10月の月例セキュリティ情報でこれらのゼロデイ脆弱性に対応する更新プログラムを公開しました。「Sandworm」としても知られる脆弱性「CVE-2014-4114」は、利用されると、攻撃者は容易に不正プログラムを作成することができます。この問題の脆弱性は、欧州の機関および企業を対象とした標的型攻撃に関連しています。SCADA(産業制御システム)を標的した攻撃でも利用されたことを確認しました。バージョンに影響を与えます。いくつかのバージョンに影響を与えるのみでした。これらのゼロデイ脆弱性は、攻撃者が標的をカーネルに存在する脆弱性に戻している兆候である可能性があります。脆弱性「CVE-2014-4113」の利用に成功すると、権限昇格が可能となります。Microsoftは、「MS14-058」でこの脆弱性に対応しています。以降のバージョンに影響を与えません。エクスプロイドコードは、コマンドラインのパラメータを利用して、割り当てられたプログラムのシステム権限で、新規のプロセスを作成することができます。権限昇格の脆弱性はまた、標的型攻撃で利用されると考えられています。脆弱性を利用できるアプリケーションが、攻撃者の必要とする権限を持っていないためです。権限昇格の脆弱性利用は、「STUXNET(スタクスネット)」で確認されました。存在する脆弱性「CVE-2010-2743」を利用して、権限の昇格を行いました。ハッシュ値を持つ検体に基いて問題の脆弱性および脆弱性利用を解析します。70857e02d60c66e27a173f8f292774f1f9f01ce747679b82723b989d01c4d927弊社は、これらの不正プログラムを「TROJ_APOLMY.A」および「TROJ64_APOLMY.A」として検出します。64ビット版のシステムで確認されたバージョンです。使用するグラフィカル・ユーザ・インタフェース(GUI)のプロセスやスレッドの制御を担っています。”GDI32.dll”です。多くの問題が存在します。この脆弱性の利用について詳しく考察していきます。問題の核心は、関数の戻り値が正しく検証されないことです。開発者はこれを見過ごす傾向にありますが、深刻なセキュリティ上の危険となります。呼ばれる関数があります。「-1」、「-5」を返します。呼び出し、その戻り値を「xxxSendMessage()」のパラメータとして使用します。以下は擬似コードです。」でアドレスとして使用された場合は、致命的なエラーが発生し青い画面が表示されます。ユーザモードのコードでは、この脆弱性は利用できません。次に、この検体がカーネルモードで問題の脆弱性をどのように利用するのか検証します。以下はどのようにして問題の脆弱性が利用されるのか示した主要な手順です。NULLページに準備したメモリ領域をマッピングします。」およびその階層内の権限昇格のシェルコードへのポインタが含まれます。(0xfffffffb).になるように作成します。偽の階層内のすべての検証される領域は、アクセス可能であり適切な値にあるため、「xxxSendMessage()」は、「-5」を有効なアドレスとして処理します。「xxxSendMessage()」が階層内の関数ポインタを呼び出すと、シェルコードへのポインタとなります。EPROCESS内のトークンを交換し、シェルコード内のシステム権限を昇格させます。割り当てられたプログラムのシステム権限を用いて、子プロセスを作成します。」を制御し、「-5」を返します。2レベルのポップアップメニュを作成する。そのウインドウのコールバック関数「wndproc」のコールをフックする。ウインドウ上のポップアップメニュを追跡し、フックしたコールバックに入る。フックしたコールバックで、メニュの「wndproc」を別のコールバックに変更する。メニュのコールバック内で、メニュを壊す。検体のシェルコードは以下のコードの断片から確認できるように単純で直接的なものです。コピーするのを確認することができました。Free(解放後使用)」の脆弱性よりも簡単に利用できることを確認しました。「データ実行防止(DEP)」といったユーザモードでは効果的なセキュリティ機能は、カーネルモードでは簡単に回避され、脆弱性が利用されます。これは、脆弱性利用に用いられるのが、入力した情報またはスクリプトではなくプログラムであるためです。エクスプロイトコードは、最初からすでに実行可能になっています。用いられるアプリケーションの動作確認をするサンドボックスが増加すると、カーネルに存在する脆弱性は、権限昇格のためにより重要になってきます。した脆弱性を利用した攻撃手法は新しいものではありませんが、特に脆弱性「CVE-2014-4113」が公開された後は、攻撃者の目に留まることになるでしょう。検体の収集時に、弊社は、エクスプロイトコードを作成するツールのソースコードが流出しているのを確認しました。そのため、この脆弱性を利用する不正プログラムの亜種がさらに攻撃者によって作成されることが予想されます。権限昇格の脆弱性を利用した攻撃を実行し、アプリケーションの動作確認をするサンドボックスを回避し侵入するために、攻撃者はカーネルに存在する脆弱性を必要としていると弊社は考えています。今回の脆弱性利用の攻撃手法がさらに広まれば、今回のカーネルに存在するゼロデイ脆弱性のような脆弱性利用を今後確認することになるかもしれません。企業は、両方のバージョンを多く使用しており、この脅威の影響を受ける可能性があります。IT管理者は関連する更新プログラムを適用し、システムを最新の状態に保つことを強く推奨します。以降のバージョンでは、現在確認されているエクスプロイトコードが阻止されるため、セキュリティ上の危険は低いです。(SMEP)」が、カーネルモードでのユーザモードのメモリページの読み取り、書き取り、実行といったアクセスを防ぐためです。そのため、nullページやシェルコードへのアクセスは、機能の停止を起こすことはあっても、コードの実行を引き起こすことはありません。Network」によって守られています。「ファイルレピュテーション」技術により、上述の不正プログラムを検出し、削除します。トレンドマイクロでは、引き続き「Sandworm」を含む、これらのゼロデイ脆弱性に関する脅威状況を監視していきます。この脆弱性を利用した攻撃に関する詳細については、以下の記事をご参照下さい。関連記事:サイバー攻撃「Sandworm」が「Blacken」へ誘導。posts:IEゼロデイを確認。台湾の機関を狙う標的型攻撃を確認。