HardBreacherと呼ばれる概念実証(PoC)コードが、Kaspersky Antivirus for Endpointに存在する未修正の権限昇格の欠陥を悪用すると主張しています。この脆弱性を突くと、ローカルユーザーが特権を持つコンポーネントを制御できるようになるとされています。
脆弱性評価ツール
このコードはMSNightmareというGitHubユーザーによって公開されており、ゼロデイ脆弱性として紹介されています。ただし、ベンダー側はこれを確認していません。
HardBreacherがKaspersky Endpoint Securityを標的に
プロジェクトのREADMEによると、作成者はこのPoCを、パッチ適用済みのWindows 11上で稼働するKaspersky for Endpointバージョン14.0.0.504を対象にテストしたとしています。
リポジトリでは本問題を権限昇格の脆弱性と説明しており、悪用に成功すると、C:\Windows\System32\MY_SNAKE_IS_SOLID.dllというファイルが作成され、そのユーザーにフルアクセス権限が付与されるとしています。
MSNightmareの報告によれば、これは標準ユーザー権限からSYSTEM権限へと到達するローカルの経路であるとしていますが、本記事の公開時点では第三者による検証やKasperskyからの回答は得られていません。
ここで重要なのは、HardBreacherがリモートからの初期侵入を可能にするエクスプロイトではないという点です。攻撃者は事前にコードを実行するか、ローカルアカウントへのアクセス権を持っている必要があります。
この前提条件があるとはいえ、リスクは依然として残ります。ローカルの権限昇格は、フィッシングやマルウェアの実行、あるいは初期侵害と組み合わせて悪用される可能性があるためです。
これにより、防御機能の無効化、保護されたデータへのアクセス、永続化の確立、あるいはより高い権限のコンテキストで得られた認証情報やトークンを利用した横展開につながるおそれがあります。
作成者は現時点のコードについて信頼性が低いとしており、エラーが発生して失敗する場合があり、実行には複数回の試行が必要になることもあると述べています。ただし、この制約を軽減要因と捉えるべきではありません。
このPoCコードの公開により、研究者・攻撃者の双方にとって、影響を受ける攻撃対象領域を分析したり、その信頼性を高めたり、この手法を多段階の侵入に組み込んだりする際のハードルが下がることになります。
READMEではさらに、製品のユーザーインターフェースの制御を奪うことでKasperskyの機能を不安定化させ、意図しないファイルアクセスの判断につながったり、ソフトウェアのセキュリティ機能を妨害したりする可能性があるとも主張しています。
セキュリティ製品・サービス
本記事の報告時点では、これらの主張は未検証ではあるものの、依然として重要視すべきものとして組織は扱う必要があります。セキュリティチームは、Kaspersky Endpoint Security for Windowsまたは該当するKaspersky for Endpointバージョンを稼働させているエンドポイントの棚卸しを行い、バージョン情報とポリシー情報を保存した上で、ベンダーからのアドバイザリ、CVE番号の割り当て、検知手法のガイダンス、あるいは修正パッチの提供を待つべきです。
管理者は、この公開されているPoCを本番環境で実行することは避けるべきです。
リスクを低減するため、防御側は最小権限の原則を徹底し、一般ユーザーの対話的アクセスを制限するとともに、C:\Windows\System32配下での異常な書き込みや権限変更を調査することができます。
また、検知チームは、Kasperskyのユーザーインターフェースコンポーネントから発生する予期しない子プロセス、セキュリティサービスの中断、突然の設定変更、保護されたディレクトリ内でのDLL作成についてもテレメトリを確認する必要があります。アラートの誤検知を最小限に抑えるため、エンドポイント検知チームは、アラートを作成する前に正規のKasperskyプロセスのベースラインを確立しておくべきです。
組織は、ベンダーが提供する修正策を管理された環境でテストした上で、共有ワークステーション、開発者用エンドポイント、管理者用システムへの展開を優先的に進めるべきです。
Kasperskyが問題の影響範囲を確認し、修正パッチをリリースするまでの間は、監視強化、ローカルアクセスの厳格な制御、そして権限のないアカウントが保護対象のオペレーティングシステムのパスを変更した証拠が見つかった場合の迅速なインシデント対応が推奨されるアプローチとなります。
調査の遅れによるインシデントを防止しましょう。15,000のSOCから得られる脅威インテリジェンスでTier 1を強化: TI Lookupを自社のSOCに統合する
翻訳元: https://gbhackers.com/hardbreacher-exploit-targets-kaspersky-endpoint-security/
