Windows上のアンチウイルスソフトをマルウェアに変えるゼロデイ脆弱性

　「Windows」に標準搭載されている実行時検証ツールを悪用し、ウイルス対策ソフトウェアをマルウェアに変える新たな攻撃手法「DoubleAgent」がセキュリティ研究者らによって発見された。

　イスラエルに拠点を置くセキュリティ企業Cybellumは現地時間3月22日、同社ウェブサイト上でDoubleAgentについての詳細を明らかにした。Cybellumによると、DoubleAgentはAvast SoftwareとAVG Technologies、Avira、Bitdefender、Trend Micro、Comodo、ESET、F-Secure、Kaspersky Lab、Malwarebytes、McAfee、Panda Security、Quick Heal Technologies、Symantecの製品に影響を与え得ることを確認したという。Cybellumは、他のウイルス対策ソフトウェア製品も同様に脆弱である可能性が高いと述べている。

　この攻撃は、「Microsoft Application Verifier」を悪用するものとなっている。Application Verifierは、サードパーティーが開発したWindowsアプリケーションのバグを発見し、セキュリティを強化するための実行時検証ツールであり、「Windows XP」から「Windows 10」までのバージョンに標準搭載されている。

　Cybellumのウェブページには「われわれの研究者らはApplication Verifierの文書化されていない機能を発見した。この機能を利用することで攻撃者は、標準搭載されている検証機能を自らでカスタマイズしたものに置き換えられるようになる」と記されている。

　また同ページには、「この能力を悪用すれば、どのようなアプリケーションにも、カスタマイズした検証機能を注入できる。こういった検証機能がいったん注入されると、そのアプリケーションは攻撃者の意のままに制御されるようになる」とも記されている。

　問題の根はMicrosoft側にあるのではなく、ウイルス対策ソフトウェアのベンダー側にある。いずれにしても、影響のあるウイルス対策ソフトウェア製品を使用している組織は、この攻撃による被害を被る可能性がある。

　実際のところこの問題は、すべてのソフトウェアに影響を及ぼす可能性があるものの、Cybellumはウイルス対策ソフトウェアに焦点を当てている。というのもこういった製品は、高い権限で実行され、信頼が置けると考えられているためだ。

　このためCybellumは、ウイルス対策ソフトウェアが乗っ取られた場合、組織が使用しているその他のセキュリティ製品まで無力化されると警告している。

　同社の共同設立者兼最高技術責任者（CTO）Michael Engstler氏は同社ウェブサイトの別のページで、DoubleAgentによって、任意のプロセスに対してダイナミックリンクライブラリ（DLL）を注入できるようになると説明している。また、注入されたDLLは再起動の後も有効なものとして残り続け、プログラムのアンインストールや再インストールを実施しても除去できないという。

　Engstler氏がBleeping Computerに語ったところによると、現時点でこの問題に対処できているセキュリティベンダーはMalwarebytesとAVG、Trend Microだけだという。また同氏は、この攻撃に対する脆弱性を抱えているのはすべてのソフトウェアだが、マルウェアに対する防御をつかさどる位置付けにあるという理由で、ウイルス対策ソフトウェアに焦点を当てたとコメントしている。