壊れたオフィス文書｜ブログ(ほぼこもセキュリティニュース)

オフィス文書を処理するアプリケーションには、Office修復ツールが提供されています。
パソコンが異常終了してしまったなどの何らかの原因で作成していたオフィス文書が不整合な状態になって、そのままでは利用できない場合になる場合があります。
そうすると、次にそのアプリケーションを起動した際に、壊れたオフィス文書を修復する機能が有効化された状態で起動されます。
異常な状態のままでは利用できないのですが、修復すれば利用できるということになります。
これを悪用する手口が出てきました。

添付ファイル付きのメールが届く
給与部門や人事部門を装ったメールが届きます。
メールには添付ファイルが添えられていて、いかにもその添付ファイルの中身を確認したくなるような状態に仕立てられています。
添付ファイルを開く
添付ファイルはマイクロソフトワードのドキュメントです。
しかし、ファイルを開いても、そのままでは利用できません。
ワードはファイルが破損していることを検出し、ファイル内に「読み取り不可能なコンテンツが見つかりました」と表示して、ファイルを回復するかどうかを尋ねます。
修復するとQRコードのある文書が表示される
悪意のあるコードそのものは含まれていないのですが、修復されて開かれたドキュメントにはQRコードが含まれています。
そして、そのQRコードを読み取るように記述されています。
マイクロソフトログイン？
QRコードを読み取ると、マイクロソフトのログイン画面が表示されます。
違いました。
QRコードを読み取ると、マイクロソフトのログイン画面に見える画面が表示されます。
ここで正規の認証情報を入力すると、その内容は脅威アクターに取得されてしまいます。