「Microsoft Excel」のXLLアドインを用いるフィッシング攻撃が急増

　「Microsoft Excel」のアドインファイルを悪用し、さまざまな種類のマルウェアを送り込もうとするサイバー攻撃が急増している。こういったマルウェアに感染した企業は、データ窃盗やランサムウェアをはじめとするサイバー犯罪に対して無防備な状態に置かれることになる。

　「HP Wolf Security Threat Insights」レポートの2021年第4四半期版の解説によると、ExcelのXLLアドインファイルを悪用してシステムを感染させようとするこれら攻撃は同四半期において、前四半期に比べると588％という、6倍近くに増加しているという。

　XLLアドインファイルは、Excel内でさまざまなツールや機能を利用できるようにするという目的で、よく用いられている。しかしマクロと同様に、サイバー犯罪者が悪用できるツールとなっている。

　こういった攻撃は、支払い手続きや請求書、見積もり、出荷伝票、注文などと称して、悪質なXLLアドインファイルを含むExcelドキュメントが添付されたフィッシングメールを拡散することによって実行されている。ユーザーがこの悪質な添付ファイルを開くと、該当XLLアドインを有効化するよう求められ、その指示に従うとマシン上でひそかにマルウェアが実行されるようになっている。

　XLLファイルの悪用によって送り込まれていることが確認されたマルウェアファミリーには「Dridex」や「IcedID」「BazaLoader」「Agent Tesla」「Raccoon Stealer」「Formbook」「BitRAT」が含まれている。これらマルウェアの多くは、侵入を果たした「Windows」システムにバックドアを仕掛け、攻撃者による該当マシンへのリモートアクセスやアクティビティーの監視、データの窃盗を可能にするものだ。

　同レポートは、こうしたバックドアによって攻撃者はランサムウェアを含む他のマルウェアを送り込めるようになるとも警告している。つまり、このXLL攻撃はネットワーク全体を暗号化し、多額の身代金支払いを要求するためにも利用できる。

　こういったXLL攻撃は、被害者に大きなダメージを与える上でも有効なものとなっている。そのことは、ダークウェブ内のアンダーグラウンドなフォーラムにおけるこれらサービスの価格にも反映されている。

　XLL形式のマルウェアを提供するサービスの中には2000ドル（約23万円）を超える価格で売りに出されているものもある。これはコミュニティーで流通しているマルウェアの中では高額な部類に入るが、犯罪フォーラムのユーザーらはその価格を支払う意志があるようだ。

　レポートは、XLLファイルを悪用する攻撃に加えて、「QakBot」についても記している。QakBotもExcelを悪用して標的を攻撃する、トロイの木馬型マルウェアの一種であり、ランサムウェア攻撃の先鋒としてよく用いられるようになっている。

　攻撃者は、悪質なExcel文書を被害者に配布する目的で電子メールのスレッドを乗っ取り、被害者にはExcelバイナリブック（XLSB）を含むZIPアーカイブが送られる。ファイルが実行されれば、QakBotがマシンにダウンロードされる。

　XLLファイルを悪用した攻撃から身を守るために、管理者はEメールゲートウェイを設定し、送られてくるXLL形式の添付ファイルをブロックした上で、信頼できる送信者から送られてきたアドインのみを許可するようにしておく、あるいはすべてのExcelアドインを無効化しておくことが推奨されている。