Malware-Analysis-Follina-CVE-2022-30190

静的マルウェア解析 – Follina エクスプロイト（CVE-2022-30190）

悪意のある Microsoft Word 文書の調査 attack workflow

実践的なマルウェア解析セッションを Kali Linux で行っている際に、sample.doc という疑わしいファイルに遭遇しました。実行せずにその正体と挙動を理解するため、体系的な静的解析を実施することにしました。

このドキュメントでは、私が取った正確な手順、行った観察、そして到達した結論について説明します。

すべての作業は、Kali Linux を実行する隔離された Oracle VirtualBox VM 内で実施しました。

まず、ファイルマネージャーを使用して Downloads/sample フォルダー内のファイルを特定しました。

Sample file visible in file explorer

この時点で、入手した経緯から悪意がある可能性が高いと既に疑っていたため、脅威インテリジェンスによる検証に直接進みました。

ファイルを VirusTotal にアップロードし、すぐに概要を確認しました：

これは従来型のマクロマルウェアというよりも、エクスプロイトベースの文書であることを強く示唆していました。

VirusTotal – hash, file type and basic properties

VirusTotal – detection ratio and popular labels

Behavior タブで、VirusTotal コミュニティ／サンドボックスがこのサンプルに関連付けた MITRE ATT&CK マッピングを確認しました。

Execution（実行）戦術の下で最も関連性が高かったもの：

これは直ちに、プロセス間メカニズムを悪用するテクニックを指し示していました – Follina / MSDT 悪用チェーンの非常に特徴的なものです。

VirusTotal MITRE ATT&CK matrix – T1559 highlighted

Relations → Contacted URLs セクションで、最も重要な指標が明らかになりました：

正当な Microsoft XML スキーマドメインを偽装した xmlformats.com 配下のドメインへの複数回のフェッチ。特に以下のパスを含むもの：

これらの URL は、Microsoft Word が文書内の外部リレーションシップを処理する際に自動的にフェッチされます。

これは典型的な Follina の配信メカニズムです：document.xml.rels 内の外部 HTML 参照が ms-msdt: プロトコルハンドラーをトリガーします。

VirusTotal – contacted URLs showing suspicious xmlformats.com domains

最新の Office ファイルは ZIP アーカイブであることを踏まえ、unzip を使用して内容を抽出しました：

unzip sample.doc

質問やフィードバックは？ → Issue を開くか、LinkedIn でつながりましょう: www.linkedin.com/in/nimesh23

🛡️