent。SSHブルートフォース元として利用されている。

Sender Domain zol.co[.]zw

Hybrid-Analysis: https://www.hybrid-analysis.com/search?query=zol.co.zw
怪しいドメインではある。

Mail

UPS Your Packages Status Has Changed

From: ndt@zol.co.zw Oct. 29, 2020, 7:25 p.m.
To: susie@letsdefend.io Oct. 29, 2020, 7:25 p.m.
You have received a secure message from a Veterans United Employee.

Click below link by 2020-11-14 14:30 CDT to read your message. After that, open attachment.

https://hredoybangladesh.com/content/docs/wvoiha4vd1aqty/

VirusTotal: https://www.virustotal.com/gui/url/2825a389272fd0e4b9923c98644a1786d4019ec7002c0a718b59dbe6d713a889
URLhaus: https://urlhaus.abuse.ch/url/698975/
現在はページ確認できないために分からないが、VTのレポートからはマルウェアダウンロードURLであるとのレポートがあり、URLhausからemotetやheodoに関連するとの報告がある。
URLhausにおいて報告されているリンクに関連するファイルとして最も新しいものは,
VirusTotal: https://www.virustotal.com/gui/file/360a5cb7eed923017b4ef07460e7652362cdf1fc0a902516addbb8e244e30134/detection/f-360a5cb
このファイルと同じハッシュのものをANYRUNで探すと、
ANYRUN: https://app.any.run/tasks/989ac1f3-9d9e-4854-80c1-f65b1b8cd1a2/
マクロからpowershellの実行、ダウンロードしたものを実行し、C2サーバとの連携や自動起動設定等々を行っている。

hredoybangladesh[.]com

ドメインもいくつかのベンダーに登録されている。
VirusTotal: https://www.virustotal.com/gui/domain/hredoybangladesh.com/detection


Answer:Malicious

Check If Mail Delivered to User?

Device Action Blocked

Answer: Not Delivered

Add Artifacts

Value Type Comment
ndt@zol.co.zw E-mail Sender 146.56.209.252
https[:]//hredoybangladesh[.]com/content/docs/wvoiha4vd1aqty/ URL Address download link(emotet,heodo)

End

f:id:Zarat:20220331191922p:plain
close alert event-id 27