Malware-Analysis-Follina-CVE-2022-30190 — Follina（CVE-2022-30190）エクスプロイト文書のステップバイステップの静的マルウェア分析。ファイル抽出、VirusTotal関連付け、MITRE ATT&CKマッピング、インジケーター識別をカバーします。 | Kitploit
nimesh895/malware-analysis-follina-cve-2022-30190Malware-Analysis-Follina-CVE-2022-30190
Follina（CVE-2022-30190）エクスプロイト文書のステップバイステップの静的マルウェア分析。ファイル抽出、VirusTotal関連付け、MITRE ATT&CKマッピング、インジケーター識別をカバーします。
コミュニティで最も使われているツールを見つけましょう。
27ヶ月前
Malware-Analysis-Follina-CVE-2022-30190
静的マルウェア解析 – Follina エクスプロイト（CVE-2022-30190）
悪意のある Microsoft Word 文書の調査
実践的なマルウェア解析セッションを Kali Linux で行っている際に、sample.doc という疑わしいファイルに遭遇しました。実行せずにその正体と挙動を理解するため、体系的な静的解析を実施することにしました。
このドキュメントでは、私が取った正確な手順、行った観察、そして到達した結論について説明します。
すべての作業は、Kali Linux を実行する隔離された Oracle VirtualBox VM 内で実施しました。
ステップ 1 – 初期ファイル観察
まず、ファイルマネージャーを使用して Downloads/sample フォルダー内のファイルを特定しました。
- ファイル名: sample.doc
- 見かけのサイズ: 10.0 KiB（10,253 バイト）
- アイコンは標準の Word 文書として表示されました
この時点で、入手した経緯から悪意がある可能性が高いと既に疑っていたため、脅威インテリジェンスによる検証に直接進みました。
ステップ 2 – VirusTotal への提出と基本プロパティ
ファイルを VirusTotal にアップロードし、すぐに概要を確認しました：
- SHA-256: 4aa240481afbe9fb62e7a6a4a9adbd1faf41f266b5f9feecdeb567aec096784
これは従来型のマクロマルウェアというよりも、エクスプロイトベースの文書であることを強く示唆していました。
ステップ 3 – MITRE ATT&CK テクニックの確認
Behavior タブで、VirusTotal コミュニティ／サンドボックスがこのサンプルに関連付けた MITRE ATT&CK マッピングを確認しました。
Execution（実行）戦術の下で最も関連性が高かったもの：
- T1559 – プロセス間通信（Inter-Process Communication）（スクリーンショットで明確に表示・展開されています）
- T1203 – クライアント実行のためのエクスプロイト（Exploitation for Client Execution） の複数の検出
- さらに T1059 – コマンドおよびスクリプトインタープリター（おそらく PowerShell の使用）
これは直ちに、プロセス間メカニズムを悪用するテクニックを指し示していました – Follina / MSDT 悪用チェーンの非常に特徴的なものです。
ステップ 4 – 接続先 URL と外部リレーションシップの分析
Relations → Contacted URLs セクションで、最も重要な指標が明らかになりました：
正当な Microsoft XML スキーマドメインを偽装した xmlformats.com 配下のドメインへの複数回のフェッチ。特に以下のパスを含むもの：
- /office/word/2022/wordprocessingDrawing/RDF842l.html
- /office/word/2022/wordprocessingDrawing/RDF842l.html（大文字小文字の違い・バリエーションあり）
これらの URL は、Microsoft Word が文書内の外部リレーションシップを処理する際に自動的にフェッチされます。
これは典型的な Follina の配信メカニズムです：document.xml.rels 内の外部 HTML 参照が ms-msdt: プロトコルハンドラーをトリガーします。
ステップ 5 – 文書構造の抽出
最新の Office ファイルは ZIP アーカイブであることを踏まえ、unzip を使用して内容を抽出しました：
unzip sample.doc
質問やフィードバックは？ → Issue を開くか、LinkedIn でつながりましょう: www.linkedin.com/in/nimesh23
🛡️
