2018/07/14 記事まとめ（ .accde を用いたダウンローダ）

Access を使ったダウンローダについて

Access のファイルの一つである拡張子「.accde」を使ったダウンローダについて説明されていました。

ばらまきメールでは Word や Excell にマクロを埋め込み悪用している場合が多くあります。これらの多くは「コンテンツの有効化」がされない限りマクロが実行されないため、ファイルを開いた時点でおかしいことに気づくことができれば感染には至りません。

このブログでは通常利用される拡張子「.accdb」とそれとは別の拡張子「.accde」について説明がされており、拡張子「.accde」では警告が1回だけされるものの、そこで開くを選択してしまうとマクロが実行されると書かれていました。

これについて記事などを参考に手元の環境で挙動を確認してみました。なお、マクロは単に電卓を起動するだけのものとしました。

ファイルを開いてすぐのダイアログを閉じた上で「コンテンツの有効化」をクリックしない限り電卓は起動しません。この場合、利用者が気をつけることでファイルにマクロが含まれていることを把握できます。

f:id:soji256:20180715180716g:plain

ファイルを開いてすぐの警告ダイアログで「開く」を選択した場合、直後に電卓が起動されています。

f:id:soji256:20180715180741g:plain

また2つの拡張子では、マクロ実行をキャンセルしたときの挙動にも違いがありました。

拡張子「.accdb」では、マクロを実行しない場合であってもデータの内容を表示させられるため、マクロを実行せずともデータの中身を確かめることができます。

f:id:soji256:20180715180737g:plain

一方、拡張子「.accde」では、警告ダイアログをキャンセルとしてしまうとファイル自体が閉じてしまい、データの中身を確認することができません。

f:id:soji256:20180715180744g:plain

この違いはファイルを開くための強い動機がある場合（例えばこのファイルがメール等添付されていた場合、その文面から重要なファイルであると認識してしまったなど）には受け取った側が警告を無視してファイルを開く可能性を高くすると思います。

通常の業務で拡張子「.accde」を利用しない場合には、禁止拡張子としてもいいかもしれません。

コンテンツの有効化は、一度許可をするとファイルパスが以下のレジストリに記録され、次回から聞かれることがなくなります。

f:id:soji256:20180715184812p:plain

HKEY_CURRENT_USER\Software\Microsoft\Office\14.0\Access\Security\Trusted Documents\TrustRecords

なお、上記レジストリパスの「Access」には各Office 製品の名称（「Word」や「Excel」など）が入ります。

挙動確認用のサンプルファイルは冒頭のサイトのほか、以下を参考に作成しました。