要注意！Officeの数式エディターをねらう脅威とは―2021年9月 マルウェアレポート

9月の概況

2021年9月（9月1日～9月30日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

• 国内マルウェア検出数^*1の推移
  （2021年4月の全検出数を100%として比較）
  ^*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2021年9月の国内マルウェア検出数は、2021年8月と比較して減少しました。検出されたマルウェアの内訳は以下のとおりです。

9月に国内で最も多く検出されたマルウェアは、JS/Adware.Agentでした。JS/Adware.Agentは、悪意のある広告を表示させるアドウェアの汎用検出名です。Webサイト閲覧時に実行されます。

9月の検出数8位のWin32/Exploit.CVE-2017-11882はMicrosoft Office数式エディターの脆弱性（CVE-2017-11882）¹⁾を悪用した脅威です。2017年11月に公表された脆弱性ですが、今年の8月から検出数が増加傾向にあります。この脆弱性を悪用した脅威を2017年11月の定期マルウェアレポートで取り上げましたが、再び脅威が広がっていることから改めて紹介します。

• 国内におけるWin32/Exploit.CVE-2017-11882検出数の推移
  （2021年4月の全検出数を100%として比較）

Microsoft Office数式エディターは、Microsoft Office 2003以前のバージョンのMicrosoft Officeにおいて数式を入力するために使用されるソフトウェアです。Microsoft Office 2007以降のMicrosoft Officeにおいては互換性を維持するために搭載されていました。このソフトウェアの脆弱性（CVE-2017-11882）が悪用されると、攻撃者によってリモートで任意のコードが実行される可能性があります。

具体的には、本脆弱性に対する悪意のあるコードを実装したMicrosoft Officeファイルが、さまざまなマルウェアのダウンローダーとして利用された事例を確認しています。2017年11月時点ではバンキングマルウェア（バンキングサイトの認証情報などを窃取するマルウェア）である「Ursnif」のダウンローダーとして利用された事例を確認していました。さらに2021年9月では情報窃取型マルウェアである「AgentTesla」や「FormBook」などのダウンローダーとして利用された事例を確認しています。

• Microsoft Office数式エディターの脆弱性を悪用した攻撃の事例

Microsoft Officeファイルで悪用されることが多いマクロマルウェアでは、マクロが有効化されない限り脅威にさらされる危険性はありません。しかし本脆弱性を悪用したMicrosoft Officeファイルの場合、実装方法によってはファイルを開くだけで悪意のあるコードが実行されてマルウェア感染する恐れがあります。このような悪意のあるコードは、Windowsのアプリケーション間で連携または共有されるデータであるOLE（Object Linking & Embedding）オブジェクトとしてMicrosoft Officeファイル内に埋め込まれています。このOLEオブジェクトはユーザーがその存在に気づかないよう視認性が悪い状態で配置されたり、ユーザーのクリックを促すような画像と併用して配置されたりすることがあります。

• 本脆弱性を悪用するコードが埋め込まれたファイルの例①
  上図は表示倍率が100%の状態、下図は19%の状態
  透明な背景の巨大なOLEオブジェクトにコードが埋め込まれている

• 本脆弱性を悪用するコードが埋め込まれたファイルの例②
  画像ファイルをクリックすることでコードが実行される

2021年7月に米国、イギリス、オーストラリアのセキュリティ機関が、悪用の多い脆弱性30件を公表²⁾しました。この30件のうち最も古い脆弱性として本脆弱性であるCVE-2017-11882が挙げられています。公表によると、既知の脆弱性を利用することは攻撃者グループの特定を困難にし、ゼロデイ攻撃に利用するエクスプロイトキットを新規開発するよりもコストを抑えることができるとのことです。またMicrosoft Officeは世界中で利用されており、段階的な攻撃キャンペーンを展開しやすい点やリモートで任意のコードを実行できる点で攻撃者にとって有用であることから、今後も本脆弱性を悪用し続ける可能性が高いと言及しています。

本脆弱性に関する対策として、2017年11月の更新プログラム ¹⁾ やMicrosoft Office数式エディターの無効化方法 ³⁾ 、2018年1月の更新プログラム^{4) 5) 6) 7)}をMicrosoft社が順次公開しました。特に2018年1月の更新プログラムでは、Microsoft Office数式エディターがWindowsから削除されるため本脆弱性による影響は受けなくなります。しかしこれらの対策が公開された後も本脆弱性を狙った攻撃は継続して観測されています。

上述のとおりMicrosoft Office数式エディターはMicrosoft Office 2007以降のMicrosoft Office における互換性維持のために搭載されていたソフトウェアです。脆弱性が存在するソフトウェアを使用し続けることは危険です。Microsoft Office数式エディターを使用して数式が記述されたMicrosoft Officeファイルを開く必要がなければ、早急に更新プログラムの適用を検討してください。また本脆弱性を悪用したMicrosoft Officeファイルは、電子メール経由で送付されることを確認しているため、電子メールの添付ファイルを不用意に開かないよう注意してください。

引用・出典元

1) CVE-2017-11882 - セキュリティ更新プログラム ガイド - Microsoft - Microsoft Office のメモリ破損の脆弱性

2) Top Routinely Exploited Vulnerabilities | CISA

3) How to disable Equation Editor 3.0

4) 2007 Microsoft Office スイート セキュリティ更新プログラムについて（2018年1月9日）

5) Office 2010 用のセキュリティ更新プログラムについて（2018年1月10日）

6) Office 2013 用のセキュリティ更新プログラムについて（2018年1月10日）

7) Office 2016 用のセキュリティ更新プログラムについて（2018年1月10日）

※ESETは、ESET, spol. s r.o.の登録商標です。Windowsは、米国Microsoft Corporationの、米国、日本およびその他の国における登録商標または商標です。

※本記事はキヤノンマーケティングジャパンのオウンドメディア「サイバーセキュリティ情報局」から提供を受けております。著作権は同社に帰属します。

[PR]提供：キヤノンマーケティングジャパン