マルウェア解析奮闘記: コマンド実行のエラー文が日本語でないと動作しないマルウェア | セキュリティ研究センターブログ

要約 Windows OSが日本語設定である場合のみ次のステージに進むマルウェアを観測しました。 このマルウェアの日本語設定の確認方法として、コマンドのエラー文を用いるという過去見られなかった手口が利用されていました。 マルウェア概要 弊社では領収証に偽装したマクロが付いたWordドキュメントファイルを用いた攻撃を観測しました。この攻撃で利用されたマルウェアの動作に過去見られなかった手口が存在しました。本記事ではその手口について解説いたします。 このWordドキュメントファイルは「領収証.doc」という名前でメールを用いてユーザーに配送されました。この「領収証.doc」を開くと、マクロを有効にすることを促す文面が表示されます。 図 「領収証.doc」を開いたところ マクロを有効にすると以下のようなエラーダイアログが表示されます。 図 「領収証.doc」のマクロを有効にした際のエラーダイアロ

[rinsuki]

面白い

[fortrand]

日本語以外だと実行失敗した無害なマクロに見えるから捕まえにくい、言語設定のAPIを使わないからパターンマッチしにくい、ということか。