ウイルス対策ソフトウェアをマルウェアに変える攻撃「DoubleAgent」 31
ストーリー by headless
二重スパイ 部門より
二重スパイ 部門より
ゼロデイ攻撃対策を提供するCybellumは22日、Windows XP以降で利用可能なコード検証ツール「Application Verifier」の仕組みを悪用してウイルス対策ソフトウェアをマルウェアに変える攻撃「DoubleAgent」の詳細を公表した(Cybellumのブログ記事[1]、
[2]、
BetaNewsの記事、
The Registerの記事)。
Application Verifierでは、レジストリを設定することで正規のコード検証ツール以外のDLLをプロセス起動時にインジェクト可能な非公開機能が存在することが、遅くとも2011年から知られている。DoubleAgentはこの非公開機能を悪用するもので、ウイルス対策ソフトウェアに検出されずにコードをインジェクトし、常駐させることが可能となる。
Windows 8.1以降ではウイルス対策ソフトウェアのプロセスを保護する「Protected Processes」などと呼ばれる機能が提供されており、Windows Defenderはこの機能を使用しているが、サードパーティのウイルス対策ソフトウェアではほとんど使われていないという。
攻撃を成功させるにはローカルでのアクセスと管理者権限が必要となるため、影響範囲は狭いとみられるが、Cybellumでは以下のベンダーの製品でPoCを実行し、脆弱性が存在することを確認したとのこと。
Application Verifierでは、レジストリを設定することで正規のコード検証ツール以外のDLLをプロセス起動時にインジェクト可能な非公開機能が存在することが、遅くとも2011年から知られている。DoubleAgentはこの非公開機能を悪用するもので、ウイルス対策ソフトウェアに検出されずにコードをインジェクトし、常駐させることが可能となる。
Windows 8.1以降ではウイルス対策ソフトウェアのプロセスを保護する「Protected Processes」などと呼ばれる機能が提供されており、Windows Defenderはこの機能を使用しているが、サードパーティのウイルス対策ソフトウェアではほとんど使われていないという。
攻撃を成功させるにはローカルでのアクセスと管理者権限が必要となるため、影響範囲は狭いとみられるが、Cybellumでは以下のベンダーの製品でPoCを実行し、脆弱性が存在することを確認したとのこと。
Avast (CVE-2017-5567)
AVG (CVE-2017-5566)
Avira (CVE-2017-6417)
Bitdefender (CVE-2017-6186)
Trend Micro (CVE-2017-5565)
Comodo
ESET
F-Secure
Kaspersky
Malwarebytes
McAfee
Panda
Quick Heal
Norton
Cybellumは昨年11月に各ベンダーへ脆弱性を通知しており、最新版では既に修正されている製品もあるようだ。ESETとTrend Microは最新版で修正済みとしてセキュリティアドバイザリーを公開しており、AvastとKasperskyは最新版で修正済みであることをユーザーフォーラムで報告している。BleepingComputerの記事によれば、AVGとMalwarebytesも最新版で修正済みとのこと。また、Aviraはパッチを準備中とツイートしており、Bitdefenderは影響が少ないとしつつも、今後修正を行うとユーザーフォーラムに投稿している。一方、ComodoやNorton(Symantec)は攻撃をブロックできると反論するコメントをユーザーフォーラムに投稿している。
これにはハッカーも苦笑い (スコア:2, 参考になる)
>攻撃を成功させるにはローカルでのアクセスと管理者権限が必要となるため
これって普通に操作してるのと変わらないから何だって出来るのは当たり前でしょ
linuxで言うならrootで作業してるのと同じ
Re:これにはハッカーも苦笑い (スコア:1)
人は自分の見たいものを見る (スコア:0)
やっぱりWindows Defenderを選んだ俺の目に狂いはなかった。
それにしてもマウスコンピューターはBTOオプションに30日限定ウイルス対策ソフトをインストールしないオプションを用意すべき。
Re: (スコア:0)
mcafee security scan plusなどというゴミを配布し続ける会社を信用し続けるやつがいるのが不思議
Re: (スコア:0)
人に自作は勧めにくいよね。
俺自身はBTO自体はいいのだが、オールSSDデスクトップってあんまりないのね。
あっても容量が少ないか、HDDがついているか、自作の方が安いか。
Re: (スコア:0)
マウスって爆音イメージがあったんで選択肢になかったんですが、
最近はそんなことないのですかね？
ウチの職場ではデスクトップ型PCは絶滅しました。
Re: (スコア:0)
mouseはまだまだショップブランドレベルの安定性で
ドライバ周りで不具合が良く出るのがなあ…
#会社でエンコード用に買っちゃったもののおもりをよくさせられる…
Re: (スコア:0)
ディレクター以外はショップブランドで統一してデザイナにAdobe使わせてるとか言えません。
まぁ担当が（業界一番長い人から新卒に引き継いだけどどっちも）自作趣味だから何とかなってるけど。
対応してくれれば問題ない (スコア:0)
ソフトウェアに不具合はつきもの
対応さえしてくれれば問題なし
誰がどう見てもApplication Verifierの脆弱性(しかも絶賛開放中) (スコア:0)
じゃねえだろ？
Application Verifierの「レジストリを設定することで正規のコード検証ツール以外のDLLをプロセス起動時にインジェクト可能な非公開機能が存在する」という脆弱性が残ったままやんけ？
こんなもんウイルス対策ソフトウェア以外で使われたって相当にヤバイ。
ブラウザやSteamやUplay等がこの脆弱性攻撃のターゲットにされると考えただけでも寒気がする。
MicrosoftはApplication Verifierを先にどうにかしろよ。
もはやWindows Defenderだけの問題じゃねえだろ。
Re:誰がどう見てもApplication Verifierの脆弱性(しかも絶賛開放中) (スコア:2, すばらしい洞察)
任意のレジストリを変更できるなら
そもそもなんでもできるだろ
Re: (スコア:0)
それな。BitDefenderも同しこと言うとるわ。そんな権限あんならAVをアンインストールしろと
the fact that in order for the exploit be successful, it needs to be executed with administrator rights, considerably narrows the attack surface. Its actually easier to uninstall the security solution if you have administrator rights for example.
