セキュリティアラートが提示され、Follina（CVE-2022-30190）脆弱性の検出を示しています。悪意のあるWord文書がmsdt.exeの実行をトリガーし、ホストJonasPRD上でリモートコード実行が可能であることを示唆しています。私たちのタスクは、アラートを調査し、悪用の確認、影響の評価、および修復方法の推奨を行うことです。
Follina (CVE-2022-30190) の脆弱性を検出したことを示すセキュリティアラートが表示されています。悪意のあるWord文書がmsdt.exeの実行を引き起こし、ホストJonasPRDでリモートコード実行が行われた可能性があります。私たちのタスクは、アラートを調査し、悪用を確認し、影響を評価し、是正措置を推奨することです。
2022年6月2日15時22分、SOC173 - Follina 0-Day Detected SIEMルール によってセキュリティアラートが発生しました。このアラートは、IPアドレス172.16.17.39のエンドポイント「JonasPRD」に関連するものです。このホストでOffice文書を開いた後、msdt.exeが実行されたことが確認されました。アラートにはファイルのハッシュを含む詳細が含まれており、アンチウイルスはこのアクションを許可としてマークしており、ファイルはブロックも隔離もされていませんでした。
Follina (CVE-2022-30190) は、MSDT診断ツールを悪用するWindowsの脆弱性です。細工されたOffice文書はms-msdt:プロトコルを呼び出してmsdt.exeを起動し、認証なしでマシン上で任意のコマンドを実行することができます。悪意のあるWordファイルを開くか、場合によってはプレビューするだけでトリガーされ、攻撃者はプログラムの実行、追加のマルウェアのダウンロード、データの窃取を行うことができます。典型的な兆候としては、予期しないmsdt.exeプロセス、不審な外部接続、文書を開いた後に新しいファイルやサービスが現れることなどがあります。システムにパッチを適用し、信頼できないOfficeファイルを開かないようにし、可能な場合は文書プレビューを無効にし、ファイルのハッシュとmsdt.exeのアクティビティを調査して侵害を検出してください。
調査を開始するにあたり、VirusTotalを使用してファイルハッシュを分析しました。結果は、67のベンダーのうち47がファイルを悪意があると識別し、いくつかのレポートがCVE-2022-30190に関連付けていることを示していました。
さらに、OTXはこのファイルに高いリスクスコア9.2を割り当て、悪意があると分類しています。
MalwareBazaarで検索したところ、このファイルがマルウェアリポジトリに存在することが確認されました。特に、タグはCVE-2022-30190、follina、maldoc、msdt.exeに関連していることを示しています。
複数の情報源を使用してファイルハッシュを分析した結果、このハッシュはCVE-2022-30190に関連していることを確認できました。参照された脅威インテリジェンスによると、このハッシュは悪意のある文書に対応しています。
影響を受けたエンドポイントのIPアドレスを分離したところ、インシデントの時間帯に一致する7つのログエントリを特定しました。そのうちの6つのエントリは、フラグが立てられたドメイン「www[.]xmlformats[.]com.」への送信要求を示しています。
また、ネットワークトラフィックを宛先IPアドレス（141.105.65.149）まで追跡し、接続を確認しました。
調査結果を検証するため、ホストが受信したメールも調査しました。このメールには悪意のある文書が含まれており、明らかにフィッシング試行の一部として作成されていました。脅威を軽減するため、エンドポイントからそれを削除する即時対応を行いました。
影響を受けたエンドポイントを徹底的に調査した後、さらなる被害を防ぐためにデバイスを隔離することを決定しました。確認中に、msdt.exeプロセスの存在を発見し、隔離とL2へのエスカレーションの必要性がさらに確認されました。
証拠は、フィッシングメールで配信されたCVE-2022-30190（Follina）による侵害が確認されたことを示しています。ユーザーは悪意のあるWord文書を開いて実行しました。ログとファイルの分析により、埋め込まれたC2 IPへの接続と、デバイス上での攻撃者コマンドの実行が判明しました。このインシデントはT2 SOCアナリストにエスカレーションされ、エンドポイントは隔離されて脅威を封じ込め、組織を保護します。
お読みいただきありがとうございます！
