この頃、セキュリティ界隈で

Microsoftのマクロ遮断に攻撃側が対抗、防御をかいくぐるマルウェア感染の手口とは

公開 2022年08月03日 12時07分

[ITmedia]

印刷する連載新着通知を受け取る

　Officeアプリケーションのマクロをデフォルトでブロックする措置をMicrosoftが講じたことを受け、ユーザーをだまして不正な添付ファイルをクリックさせ、マルウェアに感染させようとする攻撃の手口に変化が生じている。

　電子メールに不正なファイルを添付して送り付け、ユーザーがマクロを有効にするよう仕向ける手口は、「Emotet」などのマルウェアに感染させる目的で使われる常とう手段だった。その防御をかいくぐる目的で、攻撃側がISO（.iso）やRAR（.rar）といったコンテナファイルを使い始めている実態が、サイバーセキュリティ企業の米Proofpointの調査で浮かび上がった。

　Microsoftは2021年10月、Excel4.0（XL4）マクロをデフォルトでブロックすると発表し、続いて2022年2月にはVBA（Visual Basic for Applications）マクロのブロックを発表。インターネット経由でダウンロードしたOfficeファイル（Excel、Word、Access、PowerPoint、Visio）のVBAマクロはデフォルトで無効とされ、ユーザーが簡単には有効にできないようになった。

　7月上旬にはMicrosoftが一時的に元の状態に戻したことで、ユーザーの間に混乱も引き起こしたが、同月中には再びデフォルトでのブロックが復活している。

　Proofpointはこの措置の効果を調べるため、2021年10月～2022年6月の間に観測された不正なファイルをメールに添付する手口について調査した。その結果、VBAマクロとXL4マクロが利用された件数は、この間に約66％減少していたことが分かった。一方で、ISOやRARなどのコンテナファイルやWindowsショートカットのLNK（.lnk）ファイルが添付されるケースは、同じ期間に約175％増えていた。

添付ファイルに利用されたコンテナファイルとマクロ対応ドキュメントの数

なぜVBAマクロは攻撃に多用されるのか？

　これまでVBAマクロが攻撃に多用されていたのは、ユーザーがマクロを有効にするよう仕向けることで、悪質なコンテンツを自動的に展開させることができるためだった。Excel用のXL4マクロも同様の手口で利用されていたという。例えば重要書類を装ったファイルがメールで届き、閲覧するためにはマクロを有効にする必要があるという通知が出れば、ユーザーはだまされてしまいやすい。

　Proofpointによると、Microsoftが導入したVBAマクロのブロックは、インターネットからダウンロードされたファイルにMark of the Web（MOTW）属性が付加される仕組みに基づいている。つまり、MOTW属性が付加されたファイルがブロックの対象となる。

　これに対して攻撃側は、ISOやRAR、ZIP（.zip）、IMG（.img）などのコンテナファイルに格納してマクロを仕込んだ文書を送り付ければ、ブロックの仕組みをかわせることに目を付けた。

　この手口では、コンテナファイルにはインターネット経由でダウンロードしたファイルとしてMOTW属性が付加される。しかし内部に格納したマクロ付きスプレッドシートなどにはMOTW属性は付加されず、インターネットからダウンロードした文書とは認識されない。このためユーザーがコンテナファイルを解凍後、マクロを有効にしてしまい、悪質なコードが実行される恐れがある。