【追記あり】フォントファイルがマルウェア判定された話～FontAwesome.otf: Win.Exploit.CVE_2019_0903-6966169-0

こんにちは、さんぺい（@3pei_tw）です。5月になってレイワになったと思ったらもう5月も終わりですね。いやはや早いもんです。

つーか暑い（仙台の予想最高気温３１℃。ありえねぇ・・・・）

いきなり結論から
前提
調査
根拠
★追記（2019.05.29）

いきなり結論から

たぶん問題なさそうです（←たぶんって何だたぶんって）

前提

前にも書いたかもしれませんが、ここではVPSを使っています（KagoyaVPS）。

俗にいう「レンタルサーバー」ってのはいうなれば賃貸マンションみたいなもんで、ある程度の設備が完備された状態でさくっと入って住めるものかなと考えますが、対してVPSは賃貸に対して言えば分譲マンションみたいなものといえるかもしれません

（自分で書いててなんか違うな、って気がしていますが、まぁいいでしょう。普通のレンタルサーバーはレオパレス21って書いたほうがいいかな）

で、VPSは分譲マンションなんで、契約しても家の中はからっぽです。電気もガスも自分で手続きしないといけません（さすがにネットワークは生きてますが）

当然ウィルス対策もしなくちゃいけないので、僕んとこでは「ClamAV」を入れています。

さんぺい

2018.09.17

アンチウイルス導入（clamav）

https://3pei.info/oresama/clamav-on-centos7

発端これの続きそういえば何も入れてなかったので無償提供されている”ClamAntiVirus”を入れることに。手順いろいろな人が出しているので敢えてここでは書かない（めんどくさがってる？まぁそうとも言う）今回お手本にさせていただいたのはこちら。※入れ方を検索するといろいろ、ほんとにいろいろなサイトが出てくるがうまくいかないものばかりだった。。だめもとでここのを使わせてもらったらすんなりできた。ざぶとん10枚あげたい気分。※書かれていたとおりに設定した直後の内容。定義ファイルの更新、所定のディレ…

ちなみに使っているOSはLinux系のCentOS7。

この「ClamAV」ですが結構立派に務めを果たしてくれてて、これまでのところ問題はおきていませんでした
（まぁ発見しないといけないのを見逃し続けてる、って可能性もあるわけですが）

いつもは毎朝こんなメールが届いています。

[CLAMAV-SAFE] 20190525-021501 /: OK ----------- SCAN SUMMARY ----------- Infected files: 0 Time: 913.904 sec (15 m 13 s)

それが今朝はこんなのが届いてました

[CLAMAV-OUT] 20190526-021501 FontAwesome.otf: Win.Exploit.CVE_2019_0903-6966169-0 FOUND VeraBd.ttf: Win.Exploit.CVE_2019_0903-6966169-0 FOUND VeraIt.ttf: Win.Exploit.CVE_2019_0903-6966169-0 FOUND VeraMono.ttf: Win.Exploit.CVE_2019_0903-6966169-0 FOUND VeraSeBd.ttf: Win.Exploit.CVE_2019_0903-6966169-0 FOUND VeraSe.ttf: Win.Exploit.CVE_2019_0903-6966169-0 FOUND flaticon.ttf: Win.Exploit.CVE_2019_0903-6966169-0 FOUND flaticon.eot: Win.Exploit.CVE_2019_0903-6966169-0 FOUND FontAwesome.otf: Win.Exploit.CVE_2019_0903-6966169-0 FOUND VL-PGothic-Regular.ttf: Win.Exploit.CVE_2019_0903-6966169-0 FOUND DejaVuSans-ExtraLight.ttf: Win.Exploit.CVE_2019_0903-6966169-0 FOUND ----------- SCAN SUMMARY ----------- Infected files: 17 Time: 711.390 sec (11 m 51 s)

お、おう、、、、なんだかわからんけど見つかったらしいな・・・・。

※ちなみに1行目は件名で、何もなければ件名に”SAFE”と書いて、なんかあれば”OUT”と書くようにしてました。見事にOUTですね。。。。
※対象ファイル行にはファイルまでのパスが出ていましたが、消してあります。

と、ここまでが今朝の話。

調査

調査に使うのは以下。

・Google検索　ま、基本か
・Twitter検索　ある意味何よりも早いからな。これも必須だ
・勘　野生のかん？

Google検索

フォント名を含めたワードでは何もなし。ウィルスの登録名で引っ張って下記情報有。

Malware Complaints

Remove Win.Exploit.CVE_2019_0903-6966169-0 Virus – Malware Complaints

https://malwarecomplaints.info/remove-win-exploit-cve_2019_0903-6966169-0-virus/

Win.Exploit.CVE_2019_0903-6966169-0 – Details If a Trojan Horse named Win.Exploit.CVE_2019_0903-6966169-0 has recently attacked your computer, there’s no time to wast –

物騒な単語が並ぶがとりあえずスルー。

っていうかここで対策のためにダウンロードしろとかってどういうこと？思わずクリックしそうになるじゃねーか（←立派な情弱）

Twitter検索

意外に静か。（Win.Exploit.CVE_2019_0903-6966169-0　で検索結果3件）

Get a lot of Win.Exploit.CVE_2019_0903-6966169-0 signatures in Mailcleaner. Seems like falsepositive by me. Any problems on this lately? @clamav

— FreeZZe (@FreeZZe_) 2019年5月25日