カスタマー・ポータルサポートを利用カスタマー・サポート疑問を解決プログラムサポートに関するお知らせサポート対象製品コミュニティドキュメント・ポータルサポートFireEyeは、専門家が24時間365日体制で対応するグローバルサポート・ネットワークを構築しています。パートナー様を支援する登録制ポータルサイト。案件登録、トレーニング情報にアクセスできます。Officeの悪意あるRTFドキュメントを検出しました。WSDL定義内容の構文解析に際し、任意のコードを注入できます。Basicスクリプトのダウンロード・実行を可能にしていました。ファイア・アイは以前より、この脆弱性の詳細情報をマイクロソフトと共有していましたが、一般への情報公開については、脆弱性に対応するパッチとセキュリティガイダンスの公開(こちらでご覧いただけます)に合わせる形で調整していました。この悪意あるドキュメントを検出したのは、ファイア・アイの電子メール/エンドポイント/ネットワーク製品です。悪意あるドキュメント「Проект.doc」(MD5:fe5c4d6bb78e170abf5cf3741868ea4c)は、ロシア語を話す人間を標的として悪用された可能性があります。CVE-2017-8759のエクスプロイトの実行に成功すると、ドキュメントは複数のコンポーネント(詳細は下記参照)をダウンロードし、最終的にはFINSPYペイロード(MD5:a7b990d5f57b244dd17e9a937a41e7f5)を立ち上げます。FINSPYマルウェアは、FinFisherまたはWingBirdとしても報告されており、「合法的な傍受」機能の一部として購入可能です。FINSPYの今回および過去の使用事例を踏まえると、この悪意あるドキュメントが国家規模で悪用されたものであり、その目的が、ロシア語を話す人間を標的としたサイバースパイ活動であるという推定について、私たちはある程度の自信をもっています。Intelligenceシステムの検出結果からは、顧客が別の可能性はあるものの、早ければ2017年7月には、本件と関連したアクティビティが行われた可能性も示唆されています。System.Runtime.Remoting/metadata/wsdlparser.cs,6111)内の、WSDLパーサーモージュールに存在します。CRLFシーケンスを含むデータが提供された場合、IsValidUrlは、正確な検証を実施しません。これによって攻撃者は、任意のコードを注入・実行できます。図1は、脆弱なコードの一部を抜粋したものです。図1:脆弱なWSDLパーサーSOAPレスポンス内で複数のaddress要素が提供されると、コードは最初のaddress要素の後に、「//base.ConfigureProxy(this.GetType()」の文字を挿入し、残りのaddress要素をコメントアウトします。CRLFシーケンスが追加のアドレス内に存在する場合、CRLFの後に続くコードは、コメントアウトされません。図2では、CRLFの検証がないことで、「System.Diagnostics.Process.Start」のメソッド呼び出しが注入されています。生成されたコードは、.NETフレームワークのcsc.exeによってコンパイルされ、Officeの実行ファイルによりDLLとしてロードされます。生成されたコード実環境での攻撃ファイア・アイが実環境で観察した攻撃は、リッチテキスト形式(RTF)ドキュメントを悪用しており、これは私たちが以前に報告した「CVE-2017-0199」ドキュメントと類似しています。この悪意あるサンプルデータには、エクスプロイトの実行をより円滑に行うためのSOAPモニカーが組み込まれていました(図3)。WSDL定義を取り出します。.NETフレームワークのSystem.Runtime.Remoting.ni.dllに実装されたWSDLパーサーはその内容を構文解析し、作業ディレクトリに.csのソースコードを生成します。.NETフレームワークのcsc.exeは次に、ライブラリ、すなわちhttp[urlパス].dllに生成されたソースコードをコンパイルします。Officeは次にライブラリをロードし、エクスプロイトの実行段階を完了させます。図4は、エクスプロイトの実行結果としてロードされた、ライブラリのサンプルです。図4:ロードされたDLLエクスプロイトの実行に成功すると、注入されたコードは新たなプロセスを作成し、mshta.exeを悪用して、同一のサーバーから「word.db」というファイル名のHTAスクリプトを取り出します。このHTAスクリプトは、ソースコード、コンパイルされたDLL、PDBファイルをディスクから取り除き、「left.jpg」というファイル名のFINSPYマルウェアをダウンロード・実行します。これは.jpgの拡張子と「image/jpeg」のコンテンツタイプであるにも関わらず、実際は実行ファイルです。図5は、このマルウェアの転送のPCAPの詳細です。図5:ライブリクエストマルウェアは、%appdata%\Microsoft\Windows\OfficeUpdte-KB[6桁のランダムな数字].exeとして配置されます。Monitorで確認されたプロセス作成チェーンです。図6:プロセス作成チェーンマルウェア「left.jpg」(md5:a7b990d5f57b244dd17e9a937a41e7f5)は、FINSPYの亜種です。これは、数ある解析妨害技術の中でも組み込みのバーチャルマシンを採用した、高度に難読化されたコードを悪用することで、リバースエンジニアリングをより困難にしています。ユニークな解析妨害テクニックとして、このマルウェアは自身のMD5値を算出して、そのMD5値の検索をします。サンドボックスをはじめとした解析ツールはファイル名の一意性を保つため、解析しているサンプルのMD5値を計算して、そのMD5値をファイル名として使います。FINSPYはこの性質を解析回避の手段として利用します。この亜種は、「WininetStartupMutex0」のミューテックスによって実行されます。結論CVE-2017-8759は、FINSPYの配布で悪用される第2のゼロデイ脆弱性として、2017年にファイア・アイによって発見されました。これらの発見事例からは、「合法の傍受」を行う企業とその顧客にとって、利用可能なリソースが大規模に存在することがうかがえます。FINSPYは複数の顧客に販売されており、他の標的に対してもこの脆弱性が悪用されていたことを示唆しています。CVE-2017-8759は、その他の攻撃者も悪用していた可能性があります。裏付けとなる証拠こそ見つかってはいませんが、FINSPYの配布目的で2017年4月に行われたゼロデイ攻撃では、CVE-2017-0199が、金銭目的の攻撃者によって同時に悪用されました。FINSPYの背後にいる攻撃者が、過去に使用されたものと同一の提供元からこの脆弱性を取得していた場合、この提供元が脆弱性を他の攻撃者にも販売した可能性があります。iSIGHTインテリジェンスに感謝の意を表します。センター(MSRC)の皆様にも感謝いたします。最新の脅威情報や攻撃者動向、ソリューション解説についての情報をお届けします。