Check Point Software Technologiesによると、Zloaderは正規プログラムを装いつつ不正動作をする「トロイの木馬」だ。標的のシステムを感染させた後、ログを取得したり、不正アクセスを実行したりするという。Zloaderのハッカー集団は2020年頃から活動しているとみられるが、Microsoftのデジタル署名の脆弱性を悪用した手口が発見されたのは今回が初めてだという。

　Zloaderを実行するファイルは、Microsoftの有効なデジタル署名を取得している汎用（はんよう）プログラムを利用しているとCheck Point Software Technologiesは説明する。攻撃者はソーシャルエンジニアリング攻撃の他、正規のリモート管理ツールを悪用してZloader実行用のファイルを標的に送信する。

　標的に届いたファイルは、攻撃命令を出すコマンド＆コントロール（C&C）サーバと通信して攻撃用のスクリプトを実行し、それと同時に不正プログラムをダウンロードさせる。ファイルは有効なデジタル署名を持っているため、マルウェア対策ツール「Microsoft Defender」によって検知されにくい。

　Check Point Software Technologiesによれば、攻撃者はデジタル署名を改変せずに攻撃スクリプトを混入できるように、コードの主要部分を改ざんしていた。この手口はMicrosoftの署名検証システムに存在する古い脆弱性を悪用。パッチ（修正プログラム）が適用されていない場合、デジタル署名のチェックを回避できるという。

　今回悪用されているMicrosoftのデジタル署名の脆弱性は以前から知られ、Microsoftは2013年に修正した。ただし、セキュリティアップデートはユーザーが許諾しなければ実際されない「オプトイン方式」になった。Check Point Software Technologiesによると、Zloaderに感染したファイルを実行したのは2170個のIPアドレスだ。

修正プログラムの適用も要確認

　Check Point Software Technologiesの主席研究員であるコービー・アイゼンクラフト氏は、「管理者がシステムを攻撃から保護するために、Microsoftの修正プログラムとレジストリキーの変更を適用する必要がある」と述べる。システムに最新の修正プログラムが全て適用されているかどうかを確認すべきだと同氏は強調する。

　ユーザー企業にとどまらず、ソフトウェアベンダーにも対策を講じるようCheck Point Software Technologiesは求めている。攻撃のリスクを減らすために、全てのソフトウェアベンダーがMicrosoftの新しいデジタル署名検証の仕様に準拠する必要があると同社はみる。