Readerの最新バージョン(および旧バージョン)を狙う別のゼロデイ攻撃に関するセキュリティ警告が出されました。Explorerのゼロデイエクスプロイトとは異なり、このReaderゼロデイエクスプロイトは、完全に“兵器化”したものです。このゼロデイエクスプロイトには、ブローカープロセスでメモリー情報公開やサンドボックスエスケープを使用し、アドレス空間配置のランダム化(ASLR)やデータ実行防止(DEP)を回避するなどの先進的なテクニックが含まれています。このブログでは、このエクスプロイトを簡単に分析します。このエクスプロイトで使用される不正なPDFファイルは、主に3つの部分で構成されています。Architecture(XFA)オブジェクトを操作するJavaScriptコードを含んだ、高度に難読化されたJavaScriptコード均一にエンコードされたXFAオブジェクトドロップされた2つのDLLに関連性があると思われる、暗号化されたバイナリストリームこのエクスプロイトには、2つの段階があります。第1段階として、サンドボックス化されたプロセス内でのコード実行が、AcroForm.apiモジュールで発生します。攻撃者の制御するヒープスプレー領域から仮想テーブルポインターが読み込まれ、その後、呼び出し命令で使用されます。このエクスプロイトは、AcroForm.apiのベースモジュールアドレスをリークすることができます。Readerの現行バージョンを検出し、ランタイム時にすべてのROPペイロードをビルドすることが可能です。重要なことは、通常のシェルコードが一切ないことです。必要なすべてのシェルコード関数は、ROPコードレベルで実装されます。大半のエミュレーションベースのシェルコード検出テクニックでは、このエクスプロイトを検出することができないということです。これらのテクニックは、正当なモジュール内の一連のアドレスしか確認できないためです。このエクスプロイトは、以前に登場した、iOSコードサイニング拡張機能を無効化できるiOS脱獄エクスプロイトと似ています。ROPシェルコードはまず、メモリーに埋め込まれたDLL(D.T)を復号化し、AppData\Local\Temp\acrord32_sbxフォルダーにドロップします。次に、DLLを現行プロセスにロードします。APIを呼び出すことにより停止します。D.Tは、サンドボックス化されたプロセスでの実行時に、ほかのDLL(L2P.Tなど)をドロップし、別のAdobe脆弱点をエクスプロイトすることによって、サンドボックスをエスケープする準備をします。第2段階では、ブローカープロセス中にコード実行が発生します。この呼び出し命令の宛先も、攻撃者が制御可能です。L2P.Tにロードされ、スリープ状態になります。攻撃者が制御しているコード(L2P.T)が上位特権ブローカープロセスで実行されたため、この時点ですでに、Readerサンドボックスはエクスプロイトによって突破されています。これは、サンドボックスを完全にエスケープしたエクスプロイトとしては、拡散していることをマカフィーが初めて確認した例です。これまでは、サンドボックスを完全にエスケープする可能性について、「Pwn2Own」といった主要なハッキングコンテストで聞いたことがあるだけでした。このエクスプロイトは、一部の複雑な部分のほかに、ネットワークとエンドポイントのセキュリティ検出・防護を回避するため、高度に難読化されたJavaScript、ROP専用シェルコード、多段型暗号化マルウェアといった、複数の回避テクニックも使っています。エクスプロイトコードは次に、乗っ取ったプロセスを終了させ、正常に見せかけたPDFファイルを表示するために新しいプロセスを作成します。このエクスプロイトは一瞬にして起こるため、元の不正PDFファイルを開く被害者が異常行動を目にすることはできません。マカフィーでは引き続き分析を行い、サンドボックスのエスケープに関するさらに詳しい情報を今後も提供していきます。以下の最新のバージョンに更新してください。クリックすることで更新できます。Execution”というシグネチャーをすでにリリースしています。6013、6048)機能により、関連攻撃を阻止できます。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。責任をもって共有するために。個人の垣根を超えて共に力を合わせることで実現する、より安全な世界を目指し、企業そして個人向けのセキュリティソリューションを提供しています。脅威情報ネットの安全セキュリティ。