ファイル名偽装

大阪 Ｍ・Ｔです。

今回はファイル名偽装について
なんですが、その前に余談を。

この前、大阪で迷惑メールの話で盛り上がってまして
そのメールというのが、宛先とは別にCcに他の社員のメールアドレスが入っているものでした。

ドメインが一緒の有効な別のアドレスをCcに入れて送信してくるんですよ。
知ってる人のアドレスがCcに入ってたら信用してしまいそうですよね。


さて、そして話はそのメールの添付ファイルについてなんですが、
悪い人はあの手この手で添付ファイルを開かせようとしてくるわけです。
その技術？の一つとしてRLOを使用するものがありますというのが今日の本題です。

RLOはUnicodeの制御文字Right-to-Left Overrideの頭文字です。
どういうものかというと、本来は、右から左に文字を読む文化圏（アラビア語とか）のために
入力文字を左右逆転させて表示するものです。
例えば、
「私は日本人です。」 だったら
‮「私は日本人です。」
みたいな感じです。
（↑実際に行頭に制御文字を入力して逆転させてます。文字コードはU+202E）

これをどういう風に悪用するかというと
例えばこんなファイル名のファイルがあったとします。ランサムウェアのインストーラーとか。
Sampletxt.exe

U+202Eを下のカッコの位置に入れると…
Sample(U+202E)txt.exe

あら不思議、ファイル名が
Sample‮txt.exe
となってしまったではありませんか！！（またまた実際に制御文字で逆転させてます。）
これだとtxtファイルに見えます。ところがどっこい、そう見えるだけで実行ファイルです。
このファイルのアイコンがメモ帳のアイコンだったら完璧です。

まあわれわれは絶対にメモ帳以外のエディタを使ってるので、
txtファイルのアイコンがメモ帳のアイコンってことはないでしょうから
これには騙されませんよと。

しかし拡張子に「見える」部分がxlsxとかpdfだったらどうでしょうか。
騙されて実行してしまいそうですねー。
Samplefdp.exe
↓
Sample‮fdp.exe

Samplexslx.exe
↓
Sample‮xslx.exe

じゃあ対策しましょうってことで。
皆さん、以下の設定をしましょう。

①system32にあるsecpol.mscを実行
　(Professional以上じゃないと入ってないっぽい。)

②ローカルセキュリティポリシーの画面が開いたら、
　左側「ソフトウェアの制限のポリシー」の右クリックメニューから
　「新しいソフトウェアの制限のポリシー」をクリック

③右側「追加の規則」の右クリックメニューから「新しいパスの規則…」をクリック

④「新しいパスの規則」画面のパス欄に「**」と入力

⑤「**」の*と*の間にカーソルを持ってきて右クリック

⑥メニューから「Unicode制御文字の挿入」でRLO Start of right-to-left overrideを選択

⑦カーソルを動かして、見えないけど制御文字が入力されていることを確認。
　
⑧セキュリティレベル「許可しない」を選択してOK

以上で文字コードU+202Eが含まれるファイルが実行できなくなります。
日本語環境で上記設定を行っても何も困ることは無いので念のため設定しておきましょう。

では。

タスクスケジューラ実行は重い？

タスクスケジューラは便利ですが、
常々気になってたことがありました。

タスクから実行すると処理が遅い（重い）気がする。。

今までタスクから実行したときの処理時間を
気にしたことは無かったんですが、、


あるエクセルファイルを毎日タスクスケジューラで起動して
編集しようとするとあまりにも重い。。

初めはＰＣ起動直後だからかと思ってましたが、
直後以外に変えても重い。

どう考えてもおかしい、何か違いがあるのか？
と調べたらちゃんと理由がありました。

なんと、タスクスケジューラで実行するとプロセスの優先度が低く設定される。

基本的にバックグラウンドで動作するものだから、
既定値が低く設定されているっぽい。

しかも困った事に優先度はタスクスケジューラから変更できない。


どないすんねん！と思いましたが、調べたら、
タスクをエクスポートして、優先度(Priority)を書き換えてインポートだけで
いけました。

これで毎日のストレスがひとつ解消です。


タスク実行が重い場合は優先度を変えてみましょう。