セキュリティソフトを無力化するツール用いるランサムウェア攻撃に注意
マイナビニュース / 2024年8月25日 15時35分
Sophosは8月14日(英国時間)、「Ransomware attackers introduce new EDR killer to their arsenal – Sophos News」において、ランサムウェア「RansomHub」を使用する脅威アクターがエンドポイント検出応答(EDR: Endpoint Detection and Response)製品を無力化する新しい攻撃ツールを使用したとして、注意を呼び掛けた。同社はこの攻撃ツールを「EDRKillShifter」と名付けている。
○サイバー攻撃ツール「EDRKillShifter」とは
Sophosの報告によると、EDRKillShifterは2024年5月に発生した事案で初めて存在が確認されたという。この事案ではSophosのセキュリティ製品をEDRKillShifterにより停止させようとしたが失敗したという。また、失敗後にランサムウェアを実行しようとしたが、これもセキュリティソリューションにより阻止されたとのこと。
SophosはこのツールをBYOVD(Bring Your Own Vulnerable Driver)の一種と分析している。使用される脆弱なドライバーは複数存在し、それらのうちの1つをドロップして悪用する。ドライバーの悪用に成功すると必要な権限を取得してセキュリティソリューションの停止を試みる。
EDRKillShifterには、ロシア語のプロパティ情報が埋め込まれていることが確認されている。そのため、少なくとも開発者の1人はロシア語を開発環境に採用している人物とみられている。また、発見されたサンプルはすべて異なる最終ペイロード(亜種)を展開することがわかっている。Sophosはこれら分析の結果から、複数の脅威アクターによる分業の可能性や、製品として販売された可能性を指摘している。
○緩和策
SophosはEDRKillShifterを使用した攻撃を回避するため、Windowsデバイスの管理者に次のような緩和策の実施を推奨している。
最小権限の原則を徹底する。この攻撃は権限昇格または、管理者権限を窃取できる場合にのみ成功する。ユーザー権限を管理者権限から分離することでドライバーのロードを阻止することができる
システムを最新の状態に維持する
Microsoftは2023年7月に脆弱なドライバーのデジタル署名を無効にする更新プログラムを公開している(参考:「ADV230001 - セキュリティ更新プログラム ガイド - Microsoft - Microsoft 署名済みドライバーが悪用された場合のガイダンス」)。これら更新プログラムを適用することで脆弱なドライバーのロードが困難となり攻撃を回避できることから、システムの積極的なアップデートが望まれている。
(後藤大地)
この記事に関連するニュース
-
シスコのスイッチ狙う中国の脅威グループ、メモリからマルウェア再構築
マイナビニュース / 2024年8月25日 11時21分
-
北朝鮮の脅威グループ、Windowsのゼロデイ悪用してサイバー攻撃
マイナビニュース / 2024年8月21日 10時49分
-
Windowsを“古いバージョン”に戻す「ダウングレード攻撃」 修正済みの脆弱性をゼロデイ化、“最新の状態”を偽り検出も困難
ITmedia NEWS / 2024年8月21日 8時5分
-
Windowsにゼロデイ脆弱性発見、修正パッチをロールバックされる恐れ
マイナビニュース / 2024年8月8日 14時52分
-
MicrosoftがVMware ESXi権限昇格の脆弱性悪用を確認、アップデートを
マイナビニュース / 2024年7月31日 8時18分
ランキング
-
1ホテルやオフィスの電子錠カードにバックドア、数分程度ですべて解錠可能
マイナビニュース / 2024年8月25日 9時13分
-
2猫「ガブ」猫「キャーァァァ!」 頭をかまれた被害者猫の“最高峰のリアクション”が電車の中で見ちゃダメなやつ「かわいすぎて声出して笑った」
ねとらぼ / 2024年8月25日 8時0分
-
3ホテルでチェックアウト、忘れ物で多いのは? ホテル従業員が教える「圧倒的に多い忘れ物」
ねとらぼ / 2024年8月25日 8時0分
-
4マルウェアに感染させる新しい手口、ルート証明書の更新を促す警告に注意
マイナビニュース / 2024年8月25日 13時31分
-
5「うわああああ」 便利な洗濯機を購入→6カ月後に目撃した“衝撃の光景”に「俺は半年もただ……」
ねとらぼ / 2024年8月25日 7時30分
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/mission_close_icon.png)
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/point-loading.png)
エラーが発生しました
ページを再読み込みして
ください
![](/pc/img/mission/mission_close_icon.png)