今年に入ってから、自身の運搬役としてデータファイルを使うマルウェアが数多く登場しています。こうした事例のほとんどでは、マルウェアをインストールするためにアプリケーションの脆弱性が悪用されています。例えば、Excelファイルを悪用する「X97M/TrojanDropper.Agent.NAI」は、2009年2月24日に公開され25日に更新された「マイクロソフトセキュリティアドバイザリ（968272）：Microsoft Office Excelの脆弱性により、リモートでコードが実行される」で説明されている脆弱性を悪用します。この脆弱性は、Microsoft Office Excel 2000～2007、Microsoft Office 2004/2008 for Mac、Microsoft Office Excel Viewer、さらにOpen XML File Format Converter for Macにまで影響します。

ただし、この攻撃自体はおもにWindowsを対象に行われています。細工の施されたExcelファイルを開くと、ESET製品では「Win32/Agent.NVV」として検出されるバックドア型のトロイの木馬が作成され、リモートの攻撃者は、このトロイの木馬を通じて感染したPCにアクセスし、PCをコントロールできるようになります。この脆弱性を修正するパッチは、近日中にMicrosoftから提供される予定となっています。同じ脆弱性を突く別の攻撃にも対処できるようにするため、必ずパッチを適用するようにしてください。

データファイルを悪用するマルウェアと聞くと、1990年代に「この種のマルウェアへの感染を防ぐには、マクロを実行しないドキュメントビューアでOfficeファイルを開けばよい」と言われていたことを思い出すかもしれません。しかし残念ながら、このマルウェアが悪用しているのはマクロではなく、また問題の脆弱性はビューアにも存在します。この脆弱性を悪用すると、特別な細工を施したExcelファイルで無効なオブジェクトにアクセスし、任意のコードを実行することが可能になります。このマルウェアの場合は、シェルコードが、スプレッドシートに埋め込む形で実行可能ファイルを作成し、これをサービスとして登録したあと、ファイルを実行します。

この問題については、ESETのDavid HarleyとJuraj MalchoがSC Magazineの記事でコメントしています。またDavidは、Journalism.co.ukでもコメントしています。ESETからはプレスリリースを発表しているほか、ブログでも解説を行っています。

ESETでは、この攻撃を検出する専用シグネチャをすでに提供していますが、2月27日に公開されたアップデートのv.3895には、この攻撃に対応した汎用シグネチャ（X97M/Exploit.CVE-2009-0238.Gen）も含まれています。

ESETブログでも触れたAdobe製品の脆弱性を狙った攻撃と同様、今回の攻撃も、不特定多数を対象とするランダムな攻撃ではなく、特定のユーザーを狙った標的型攻撃です。今後もそうであるという保証はありませんが、少なくとも今のところは多くのユーザーに直接影響するものではありません。しかし、細工が施されたExcelファイルをだれか1人でも開いてしまった場合、そこから標的となった組織内外の多数の人々に被害が広がっていく可能性があります。

当面の間は、たとえそれが信頼できる相手から送られてきたように見える場合であっても、他人から受け取ったスプレッドシートをむやみに開かないよう特に注意する必要があります（標的型攻撃では、メールやファイルが信頼できる相手から送られたものであるように見せかけるため、さまざまな工夫が施されています）。ただし、パッチ適用後はそのような注意を払わなくても構わないというわけではありません。Microsoftは、この種の攻撃を回避するのに最も有効な汎用的手段として、Microsoft Office Isolated Conversion Environment（MOICE）を使用することを推奨しています（MOICEはOffice 2003/2007にインストール可能）。

Adobeは、Adobe ReaderおよびAcrobatに影響する脆弱性の修正パッチを3月10日までに提供するとしています。それまでの間は、暫定的な対策として製品のJavaScriptを無効にすることが推奨されます（http://www.eset.com/threat-center/blog/?p=593とhttp://www.eset.com/threat-center/blog/?p=579を参照）。なお、Flash Playerの脆弱性に対するパッチはすでに公開されています。この脆弱性に関しては、ESETのRandy AbramsのコメントがInternetNews.comに掲載されています。

マレーシア在住のパートナーが、非常に巧妙なフィッシングメールのコピーを送ってきてくれました。このフィッシングは、マレーシア最大の金融サービスグループで、同国最大規模のオンラインバンキングサービスを提供しているMaybankをターゲットとしているのですが、われわれが普段目にするフィッシングの事例と比べて、実に手の込んだものとなっていました。メールの体裁は、一見したところ銀行関連の多くのフィッシングメールと大差ありません。パーソナライゼーションは行われておらず、件名は「お客様各位」、冒頭の挨拶文は「maybank2uをご利用のお客様へ」となっており、本文も「お客様を詐欺行為から保護するため、当行にご連絡いただく必要があります」というフィッシングではおなじみの顧客を不安にさせるような内容となっています。

ところが、メール受信者に実行するよう求める手順の内容が通常のフィッシングとは異なっていました。「ここをクリックして手続きを行ってください」というような文言で直接Webサイトに誘導するのではなく、その中間手順を実行するように要求するのです。その方法は実に巧みであり、官僚的とも言える煩雑な手続きを要求することで、ユーザーを安心させようとします。まず、正規のmaybank2uサイトにログインして正規の手順で取引認可コード（Transaction Authorization Code：TAC）を取得するように要求します。その後、フィッシングメールに書かれたフォームを開き、ユーザーIDとパスワード、そしてTACを入力して送信するように求めるのです。これは、マジシャンが観客の注意をそらすために用いる「ミスディレクション」という手法を応用したものと言えます。正規のサイトで一通りの認証を受けたにもかかわらず、JavaScriptのスニペットをクリックすると、中国で登録されている思われるサイトに誘導され、見ず知らずの詐欺師に機密情報を送信してしまうことになります。

Macユーザーと言えども、フィッシング攻撃から逃れることはできません。AppleInsiderが、MobileMeユーザーに対する新たなフィッシング攻撃について報じています。こちらをご参照ください。
ここで用いられているのは、Appleが差出人であるかのようにヘッダーが細工されたメールです。このメールをフィッシングと見破る手がかりは、Maybankのケースと同様、（MobileMeアカウントに関するAppleからの本物のメールとは異なり）パーソナライゼーションが行われておらず、ユーザー名や一部を伏せたクレジットカード番号が記載されていないことです。また、無防備にクリックしてしまったユーザーを偽のAppleサイトに誘導するリンクが記述されています。

このフィッシングメールは、Maybankに対するものほど洗練されてはいませんが、セキュリティ問題に対する警戒心が比較的薄いMacユーザーをターゲットにしている点が特徴的です。このフィッシングメールは、次の2つのことを示唆しています。1つは、犯罪者らはMacユーザーも非合法の収益を得るためのターゲットと見なしているということ。もう1つは、仮にMacを狙うマルウェアを作成することが不可能だとしても（実際には可能です。絶対数は多くないものの、この種のマルウェアは徐々に増えてきています）、オペレーティングシステムではなく、セキュリティ対策における最大の弱点であるユーザーを狙ったプラットフォーム非依存の攻撃手法を用いることで、Macユーザーを攻撃することは十分に可能だということです。犯罪者からしてみれば、自分たちの目的を果たすことができるのなら、ユーザーのハードウェアが何であろうとまったく関係ないのです。