Static-Malware-Analysis-Follina-CVE-2022-30190

Follina（CVE-2022-30190）の静的マルウェア解析（Blue Team Labs Online 提供）

---

ラボ: Blue Team Labs Online – Follina チャレンジ

解析種別: 静的解析

使用ツール: VirusTotal、Windows ファイルエクスプローラー

---

はじめに

ブルーチームとしての歩みの中で、現実のドキュメントベース攻撃を深く理解したいと思いました。
私は sample.doc という不審な Microsoft Word 文書に出会い、ファイルを一切実行せずに静的に分析することを決めました。

この記事では、私の完全な静的解析プロセス、重要な発見、そして有名な Follina エクスプロイト（CVE-2022-30190） から学んだ貴重な教訓をまとめています。

ステップ 1: ファイルの初期観察

まず、ファイルエクスプローラーでファイルを調べることから始めました。

• ファイル名: sample.doc
• サイズ: 約 10 KB
• 外観: まったく普通の Word 文書のように見えました

無害に見えましたが、開いてはいけないと分かっていたので、すぐに脅威インテリジェンスによる確認に移りました。

ステップ 2: VirusTotal による解析

ファイルを VirusTotal にアップロードし、その評判を即座に把握しました。

主な結果:

• SHA-256: 4aa240481afbe9fb62e7a6a4a9adbd1faf41f266b5f9feecdeb567aec096784
• 検出率: 65 件中 46 件のセキュリティベンダーが悪意のあるものとしてフラグを立てました
• ファイルタイプ: Office Open XML 文書
• 注目のタグ: cve-2022-30190、exploit、calls-wmi

高い検出率と CVE タグから、これは単純なマクロウイルスではないとすぐに分かりました。

ステップ 3: MITRE ATT&CK 手法

このサンプルが使用する手法を理解するため、Behavior（動作）タブを調べました。

観察された主な手法:

• T1203 – クライアント実行の悪用
• T1559 – プロセス間通信
• T1059 – コマンドおよびスクリプトインタープリター

これらの手法は、Follina 攻撃チェーンの典型的な兆候です。

ステップ 4: 接続先 URL と外部リレーションシップ

最も興味深かったのは、Relations（関連）→ Contacted URLs（接続先 URL） セクションでした。

この文書は、xmlformats.com 配下の不審なドメイン（正規の Microsoft ドメインを明確に偽装したもの）にアクセスしようとし、RDF842l.html という名前のファイルを要求します。

これは Follina エクスプロイトの特徴であり、外部 XML リレーションシップを利用して ms-msdt: プロトコルをトリガーします。

この解析から得られた重要な教訓

• Follina はマクロなしで動作する危険なエクスプロイトです。
• 攻撃者は Office 文書のリレーションシップ内に悪意のある動作を隠すことができます。
• 不審な文書は、開く前に必ず静的解析で検証してください。
• .rels ファイル内の外部参照は、決して無視してはならない危険信号です。

学んだこと

これは私にとって初めての本格的なマルウェア解析ラボであり、現代のドキュメントエクスプロイトがどれほど巧妙になっているかを教えてくれました。
攻撃者が一般的なセキュリティ対策をどのように回避するのか、そして静的解析がすべてのブルーチームにとってなぜ重要なスキルなのかを、はるかに深く理解できるようになりました。

この道のりを続け、今後はさらに複雑なサンプルを解析できることを楽しみにしています。

---

🛡️ Vihanga | 駆け出しブルーチーマー

LinkedIn でつながる: フィードバック、提案、ディスカッションを歓迎します！