ToddyCatグループがESET製品の脆弱性を悪用し、Windowsのセキュリティを回避（CVE-2024-11859）

佐々山 Tacos

2025.04.08

ToddyCatグループがESET製品の脆弱性を悪用し、Windowsのセキュリティを回避（CVE-2024-11859）

CyberInsider – April 7, 2025

ESET製アンチウイルススイートのコンポーネントにおける脆弱性を悪用し、正規のセキュリティソフトウェアの背後で悪意あるツールを実行するというToddyCat APTグループの高度なサイバースパイ技法について、カスペルスキーが報告した。

ToddyCatは長期にわたって活動しているスパイ活動志向のAPTグループで、アジアやヨーロッパの著名組織を標的にすることで知られる。カスペルスキーの研究者は2024年初頭、ToddyCat関連のインシデントを調べる中で、侵害されたデバイス数台に「version.dll」という名称の疑わしいファイルが存在することを発見。分析の結果、このファイルがToddyCatの新たなツールキット「TCESB」の一部であることを突き止めたという。同社はTCESBを、「デバイスにインストールされた保護・モニタリングツールを回避して密かにペイロードを実行できるような設計」の「複雑なツール」であるとしている。

脆弱性CVE-2024-11859の悪用

TCESBを用いた攻撃キャンペーンの特徴は、署名されたESETの実行ファイルを使ってシステムの防御をかわし、セキュリティツールを知らぬ間にマルウェアのホストに変えることに成功している点。ToddyCatはこのキャンペーンで、ESET Endpoint Protectionスイートを構成する正規のCommand Line Scannerコンポーネント（ecls.exe）における脆弱性CVE-2024-11859を悪用するという。

このESET製ツールにはシステムライブラリ「version.dll」を安全でない形でロードする問題があり、ファイルの有無をまずカレントディレクトリでチェックしたのちにシステムディレクトリ内を検索する。攻撃者は、「version.dll」という同じ名前の悪意あるDLLをローカルディレクトリにドロップすることでESETツールのこの挙動を利用し、ESETのスキャナーの信頼されたコンテキストの中でこの悪性DLLをトリガーさせることに成功していた。なお、この脆弱性はESETへ報告され、同社は2025年1月21日にパッチをリリース済み。

DLLプロキシング

上記の悪性DLLはプロキシの役割を果たしており、正規のversion.dllのあらゆる関数をエクスポートするものの、実装はせずにこれらの関数へのコールを正規版のDLLへリダイレクトする。この「DLLプロキシング」のテクニックにより、表面上は信頼されたセキュリティプロセスに見える動きの背後でマルウェアを実行することが可能になるとされる。

TCESB：ToddyCatの新ツールキット

こうしてロードされるTCESBはオープンソースのマルウェアフレームワーク「EDRSandBlast」をベースに、よりステルス性を高めた複雑なツール。その主な働きや特徴としては、以下のようなものが報告されている。

カーネル通知ルーチンの無効化：Windowsカーネルの構造を変更することで、プロセス作成アラートなどの通知ルーチンを無効化する
BYOVD手法の利用：カーネル構造の変更を安全かつアラートを発出させることなく実施するため、TCESBは既知の脆弱なドライバーであるDellのDBUtilDrv2.sys（CVE-2021-36276）をデプロイする
Windowsカーネルバージョン情報の動的な特定を伴う回避戦術：TCESBはカーネルの構造に関するオフセットを含むバンドルされたCSVファイルをチェックするほか、必要な場合はマイクロソフトの公式デバッグシンボルをフェッチして必要なメモリ構造を特定する

同種の攻撃をブロックするには

ESETの製品は全般的に強固なものとして知られているが、今回のインシデントにより、セキュリティツールであっても実装に関する欠陥が存在する場合、特に昇格された権限のもとで動くコンポーネントに欠陥がある場合には攻撃者が悪用可能な手段となり得ることが示されている。この種の攻撃から自組織を保護するため、カスペルスキーは以下のような推奨策を提示した。