未更新のMicrosoft Officeを狙う新たなマルウェア攻撃の波

通常、プログラムの脆弱性(エクスプロイト)が発見されると、修正プログラム(ホットフィックス)がリリースされます。このライフサイクルにより、脆弱性は発見から修正まで比較的短い期間しか存在しません。そのため、人気ソフトウェアの古い脆弱性が、特にパッチ公開後も依然として蔓延し続けるのは非常に珍しいことです。

だからこそ、Microsoft Officeの古い脆弱性が今もインターネット上で猛威を振るっている事実は注目に値します。この脆弱性を悪用した攻撃は、なんと2018年には世界で3番目に多い攻撃手法となりました。問題は、この脆弱性が2017年の時点で既に修正されていたにもかかわらず、今日まで被害を出し続けているという点です。

脆弱性「CVE-2017-11882」とは?

この脆弱性は「CVE-2017-11882」という識別名で知られています。Officeがメモリを適切に処理できない箇所を悪用するもので、攻撃者はこの脆弱性を利用してOfficeに任意のコードを実行させることが可能です。さらに深刻なのは、被害者が管理者権限でログインしていた場合、PCそのものを乗っ取られる恐れもある点です。

この脆弱性でOfficeを攻撃するには、ユーザーに感染したファイルをWordで開かせる必要があります。つまり、この攻撃は「気になってファイルを開いてしまう」というユーザーの心理を突く詐欺的手法によって最も効率的に拡散します。攻撃者は、重要な書類が掲載されていると装った偽サイトを構築したり、「至急ご確認ください」といった内容のメールでファイルのダウンロードを促したりするのです。

新たな攻撃キャンペーンの仕組み

欧州諸言語で送信されるメールにより、CVE-2017-11882のエクスプロイトを含むRTFファイルが配布されるアクティブなマルウェアキャンペーンが確認されています。この脆弱性により、攻撃者はユーザーの操作なしに自動的に悪意あるコードを実行できます。

— Microsoft Security Intelligence (@MsftSecIntel) 2019年6月7日

今回の新たな攻撃の波では、ヨーロッパの各言語で書かれたメールにRTF形式のファイルが添付されて送信されます。ユーザーがこのファイルをダウンロードして開くと、スクリプトをダウンロード・実行するコードが起動します。これらのスクリプトはOffice内部にバックドアを開設し、攻撃者のコマンドセンターとの接続を確立してしまうのです。

なぜ今さら再燃しているのか?

2017年に「修正済み」とされた脆弱性を、なぜ攻撃者が再び利用しているのか、その正確な動機は不明です。しかし、修正リリースから2年以上経過してもこの種の攻撃が依然として成功していることを考えると、ハッカーにとって「確実に成果が出る安全な手段」と見なされている可能性があります。

Microsoftは公式Twitterアカウントで次のように警告しています。「CVE-2017-11882の脆弱性は2017年に修正されましたが、今日に至るまで攻撃での悪用が確認されています。特筆すべきは、ここ数週間で攻撃活動が増加している点です。セキュリティ更新プログラムの適用を強くお勧めします。」

脆弱性への対処方法

前述のツイートにある通り、修正プログラム自体は何年も前から提供されています。ところが残念なことに、この修正は今日に至るまで十分に行き渡っていません。原因がMicrosoft側の配布方法にあるのか、それとも2年前から用意されていたアップデートを放置してきたユーザー側にあるのか、議論の余地はあるかもしれません。しかし今大切なのは、とにかく直ちにOfficeソフトウェアを更新することです。

更新手順は以下の通りです。まずWordなどのOfficeアプリケーションを起動し、上部メニューの「ヘルプ」をクリックして「更新プログラムの確認」を選択します。するとOfficeが必要なアップデートを自動的に検索・ダウンロードします。まだ適用していない場合は、今回の脆弱性の修正プログラムも含まれます。

古い攻撃手法ほど厄介

今回のOfficeを標的とした一連の攻撃は、本来なら2年前に「終わっているはず」の問題だけに、非常に不可解な事例といえます。Officeを最後に更新したのがいつだったか思い出せない方は、今すぐパッチが適用されているかどうかを確認しておきましょう。

ソフトウェアに潜む古い脆弱性の再発を防ぐ最善の方法とは何でしょうか?ぜひコメント欄であなたの考えをお聞かせください。