アバストのアンチルートキットドライバ、セキュリティプロセス無効化のために悪用される

11月25日：サイバーセキュリティ関連ニュース

アバストのアンチルートキットドライバ、セキュリティプロセス無効化のために悪用される

BleepingComputer – November 23, 2024

正規のアバスト製アンチルートキットのドライバを悪用し、セキュリティソリューションを無効化してシステムを侵害しようとする新たな有害キャンペーンを、Trellixの研究者が発見。本来システムをコアな部分から保護するためのものであるカーネルモードのドライバは、OSの最重要部分へアクセスできるものであることから、攻撃者に悪用されると強力な破壊力を持つツールへ変貌してしまうという。

このBYOVD（Bring Your Own Vulnerable Driver）アプローチは、マルウェア（kill-floor.exe）によってアバストの古く脆弱なルートキットドライバ（aswArPot.sys）をドロップし、このドライバを利用してさまざまなベンダーのセキュリティプロセスを停止させるというもの。同ドライバがインストールされ、aswArPot.sysというサービスが作成されると、マルウェアは無限ループ状態に入ってシステム上で実行中のプロセスのスナップショットを取得する。マルウェアには、McAfeeやシマンテック、Sophos、アバスト、トレンドマイクロ、ESETなどのアンチウイルスやEDRソリューションに関連する142件のプロセス名がハードコードされており、取得されたスナップショットはこのリストと照会され、一致するものがあった場合には、インストール済みのアバストドライバを参照するハンドルが作成される。その後、このハンドルは「DeviceIoControl」APIを利用して、当該セキュリティプロセスを停止させるためのI/O制御コードを発行するのだという。

Trellixによれば、このようなBYOVD攻撃から自組織を守るには、シグネチャまたはハッシュに基づいてコンポーネントを特定・ブロックできるようなルールをEDRまたはアンチウイルスソリューションに取り込み、マルウェアによって正規のドライバが悪用されるのを防ぐことが推奨されるとのこと。

WinZipの脆弱性により、有害コードの実行が可能になる恐れ：CVE-2024-8811

Securityonline[.]info – November 22, 2024

広く用いられるアーカイビングツールのWinZipに、深刻なセキュリティ機能バイパスの脆弱性 CVE-2024-8811が存在。これを悪用してセキュリティ保護を切り抜けた攻撃者は、ユーザーのシステム上で有害なコードを実行する可能性も考えられるという。

76.8より前のバージョンのWinZipに影響を与えるCVE-2024-8811は、WinZipによるMark-of-the-Web（MOTW）の処理方法における欠陥に関するもの。Windowsで使用されるセキュリティ機能であるMOTWは、インターネットからダウンロードされた安全でないかもしれないファイルにフラグを付与してユーザーに注意喚起を促す役割を果たすが、WinZipでは、ダウンロードされたアーカイブファイルを処理する際にこのフラグが意図せず除去されてしまうという。つまり、もし有害なファイルがインターネットからダウンロードされてZip圧縮されたとしても、MOTWフラグは除去されるためにユーザーがこれを「安全」だと思い込むリスクが出てくるということになる。

CVE-2024-8811の悪用が成功した場合に想定され得る影響としては、以下のようなものがあるという：

• マルウェアの実行：攻撃者はランサムウェアやスパイウェア、トロイの木馬といったマルウェアを配布・実行し、ユーザーのシステムおよびデータを侵害する恐れがある。
• データ窃取：機微なデータが窃取され、身元が乗っ取られたり金銭的損失を被ったりする恐れがある。
• システムの乗っ取り：攻撃者がユーザーのシステムを乗っ取り、さらなる悪意ある活動を実施しようとする恐れがある。

WinZipのユーザーには、利用しているソフトウェアを76.8以降のバージョンへ速やかにアップデートすることが推奨されている。

【無料配布中！】ランサムウェアレポート＆インテリジェンス要件定義ガイド

ランサムウェアレポート：『2024 Ransomware? What Ransomware?』

以下のバナーより、ランサムウェアのトレンドを扱ったSilobreaker社のレポート『2024 Ransomware? What Ransomware?』の日本語訳バージョンを無料でダウンロードいただけます。

＜レポートの主なトピック＞

• 主なプレーヤーと被害組織
• データリークと被害者による身代金支払い
• ハクティビストからランサムウェアアクターへ
• 暗号化せずにデータを盗むアクターが増加
• 初期アクセス獲得に脆弱性を悪用する事例が増加
• 公に報告された情報、および被害者による情報開示のタイムライン
• ランサムウェアのリークサイト – ダークウェブ上での犯行声明
• 被害者による情報開示で使われる表現
• ランサムウェアに対する法的措置が世界中で増加
• サプライチェーン攻撃を防ぐため、手口の変化に関する情報を漏らさず把握
• 複数の情報源と脅威インテリジェンスツールを活用することが依然不可欠

インテリジェンス要件定義に関するガイドブック：『要件主導型インテリジェンスプログラムの構築方法』

以下のバナーより、優先的インテリジェンス要件（PIR）を中心とした効果的なインテリジェンスプログラムを確立するためのポイントなどを解説したSilobreaker社のガイドブック『要件主導型インテリジェンスプログラムの構築方法』の日本語訳バージョンを無料でダウンロードいただけます。

＜ガイドブックの主なトピック＞

本ガイドブックでは、優先的インテリジェンス要件（PIR）の策定にあたって検討すべき点と、PIRをステークホルダーのニーズに沿ったものにするために考慮すべき点について詳しく解説しています。具体的には、以下のトピックを取り上げます。

• 脅威プロファイルの確立
• ステークホルダーの特定・分析
• ユースケースの確立
• 要件の定義と管理
• データの収集と処理
• 分析と生産
• 報告
• フィードバック
• 実効性の評価