Re: (スコア:0)
アンチウィルスを削除すると気づかれてしまう可能性が高い。
企業なら個別のPCでアンチウィルスが動作しているか監視しているだろうし。
気づかれず長く情報収集するのが好ましい。
そもそも有料アンチウィルスの購入者は、ネットから落としたアプリに今回のようなマルウェアが仕掛けられていても、アンチウイルスが動作しつづけることを期待していると思うんだよね。
Re: (スコア:0)
> アンチウィルスを削除すると気づかれてしまう可能性が高い。
> 企業なら個別のPCでアンチウィルスが動作しているか監視しているだろうし。
>
> 気づかれず長く情報収集するのが好ましい。
つまりCIAがいつでも余裕で確定クラックできるiPhoneやiPadやMacは絶対に使わないほうがいい、ってことですね
Re: (スコア:0)
まあ、普通の人はCIAに監視されていても気にしないだろう。
CIAに聞かれたくないからって電話を使わないって人は少数派だろうし。
奴らがその気になれば、家に盗聴器やカメラを仕掛けるなんで造作もないし。
Re: (スコア:0)
Apple製品を一つも持ってなくても信者になれるなんて、なんてApple様は心が広いんだ！
俺のスマホは白いからに違いない。
Re: (スコア:0)
CIAがいつでも余裕で確定クラック、っての自体がソースのない妄想だからなぁ
妄想に妄想を重ねがけするのは無意味だし、そんなことしても現実は変わらないのだからなおさら無意味だし
Re: (スコア:0)
権限昇格のバグと組み合わせれば行ける。
権限昇格系のバグは滅多にないが。
Re: (スコア:0)
真面目な話ソフトをインストールするタイミングを使えばこの手のマルウェアを仕込める。
Re: (スコア:0)
インストールする前にレジストリいじれたらな
レジストリいじれたらなんでもできるわけで…って話で#3182660に戻る
Re: (スコア:0)
まあいわゆるセキュリティソフトならレジストリの監視も行うのでこんなに怪しいエントリにこんなに怪しい数値を書き込もうとするソフトはブロックするよね。
Re: (スコア:0)
インストーラー管理者権限を要求し過ぎ問題
Re:誰がどう見てもApplication Verifierの脆弱性(しかも絶賛開放中) (スコア:1)
どう考えても、ローカルマシン触らせて管理者権限も付与するユーザの行動が脆弱性
Re:誰がどう見てもApplication Verifierの脆弱性(しかも絶賛開放中) (スコア:1)
format c:するとデータが消える脆弱性があるらしいよ
Re: (スコア:0)
ブラウザやSteamやUplay等はレジストリを設定する権限を持っとるんか？だとしたらヤバイな。
Re: (スコア:0)
その通りですよ
だからこそ管理者権限を常用してはいけないのです
管理者権限でHKLM以下のレジストリを壊すとWindowsが起動しなくなる脆弱性 (スコア:0)
と言っているのとまったく同じ
Re: (スコア:0)
s/レジストリを設定することで/管理者権限が必要なレジストリを設定することで/g
これって脆弱性ではないだろ (スコア:0)
HKEY_LOCAL_MACHINEのキーを変更してApplication Verifierを有効にするとプロセスインジェクションできるのは
Windowsの脆弱性でないのは当然だが、じゃあアンチウイルスの脆弱性になるのかといったらならないだろう。
OSの新しい保護機能を使っていないのは弱みかもしれないが、脆弱性ではないし現実の危険があるわけでもないだろう。
なんか、いわゆるポリコレ棍棒とか、森友学園問題とか、次のストーリーのGoogleのSymmantic批判とかと同種の
「弱みのある相手を声高に非難して自分を偉く見せる」系のやつに見える。