「PowerPoint」のハイパーリンクを使うマルウェア登場、マウスオーバーのみで感染

　サイバー犯罪者は、被害者のマシンにマルウェアをインストールさせるための新たな手法をテストしている。今回発見されたマルウェアキャンペーンでは、「PowerPoint」のスライド上に表示されたハイパーリンクの上にマウスポインタを移動（ホバー）させるだけで、マルウェアがダウンロードされるという手法が用いられている。

　この新たな感染手法には、出所の疑わしいリンクをクリックしないようにするという一般的なアドバイスが通用しない。またこれは、2015年に再び猛威をふるった、「Office」マクロを悪用するキャンペーンが進化した姿だとも言える。マクロを悪用するキャンペーンは、電子メールの受信者をだまして、悪意のあるマクロやスクリプトを実行させることで、マルウェアをダウンロード、インストールさせるというものだ。

　Bleeping Computerは最近、マクロを必要としない新たなマルウェアキャンペーンを発見した。PowerPointのスライドショーモードにおけるマウスのホバー操作を悪用したこのキャンペーンでは、PowerPointファイルを受信したユーザーが該当文書をオープンし、文書内のハイパーリンクが設定されたテキスト上にマウスを移動するだけで、「PowerShell」コマンドが実行され、悪意のあるドメインからマルウェアがダウンロードされるようになっている。

　同キャンペーンはスパムメールの形態を採っており、そのメールの件名や、添付されているファイル名は請求書や注文書を想起させるものとなっている。添付ファイルはPPSX形式になっている。この形式のファイルでは、編集画面を飛ばしてスライドショーが立ち上がる。

　現在確認されている事例は、「Loading... Please wait」（ローディング中です...お待ちください）というハイパーリンクのテキストを表示するというものだ。Officeの「Protected View」（保護されたビュー）機能が有効化されていない限り、マウスポインタをこのリンクの上にホバーさせるだけで、自動的にマルウェアのダウンロードが開始される。幸いなことに「Office 2010」や「Office 2013」の場合、デフォルトでProtected View機能が有効化されており、ダウンロードを抑止したというセキュリティメッセージが表示されるようになっている。

この警告を無視するのは危険だ。
提供：SentinalOne/Microsoft

　このPowerPointファイルは、「Gootkit」や「OTLARD」と呼ばれている、ネットバンキングを標的としたトロイの木馬をダウンロードする。なおSentinelOneは、今回発見された亜種を「Zusy」と命名している。

　Trend Microも、悪意のあるPowerPointファイルを用いたこのスパムキャンペーンが、主に英国やポーランド、オランダ、スウェーデンの企業に対して実行されている事実を5月下旬につかんでいた。

　現時点で同キャンペーンはさほど大規模なものではないが、Trend Microの研究者らはこれが「将来のキャンペーンに向けたリハーサル」であり、今後ランサムウェアなど他のマルウェアがこれに倣う可能性もあると考えている。

　同社は「マクロやOLE、マウスホバーといった機能は意義ある優れた機能であるものの、犯罪者に悪用される恐れもある。ソーシャルエンジニアリングの手法が用いられた電子メールやマウスホバー（また、マウスホバーが無効化されている際のマウスクリック）といったものすべては、マルウェアの感染という事態を引き起こす可能性をはらんでいる」と記している。