PR

 今回は「TROJ_MDROP.CL(エムドロップ)」の活動を検証する。MDROPの名称はMicrosoft Office製品,特にWordもしくはExcelのセキュリティ・ホールを攻撃することによって,ほかの不正プログラムをドロップ(作成)する活動を行う不正プログラムに対して使用する,トレンドマイクロの検出名だ。

 今回検証する「TROJ_MDROP.CL」の実体はWordの文書ファイルである。Wordのセキュリティ・ホールを攻撃する。日本で確認されるこのような文書ファイルのセキュリティ・ホールを狙うタイプの不正プログラムは,ほとんどの場合が攻撃対象を特定の会社や団体に特定したメールの添付ファイルによるターゲット攻撃に使用されている。「TROJ_MDROP.CL」もベースとなる攻撃コードは同一で,複数の企業,団体に対しメールのタイトルや本文,添付ファイル名,ドロップする不正プログラムなどバリエーションを変えて攻撃が行われていたことを確認している。

 「TROJ_MDROP.CL」による攻撃自体が確認されたのは,2009年2月前後であった。しかし,攻撃対象となるセキュリティ・ホールは,2008年9月に修正プログラムが公開されているMS08-009(Microsoft Word の脆弱性により,リモートでコードが実行される (947077))であり,最新のセキュリティ・ホールを攻撃するわけではない。このように既に修正プログラムが公開されているセキュリティ・ホールであっても攻撃が行われることは多く,特に珍しいことではない。

 さて,それでは検証してみよう。Microsoftの情報からMS08-009のセキュリティ・ホールの影響を受けるシステムとして,Microsoft Word 2003 Service Pack 2の環境を用意した(図1)。

図1●今回検証した環境
図1●今回検証した環境
テスト機上でTROJ_MDROP.CLを実行。他の不正プログラムを作成するかを観察する

 この環境に「TROJ_MDROP.CL」のファイルをコピーし,オープンしてみる。「TROJ_MDROP.CL」のファイルは分かりやすくMDROPCL.DOCとしておいた。また,オープン時の活動を観察するため,プロセスを表示するProcess Explorer,システム状況の差分を表示するInstallRiteを実行しておく。この状態で「TROJ_MDROP.CL」のファイルであるMDROPCL.DOCをオープンした(図2図3)。

図2●実行前のデスクトップとWordのバージョン画面
[画像のクリックで拡大表示]
図3●「TROJ_MDROP.CL」のファイルであるMDROPCL.DOCを選択してオープン
図3●「TROJ_MDROP.CL」のファイルであるMDROPCL.DOCを選択してオープン