Windowsの“構造的弱点”を悪用する攻撃手法が判明、パッチ作成すら不可能？（1/2 ページ）

「AtomBombing」という新たな攻撃手法が登場した。Windowsの根幹を担う仕組みを悪用したこの攻撃は、パッチの提供すら困難だという。その脅威とは。

公開 2016年11月09日 08時01分

著者

Michael Heller

[TechTarget]

印刷する

AtomBombingの脅威にどう対処すべきか

　「AtomBombing」と呼ばれる新手のコードインジェクション（不正なコードをシステムに挿入する攻撃）の手法が登場した。これは「Windows 2000」以降の全てのWindowsバージョンに影響を及ぼす。だがMicrosoftは、問題を修正するパッチを作成できない可能性がある。

　AtomBombingを作成したのは、データ保護企業enSiloでセキュリティ調査チームの責任者を務めるタル・リーバーマン氏だ。同氏によると、AtomBombingはWindowsの基本構造の1つである、文字列と整数を対応付けるテーブル（アトムテーブル）を悪用した手口だという。

併せて読みたいお薦め記事

Windows 10のセキュリティ機能

相次ぎ判明する新手の攻撃手法

「アトムテーブルの悪用」は何が怖いのか

　「アトムテーブルはOSが提供し、アプリケーションによるデータの保存とアクセスを可能にする。アプリケーション間でデータを共有するのにも使われる」と、リーバーマン氏はブログに記している。

　攻撃者は悪質なコードをアトムテーブルに書き込むことにより、正規のプログラムにアトムテーブルからそのコードを読み込ませることができる。さらに正規のプログラムを操作して、その悪質なコードを実行できることも分かったという。

　リーバーマン氏によると、攻撃者はこの種のコードインジェクション手法を利用すれば、

セキュリティ製品をすり抜けてMITB攻撃（Webブラウザとサーバ間の通信を傍受したり、通信内容を改ざんしたりする攻撃）を実行する
暗号化されたパスワードにアクセスする
エンドユーザーのシステムのスクリーンショットを撮る

といったことが可能になる。

　この攻撃は権限昇格の手段ではないので、できることには「限界がある」とリーバーマン氏は指摘する。一方で忘れてはならないのは、この手法は最初の攻撃時に有効なだけではないということだ。「攻撃者はパーシステンス（永続性）を獲得し、1つのプロセスに潜み続ける」（同氏）

　セキュリティ企業Malwarebytesの上席セキュリティ研究員であるJ・P・タガート氏は、AtomBombingについて「最近のマルウェアの多くが実行するコードインジェクション操作によく似ている。ただしその手口は、これまで見たことがないものだ」と指摘する。

　「攻撃者の目的は、特権コード（アクセス特権を持ったプログラム）を実行することだ。AtomBombingは、まるで免疫機構を破壊する病原菌のように、正規のWindowsコンポーネントを利用する。そうなると、もうほとんどお手上げだ」とタガート氏は説明する。このような形で特権コードが実行されてしまうと、別のマルウェアのダウンロードやセキュリティ設定の改変など、最近のマルウェアができることは全てそのコードで実行することが可能になる。

次ページへパッチの作成は無理？