Anniversary Update により、パッチが適用された 2 つのエクスプロイトが自動的にブロックされました

Windows Defender ATP 研究チームの Matt Oh 氏と Elia Florio 氏金曜日に言った Windows 10 Anniversary Update は、最近の 2 つの攻撃キャンペーンで使用されたゼロデイカーネルエクスプロイトを無力化しただけでなく、それらがどのように使用されたかを明らかにしました。このエクスプロイトは、11 月にパッチが適用された CVE-2016-7255 および CVE-2016-7256 の脆弱性に基づいていました。阻止されたエクスプロイトは、ハッカーが脆弱性を利用して実行できる攻撃手段の数を減らすために Microsoft が Anniversary Update に投入した取り組みの 2 つの例にすぎません。

「これらの（エクスプロイト）軽減技術を提供することで、エクスプロイトの開発コストが増加し、攻撃者は新しい防御層を回避する方法を見つけることを余儀なくされています」と彼らは述べています。「一般的な読み書きプリミティブに対する単純な戦術的緩和であっても、エクスプロイト作成者は新たな攻撃ルートを見つけるためにより多くの時間とリソースを費やす必要があります。」

おすすめ動画

最初の攻撃キャンペーンは6月に「正体不明の攻撃者」によって「Hankray」を使用して韓国にある標的に対して開始された。このキャンペーンは低レベルの攻撃で構成され、11 月にはハンクレイも使用した 2 回目のキャンペーンが続きました。この第 2 の波は、Windows フォントライブラリの欠陥 (別名 CVE-2016-7256) を悪用し、ハッカーが PC のアカウント権限を昇格し、Hankray バックドアをインストールできるようにしました。

関連している

ゲームで遅れていますか？この Windows 11 アップデートにより問題が解決される可能性があります
Windows 11 22H2 アップデートを入手できない場合は? それなりの理由があるのかもしれない
ゲーマーが Windows 11 2022 アップデートを避けるべき理由

「影響を受けたコンピュータで見つかったフォントサンプルは、実際のカーネルメモリレイアウトを反映するために、ハードコーディングされたアドレスとデータを使って特別に操作されていた」と彼らは金曜日の報告書で述べた。「これは、侵入時に二次ツールがエクスプロイトコードを動的に生成した可能性を示しています。」

Windows 10 Anniversary Edition では、フォントの悪用が AppContainer によって軽減され、カーネルレベルでの悪用が防止されます。 AppContainer には、エクスプロイトによる PC の昇格された権限の取得をブロックする分離されたサンドボックスが含まれています。二人によると、この壁に囲まれた空間により、攻撃角度としてフォント解析が使用される可能性が「大幅に」減少します。

「Windows 10 Anniversary Update には、フォントファイル解析の追加検証も含まれています。私たちのテストでは、CVE-2016-7256 の特定のエクスプロイトコードは単にこれらのチェックに合格せず、脆弱なコードに到達できませんでした。」と彼らは付け加えました。

2 番目の攻撃は 10 月に行われたスピアフィッシングキャンペーンでした。 Strontium 攻撃グループによって開始されたこの攻撃では、Adobe Flash Player の CVE-2016-7855 脆弱性とともに CVE-2016-7255 脆弱性のエクスプロイトが使用されました。このグループは米国の非政府組織やシンクタンクを標的にしていました。基本的に、このグループは Flash ベースのセキュリティホールを利用して win32k.sys の脆弱性にアクセスし、標的の PC の特権を昇格させていました。

ただし、Anniversary Update には、他のエクスプロイトとともに Win32k エクスプロイトを防御するセキュリティ技術が含まれています。具体的には、Anniversary Update は、攻撃者が tagWND.strName カーネル構造を破壊し、SetWindowsTextW を使用してカーネルメモリに任意のコンテンツを書き込むことを防ぎます。この防止は、基本フィールドと長さフィールドに対して追加のチェックを実行して、仮想アドレス範囲が正しいこと、およびそれらが読み取り/書き込みプリミティブに使用できないことを確認することによって実現されます。

Microsoft、Windows 10 Anniversary Updateに盛り込まれた追加のセキュリティ対策に関する文書を提供ここにPDFとして. いつものように、Windows Defender は無料サービスとして Windows プラットフォームに組み込まれており、最新の脅威からお客様を自動的に保護します。 Microsoft も提供しています Windows Defender Advanced Threat Protection サブスクリプションサービス企業にとっては、「侵害後」の保護層を提供します。