Windows エラー報告に注目：発見された脆弱性によりウイルス対策と EDR が危険にさらされる
サイバーセキュリティ分野における最近の発見により、Windows エラー報告（WER）が注目を集めています。公開された脆弱性は、悪意のある脅威からコンピュータを保護するために設計されたセキュリティシステムに対する重大なリスクを浮き彫りにしています。Microsoft のオペレーティングシステムの全バージョンに組み込まれ、ソフトウェアの診断と改善に使用されているツールである Windows エラー報告が、この脆弱性を悪用するサイバー犯罪者に対して脆弱になっています。 Windows エラー報告とその影響について Windows エラー報告（WER）は、Windows アプリケーションで発生するクラッシュやエラーに関する情報を収集できるシステムです。収集されたデータは、診断分析とソフトウェアの改善のために Microsoft に送信されます。その有効性は、潜在的な障害発生時のアプリケーションの動作を正確に記録できることにあります。しかし、この機能は最近、セキュリティ研究者によって公開された脆弱性によって批判を浴びています。悪用された WER の脆弱性は、ウイルス対策や EDR（エンドポイント検出および対応）で使用されるプロセスを含む、重要なプロセスのアクティビティを一時的に停止させるツールの機能に起因しています。これらの侵入的なアクションにより、悪意のある攻撃者は、悪意のあるアクションを実行するのに十分な時間、システムのセキュリティ防御を一時停止したり、無効にしたりすることができます。 事態を深刻化させているのは、単純なWERエクスプロイトによって、マシンにインストールされているすべてのセキュリティソリューションが一時的に無効化され、システムが攻撃に対して脆弱になってしまうことです。実際、WerFaultSecureプロセスをリバースエンジニアリングすることで、高度な攻撃を仕掛けることが可能です。WERの重要な実行であるWerFaultSecureは、通常、重要なプロセスに干渉することなく診断目的のデータ収集を担っています。しかし、サイバー犯罪者は、MiniDumpWriteDump関数とWerFaultSecure関数間の競合状態を悪用できる脆弱性を発見しました。スレッド同時実行ロジックにおけるこの脆弱性は、数百万人ものWindowsユーザーを複雑な攻撃のリスクにさらしています。 MiniDumpWriteDumpとWerFaultSecure：内部の敵 この脆弱性の核心は、MiniDumpWriteDump関数とWerFaultSecure関数にあります。MiniDumpWriteDump関数は、デバッグを支援するためにメモリとスレッドの状態をキャプチャし、プロセスの「ミニダンプ」を生成します。クラッシュの原因特定に不可欠なこの操作では、対象プロセスのスレッドを一時的に停止する必要があります。ミニダンプが生成されると、スレッドは自動的に再起動されます。 しかし、この機能とWerFaultSecureのロジックの脆弱性を組み合わせることで、サイバー犯罪者はこの一時的な停止を悪用し、セキュリティプロセスを永続的な「昏睡」状態にする方法を発見しました。これにより、攻撃者はKaspersky、McAfee、Norton、Symantecなどのウイルス対策プロセスや、Sophos、Bitdefenderなどのツールを一時的に無効にし、このダウンタイムを利用してシステム上で悪意のあるアクションを実行することができます。 このプロセスは単純でありながら、非常に厄介です。 EDR-Freeze.exe では、サイバー犯罪者はブロックするプロセスID（PID）と、プロセスを停止させる時間（ミリ秒単位）を指定できます。つまり、悪意のあるコードを追加することなく、セキュリティソフトウェアの整合性を侵害できるということです。概念実証と実用上の意味 EDR-Freezeなどのデモ用ソースコードはGitHubで公開されており、潜在的な攻撃者がこの脆弱性をどのように悪用するかを明確に示しています。標的のプロセスのプロセスIDと停止時間を指定するだけで、攻撃者はWindowsシステムを保護するために導入されているすべてのメカニズムを一時的に麻痺させることができます。 