Attack)にて複数のTROJ_MDROPPERファミリが電子メールによって、時事ニュースとともに添付され流通している状況を報告させていただきました。英語で記事をご確認いただいている方もいらっしゃるのではないでしょうか。今回は英語ブログで語り切れなかった真実を含め、この事例を4つのテーマに分けて分析を試みたいと思います。狙われる文書ファイル2007年12月21日に本ブログにて、攻撃手法が能動攻撃から受動攻撃へ変遷していっていることをお伝えいたしました。今回報じられている攻撃も受動攻撃に分類されるものです。受動攻撃とは、被害者側が起点となり、被害者が何らかのアクション(要求)を実施した結果、攻撃データを受け取り成立する攻撃手法を指します。被害者を起点とする必要のある受動攻撃では、日常のやりとりで取り扱われる文書ファイルは格好の標的となっています。今回の攻撃では、以下の脆弱性が悪用されています。MS07-014今回の攻撃は英語圏を標的としたものでしたが、日本語圏に対する攻撃においても同様の傾向が確認されています。2007年から2008年1月現在までに日本で確認された文書ファイルが標的となった代表的な事例は以下の通りです。Excel時事ニュースを悪用したソーシャルエンジニアリングテクニック繰り返しとなりますが、受動攻撃では被害者にアクション(要求)を実施させる必要があります。そこで悪用されるのが「ソーシャルエンジニアリング」と呼ばれる騙しのテクニックです。今回のケースでは、チベットとその亡命政府、さらには北京オリンピックを絡めたニュース記事であるかのように装った電子メールに、脆弱性を含む悪意あるWord形式の文書を添付させることで拡散に至っています。国際的イベントや政治に関する話題は常にサイバー攻撃の標的になりやすいものです。北京オリンピックのみならず、アメリカ合衆国大統領選挙などにも警戒を強める必要があります。昨今は、地域、組織特有の話題も考慮し、被害者を騙す工夫が施されていることを知っておく必要があります。初歩的な騙しのテクニックとして、ファイル名やアイコンを変更するような偽装方法があります。今回のケースでは以下のようなファイル名での流通が確認されています。これらファイル名は、実際のプレスニュースなどの見出しと同じであるため、被害者側も警戒心が弱まり開いてしまう危険性があります。Tibet.doc実行ファイル(.EXE)のファイル名を文書ファイル(.DOC)に変更したようなケースでは、実際にファイルを開いたのに文書が表示できないなどの症状により、被害者側も異変に気付く可能性があります。今回のケースではより高度な騙しのテクニックが悪用されています。アプリケーションの脆弱性を突くことで、文書ファイルを開いた際にニュースに関連する内容を表示させています。その裏側では、文書の展開と同時にトロイの木馬がドロップされ、ウイルス作者が本来意図する攻撃へ遷移していくこととなります。文書ファイルのメタデータ(ドキュメントのプロパティ情報)には、作成者、表題、タイトルなど、ドキュメントについての詳細情報が含まれています。今回の事例においても、これら情報が含まれていることを確認しました。TROJ_MDROPPERファミリのメタデータに記載されている情報メタデータを記載のとおり読み解けば、[作成日時]/[前回保存日時]共に、MS07-014のセキュリティ更新プログラムリリース前の日付になっています。メタデータは容易に改ざん可能であるため情報の信憑性は疑わしいですが、注目に値するポイントであると思われます。次に注目したポイントは[前回保存者]情報です。中国語で「{BLOCKED}花*(くにがまえに元)」と記録されています。これは一体なにを示しているのでしょうか。これは、「トマトレイ」と呼ばれる組織名です。中国国内で暗躍するWAREZ(正規ソフトウェアの不正利用)集団が使用している組織名です。2003中文版を含む複数の商用ソフトウェアのクラックを目的としたツールを配布しています。Wordにて作成した可能性が高いことが推測されます。トマトレイのクラックツールは主に中国語圏のサイトで公開されています。このため、TROJ_MDROPPERファミリの作者は中国語圏のアンダーグラウンド事情に精通した人物であることも推測できます。今後の対策このような攻撃には次のような対策が有効です。SP2」より実装されたセキュリティ強化機能です。ハードウェアによるサポートを必要とし、その利用にあたって技術的に難度の高い解説を理解する必要があるため、機能は知っていても利用されていない方も多いかと思われます。DEPはバッファオーバーフロー/バッファオーバーランと呼ばれる脆弱性に対して高い効果を発揮します。このため、これら脆弱性を悪用してウイルスをドロップしている文書ファイル系ウイルスに対して高い予防効果を発揮します。この機会に本機能の利用について改めて検討してみてはいかがでしょうか。深刻度はCVSS基本値に基づき3段階のレンジが設定されてます。