Windowsヘルプファイル.chm開きウイルス感染 迷惑メール事例

イメージ 3
Image いらすとや

Windows 標準の ヘルプファイル（拡張子 .chm） を開くだけで、強制的にウイルスを起動させて感染させる攻撃手口が確認されてます。

Windows のヘルプファイルは、古くは Microsoft WinHelp（拡張子 .hlp） という形式が存在したものの Windows Vista からは標準では利用できなくなってます。

その次世代の後継として新たなヘルプファイルの形式 .chm が採用されました。

・ Vistaで従来の.hlpヘルプ・ファイルを利用する - ＠IT
http://www.atmarkit.co.jp/fwin2k/win2ktips/871vistahlp/vistahlp.html

不正なchmファイルを開くとウイルス感染

ヘルプファイル .chm を悪用したウイルスは、Windows のシステムに最初から用意されてる Microsoft 由来の正規プログラムを悪用します。

【ヘルプファイル悪用時のプロセス例】
hh.exe … HTML Help を処理する実行ファイル
└ cmd.exe
　　└ powershell.exe … Windows PowerShell
　　　　└ ～.exe ... マルウェアの実行ファイル

セキュリティ製品からうまくスリ抜けるリスクがあります。

ヘルプファイル悪用攻撃の対抗するため、マルウェアのダウンロード処理に悪用されやすい実行ファイル powershell.exe や wscript.exe をファイアウォールの設定でブロックするウイルス対策 は有効です。

■ 不正なchmファイルの備忘録

ファイル名 Topics.chm
MD5 5fbf2bbe168c15e4b8ef28820cc17e9d
www.virustotal.com/ja/file/2615b169e5e75940da31ff81117a1129e5b98e2524cd36cdb714daacb90de49e/analysis/1414538054/
27.120.95.11
C:\Users\[ユーザー名]\AppData\Local\Temp\s.vbs

1.htm
Main.html SeriyLee
xml.htm
 
【ドロップされる実行ファイル】
MD5 a0ce3238c84ff8a7a25b98d0def56b40
ESET Win32/Plugax
Kaspersky Trojan.Win32.Plugax
www.virustotal.com/ja/file/a6ec9c0dd79f25a4700af578af7d740268952ee96408ef9ec6a385a9307c50f5/analysis/1414554770/


＜2015年 追記...＞

ものスゴく流行ってるワケではないだろうけど、Windows ユーザーに対して 迷惑メール（スパムメール） 経由でヘルプファイルを開かせる手口が確認されてます。

イメージ 1
不正なchmヘルプファイル

実行ファイル（拡張子 .exe） や スクリーンセーバー（拡張子 .scr） を踏ませる古典的な手口と違い、まさかの Windows ヘルプファイル .chm が採用されるので、ユーザーさんが不正なものと見抜くのは難しそう。

イメージ 2
chmファイル開くとJPモルガン・チェース銀行の偽通知

2014年11月に Windows の電卓（calc.exe）を強制的に起動させる実証コードのサンプルが公開されており、これを土台にした不正なchmファイルでした。

・ Cryptowall Makes a Comeback Via Malicious Help Files (CHM) - BitDefender
https://hotforsecurity.bitdefender.com/blog/cryptowall-makes-a-comeback-via-malicious-help-files-chm-11540.html

・ Zero Day Malware Variant ‘Cryptor’ Embedded In .CHM Documents - MailGuard
https://www.mailguard.com.au/blog/zero-day-malware-variant-cryptor-embedded-in-chm-documents/

・ Microsoft Help File Malware Targets JPMorgan Chase Customers - ThreatTrack Security
https://blog.threattrack.com/microsoft-help-file-malware/

・ Runnerx.CHM , a Microsoft Help file Malware Targets JPMorgan Chase Customers - SonicALERT
https://www.mysonicwall.com/sonicalert/searchresults.aspx?ev=article&id=816

・ MERSのニュースに便乗、日本のメディア企業を狙う標的型サイバー攻撃を確認 - トレンドマイクロ
http://blog.trendmicro.co.jp/archives/11809
タグ ：
#Windows