[セキュリティブログ] ワード文書を悪用したマルウェアの終わらない攻撃

1. MS-Word 文書を悪用するマルウェア

[図 1] メールに添付/配布される文書ファイル

上図のように最近の話題に関して人々が興味をもつようなメールタイトル (例えば、[Tibetan Declaration of independence.doc]等 ) で配布され、そのファイルを開いた時にユーザーが怪しいと思わないよう下記のような極めて標準的な内容を表示します。 

[図 2] ユーザーを騙す文書内容

そして、ユーザーのパソコンで悪意あるビヘイヴィアを行うために下記ファイルを生成します。

[図 3] 生成されるファイル情報

この文書は、2012 年 4 月に発表されたマイクロソフトの脆弱性 (CVE-2012-0158) を悪用

したもので、上図のようにファイルを生成してワード文書内にActive X オブジェクトが含まれている悪意ある機能を果たします。 

[図 4] マルウェアの機能

生成されたファイルは一定の間隔で [index.dat] ファイルにアクセスしますが、[index.dat] ファイルはユーザーがアクセスしたウェブサイトに対する記録と Outlook などを利用してやり取りする E メールに対する情報等が記録されるファイルです。

[図 5] ネットワークアクセス情報 

ネットワークアクセス情報は上図のとおりであり、[index.dat] ファイルを送信する事が考えられます。ワード文書の脆弱性を悪用したマルウェアへの感染を防ぐためにユーザーは最新の MS セキュリティパッチをインストールする必要があります。

＜V3 製品シリーズでの診断名＞

Exploit/Cve-2012-0158 (V3, 2012.05.25.00)