CVE-2022-30190 (Follina)

教育目的のマルウェア開発、悪用、分析、緩和

ソーシャルエンジニアリングによる配信から悪用、フォレンジック分析、パッチ開発までを網羅した、Follina脆弱性の完全文書化された概念実証です。

⚠️ 教育目的のみ。 このリポジトリ内のすべての活動は、SLIITのIE4012攻撃的ハッキング戦術と戦略モジュールの一環として、隔離された仮想マシンラボ環境内でのみ実施されました。これを管理されたラボ以外で使用しないでください。実際のシステムやネットワークに対してテストしないでください。

📋 概要

CVE-2022-30190、通称 Follina は、Microsoft Support Diagnostic Tool (MSDT) におけるリモートコード実行の脆弱性です。2022年5月30日に公開され、CVSSスコア 7.8 (高) が割り当てられました。このエクスプロイトは、被害者が特別に細工されたMicrosoft Office文書を開くと発火します。マクロは不要です。文書は攻撃者制御のHTTPサーバーからHTMLペイロードを取得し、ms-msdt: URIプロトコルハンドラを呼び出し、PCWDiagnostic引数を介して任意のコマンドをシステムに渡します。

🗂️ リポジトリ構造

SourceCode.zip/
├── PoC.py                                  # メインのエクスプロイトスクリプト
├── patch.py                                # 緩和パッチスクリプト
├── Invoice_FS-2026-8821_OVERDUE.docx       # 生成された悪意のあるWord文書
└── doc/                                    # docxから抽出された内部XMLファイル
    ├── word/
    │   ├── document.xml                    # メイン文書本体
    │   └── _rels/
    │       └── document.xml.rels           # 攻撃者サーバーを指す外部OLE参照
    └── [Content_Types].xml

🚀 動作の仕組み

Phase 1 - ソーシャルエンジニアリング配信

囮は、FinanceSyncという請求プラットフォームを装い、請求書が期限切れであると主張するフィッシングメールです。添付ファイルは、悪意のあるWord文書を含むパスワード保護されたzipアーカイブ (Invoice.zip) です。暗号化されたアーカイブを使用することで、内容を検査できないため、ほとんどのメールゲートウェイスキャナーを回避できます。

Phase 2 - エクスプロイトチェーン

• PoC.py は Invoice_FS-2026-8821_OVERDUE.docx を生成し、ポート8000でHTTPサーバーを起動します
• 文書には word/_rels/document.xml.rels 内に http://<attacker_ip>:8000/index.html を指す外部OLE参照が含まれています
• 被害者が文書を開くと、Wordは自動的にHTMLペイロードを取得します - ユーザープロンプトもマクロも不要です
• HTMLペイロードには、ハードコードされたトリガー日付 (2026-03-25) に対するJavaScriptの日付チェックが含まれています。日付条件を満たさない場合、何も実行されません
• 条件が満たされると、ms-msdt: URIが、cmd.exe コマンドを含む PCWDiagnostic 引数で発行されます
• プロセスチェーン WINWORD.EXE → msdt.exe → cmd.exe が実行され、C:\Users\Public\ に sys_cache.dat を侵入の証拠として書き込みます

Phase 3 - パッチ

patch.py は、Windowsレジストリから ms-msdt URIプロトコルハンドラを削除し、攻撃者制御の引数がMSDTに到達する前にURI解決段階でエクスプロイトチェーンを断ち切ります。

⚙️ 使用方法

前提条件

攻撃マシン (Kali Linux)

• Python 3

被害マシン (Windows 10)

• Microsoft Office がインストールされていること (未パッチのビルド)
• HKEY_CLASSES_ROOT に ms-msdt レジストリキーが存在すること
• システム日付が 2026-03-25 以降に設定されていること

PoCの実行

# 攻撃マシン上で
python3 PoC.py

スクリプトはWord文書を生成し、HTTPサーバーを起動します。文書を被害VMに転送して開きます。攻撃者のターミナルには、Wordからの受信リクエストが記録されます。

パッチの実行

パッチスクリプトは、Windows被害VM上で管理者として実行する必要があります。

# 現在の状態を確認
python patch.py --status

# パッチを適用 (ms-msdt レジストリキーを削除)
python patch.py --apply

# 脆弱な状態にロールバック (再テスト用)
python patch.py --rollback

🔬 脆弱性の詳細

🛡️ パッチの効果

🧠 ラボ環境

両VMはインターネットアクセスなしのVirtualBox Host-Onlyネットワークで接続されていました。