とことこロゴス
メニュー

RLO

読み：あーるえるおー　／　英語表記：Right-to-Left Override

文字の表示順を右から左に変えるUnicodeの制御文字。マルウェアのファイル名に埋め込んで、拡張子を偽装する手口に悪用される。

イマシルちゃんの解説

文字には、画面に形を出すものだけでなく、表示の仕方を指示する制御文字もあるんだ。
RLOは、文字を扱う規格Unicodeで決められた制御文字の一つだよ。
後に続く文字を右から左の向きで扱うよう指示して、通常の並び方を上書きするんだ。
この性質が、ファイルを別の種類に見せかける手口に悪用されることがあるよ。
本当は実行ファイルでも、名前の末尾が文書のように見えて、うっかり開いてしまうおそれがあるの。
変わるのは表示の順番で、ファイル自体が安全な文書になるわけではないから、名前の見た目だけで判断しないことが大切だよ。

より深い解説

定義

RLO（Right-to-Left Override）は、Unicodeで定められた双方向テキストの制御文字（U+202E）である。この文字より後ろにある文字を、右から左の順に表示させる。本来は、右から左に書く言語を左から右の言語と混在させて正しく表示するためのものである。RLO自体は画面に表示されない。

拡張子の偽装の仕組み

攻撃者は、実行ファイルのファイル名の途中にRLOを入れて、表示上の拡張子を別のものに見せかける。

例：実際のファイル名（[RLO]は制御文字の位置）

invoice[RLO]fdp.exe

[RLO]より後ろの「fdp.exe」が右から左に表示されるため、画面上では次のように見える。

invoiceexe.pdf

利用者にはPDFの文書に見えるが、実際の拡張子は.exeであり、開くとプログラムが実行される。アイコンも、PDFや文書のものに偽装されていることが多い。

対策

対策内容
メールでのブロックファイル名にRLOなどの制御文字を含む添付ファイルを、メールサーバやセキュリティ製品で遮断する
実行の制限利用者のフォルダからの実行ファイルの起動を、アプリケーションの許可リストなどで制限する
拡張子の表示OSで、ファイルの拡張子を常に表示する設定にする（ただしRLOは表示自体をだますので、それだけでは不十分）
教育ファイル名や見た目のアイコンだけで、安全なファイルだと判断しない

同じように「見た目」をだます手口

手口内容
拡張子の二重化「report.pdf.exe」のようにして、拡張子を表示しない設定の環境で「report.pdf」に見せる
アイコンの偽装実行ファイルに、文書やフォルダのアイコンを設定する
ホモグラフ攻撃見た目がよく似た別の文字（キリル文字の「а」とラテン文字の「a」など）を使い、偽のドメイン名を本物に見せかける
ショートカットファイル文書に見えるショートカット（.lnk）に、悪意のあるコマンドを仕込む

ほかの手口との区別

手口内容
RLOを使った手口文字の表示順を変える制御文字で、ファイル名の拡張子を偽装する
スケアウェア偽の警告で利用者を怖がらせ、偽のソフトを買わせる
ハニーポットわざと脆弱なシステムを公開し、攻撃を観察する（防御側の手法）
SNMPの悪用ネットワーク機器の監視の設定を不正に変え、イベントを攻撃者に通知させる

実際の試験ではここに出る！全2問

ネットワークスペシャリスト

午前Ⅱ
↑