【DLLサイドローディング攻撃】
いまは、親実行ファイルがdll形式の子実行ファイルを呼び出す際に、ハッシュ値やデジタル署名などのフィンガープリントを確認するのが一般的です。しかし、昔はそのようなことをせず、無条件に子実行ファイルを呼び出していたため、セキュリティソフト各社が善良と判定済のアプリケーションを用いて、dllのフィンガープリント確認をしていない古い実行ファイルを同ファイル名のマルウェアと差し替えて攻撃する手法です。
フィンガープリントを確認しない実行ファイルは、脆弱性情報としてMITRE CVEに公開され発番がなされ公示されます。悪意ある者は、この情報を基に、実行ファイルが用いるdllファイルと同名のマルウェアを作成し、脆弱性を含む実行ファイルと共に1つのzipやrar拡張子のファイルで攻撃対象者へ配布します。
●脆弱性情報を直ちに反映しない古いセキュリティエンジン
●そもそもDLLファイルを監査対象としていない古いセキュリティエンジン
では、マルウェアの実行を許可してしまい、端末が感染してしまいます。これをDLLサイドローディング攻撃と呼びます。
PC Maticはもちろん、Microsoft DefenderもDLL監査やMITRE CVE情報の即時反映に対応しています。有償・無償を問わずこれらに対応していない、古い設計思想のセキュリティソフトを導入するとDLLは監査対象外であり、脆弱性情報を即時反映しないため感染リスクが高まります。
PC Maticは、正規企業が作成したファイルであってもMITRE CVEに掲載された親実行ファイルは、リスク度合いによりUnknown(未分類/未知)もしくはBad(悪意)へ、判定を即座に変更し親ファイル自身の起動を阻止します。
PC Matic法人版ではMITRE CVEのリスク度合い(10～0)により、実行の是非をきめ細かく指定することが可能です。(端末/組織別/ベンダー別/リスク度合い等)
最新の実行ファイルで脆弱性が発見された際は、今まで利用できていた実行ファイルが起動阻止されることがあることを意味しています。使い勝手が悪いと感じる方もいらっしゃるかもしれませんが、昨今ではMITRE CVEに情報が掲載された翌日にはサイバー攻撃が観測されるため、マルウェア防御能力を100%とするためには、やむを得ません。
しかし、セキュリティエンジン開発会社の大半は業務が中断することによるクレームを恐れ、ほとんどのベンダーは脆弱性情報が発表されても放置もしくは早く対応するエンジンでも1か月後です。
「感染を許したくないのか」もしくは「業務を優先したいのか」はトレードオフです。
【詳しくはDLLサイドローディングを用いた攻撃の防御能力を参照ください。】
【BYOVD攻撃】
Bring Your Own Vulnerable Driver(脆弱なドライバーを用いた)の頭文字から命名されています。
前述のDLLサイドローディング攻撃の強化版として、Windowsのシステムとして利用されているプリンターなどのドライバー(sys拡張子)のうち脆弱性が発見されているものを親ファイルとして用いて、dll形式のマルウェアを同梱した圧縮ファイルを攻撃に用いる手法です。
サイバー攻撃者は、EPSONやCanonのプリンタードライバーがお好きなことが多いようで、これらの10年以上前の脆弱性を抱えたドライバーを用いてdll形式のマルウェアを1つのファイルに圧縮して攻撃を仕掛けてきます。有名企業だからと言って攻撃対象者を安心させるのも悪意ある者の目的の一つです。
感染当初は即座に活動せず、ドライバーとしてパソコン起動時にWindowsシステムに組み込まれるため、設定アプリの「Windowsセキュリティ」の項目で識別されるプライマーのセキュリティエンジンのみ、このドライバーを用いたマルウェアの活動を阻止できます。
こうした方式であるため、古いセキュリティエンジンやEDRによる検出をすり抜けることができ、社内システムを慎重に調査した上で実行されるランサムウェアやスパイウェアには最適なマルウェア感染の仕組みと言えます。
この攻撃に対処するには、「組織内端末で稼働している全プロセスをクラウドで分析できる仕組み(EDR)」「脆弱性情報に該当する実行ファイルの洗い出し(ASM)」そして、善良な実行ファイルのみ起動可能なPC Maticのアプリケーション・ホワイトリスティング方式が有効です。
戻る