この攻撃によるリスクについてセキュリティ会社「Cybellum」は、2017年3月22日、同社が「DoubleAgent(ダブルエージェント)」と名付けた攻撃について発表しました。Windowsが持つある機能を悪用することにより「主流のセキュリティソフトや次世代セキュリティソフトを完全に乗っ取ることのできるゼロデイ攻撃」であると報告しています。DoubleAgent攻撃の仕組みや攻撃の実現可能性などについて解説します。■問題どのような問題のリスク評価をする場合にも当てはまりますが、最初に、何が問題となっているのか明確に定義する必要があります。ベリファイア、AppVerifier)」と呼ばれる機能が搭載されています。これは、開発者がアプリケーションを検証できるように設計された、2つの機能から構成されるツールです。AppVerifierには、ユーザインターフェイスとそのウィンドウ内にフックが実装されています。このフックを使用することにより、管理者は簡単なレジストリキーを設定して、登録済みアプリケーションの前に、自身で作成した特権コード(verifier)を読み込むことができます。この機能の本来の意図は、開発者が開発およびテスト過程の一環としてアプリケーションに「さまざまなストレスとテスト」を課すことができるようにすることです。AppVerifierは、本来の目的に沿って活用されれば、安定した障害に強いアプリケーションを作成するために役立ちます。AppVerifierを有効に活用してきました。verifierの作成については文書化されています。verifierを活用しています。verifier」を作成することにより、さまざまなセキュリティ対策製品に対する攻撃を実演しています。Windowsのアプリケーションが対象となり得ます。■攻撃リサーチャによって実証された攻撃では、AppVerifierの機能を攻撃目的のために利用しています。管理者権限を用いて機能を悪用することにより、インストールされているセキュリティ対策ソフトウェアを完全に制御することを可能にします。この実演により、攻撃の実現性は低いものの、対象となった環境に深刻な影響を与える恐れがあることが判明しました。簡潔に説明すると、攻撃のシナリオは以下になります。Windowsがマルウェアを読み込むようにする狙ったアプリケーションをリバースエンジニアリングによって解析する労力をかけたとすれば、この攻撃の結果、マルウェアは狙ったアプリケーションを制御する機能を獲得します。実演のように狙ったアプリケーションを制御するには、狙ったアプリケーションの内部動作の一部を理解する必要があります。DoubleAgentは、結局のところ、「ポイント・アンド・クリック」式にクリックするだけで可能になるような攻撃ではありません。不可能な攻撃ではありませんが、多くの労力が必要とされます。そもそも、攻撃者が管理者の認証情報を入手している上にマルウェアの使用にまで成功しているとすれば、もっと他の部分を攻撃する可能性が高いでしょう。■リスクこのような、機能の悪用によって引き起こされるリスクの評価は、難しい課題です。AppVerifierはオペレーティングシステム(OS)の機能であり、PCで実行されているアプリケーションほぼすべてに影響を与える恐れがあります。VerifierDllsレジストリキーを設定するために、対象PCの管理者権限をすでに持っている必要があります。この攻撃は、狙ったPCに最初にアクセスするために利用できる攻撃ではありません。DoubleAgentは、影響範囲が大きいとはいえ、確率の低い攻撃の一例です。対処を必要とする懸念すべき問題であることには違いありませんが、狭い攻撃経路と技術的な難しさを考慮した場合、他に収益性の高い攻撃が多くある中で、平均的なサイバー犯罪者がこの攻撃を実行する可能性は低いと言えます。新しく保護サービス機能を追加しました。これは、ソフトウェアが正常に動作することを確実にするための自衛手段の1つです。占める現状では、意義あるアーキテクチャ変更のために投資された機能の恩恵には、ほとんどのユーザがあずからないことになります。Webのトラフィックを監視継続することです。Microsoftは、新しい保護サービスのフレームワークによって裏付られているように、この問題に対処するための対策を講じています。これは、OSに備えられている他のセキュリティ機能と組み合わせることで、攻撃の可能性をさらに軽減するために役立ちます。トレンドマイクロは積極的にこの問題を調査し、必要に応じて自社製品の保護対策を改善しています。悪用した攻撃(CVE-2017-5565)について」を参照してください。暗号化型ランサムウェアの侵入方法およびその対策について。