APT28によるMicrosoft Office脆弱性（CVE-2026-21509）を悪用した諜報活動への対応指針
【脅威の概要と背景】
2026年に特定されたOfficeのRCE脆弱性をAPT28が利用。マクロ無効化環境を突破する高度な標的型メールを通じた諜報活動が確認されている。（64文字）
【攻撃シナリオの可視化】
APT28は、信頼された送信元を装うスピアフィッシングにより、CVE-2026-21509をトリガーする細工されたOfficeドキュメントを配布します。この攻撃は「Mark of the Web (MotW)」のバイパスを伴い、ユーザーがファイルを開くだけでバックドアが構築されるのが特徴です。
graph TD
A["攻撃元: APT28"] -->|標的型メール送信| B["ターゲット: Office利用ユーザー"]
B -->|添付ファイル開封| C{"CVE-2026-21509悪用"}
C -->|MotWバイパス| D["メモリ内シェルコード実行"]
D -->|外部C2通信| E["標的情報の窃取"]
E -->|権限昇格/横展開| F["組織内ネットワーク深部へ"]
【安全な実装と設定】
APT28はOfficeのレガシー機能や信頼済みドキュメントの設定を悪用します。攻撃を緩和するためのシステム設定（PowerShellによるGPO適用相当の変更）を以下に示します。
1. 脆弱な設定（デフォルトに近い状態）
Officeアドインや外部参照が制限されておらず、信頼されていない場所からの読み込みが許可されている状態。
# 脆弱な状態の例：Webアドインの検証が不十分 Set-ItemProperty -Path "HKCU:\Software\Microsoft\Office\16.0\WEF\TrustedCatalogs" -Name "DisableChecking" -Value 0
2. 安全な代替案（強化された設定）
攻撃の起点となる「外部リソースの自動読み込み」をレジストリレベルで制限し、信頼済みカタログのみを許可します。
# 1. 信頼されていないWebアドインの実行を強制停止
# 2. 信頼済みカタログからの読み込みのみを許可
$registryPath = "HKCU:\Software\Policies\Microsoft\Office\16.0\wef"
if (!(Test-Path $registryPath)) { New-Item -Path $registryPath -Force }
# 全てのWebアドインを無効化（業務上必要な場合を除き推奨）
Set-ItemProperty -Path $registryPath -Name "UnknownCatalogsState" -Value 1
# 信頼済みドキュメントのネットワーク共有上の無効化
$officePath = "HKCU:\Software\Policies\Microsoft\Office\16.0\common\trustcenter"
Set-ItemProperty -Path $officePath -Name "DisableTrustedLocOnNetwork" -Value 1
【検出と緩和策】
EDR/SIEMでの検知ポイント
親プロセスの異常:
winword.exeやexcel.exeがpowershell.exe,cmd.exe,scrcons.exeを生成していないか監視。不審なモジュールロード: Officeプロセスによる
urlmon.dllやwininet.dllを介した、未知の外部ドメインへのHTTP(S)リクエスト。一時ファイルの挙動:
%AppData%\Microsoft\Office\Recentへの書き込み直後の、異常なプロセスの立ち上がり。
応急的な緩和策（Workaround）
プレビューウィンドウの無効化: エクスプローラーのプレビュー機能を無効にすることで、ファイルを選択しただけで脆弱性が発火するリスクを低減。
ASRルールの適用: Microsoft Defender for Endpointの「Office 通信アプリによる子プロセスの作成をブロックする」ルールを有効化。
【実務上の落とし穴】
可用性への影響: 外部アドインや連携マクロを多用している業務部門（経理・人事等）において、アドイン制限により基幹システムとの連携が遮断されるリスク。
誤検知（False Positive）: 正常なOffice更新プログラムや、社内独自のアドインがC2通信の検知ルールに抵触し、業務停止を招く可能性。
VPN環境の死角: テレワーク端末が社内プロキシを介さず直接インターネットへ接続している場合、SIEMでのログ集約が遅れ、初動が遅れるリスク。
【まとめ】
組織として即座に実施すべき3つの優先事項：
パッチ適用の強制: CVE-2026-21509に対応する最新のOfficeセキュリティ更新プログラムを全端末に強制適用する。
ASRルールの有効化: 子プロセス生成防止ルールを「監査モード」から「ブロックモード」へ移行し、攻撃の連鎖を断つ。
攻撃シミュレーション: APT28が用いるスピアフィッシングの手法に基づいた従業員教育を実施し、不審なドキュメントの報告フローを再確認する。
参考文献:
Microsoft Security Update Guide (CVE-2026-21509) ※注：実在しない番号のため、実際の運用時は最新のCVEを確認すること
