Microsoftをも欺くマルウェア――ルートキット入りドライバーに署名した衝撃の事実と私たちの安全性

Windows 11発表だけではない、Microsoftを巡る話題

Microsoftといえば、今年6月24日のWindows 11発表で大きな注目を集めましたが、それが話題になった唯一の理由ではありません。同社が相次いでリリースした数々のアップデートや、最近明るみに出たマルウェアに関する情報など、議論を呼ぶ出来事が続いています。

Microsoftが「公式署名」してしまった悪意あるドライバー

Microsoft Security Response Center(MSRC)は、中国のコマンド&コントロール(C2)サーバーとデータをやり取りする悪質なルートキットマルウェアを含むドライバーを、承認・署名していたことを認めました。一部の攻撃者は、ゲーム環境を標的として設計された「Netfilter」ドライバーについて、Redmondの巨人であるMicrosoftを巧みに騙して署名させていたのです。このドライバーは、プレイヤーの地理的な位置情報を隠し、どの地域からでもゲームをプレイできるようにするために使われていました。

このマルウェアを最初に発見したのは、ドイツのサイバーセキュリティ企業G Dataのマルウェアアナリスト、Karsten Hahn氏です。Hahn氏は次のように述べています。「Windows Vista以降、カーネルモードで動作するコードは、OSの安定性を確保するため、公開前にテストと署名が義務付けられています」「Microsoftの証明書を持たないドライバーは、デフォルトではインストールできない仕組みです」

このマルウェアはどのように機能していたのか?

MSRCの説明によると、悪意のある者たちはこのマルウェアを利用して他のゲーマーを攻撃し、キーロガーによってアカウントの認証情報を盗み出していました。デビットカードやクレジットカードの情報、メールアドレスなどの個人情報もハッキングされていた可能性があります。

興味深いのは、Netfilter自体が正規のアプリケーションパッケージだという点です。本来はパケットフィルタリングの有効化やネットワークアドレス変換を可能にするほか、新しいルート証明書の追加、プロキシサーバーの設定、インターネット設定の変更などにも利用できます。

ユーザーがこのアプリケーションをシステムにインストールすると、C2サーバーへ接続し、設定情報やアップデートを受信する仕組みになっていました。さらにMicrosoftによれば、この攻撃で使われた手法は「エクスプロイト後(post-exploitation)」に実行されるタイプのもので、攻撃者はまず管理者権限を取得し、その上でシステム起動時にドライバーをインストールする必要があったといいます。

「脅威アクターが多様な侵入経路から環境へのアクセスを試みる中、セキュリティを取り巻く状況は急速に変化し続けています」――MSRC

このマルウェアの発見者として知られるのはHahn氏ですが、その後はJohann Aydinbas氏、Takahiro Haruyama氏、Florian Roth氏といった他のマルウェア研究者たちも調査に加わりました。Hahn氏はMicrosoftのコード署名プロセスそのものを懸念しており、「Microsoftが承認済みのドライバーセットの中に、他のマルウェアが潜んでいるのではないか」という疑問を呈していました。

悪意あるアクターの手口

通報を受けたMicrosoftは、直ちに調査を開始し、再発防止のための必要な措置を講じています。同社によれば、盗まれたコード署名証明書が使用された痕跡はないとのことです。このマルウェアの背後にいた人物たちは、正規の手順に従ってドライバーをMicrosoftのサーバーへ提出し、Microsoftの署名済みバイナリを合法的に入手していました。

Microsoftの説明では、該当ドライバーはサードパーティの開発者が構築し、Windows Hardware Compatibility Programを通じて承認申請されていたといいます。今回の事案を受けて、Microsoftはドライバーを提出したアカウントを停止し、そのアカウントによるすべての提出物を最優先で見直しています。

さらにMicrosoftは、パートナーアクセスポリシー、検証および署名プロセスを見直し、今後の保護を一層強化していく方針を示しています。

まとめ:ルートキットマルウェア入りのNetfilterドライバー問題から学ぶこと

Microsoftによれば、このマルウェアは中国のゲーム業界を攻撃することを目的に作られたもので、ごく少数の個人による犯行とみられています。特定の組織や企業との関連は確認されていません。しかし見逃せないのは、こうした偽装されたバイナリは、誰でも大規模なソフトウェア攻撃の踏み台として悪用できるという点です。

過去にも同様の攻撃は実際に発生しています。イランの核開発プログラムを標的としたStuxnet攻撃では、RealtekとJMicronから盗まれたコード署名証明書が悪用されました。

Windows 11の発売を控えるMicrosoftにとって、今回の一件は、同社OSが提供する安全性とセキュリティに対する疑問を投げかける出来事となりました。あなたはどう考えますか?ぜひコメント欄でお聞かせください。また、Facebook、Instagram、YouTubeでも最新情報を発信していますので、フォローをお願いします。