Microsoft Defenderの正規コンポーネントであるBoot-Time Removalドライバー「BTR.sys」が、多くのエンドポイント保護機能が完全に初期化される前の段階で、強力なカーネルレベルのファイル・レジストリ操作を実行するために悪用される可能性があることが分かりました。
Check Point Researchが公表したこの手法は、メモリ破損や権限昇格、コーディング上の欠陥を伴う従来型の脆弱性ではありません。
むしろこれは、攻撃者が文書化されていないトランザクションプロトコルを再現することで、Microsoft署名済みの信頼されたリメディエーション(修復)コンポーネントがLiving-off-the-Landドライバーへと転用され得ることを示すものです。
BTR.sysはMicrosoft DefenderのMpEngine.dll内にBOOTTIMETOOLリソースとして組み込まれています。Defenderは、Windows稼働中はロックされていてマルウェアなどのファイルを削除できなかった場合など、再起動後にリメディエーション処理を完了させる必要がある際にこのドライバーを展開します。
正規の動作中、このドライバーはランダムに生成された名前で書き込まれ、一時的なサービスとしてインストールされ、:changelistという代替データストリーム(ADS)を通じて設定されることがあります。
この動作は、カーネルレベルのマルウェアローダーによく見られる手法と重なるため、インシデント対応の現場では不審な挙動に見えることがあります。
しかしBTR.sysはDefenderの通常のリメディエーション機構の一部であり、キューに入れられた処理を完了させた後は、通常自身のファイルとサービスエントリを削除します。
Check Pointの研究者は、このドライバー独自のトランザクション形式をリバースエンジニアリングし、BTR_CLIと呼ばれる概念実証(PoC)ツールを作成しました。このツールはBTR.sysが受け入れるトランザクションBLOBを生成し、攻撃者が制御する操作をドライバーに仕込んで実行させることを可能にします。
この設定情報はRC4暗号化と、改変されたCRC-32方式に基づく整合性検証によって保護されています。トランザクションが受理されると、この署名済みドライバーに対してファイルやディレクトリの削除、ファイルの移動、レジストリキーや値の削除、レジストリデータの書き込みを指示できます。
BTR.sysはこれらの操作をRing 0で実行するため、既に管理者権限を保有している攻撃者は、これを悪用して保護対象のエンドポイントセキュリティ資産を改ざんできる可能性があります。
最大の懸念点は、Windowsの起動シーケンスにおけるこのドライバーの位置づけです。BTR.sysはファイルシステムへのアクセスを必要とする初期化処理のため、ブートスタートドライバーではなくシステムスタートドライバーとして動作します。
Jiří Vinopal氏の調査によると、このドライバーを早期のBoot Bus Extenderロード順序グループに割り当てることで、ファイルシステムが利用可能になった後、しかし多くのユーザーモードEDR・アンチウイルスコンポーネントが起動する前のタイミングで実行させることが可能になるといいます。
これにより、研究者らが「golden window(黄金の窓)」と呼ぶ状態が生まれます。この間隔では、セキュリティ製品が通常の保護スタックを確立する前に、このドライバーがセキュリティバイナリを削除したり、サービスのレジストリ設定を変更したり、その他の方法でセキュリティツールを妨害したりできる可能性があります。
この手法は、脅威アクターが正規署名済みだが欠陥のあるサードパーティ製ドライバーを読み込んでカーネルレベルの実行権を得るBring Your Own Vulnerable Driver攻撃とは異なります。
BTR.sys自体に脆弱性があることは確認されておらず、これはMicrosoftの組み込みコンポーネントであり、再現された設定プロトコルを通じて本来の意図されたリメディエーション機能が呼び出されるというものです。有効なMicrosoft署名を持つことも、署名の信頼性やドライバーのブロックリストに大きく依存する制御手法を複雑にする可能性があります。
Check Pointは、この研究を公表した時点で実際の悪用の証拠は確認されていないとしています。とはいえ、手法が公になったことで、積極的な監視の必要性は一層高まっています。
防御側は、Microsoftの署名を正当性の十分な証拠として扱うのではなく、BTR.sysの異常な展開状況に注意を払うべきです。Sysmonイベントログ ID 15、FileCreateStreamHashは、不審な.sys:changelist ADSの作成を特定する助けになります。
Sysmonイベントログ ID 6、DriverLoadは、署名済みドライバーの読み込みと関連ハッシュに関する有用な可視性を提供します。
信頼度の高い兆候としては、PowerShell、コマンドシェル、未署名の実行ファイル、あるいはDefenderの想定される系統外のプロセスによってBTR.sysが展開されるケースが挙げられます。
その他の警戒すべき兆候には、:changelistへのArgs参照を含むランダム化されたサービスキー、想定外のBoot Bus Extender割り当て、BootClean.logの急激な活動、そしてMicrosoft署名済みドライバーの読み込み直後にSYSTEM権限でアンチウイルスやEDRのバイナリが削除される、といった事象があります。
組織はSeLoadDriverPrivilegeを厳格に管理し、起動時のサービス変更を監査し、ADSおよびドライバー読み込みのテレメトリを収集し、Systemプロセスに起因する不審なカーネル操作を調査すべきです。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。 ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/microsoft-signed-defender-driver-weaponized-disable-edr-antivirus/
