2023 年 7 〜 8 月の脅威動向と代表的な攻撃（後編）

～ Office のゼロデイ脆弱性（CVE-2023-36884）を利用した攻撃～

前編～ Barracuda Email GW の脆弱性を利用した攻撃～はこちら

2. Office のゼロデイ脆弱性を利用した攻撃

Microsoft 社は 2023/07/11 に、月例の脆弱性情報公開とセキュリティアップデートを公開しました。複数の脆弱性とアップデートが公開されましたが、その中で Microsoft Office にリモートからのコード実行が可能となる脆弱性（CVE-2023-36884）も情報が公開されました。

この CVE-2023-36884 に関しては 7 月のアップデートには含まれておらず、2023/08/08 にリリースされた 8 月のアップデートで修正が行われています。

この脆弱性を利用して、ロシアを拠点とする脅威アクター「RomCom（別名 DEV-0978, Storm-0978）」が欧州や米国の政府機関、軍事関連に攻撃キャンペーンを展開したとの情報も入っています。以下、本脆弱性を利用した攻撃の情報を簡単に纏めてみます。

2-1. エグゼクティブサマリー

項目	内容
Who（誰が）	ロシアを拠点とする脅威アクター「RomCom（別名 Storm-0978, DEV-0978）」と思われる
When（いつ）	2022 年 10 月 10 日から悪用されていた模様。2023 年 05 月 19 日に Barracuda 社が脆弱性を公開し、Mandiant 社に調査を依頼。
Where（どこで）	N/A
What（何を）	Barracuda ESG アプライアンスへの侵入とバックドア作成・並びに水平展開
Why（なぜ）	被害組織の 1/3 が政府系となっているため、スパイ活動と思われる
How（どのように）	Barracuda ESG アプライアンスの amavis にある脆弱性 (CVE-2023-2868) を悪用した侵入とバックドア作成
回避策	yara ルールが公開されている。また Barracuda 社から修正用のパッチが公開されている。侵害されたアプライアンスは新しいアプライアンスに交換できる。

2-2. Who（誰が）

BlackBerry 脅威インテリジェンスグループの調査情報に基づくと、RomCom(Storm-0978/DEV-0978) が新たなブランドで行った作戦か、または RomCom 脅威アクターのメンバーが背後に有るキャンペーンと考えられます。

2-3. When（いつ）

以下、BlackBerry 社による調査結果を時系列に転記してます。

2023/06/22	キャンペーンの背後にいる攻撃者が最初の訓練を実施したものと推定されます。
2023/07/04	BlackBerry の脅威インテリジェンスチームが、ハンガリーの IP アドレスからウクライナ支援組織に送信された２つの悪意の有るドキュメントと、NATO サミット出席者を対象とした文書を発見しました。
2023/07/10	BlackBerry の脅威インテリジェンスチーム情報を各国組織と共有。同時にブログにアップしました。
2023/07/12	Microsoft 社が今回悪用された脆弱性に関する情報（CVE-2023-36884）を公開しました。
2023/08/09	Microsoft 社が今回悪用された脆弱性に対する修正アップデートを公開しました。

2-4. Where（どこで）

被害は明らかにされていませんが、CSIRT-UA が注意喚起を出しています。

2-5. What（何を）

Windows Search Remote Code Execution Vulnerability (CVE-2023-36884)

CVE-2023-36884

影響を受ける製品
- Windows 10 < 10.0.17763.4737
- Windows Server 2019 < 10.0.17763.4737
- Windows Server 2022 < 10.0.20348.1906
- Windows 11 21H2 < 10.0.22000.2295
- Windows 10 21H2 < 10.0.19044.3324
CVSS Base Score: 7.5/7.0 Important
CVSS Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
攻撃者は特別に細工されたファイルをユーザに送信して実行させることにより、リモートコード実行が可能となる可能性があります。

2-6. Why（なぜ）

NATO 首脳会議の性質と脅威アクターが送信している囮文書から、ウクライナの代表者、外国組織、ウクライナを支援する個人を対象とした政治的・軍事的意図による攻撃であると考えられます。　