このデモは、個人用および業務用コンピュータにおける現在のセキュリティメカニズムの堅牢性について重要な疑問を提起します。実際、Kaspersky、Norton、ESET、Trend Microといった最も評判の高いウイルス対策プログラムでさえ、一時的に無効化され、デジタル脅威に対するシステムの防御戦略全体を危険にさらす可能性があります。これらの発見は、これまで過小評価されてきた脆弱性を浮き彫りにするだけでなく、セキュリティソリューションプロバイダーによる継続的な監査と継続的な改善の必要性を浮き彫りにしています。いかなるシステムも絶対確実なものではなく、今回の発見は、悪意のある攻撃者が悪用できる、予期せぬ弱点を浮き彫りにすることで、改めてそのことを証明しています。 防御側が常に侵害の防止に努めている一方で、攻撃者はツールと手法を近代化し、ますます巧妙化し、警戒の怠りや未活用の脆弱性を悪用しようとしています。 対策と予防 この脅威に直面して、攻撃はカーネルの欠陥に起因するものではないものの、重要なインフラの保護を目指すサイバーセキュリティ企業やシステム管理者は、具体的な緩和戦略を実装する必要があります。まず、WerFaultSecureプロセスへの呼び出しを監視することが不可欠です。LSASSやウイルス対策およびEDR防御に関連するその他の重要な実行ファイルなど、特定のプロセスに対してこのプロセスがトリガーされた場合は、さらなる調査が推奨されます。 さらに、マイクロソフトはWerFaultSecureの使用に関する管理と制限を強化することができます。正当なダンプ生成ケースと疑わしいダンプ生成ケースをより適切に識別することで、許可されたアクションのみが重要なプロセスを短時間中断できるようにすることができます。 疑わしい実行のブロック：事前に定義されたアプリケーションのみが機密性の高いプロセスでダンプを実行できるようにする戦略。早期検出システム： 研究者のSteven Lim氏が開発したツールなどを使用することで、WerFaultSecureをMicrosoft Defenderにリンクされたプロセスに直接関連付けることができ、疑わしい停止をより簡単に検出できます。 継続的なソフトウェア更新： 既知の攻撃ベクトルを軽減するために、ユーザーに定期的にWindowsセキュリティ更新プログラムを適用するよう促します。 問題の細分化と戦略的な議論 WERのような脆弱性の問題は、技術的な側面だけでなく、戦略的な側面も持ち合わせています。 EDR-Freeze ツールは、従来のハードウェアやソフトウェアの欠陥を悪用するのではなく、正規のプロセスを巧みに利用しますが、導入の容易さゆえに危険性が増大します。これに関連して、セキュリティ管理者と IT 意思決定者は、Microsoft が提供するパッチでシステムを強化するだけでなく、使用するソフトウェアの運用プロセスを深く理解する必要があります。多くの場合、システムのアーキテクチャを理解することで、これらのサイバー脅威に対する防御において、より積極的かつ関連性の高い対策を講じることができます。 実際、単純な技術的スタンバイだけではもはや十分ではありません。従来とは異なる悪用の脆弱性が発見された場合には、積極的な姿勢をとらなければなりません。これは特に、WerFaultSecure を無害に動作させると重大な侵害が発生する可能性があるという認識に基づいています。したがって、すべての IT セキュリティ部門は、ツールの改善だけでなく、新たな脆弱性に関するチームの継続的な教育にも取り組む必要があります。 最後に、エンド ユーザーを含むすべての人が、日常的に使用するシステムに悪意のある可能性が組み込まれていることに注意する必要があります。 新しい、より効率的なツールの入手、更新されたバックアップおよびネットワーク保護プロトコルの設計、さらには悪意のあるプロセス検証ソフトウェアのインストールに関する厳格なポリシーの実装など、いくつかの保護ソリューションが検討できます。この目的を達成するために、定期的にアップデートの必要性を評価することをお勧めします。 Apple の WhatsApp の脆弱性 またはカリ・リナックス クロスプラットフォーム構成で。…
