PrettyPrategueと名付けられたプルーフ・オブ・コンセプト(PoC)エクスプロイトが公開され、Gen DigitalのAvastアンチウイルスに存在するとされるゼロデイ脆弱性を悪用することで、ローカルユーザーがWindowsのセキュリティアカウントマネージャー(SAM)データをダンプし、NT AUTHORITY\SYSTEM権限のコマンドシェルを取得できると主張しています。
このPoCは、MSNightmare、INFINITE NIGHTMARE、Nightmare-Eclipseの名で活動する研究者によって公開されました。
プロジェクトの公開リポジトリによると、PrettyPragueはAvast Sandboxを標的としています。これはアンチウイルス製品の環境内で潜在的に安全でない動作を隔離することを目的としたコンポーネントです。研究者は、このコンポーネントがローカル権限昇格の経路として悪用され得ると主張しています。
PrettyPragueが報告する影響は、機密性の高いWindows認証データへのアクセスと、Windowsエンドポイントにおける最高位のローカル権限であるSYSTEM権限下でのコマンド実行能力を組み合わせている点で、深刻なものといえます。
SAMデータベースには、ローカルWindowsアカウントに関連する情報が格納されており、パスワードハッシュデータも含まれます。攻撃者はこれをオフラインで解析したり、横展開の際に再利用したりする可能性があります。
SYSTEM権限へのアクセスは、脅威アクターが保護機能を無効化したり、セキュリティ設定を変更したり、永続化メカニズムを作成したり、ログを改ざんしたり、通常は標準ユーザーからはアクセスできないデータにアクセスしたりすることを可能にします。
MSNightmareはこのPoCについて、Avastアンチウイルスの「あらゆるバージョン」に対応しており、パッチ適用済みのWindows 11 25H2システム上で稼働する、完全にパッチが適用されたAvast環境に対してテスト済みであると主張しています。
しかし、詳細な脆弱性マトリクスや根本原因の分析、独立した技術検証は公開されていません。そのため防御側は、示されている対象製品の範囲を、すべてのAvastビルドについて確認された評価としてではなく、未検証の研究者の主張として扱うべきです。
同リポジトリでは、コンポーネントやコードが共有されている可能性を理由に、AVGやNortonといった他のGen Digital製品も影響を受ける可能性があると示唆されています。
ただし、この主張を裏付ける個別のPoCや影響を受けるバージョン、ベンダーによる確認は行われていません。これらの製品を使用している組織は、安全であるとも、影響が確認されているとも決めつけず、公式のガイダンスを注視すべきです。
実際の悪用が確認されていないとしても、公開されたことで運用上のリスクは高まります。ローカルでの権限昇格の脆弱性は通常、攻撃者が対象マシン上で既にコード実行権限やアカウントを保持していることを前提とします。
しかし実際の侵入では、そうした初期の足がかりはフィッシングやマルウェア、盗まれた認証情報、外部に露出したリモートアクセスサービス、あるいは内部関係者のアカウントから得られる場合があります。信頼性の高い権限昇格経路があれば、限定的なアクセスが完全なエンドポイント侵害へとつながりかねません。
セキュリティチームは、Avast関連の特権プロセスに対する監視を強化し、Avastサービスのコンテキストで起動される、特にコマンドインタープリタやスクリプトエンジンなど、不審な子プロセスの生成を調査すべきです。
SAMレジストリハイブへの予期しないアクセス、SYSTEM完全性を持つプロセスの生成、ローカルの認証情報ダンプに類する挙動に関するアラートについても、トリアージが必要です。
ローカル管理者権限の制限、アプリケーション制御ポリシーの適用、エンドポイント検知テレメトリのレビューを行うことで、悪用に成功した場合の影響を軽減できます。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/prettyprague-poc-claims-avast-antivirus-zero-day/
