Windows Defender: セキュリティ上の欠陥は 12 年間気づかれなかった

SentinelOne のコンピューター セキュリティ研究者は、Microsoft Defender (旧名 Windows Defender) に重大なセキュリティ上の欠陥を発見しました。この脆弱性はほぼ 12 年前から存在しており、攻撃者が悪意のあるコードをリモートで実行する可能性がありました。奇妙なことに、この欠陥は長年にわたってハッカーや研究者の目に留まりませんでした。

覚えておいてください、今週火曜日、2021 年 2 月 9 日、Microsoftは火曜日にWindows 10用の最新パッチをリリースした。メーカーはこの機会を利用して、重大なセキュリティ上の欠陥を修正しました。レドモンドの会社が脆弱性に対処したと想像してください…12歳。

この欠陥はウイルス対策ソフトウェアに存在しますマイクロソフトディフェンダー(旧称 Windows Defender) は、2020 年 11 月に SentinelOne コンピューター セキュリティ研究者によって検出されました。彼らによると、この脆弱性は Windows Defender ドライバーに隠されていました、悪意のあるファイルが PC 上に作成する可能性のあるファイルとインフラストラクチャを削除するために使用されます。

Microsoft Defender ドライバーの欠陥

このドライバーは悪意のあるファイルを削除すると、パッチ適用中にギャップを埋めるために新しいファイルに置き換えます。しかし、SentinelOne の専門家は次のことを発見しました。Windows Defender はこの置換ファイルの出所をチェックしていませんでした。実際、攻撃者はドライバーに不良ファイルを強制的に上書きさせたり、逆に悪意のあるコードを実行させたりするために、戦略的なシステム リンクを挿入することができました。

実際には、ハッカーがソフトウェアや重要なデータを削除する可能性もあります。 「このバグにより、権限昇格が可能になります。低い権限で実行されるソフトウェアは管理者権限に昇格し、マシンを侵害する可能性があります。」SentinelOne の主任セキュリティ研究者である Kasif Dekel 氏は次のように説明します。

こちらもお読みください:Windows Defender – Microsoft のウイルス対策は、Kaspersky や Symantec と同じくらい効果的になりました

Microsoft によれば、この欠陥が悪用するにはいくつかの条件があるものの、高いリスクを示しています。実際、攻撃者はこれを悪用することしかできません。すでにターゲットデバイスにリモートまたは物理的にアクセスできるかどうか。残っている疑問は、どうしてこの欠陥がこれほど長い間気づかれないままだったのかということです。

研究者にとって唯一の説明は、このドライバは、たとえばプリンタ ドライバのように PC のハード ドライブに永続的に保存されているわけではないということです。逆に、パイロットはダイナミックリンクライブラリ、実行中にプログラムによって関数がメモリにロードされるソフトウェア ライブラリ。この場合、Microsoft Defender は、ディスクなどからドライバーを消去する前に、必要に応じてドライバーを読み込みました。マイクロソフトによると、2021 年 2 月 9 日の火曜日のパッチで問題が修正されました。

ソース ：有線