カスペルスキー、Google Chromeと2つのMicrosoft Windowsの脆弱性を悪用した標的型攻撃を発見

株式会社カスペルスキーは6月11日、同社のセキュリティリサーチャーが4月中旬に、Google Chromeと2つのMicrosoft Windowsの脆弱性を悪用したゼロデイエクスプロイトを使用した、複数企業に対する高度な標的型攻撃の発見を発表した。

脆弱性と脅威脅威動向

2021.6.15 Tue 8:05

　株式会社カスペルスキーは6月11日、同社のセキュリティリサーチャーが4月中旬に、Google Chromeと2つのMicrosoft Windowsの脆弱性を悪用したゼロデイエクスプロイトを使用した、複数企業に対する高度な標的型攻撃の発見を発表した。

　同社によると、これらの複数の攻撃は全てリモートコードの実行を可能にするエクスプロイトを利用し、Google Chromeを通じ行われ、攻撃者は現在は修正対応済みのGoogle Chromeの脆弱性（CVE-2021-21224）を使用したとみている。本脆弱性は、ChromeとChromiumに使用されるJavaScriptエンジン「V8」に含まれるType Mismatch（型の取り違え）のバグに関連するもので、攻撃者はChromeのレンダラープロセスの悪用が可能となる。なお同社のリサーチャーは、同エクスプロイトのコードを取得できていない。

　同社のリサーチャーがMicrosoft Windowsのエクスプロイトについて解析した結果、Microsoft Windows OSのカーネルに含まれる2つの異なるゼロデイ脆弱性を使用した特権昇格のエクスプロイトであることが判明。

　1つ目の脆弱性は、Windows Vistaで導入されたキャッシュメモリを管理するSuperFetch機能に関する脆弱性であるWindowsカーネルの情報漏えい（CVE-2021-31955）で、2つ目の脆弱性は、攻撃者が本脆弱性をWindowsの通知機能であるWindows Notification Facility（WNF）と共に使用し、任意の基本データ型メモリ読み取り/書き込みを作成し、システム権限でマルウェアモジュールを実行するWindows NTFSファイルシステムに存在するヒープベースのバッファオーバーフロー（CVE-2021-31956）となる。

　同社の調査によると、攻撃者がChromeとWindowsの両方のエクスプロイトを使用し標的システムに侵入すると、最初のマルウェアモジュールがリモートサーバーから別の複雑なドロッパーモジュールをダウンロードするが、これはMicrosoft Windows OSの正規のファイルに見せかけたリモートシェルモジュールで、ファイルのダウンロードやアップロード、プロセスの作成、一定時間のスリープ、感染したシステムから自身の削除など、攻撃の主要機能の実行が可能となる。

　同社では現段階で、この攻撃と既知の脅威アクターとの関連性を特定できていないため、この攻撃アクターを「PuzzleMaker」と名付けて注視するとともに、できるだけ早くMicrosoftが公開する最新のパッチをダウンロードし適用することを推奨している。