脆弱性を持つ正規のドライバーを標的マシンに配布するBYOVDの手口で、Windowsを狙った攻撃が増加傾向にあります。また、このような脆弱性を持つ正規のドライバーを悪用するためのツールも急増しており、注意が必要です。
[本リリースは、2024年8月21日にKasperskyが発表したプレスリリースに基づき作成したものです]
Kasperskyのアンチマルウェア調査チームはこのたび、脆弱（ぜいじゃく）性を悪用した攻撃について調査しました。その結果、2024年第2四半期（4～6月）に脆弱性を持つ正規のドライバーを標的マシンに配布するBYOVD（Bring Your Own Vulnerable Driver）の手口で、Windowsを狙った攻撃が増加傾向にあることが判明しました。第2四半期にこの手口の攻撃に遭遇したマシンの数は、同年第1四半期と比較して23%の増加となりました。このようなドライバーは、ランサムウェアやAPT（持続的標的型）攻撃など、さまざまな攻撃活動に悪用される可能性があります。これに対応するため、当社のソリューションでは、脆弱なドライバーを介した悪意のある操作を検知しブロックする機能を体系的に追加し改善しています。
BYOVDは脆弱性を持つドライバーを悪用するサイバー攻撃です。攻撃者は、標的のシステムを侵害し、パッチが適用されていない脆弱性を含んだままのドライバーをインストールします。セキュリティソリューションの無効化や特権の昇格が可能になるため、ランサムウェアへの感染や、APT攻撃グループが背後に存在する場合は長期間マシンにとどまりスパイ活動を行うなど、多種多様な悪意のある活動ができるようになります。
当社のテレメトリでは、第2四半期にBYOVDの攻撃に遭遇したWindowsマシンは、第1四半期と比較して23%増加しました。
今回の調査結果で懸念されるもう一つの側面は、脆弱性を持つ正規のドライバーを悪用するためのツールが急増していることです。こうしたツールの数は少なく、2021年以降に公開されたツールの数は24件ですが、2023年に急増しています。こうしたツールはオンラインで入手することができます。
図：オンライン上で公開されたBYOVD攻撃ツールの割合（2021～2024年6月）
Kasperskyのアンチマルウェア調査チームの責任者を務めるウラジミール・クスコフ（Vladimir Kuskov）は次のように述べています。「正規のドライバーであっても脆弱性が存在することはあり、それが悪意を持った目的に利用されることもあります。攻撃者は、さまざまなツールや手口を用いて、標的システムに脆弱性を持つドライバーをインストールすることを試みます。脆弱性を持つドライバーがOSにロードされた後、攻撃者はそのドライバーを悪用してOSカーネルのセキュリティ境界を回避し目的を達成します。公開されているツールは、脆弱性を持つドライバーを悪用するスキルがなくても使うことができます。当社は2023年だけでも、このようなツールを新たに16件特定しました。2021年、2022年は1、2件程度だったことから、大幅な増加と言えます。この状況を考えると、どのようなシステムでも強固な対策を講じることが非常に望ましいことが分かります」
■ 詳細は、Securelistブログ（英語）「Exploits and vulnerabilities in Q2 2024」でご覧いただけます。
■ BYOVDの攻撃からご自身と企業を守るためのソリューションとして「Kaspersky Next」をお勧めします。
