報道によると、2017年1月3日(現地時間)、米連邦捜査局(FBI)と連携したイタリア警察当局は、二人のイタリア人を、イタリアの著名人や多くの人物から機密情報を窃取した容疑で逮捕しました。コードネーム「EyePyramid(アイピラミッド)」と名付けられたマルウェアを不正な添付ファイルで拡散したとされる、この標的型メールの攻撃キャンペーンで、政治的に重要な地位にある人物も含めイタリアの市民が官民を問わず標的とされたと報道されています。した情報およびトレンドマイクロによる検体の初期解析の結果、攻撃者は、標的型メールによりEメールアカウント、特に、いくつかの法律事務所の弁護士や関係者のアカウントに首尾よく侵入したようです。これは不正な添付ファイルを開封させるためのおとりとして利用したものと考えられます。実際には先述のマルウェアである不正な添付ファイルが開封されると、実行ファイル形式で擬似ランダムなファイル名の自身のコピーを組み込み、プログラムを読み込んで実行準備を完了させます。以下に、弊社で確認したマルウェアのファイル名のいくつかを挙げます。マルウェアの他のビルドやバージョンでは変更される可能性があります。4.5かそれ以上)」で書かれた単純なコードのように見えますが、詳しく見るとそうでないことが明らかです。標準的な難読化処理(この部分は既製のツールを利用して復元が可能)をした後、逆コンパイルされたソースコードの繊細な部分が難読化されています。これにより検出および分析を困難にしています。URL、および攻撃者の名前で購入されていると伝えられる「MailBee」のライセンスキー情報は、以下の図2のコードの抜粋に示されるように、高度に難読化されていました。SHA256変換に基づく復号手順が含まれることがわかっています。Webトランスポートを介してC&Cサーバへ送信します。一部は難読化されていないことに注意してください。図4:URLの公開されている部分(上のサムネイルをクリックするとコード全体が確認できます)マルウェアは、また、「MailBee.NET.dll」のAPIを利用していました。これは、メールソフトウェアを構築するための有料ライブラリです。これを利用して、抽出したデータを、攻撃者が利用するEメールアドレスなどへ送出します。興味深いことに、この有料ライブラリの購入履歴が、攻撃キャンペーンを仕掛けた攻撃者の特定へとつながりました。弊社は、このマルウェアについてさらなる詳細解析を進めると同時に、マルウェアを使用した攻撃キャンペーンについて監視を継続しています。関連する追加情報があった場合は、本ブログなどを通じてお知らせします。※注:オリジナルの英語記事は、2017年1月11日に公開されました。POSマルウェア「FastPOS。