2-7. How（どのように）

全体の流れと概略図はこちらになります。

攻撃者がなんらかの方法で標的を偽の「ウクライナ世界会議」サイト
（https://www.ukrainianworldcongress.org　が　https://www.ukrainianworldcongress.info　になっている）に誘導します。
誘導された標的（誘導方法の詳細は不明）が偽サイトを開きます。
偽の「ウクライナ世界会議」サイトに接続します。
悪意の有るドキュメント（Word ファイル）がダウンロードされます。
ダウンロードされたドキュメントを開くと中に組み込まれている afchunk.rtf が実行され外部との通信が始まります。
バックドアを配信して実行する際に CVE-2023-36884 が使用されます。

TTP 分析

Initial Access

　最初の感染経路はまだ明らかにされていませんが、攻撃者はおそらくスピアフィッシング等を用いて被害者に偽の「ウクライナ世界会議」Web サイト中のリンクをクリックさせるよう仕向けたと思われます。リンクをクリックすることにより次のドキュメントがダウンロードされます。

Attack Vector

以下が偽の「ウクライナ世界会議」Web サイトのドメインになります。.org が .info になっています。

正しいドメイン	偽のドメイン
ukrainianworldcongress[.]org	ukrainianworldcongress[.]info

また、下記が囮として使われたドキュメント（BlackBerry ブログより引用）になります。リトアニアは 7 月 11 日と 12 日にビリニュスで NATO 首脳会議を主催しました。議題の 1 つはウクライナの将来の加盟の可能性であり、ウクライナのゼレンスキー大統領も参加しました。

この様に実際にあったウクライナの NATO 加盟要請とその動きを利用し、攻撃者はウクライナ世界会議になりすました悪意のある文書をウクライナ支持者に配布しました。

ウクライナ国際会議と NATO の内容を含む Storm-0978 の囮文書（BlackBerry のブログより）

被害者がこの文書（リッチテキストフォーマット）を開くと、被害者のマシンから接続が開始されることになります。

また、同じ脅威アクターによる別の悪意のある文書も発見されました。これは、今後の NATO 首脳会議に基づいたおとりであると考えられます。

それぞれのファイルと MD5 は以下になります。

ファイル名	MD5
Overview_of_UWCs_UkraineInNATO_campaign.docx	d227874863036b8e73a3894a19bd25a0
Letter_NATO_Summit_Vilnius_2023_ENG(1).docx	00ad6d892612d1fc3fa41fdc803cc0f3

Weaponization

前述の「Overview_of_UWCs_UkraineInNATO_campaign.docx」には afchunk.rtf というリッチテキストのドキュメントが含まれていました。

ファイル名	MD5
afchunk.rtf	3ca154da4b786a7c89704d0447a03527

Word ファイルがダウンロードされてユーザにより実行されると、上述の RTF から IP アドレス（104.234.239[.]26）を含む OLE オブジェクトがロードされます。そしてこのアドレスに対し 80/139/445(HTTP, SMB) を用いて接続を行います。

（afchunk.rtf のダンプ。図は BlackBerry のブログより引用）　

その後、様々な IP アドレスに通信を行い、<ipv4>_<id>_file001.search-ms　ファイルなどをロードします。ここでロードした search-ms ファイル（Windows に保存された検索ファイル）と CVE-2022-30190（別名 Follina） の脆弱性を用いてコード実行を行うわけですが、他にも今回公表された CVE-2023-36884 も用いていました。

　詳細な TTP 及び IoC は BlackBerry のブログに載っていますので、そちらを参照してください。

2-8. 関連情報

被害が大きくなり悪用も観測されているため、CISA では CVE-2023-36884 を CISA Known Exploited Vulnerability Catalog (KEV) に登録しています。
https://www.cisa.gov/news-events/alerts/2023/07/17/cisa-adds-one-known-exploited-vulnerability-catalog