Windowsサポート診断ツールに関する脆弱性が公開―2022年5月 サイバーセキュリティニュース

2022年5月（5月1日～5月31日）にESET製品が国内で検出したマルウェアの検出数の推移は、以下のとおりです。

• 国内マルウェア検出数^*1の推移
  （2021年12月の全検出数を100%として比較）
  ^*1 検出数にはPUA (Potentially Unwanted/Unsafe Application; 必ずしも悪意があるとは限らないが、コンピューターのパフォーマンスに悪影響を及ぼす可能性があるアプリケーション)を含めています。

2022年5月の国内マルウェア検出数は、2022年4月と比較して増加しました。

増加要因として、 LNK/TrojanDownloader.Agent の検出数が大きく増加したことが挙げられます。LNK/TrojanDownloader.Agentは、ショートカットファイル形式（LNK形式）のダウンローダーです。ファイルを開くことによって、スクリプトが実行され、他のマルウェアがダウンロードされます。

2022年4月では、Emotetをダウンロードするものを多数検出していました。詳細については、2022年4月マルウェアレポートでご紹介しています。

検出されたマルウェアの内訳は以下のとおりです。

5月に国内で最も多く検出されたマルウェアは、JS/Adware.TerraClicksでした。

JS/Adware.TerraClicksは、Webサイト閲覧時に実行されるアドウェアです。感染すると、アドウェアサイトへのリダイレクト、アドウェアコンテンツの配布やブラウザー拡張機能としてアドウェアをインストールするなどの被害を生じさせる可能性があります。

5月30日にWindowsサポート診断ツール（Microsoft Support Diagnostic Tool：MSDT）に関する脆弱性CVE-2022-30190が公開されました。

この脆弱性は「Follina」と呼ばれており、Wordなどの呼び出しアプリケーションからMSDT URLプロトコルを使用してMSDTが呼び出されると、リモートでコードが実行されるという脆弱性です。本脆弱性は、以下のOSとバージョンが対象となります。詳細な情報については、Microsoftのセキュリティアップデートガイドに掲載されています。

本脆弱性を悪用するマルウェアによって、任意のコードが実行されるまでの流れは以下の通りです。

• 感染までの流れ

本脆弱性を悪用したWordファイルを開いた場合でも、保護ビューが機能していると任意のコードの実行はありません。ユーザーが「ファイルの編集を有効にする」をクリックし保護ビューを解除することで、任意のコードを実行される恐れがあります。

• 本脆弱性を悪用するファイルを開いた際の表示画面の例

また、この手法ではマクロを有効化する必要がないため、Word形式だけでなくリッチテキストファイル形式（RTF形式）としても悪用されています。RTF形式だと、保護ビューで開けないため、ファイルを開くだけで任意のコードが実行される恐れがあります。

本脆弱性を悪用して任意のコードが実行される様子が以下の通りです。今回はPoCを用いて、計算機アプリを起動させています。

• Wordを起動時にリモートテンプレート機能によってサーバーへアクセスしている様子

• Windowsサポート診断ツールが起動し、任意のコードが実行されている様子

• 任意のコードが実行された結果、計算機アプリが起動している様子

Wordファイルを起動し、リモートテンプレート機能を利用して、HTMLファイルを取得しています。次に、取得したHTMLファイルからWindowsサポート診断ツールを起動しています。そして、任意のコードをWindowsサポート診断ツール経由で実行させています。

本脆弱性に対する正式なパッチが、6月の月例セキュリティ更新プログラムで公開されました。早急にセキュリティパッチの適用をご検討ください。

Microsoft社は、一時的な回避策としてMSDT URLプロトコルの停止を挙げています。

この回避策を実行すると、OS全体を通してリンクからのWindowsサポート診断ツールの起動が阻止されてしまいます。その一方で、Get Helpアプリケーションやシステム設定、追加のトラブルシューティングから手動で実行することは可能です。

・回避策（MSDT URLプロトコルを無効化）

1. 管理者 としてコマンドプロンプト を起動
2. 「 reg export HKEY_CLASSES_ROOT\ms-msdt 任意のファイル名」を実行して、レジストリキーのバックアップをとる
3. 「 reg delete HKEY_CLASSES_ROOT\ms-msdt/f」を実行する

・回避策を元に戻す方法

1. 管理者としてコマンドプロンプトを起動
2. 「 reg import 上記指定したファイル名」を実行する

2022年5月には、脆弱性CVE-2022-30190を悪用して任意のコードを実行させるWordファイルが確認されています。実際にQbotマルウェアを配布する手段として利用された事例も報告されています。6月の月例セキュリティ更新プログラムにてセキュリティパッチが公開されていますので、早急にセキュリティパッチの適用をご検討ください。また、セキュリティパッチをすぐに適用できない環境では、Microsoft社の推奨する一時的な回避策の実施が推奨されます。

引用・出典元

■マイクロソフト セキュリティ レスポンス センター | 「Microsoft Windows Support Diagnostic Tool (MSDT) Remote Code Execution Vulnerability」
https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2022-30190

■Microsoft Security Response Center | 「CVE-2022-30190 マイクロソフト サポート診断ツールの脆弱性に関するガイダンス」
https://msrc-blog.microsoft.com/2022/05/30/guidance-for-cve-2022-30190-microsoft-support-diagnostic-tool-vulnerability-jp/

■WeliveSecurity | 「Vulnerabilidade critica “Follina” e explorada atraves de documentos do Office」
https://www.welivesecurity.com/br/2022/06/08/vulnerabilidade-critica-follina-e-explorada-atraves-de-documentos-do-office/

■BleepingComputer | 「Qbot malware now uses Windows MSDT zero-day in phishing attacks」
https://www.bleepingcomputer.com/news/security/qbot-malware-now-uses-windows-msdt-zero-day-in-phishing-attacks/

■Microsoft Security Response Center |「2022 年 6 月のセキュリティ更新プログラム（月例）」
https://msrc-blog.microsoft.com/2022/06/14/202206-security-updates/

※ESETは、ESET, spol. s r.o.の登録商標です。Microsoft、Windows、Windows server、PowerShellは、米国Microsoft Corporationの、米国、日本およびその他の国における登録商標または商標です。

※本記事はキヤノンマーケティングジャパンのオウンドメディア「サイバーセキュリティ情報局」から提供を受けております。著作権は同社に帰属します。

[PR]提供：キヤノンマーケティングジャパン