ショートレポート「2017年11月マルウェア検出状況」

トピック

1. 11月の概況について
2. Microsoft Office数式エディターの脆弱性を悪用した攻撃の出現
3. Windows Movie Makerを改ざんした偽プログラムの増加

1. 11月の概況について

2017年11月1日から11月30日までの間、ESET製品が国内で検出したマルウェアの比率は、以下のとおりです。

（※）Potentially Unwanted Application(望ましくない可能性のあるアプリケーション)：コンピューターの動作に悪影響を及ぼすことや、ユーザーが意図しない振る舞いなどをする可能性があるアプリケーション

11月に国内で最も多く検出されたマルウェアは「LNK/TrojanDownloader.Agent」（LNK形式のダウンローダー）です。
LNK形式のダウンローダーは、Windowsに標準で搭載されているcmd.exeやpowershell.exeを悪用し、別のマルウェアをダウンロードします。
また、10月に増加した「VBA/DDE」が11月も多く検出されました。

2. Microsoft Office数式エディターの脆弱性を悪用した攻撃の出現

11月から12月にかけて、Microsoft Office数式エディターに存在する脆弱性（CVE-2017-11882）を悪用した攻撃が新たに確認され、その検出数は11月度では14位でした。

具体的には、メールに添付された本脆弱性への攻撃コードを含む悪性のWord文書が、「Ursnif（アースニフ）」と呼ばれるバンキングマルウェア（バンキングサイトの認証情報等を窃取するマルウェア）のダウンローダーとして使われた事例を確認しています。ESET製品では、悪性Word文書を「Win32/Exploit.CVE-2017-11882」として検出し、その後の脅威を防ぎます。

Microsoft Office数式エディターの脆弱性を悪用した攻撃の事例

数式エディターはMicrosoft Office 2003以前のバージョンのMicrosoft Officeで数式を入力するために搭載されたソフトウェアで、Microsoft Office 2007以降においても互換性を確保するために搭載されています。このソフトウェアは2000年以来一度も更新されていませんでした。

脆弱性を含むeqnedt32.exe（数式エディター）のプロパティ情報

本脆弱性を悪用した攻撃 (ESET検出名：Win32/Exploit.CVE-2017-11882）はとくに日本国内における検出が顕著で、日本のユーザーを狙った攻撃に多く使われました。

Win32/Exploit.CVE-2017-11882の検出数の国別比率（11月）

この脆弱性に対する修正プログラムは既に公開されています。未適用の場合、速やかに適用されることを推奨します。

すぐに修正プログラムを適用できない場合は、Microsoft Officeの数式エディターを無効にすることを推奨します。マルウェアラボでは、数式エディターを無効にすることで、本脆弱性に対する攻撃を回避できることを確認しています。

3. Windows Movie Makerを改ざんした偽プログラムの増加

11月上旬に「Windows Movie Maker」を改ざんした偽プログラムの検出が増加しました。検出が急増した偽プログラム（ESET検出名：Win32/Hoax.MovieMaker）は11月初めに検出が増加し、11月2日にはWin32/HoaxMovieMakerが世界で検出されたすべてのマルウェアのうち、3番目に多く検出されたマルウェアとなりました。

検出されたWin32/Hoax. MovieMakerの推移（世界）

この偽プログラムは、すでに配布が終了しているMicrosoft社製の無料ビデオ編集ソフトウェア「Windows Movie Maker」を改ざんして作成されており、実行すると「Windows Movie Maker」のトライアルバージョンを装ったプログラムがインストールされます。
そして、プログラム起動時に、フルバージョンの偽プログラムを購入するように要求するメッセージを表示します。

偽プログラムを購入するよう要求するメッセージ

表示されたメッセージにある購入ボタン（[Buy Now]ボタン）をクリックすると購入ページが表示され、フルバージョンの偽プログラムを購入するために、住所や氏名、クレジットカード番号の入力を要求します。

偽プログラムを購入させるための個人情報の入力画面

この「Windows Movie Maker」を改ざんした偽プログラムの検出が急増した原因の１つとして、偽プログラムを配布しているウェブサイトが、検索サイトの検索結果で上位に表示されるようになっていたことが考えられます。

具体的には、11月上旬にGoogleやBingなどの検索サイトで ”Movie Maker” を検索すると、偽プログラムを配布しているウェブサイトが検索結果の上位に表示されていました。
そのため、多くのユーザーが攻撃者の用意したウェブサイトにアクセスし、偽プログラムをダウンロードしたものと考えられます。

検索サイトでの”Movie Maker”の検索結果表示

ソフトウェアのダウンロードや、個人情報の入力の際は、そのサイトが信頼できるサイトであるかどうかを慎重に確認してください。

ESET製品では、この偽プログラムを「Win32/Hoax.MovieMaker」または「Win32/InstallMonetizer.AU」という名前で検出します。
また、この偽プログラムをダウンロードするウェブサイトにアクセスした場合、ESET製品が通信をブロックします。

Win32/Hoax.MovieMakerの検出画面（ESET ENDPOINT SECURITY）

Win32/InstallMonetizer.AUの検出画面 (ESET ENDPOINT SECURITY)

ご紹介したように、11月はソフトウェアの脆弱性を狙った攻撃や偽のプログラムを配布する攻撃が確認されました。常に最新の脅威情報をキャッチアップすることが重要です。