Microsoft署名の脆弱性を悪用 「Zloader」の驚くほどシンプルな手口とはTechTarget発 世界のITニュース

マルウェア「Zloader」のハッカー集団はMicrosoftのデジタル署名の脆弱性を悪用し、攻撃活動をしている。企業はシステムを守るために、どうすればいいのか。

2022年03月07日 05時00分 公開
[Shaun NicholsTechTarget]

 セキュリティベンダーのCheck Point Software Technologiesは2022年1月5日(米国時間)、金融機関を標的にしたマルウェア「Zloader」のハッカー集団に関する調査内容を同社Webサイトで報告した。同社によれば、攻撃者はMicrosoftのデジタル署名の脆弱(ぜいじゃく)性を悪用し、有効なデジタル署名に不正なコードを書き込むことで標的のシステムを感染させているという。

マルウェア対策ツールを“だまして”システム感染 どうやって?

 Check Point Software Technologiesによると、Zloaderは正規プログラムを装いつつ不正動作をする「トロイの木馬」だ。標的のシステムを感染させた後、ログを取得したり、不正アクセスを実行したりするという。Zloaderのハッカー集団は2020年頃から活動しているとみられるが、Microsoftのデジタル署名の脆弱性を悪用した手口が発見されたのは今回が初めてだという。

 Zloaderを実行するファイルは、Microsoftの有効なデジタル署名を取得している汎用(はんよう)プログラムを利用しているとCheck Point Software Technologiesは説明する。攻撃者はソーシャルエンジニアリング攻撃の他、正規のリモート管理ツールを悪用してZloader実行用のファイルを標的に送信する。

 標的に届いたファイルは、攻撃命令を出すコマンド&コントロール(C&C)サーバと通信して攻撃用のスクリプトを実行し、それと同時に不正プログラムをダウンロードさせる。ファイルは有効なデジタル署名を持っているため、マルウェア対策ツール「Microsoft Defender」によって検知されにくい。

 Check Point Software Technologiesによれば、攻撃者はデジタル署名を改変せずに攻撃スクリプトを混入できるように、コードの主要部分を改ざんしていた。この手口はMicrosoftの署名検証システムに存在する古い脆弱性を悪用。パッチ(修正プログラム)が適用されていない場合、デジタル署名のチェックを回避できるという。

 今回悪用されているMicrosoftのデジタル署名の脆弱性は以前から知られ、Microsoftは2013年に修正した。ただし、セキュリティアップデートはユーザーが許諾しなければ実際されない「オプトイン方式」になった。Check Point Software Technologiesによると、Zloaderに感染したファイルを実行したのは2170個のIPアドレスだ。

修正プログラムの適用も要確認

 Check Point Software Technologiesの主席研究員であるコービー・アイゼンクラフト氏は、「管理者がシステムを攻撃から保護するために、Microsoftの修正プログラムとレジストリキーの変更を適用する必要がある」と述べる。システムに最新の修正プログラムが全て適用されているかどうかを確認すべきだと同氏は強調する。

 ユーザー企業にとどまらず、ソフトウェアベンダーにも対策を講じるようCheck Point Software Technologiesは求めている。攻撃のリスクを減らすために、全てのソフトウェアベンダーがMicrosoftの新しいデジタル署名検証の仕様に準拠する必要があると同社はみる。

TechTarget発 世界のITニュース

新製品・新サービスや調査結果、セキュリティインシデントなど、米国TechTargetが発信する世界のITニュースをタイムリーにお届けします。

ITmedia マーケティング新着記事

news149.jpg

最も利用率の高いショート動画サービスはTikTokではない?
ADKマーケティング・ソリューションズは、ショート動画に関する調査結果を発表しました。

news131.jpg

古くて新しいMMM(マーケティングミックスモデリング)が今注目される理由
大手コスメブランドのEstee Lauder Companiesはブランドマーケティングとパフォーマンス...

news087.png

Yahoo!広告 検索広告、生成AIがタイトルや説明文を提案してくれる機能を無料で提供
LINEヤフーは「Yahoo!広告 検索広告」において、ユーザーが誘導先サイトのURLを入力する...