Last Updated on 2024-08-06 05:05 by admin

Lazarus Groupは、最近パッチが当てられたWindowsカーネルの特権昇格の脆弱性（CVE-2024-21338、CVSSスコア：7.8）をゼロデイとして悪用し、カーネルレベルのアクセスを取得し、侵害されたホスト上のセキュリティソフトウェアを無効にしました。この脆弱性は、攻撃者がシステム特権を取得することを可能にし、Microsoftによって今月初めにPatch Tuesdayのアップデートの一部として解決されました。Microsoftは、この脆弱性を悪用するためには、攻撃者がまずシステムにログオンする必要があると述べています。その後、攻撃者は特別に作成されたアプリケーションを実行して脆弱性を悪用し、影響を受けるシステムの制御を取ることができます。

アップデートのリリース時にCVE-2024-21338のアクティブな悪用の兆候はありませんでしたが、Microsoftは水曜日にその「悪用可能性評価」を「悪用が検出された」と改訂しました。サイバーセキュリティベンダーのAvastは、このバグのための野生での管理者からカーネルへの悪用を発見し、Lazarus Groupがその脆弱性を武器化することでカーネル読み書きプリミティブを達成し、更新されたバージョンのFudModuleルートキットで直接カーネルオブジェクト操作を行うことができたと述べました。FudModuleルートキットは、感染したホスト上のすべてのセキュリティソリューションの監視を無効にすることができるとして、ESETとAhnLabによって2022年10月に初めて報告されました。

Lazarus Groupによる最新の攻撃の重要性は、既にターゲットマシンにインストールされていると知られているドライバーのゼロデイを悪用することで「BYOVDを超える」という点にあります。その脆弱性のあるドライバーはappid.sysで、WindowsコンポーネントであるAppLockerの機能に不可欠です。Lazarus Groupによって考案された実際のエクスプロイトは、appid.sysドライバー内のCVE-2024-21338を使用して、すべてのセキュリティチェックをバイパスし、FudModuleルートキットを実行する任意のコードを実行します。

この開発は、北朝鮮のハッキンググループに関連する技術的な洗練度の新たなレベルを示し、検出を回避し、追跡をより困難にするために使用される精巧な技術を示しています。また、Lazarus GroupがApple macOSシステムにマルウェアをこっそりとインストールするために偽のカレンダー会議招待リンクを使用していることが観察されたことから、そのクロスプラットフォームの焦点も例示されています。このキャンペーンは、以前にSlowMistによって2023年12月に文書化されました。

【ニュース解説】

最近、北朝鮮のハッキンググループであるLazarus Groupが、Windowsカーネルの特権昇格の脆弱性（CVE-2024-21338）をゼロデイ攻撃として悪用したことが明らかになりました。この脆弱性は、攻撃者にシステムレベルのアクセス権を与えるもので、Microsoftによって最近パッチが適用されました。しかし、このパッチが適用される前に、Lazarus Groupはこの脆弱性を利用して、セキュリティソフトウェアを無効にするなどの行動を取っていました。

この攻撃の特徴的な点は、既にターゲットマシンにインストールされているドライバー、appid.sysを悪用したことです。このドライバーはWindowsのAppLocker機能に関連しており、Lazarus Groupはこの脆弱性を利用して、セキュリティチェックを回避し、FudModuleルートキットを実行することができました。FudModuleルートキットは、感染したホスト上のセキュリティソリューションの監視を無効にする能力があると以前から報告されています。

この攻撃は、北朝鮮のハッキンググループが技術的にさらに洗練され、検出を避けるための複雑な手法を用いていることを示しています。また、Lazarus Groupがクロスプラットフォームで活動していることも明らかになり、Apple macOSシステムに対する攻撃も行っていることが確認されました。

このような攻撃は、セキュリティソフトウェアの無効化だけでなく、システムの深部にアクセスし、様々な悪意ある活動を行うことを可能にします。そのため、企業や個人は、セキュリティパッチの適用を迅速に行うこと、不審なメールやリンクに注意すること、セキュリティソフトウェアを最新の状態に保つことが重要です。

また、この攻撃は、サイバーセキュリティの規制や政策にも影響を与える可能性があります。国家レベルのハッキンググループによる高度な攻撃が増加する中、国際的な協力やサイバーセキュリティ対策の強化が求められています。長期的には、より安全なシステムの開発や、AIなどの技術を利用したセキュリティ対策の進化が期待されます。

from Lazarus Hackers Exploited Windows Kernel Flaw as Zero-Day in Recent Attacks.

SNSに投稿する