Trusted Design
Spearphishing attachment is a specific variant of spearphishing. Spearphishing attachment is different from other forms of spearphishing in that it employs the use of malware attached to an email. All forms of spearphishing are electronically delivered social engineering targeted at a specific individual, company, or industry. In this scenario, adversaries attach a file to the spearphishing email and usually rely upon User Execution to gain execution.
There are many options for the attachment such as Microsoft Office documents, executables, PDFs, or archived files. Upon opening the attachment (and potentially clicking past protections), the adversary's payload exploits a vulnerability or directly executes on the user's system. The text of the spearphishing email usually tries to give a plausible reason why the file should be opened, and may explain how to bypass system protections in order to do so. The email may also contain instructions on how to decrypt an attachment, such as a zip file password, in order to evade email boundary defenses. Adversaries frequently manipulate file extensions and icons in order to make attached executables appear to be document files, or files exploiting one application appear to be a file for a different one.
T1193「Spearphishing Attachment」（スピアフィッシング添付ファイル） は、特定の組織や個人を狙い、マルウェアを仕込んだファイルをメールに添付して送りつける、最も古典的かつ強力な初期侵入手法の一つです。
この手法で攻撃者は、「標的ユーザーにファイルを開かせ、エンドポイント上で直接コードを実行させること」を実現します。
攻撃者は、ファイルを開かせるための「説得力」のあるストーリーを構築します。
invoice.pdf.exe のように拡張子を偽装した実行ファイルや、ISO/LNKファイルを使用する。「ファイルを開かせない」ための仕組みと、「開いても被害を出さない」ための対策が重要です。
.exe, .scr, .vbs, .iso など、業務に不要で危険な拡張子を持つファイルの受信を制限します。添付ファイルを開いた際に、アプリケーションの脆弱性を突いて自動実行させるために以下のCVEがよく使われます。
不審な添付ファイルを受け取った際は、ハッシュ値を計算して VirusTotal 等の外部データベースで照合するのが有効ですが、標的型攻撃（スピアフィッシング）の場合は「そのターゲット専用に作られた初見のファイル」である可能性が高いため、ハッシュ値が一致しなくても安全とは言い切れない点に注意が必要です。