概要:

「spyboy」というハンドル名で活動する脅威アクターは、24 のセキュリティ製品を無効にするために使用できる「AV/EDR ターミネーター」を開発したと主張しており、マカフィーはサポートされている製品としてリストされています。攻撃者は、ツールが Trellix ENS または EDR をサポートしているかどうかは明らかにせず、単に「McAfee」とだけ述べています。


Spyboy の申し立てと軽減策の概要:

1. Zemana マルウェア対策は、正規の場所 (C:\Windows\System32\drivers\) に書き込まれた正規の署名付きドライバーを備えた正規のツールです。

2. このインストールには、マシンの管理者権限が必要です (マシンの管理者権限を持っている人は、何でもインストールできます)。

3. ディスクに書き込まれると、他のマルウェア対策ツール/製品を無効にしようとします。

4. Trellix は、オンアクセス スキャンを使用して悪意のあるドライバーを検出し、削除できます。

5. Trellix Endpoint 製品は、エンドポイント上のサービス、ファイル、レジストリ、および実行可能ファイルを保護する自己保護機能を実装しています。

   1. オペレーティング システムを活用し、アクセス制御リスト (ACL) を利用して、変更が正しい権限で実行されるようにします。

   2. 製品の実装には、一連の自己保護ルールが含まれています。

   3. このルールはカーネル イベントのインターセプトとプロセス フックを制御し、正当な変更から生じたものではないとみなされるアクティビティの検査とブロックを可能にします。

背景:

エンドポイントの所有者が故意に管理者権限を使用して Zemana (正規の製品) をインストールした場合、Trellix が正規のインストールをブロックすることは不適切です。OS-Ring0 にインストールされている場合は、Trellix 製品自体と同じレベルで動作します。

このドキュメントの執筆時点では、このツールは特定されておらず、公開されていません。Terminatorツールは、Windowsカーネル（別名「リング0」）内から任意のコードを実行するために、Zemanaアンチマルウェアツールに属する、正当だが脆弱なWindowsドライバを活用する。このレベルのアクセスが達成されると、セキュリティ製品は保護を提供できなくなります。ただし、アクティブな Trellix マルウェア対策は、アクセス時に悪意のあるドライバーをスキャンし、悪意のあるドライバーを無効にします。

脆弱なドライバーを悪用して特権コードを実行することは、Bring Your Own Vulnerable Driver (BYOVD) 攻撃と呼ばれます。BYOVD 攻撃は新しいものではありません。脆弱な Zemana マルウェア対策ドライバーも使用できません。Terminator が Zemana マルウェア対策ドライバーに依存している場合、 CVE-2021-31728を悪用している可能性が高いと推測されています。

最後に、私たちの脅威インテリジェンス能力を通じて、脅威行為者（Spyboy）が、 CrowdStrike によって識別されたZemanaドライバが Terminator ツールによって使用されていることを示唆するコメントを行ったことがわかりました。ただし、このツールはまだリリースされておらず、他のドライバーを使用して Windows カーネルでコードを実行することもできることを再度強調します。エクスプロイト後に実行される実際のコード、つまりセキュリティ製品を無効にするために使用される手法も不明です。

Trellix 製品の応答:

Terminator は、Zemana マルウェア対策ドライバーを使用して BYOVD 技術を実装します。ディスクに書き込まれている、またはプロセスによってロードされている脆弱な Zemana ドライバーの検出に重点が置かれています。Zemana は正規のツールであるため、これらのドライバーの作成や読み込みをブロックすることはできません。

次の表は、Trellix 製品に対して採用されている検出アプローチをまとめたものです。

Trellix EDR でのハンティング:

環境内で脆弱な Zemana ドライバーの証拠を探すには、次のクエリを使用します:

Sha256 in "543991ca8d1c65113dff039b85ae3f9a87f503daec30f46929fd454bc57e5a91,ff113339f97e4511a3e49fd2cc4bc1a80f69a9e57e090644271fafb803f25408,877432336a2f178e956f436229f4c147b2909e9f3f5b5be2a2c6d,132c67d15e,4937926fa892611da4d190b0e5174db83b6b1fa4ff4fe2ca8bd930db1c020fe6,c5f916a450e7e3eb6f16ed7ba6d024848544c608a76bfe3beb582cbaaeb74b4e,4710886983bd59b9b0668eda38371f46064affad4,a954301f8f2662bdfc744b,2bbc6b9dd5e6d0327250b32305be20c89b19b56d33a096522ee33f22d8c82ff1,66afdda05693c8a5bced85a7233a931f05f5908430d41d0d84bf051f474fa9c8"

参照:

• クラウドストライク勧告

• CVE-2021-31728

• TrendMicro のブログでは、 同じ目的でこれらの同じドライバが最近使用されたことについて説明しています。