【分析レポート】 マルウェアをダウンロードする悪性 VBA マクロが含まれた Word ファイル 「W97M/Downloader」
01. 概要
分析の対象となるサンプルは、次のとおりである。各ファイルのハッシュを含む詳細情報は、[03. 対策と予防] で確認できる。
02. 分析
1) 要約
最近、日本国内で、金融アカウント情報を搾取するマルウェア 「Ursnif」 が流布されている。迷惑メールに添付された悪性文書ファイル (以下、Mal.docx) は、悪性マクロ機能を利用して、ユーザー PC に Ursnif をダウンロード・感染させる PowerShell コマンドを実行する。
[図 1] Ursnif の感染および動作の流れ
Mal.docx で確認されたダウンロード URL のドメインは、過去にランサムウェア 「Locky」 の流布にも使用されたことが ASD インフラにより確認された。現在、当該ドメインは、遮断ポリシーが適用され、アンラボ製品で有害サイトとして遮断されている。
2) 主要機能および特徴 – [Mal.docx]
ア) PowerShell の実行
- マルウェアのダウンロードに必要な文字列が BASE64 で暗号化され Mal.docx 本文に含まれており、それを復号化することで PowerShell コマンドが実行される。
Mal.docx の本文には、マルウェアのダウンロードに必要な PowerShell コマンドが BASE64 で暗号化された形で含まれており、マクロコードで復号化すると実行される。
[図 2] Mal.docx の本文
以下のマクロコードは、復号化された BASE64 文字列を実行するコードである。
復号化された BASE64 コードは以下のとおりである。復号化された値は、Mal.docx が存在するパスに 「dImJbtbSOG」 という名のフォルダーを隠しフォルダーとして生成し、当該フォルダーに 「YYHhvsddE.exe」 というファイル名でマルウェア配布サイトからダウンロードしたファイルを保存して実行する。
マルウェア配布サイトの詳細は [表 2] のとおりであり、現在アンラボ製品により遮断することができる。
[表 2] Mal.docx がアクセスするマルウェア配布サイト
イ) 分析回避の手法 1
- Word ファイルに含まれた悪性マクロは、AutoClose 機能を利用して、ユーザーが Word ファイルを閉じるまで悪性行為を遂行しない。
Mal.docx は、以下のように、AutoClose 機能を利用して Word ファイルが閉じられるまで悪性行為を遂行しない。閉じられてから悪性行為を遂行するため、文書ファイル実行時のシステム変化を検知するマルウェア自動分析システムでは悪性行為を検知することができない。
ウ) 分析回避の手法 2
- Word ファイルに含まれた悪性マクロは、ファイル名の長さをチェックしてサンドボックスによる検知を回避する。
Mal.doc のファイル名の長さをチェックして、30Bytes 以上の場合はマルウェアをダウンロードせず、「love and love」 というメッセージのみ表示して終了する。
[図 3] 分析回避の手法として使用されたメッセージ
これは、マルウェア自動分析システムで、分析対象になるサンプルに対し該当ファイルのハッシュ値をファイル名として付与するが、この際広く使用されるファイルの MD5 と SHA256 値の長さが30Bytesを超える。したがって、悪性マクロの作成者は、マルウェア自動分析システムによる検知を回避するため、以下のようにファイル名の長さを参照して実行の有無を判断すると推定される。
03. 対策と予防
1) アンラボにおける対策
アンラボでは、当該マルウェアを以下のように検知できる。
「Ursnif」、「Locky」 などのマルウェア配布に使用された URL に対しても、現在遮断ポリシーが適用されている。
2) 予防対策
以下の予防対策を行うことで、マルウェアに感染する可能性を最小化することができる。
