Office マルウェアフォレンジックラボ — REMnux による静的解析

2つの悪性 Office ファイルを、完全に分離された REMnux VM 内で静的解析した。一切実行はしておらず、検査のみを行った。

セットアップ

• REMnux VM、ホストとの共有フォルダなし
• ツール: sha256sum、file、unzip、および oletools スイート (oleid、olevba、oledump、mraptor)
• 両サンプルは MalwareBazaar (abuse.ch) から取得

サンプル 1: 悪性 Word 文書 (.docx)

SHA-256: 68e82279bff55cf3b9f1f22ec4a165b1b1245a359f7e8d86664b2541d8f8d3fe

判明したこと:

• docx 内のファイル (nste.xml) は実際には XML を装った Rich Text Format データだった — この不一致自体が危険信号である
• 埋め込みオブジェクトの1つは 196 KB の VBS 実行ファイル (419876.vbs) だった
• もう1つの埋め込みオブジェクトは CVE-2017-11882 に一致した — これは既知の Equation Editor エクスプロイトで、マクロを必要とせずファイルを開くだけで実行される

判定: 悪性。 これは既知の RCE を利用して実行ファイルをドロップする、実際に武器化された文書である。

サンプル 2: 悪性 Excel ファイル (.xlsx)

SHA-256: dc65419ba5d83b980d7018198a14209fa2f5ebf6f99d47bfe9f586852087befe

判明したこと:

• ファイルは暗号化 (パスワード保護) されており、通常これは AV スキャナからマクロの内容を隠す
• 4つの VBA モジュールがあったが、4つとも空だった — mraptor は AutoExec/Write/Execute フラグなしで「Macro OK」を返した
• 1つのワークシートが非表示になっていた
• VBA レイヤーとは別に、旧式の XLM マクロストリーム内に16進エンコードされた文字列が存在していた
• それらの文字列をデコードしてもシェルコードやダウンロード URL は見つからず、いくつかのタイプライブラリ識別子が出てきただけだった

判定: 不審だが結論は出せない。 暗号化、非表示シート、難読化された文字列はいずれも回避手法のように見えるが、VBA レイヤー内に実際の稼働ペイロードを確認することはできなかった。実際のペイロードは (完全にはリバースエンジニアリングしていない) レガシー XLM マクロレイヤーにある可能性もあれば、これが不完全な/ステージング用のサンプルである可能性もある。

実施した手順

1. 各ファイルをハッシュ化 (SHA-256) して証拠保全 (chain of custody) を行う
2. file で実際のファイル種別を確認し、拡張子と比較する
3. oleid を実行し、暗号化/マクロ/外部リンクについて素早く把握する
4. oledump を実行し、埋め込みオブジェクトをすべて列挙する
5. olevba を実行し、VBA ソースを抽出・デコードする
6. mraptor を実行し、自動実行されるマクロの挙動を確認する

この事例が示すこと

• 検知を回避するために使われるファイル種別の不一致をどう見抜くか
• CVE-2017-11882 がマクロを一切必要とせずにどう機能するか
• 表面的な指標から推測するのではなく、マクロの挙動を実際に検証する方法
• 暗号化 + 非表示シート + 難読化された文字列が、必ずしも「悪性と確定」を意味しない理由 — 証拠が結論に至らないこともあり、それは率直に述べる価値がある

出典

• CVE-2017-11882: Microsoft Equation Editor RCE
• oletools: https://github.com/decalage2/oletools
• MalwareBazaar: https://bazaar.abuse.ch
• REMnux docs: https://docs.remnux.org

著者

Mofolorunsho Adeleke GitHub: https://github.com/Mo200909