マイクロソフト・オフィスの新たなゼロデイ脆弱性が発覚したことを受け、サイバーセキュリティ業界では大きな話題となっています。 研究者によると、このセキュリティ上の脆弱性は、サイバー犯罪者および国家が支援するAPTグループの両方による攻撃において、積極的に悪用されていることが確認されています。
この脆弱性は、サイバーセキュリティ研究チーム「Nao_sec」によって、 2022年5月27日 上で発見されたと報じられています。 (新しいタブで開きます) によると、同チームは、実環境で発見され、ベラルーシのIPアドレスからアップロードされた、不審なWord文書を調査していた際に、このゼロデイ脆弱性を発見したとのことです。 なお、Defender for Endpoint は、悪用された文書に含まれる悪意のあるコードの実行を検知しなかった点に留意する必要があります。
CVE-2022-30190についてわかっていること
セキュリティ研究者のケビン・ボーモント氏は、現在「 CVE-2022-30190」として追跡されているこのセキュリティ上の脆弱性を、いち早く分析した人物の一人です。 ボーモント氏によると、この脆弱性を悪用するエクスプロイトは、Microsoft Wordの「リモートテンプレート」機能を悪用するとのことです。 ボーモント氏は、このゼロデイ攻撃を「フォリーナ」と名付けました。これは、悪意のあるファイルが「 0438 」という数字を参照しており、これがイタリアの村フォリーナの市外局番であることに由来しています。
Follinaは当初、Microsoft Officeのゼロデイ脆弱性として報告されましたが、マイクロソフトによると、実際にはMicrosoft Support Diagnostic Tool（MSDT）に影響を及ぼすものであり、このツールはマイクロソフトのサポートに送信される情報を収集するものです。
「Wordなどの呼び出し元アプリケーションからURLプロトコルを使用してMSDTが呼び出された場合、リモートコード実行の脆弱性が存在します。 この脆弱性を悪用することに成功した攻撃者は、呼び出し元のアプリケーションの権限で任意のコードを実行することができます。 「これにより、攻撃者は、ユーザーの権限の範囲内で、プログラムをインストールしたり、データを閲覧・変更・削除したり、新しいアカウントを作成したりすることが可能になります」と、マイクロソフトは、 CVE-2022-30190 （新しいタブで開きます） に関する「」アドバイザリで説明しています。
この脆弱性を標的とした既知のエクスプロイトの特筆すべき点の一つは、悪用されたMicrosoft Office文書を利用する多くのエクスプロイトやフィッシングテンプレートとは異なり、これまでに確認された攻撃はマクロに依存しておらず、マクロが無効化されているかどうかにかかわらず、悪意のあるコードが実行されてしまうという点です。
この脅威に関するその他の重要なポイントは以下の通りです：
- ProxyLogonの脆弱性があったExchangeサーバーには、Wordテンプレートのペイロードが保存されていることがよくあります。
- テンプレートには、「POC」といった表現がよく使われています。
- これらの標的は、中国にとって戦略的に重要なものであることがわかっています。
Taniumのサイバー脅威インテリジェンス・アナリストの視点
サイバー脅威インテリジェンスチームがまず指摘したいこと――そしてこの見解は、業界をリードする多くのサイバーセキュリティ企業からも支持されています――は、調査が現在も進行中であるということです。 情報セキュリティコミュニティでは現在も、この脆弱性のさまざまな側面や、それを標的としたエクスプロイトについて検証や調査が続いており、主要企業の多くは、現時点ではまだすべてを把握できていないことを、顧客（および一般の方）に率直に伝えるという賢明な対応をとりました。 彼らの多くは、この脅威について、特に最新の完全パッチ適用済みバージョン Office365 がこの特定の種類の攻撃に対して脆弱であるかどうかについて、矛盾した情報を受け取っていたことを認めています。
明らかなのは、これが重大な脅威であるように見えるということです。 この脆弱性が公開されてからわずか4日しか経っていないにもかかわらず、すでに実環境での悪用事例が確認されているという事実は、ゼロデイ脆弱性の公開から悪用が始まるまでの期間が年々短縮されていることを如実に示しています。
この一連の事態（ここで言う「一連の事態」とは、深刻なセキュリティ上の欠陥が公表されてから、悪意のある者たちによって悪用されるまでの時間が短縮されている状況を指します）に一筋の光明があるとすれば、それは、Follinaが、この業界が――状況が良好な時には――かつては不可能だと考えられていたほどの速さで、総力を挙げて協力し、緩和策や回避策を講じることができるという、また一つの好例であるという点です。
Taniumがどのように役立つか
現在、この脆弱性に対するパッチは提供されていません。 マイクロソフトはガイダンスを公開しており、Tanium をご利用いただくことで、組織におけるこの脆弱性への影響範囲を把握し、悪用行動パターンについてアラートを発信し、対策を展開してその有効性を確認することができます。
Taniumには、Follinaの脆弱性の影響を受ける資産を、お客様が迅速かつ簡単に特定できるためのツールがいくつか用意されています。
Tanium Interact を使用することで、企業全体で脆弱性がある可能性のあるシステムを特定することができます。 これにより、対応担当者はエンドポイントに質問を行い、迅速かつ包括的な回答を得ることができるようになります。
Tanium Threat Responseは、オンライン・オフラインを問わず、エンドポイントにおける不審な活動を継続的に監視します。 現在、 CVE-2022-30190の悪用を検知するための「Tanium Signal」がお客様にご利用いただけます。 このシグナルは、マルウェアによって確認・使用されているエクスプロイトを示唆するコマンドライン引数付きで、msdt.exe が実行されたことを検知します。
当社のサイバー脅威インテリジェンスチームは、この脆弱性を引き続き監視しており、新たな情報が入り次第、その都度お知らせいたします。
その他の脆弱性に関する情報については、 の「Emerging Issues」リソース（ （新しいタブで開きます）、、）をご覧ください。