TCESB マルウェア
アジア全域でサイバー攻撃を展開することで知られる中国系の脅威アクターが、ESETセキュリティソフトウェアの脆弱性を悪用し、これまで文書化されていなかったマルウェア（コードネームTCESB）を拡散していることが確認されました。この新たに発見されたマルウェアは、セキュリティ対策を回避し、検知されることなくペイロードを実行するように設計されています。
目次
トディキャット：アジアにおける根強い脅威
高度な脅威グループであるToddyCatは、少なくとも2020年12月からアジアの複数の組織を標的として活動しています。彼らの活動に関する最近の調査では、侵害されたシステムへの継続的なアクセスを維持し、アジア太平洋地域の組織から膨大な量のデータを収集するために、様々なツールを使用していることが明らかになりました。
脆弱性を悪用する：DLLハイジャック手法
2024年初頭にToddyCat関連のインシデントを調査していたセキュリティ研究者は、複数の侵害デバイスの一時ディレクトリに不審なDLLファイル「version.dll」を発見しました。TCESBと識別されるこのファイルは、DLL Search Order Hijacking（DLL検索順序ハイジャック）を利用して展開されていました。この攻撃は、攻撃者が正規のDLLファイルを置き換えることでプログラムの実行を制御することを可能にします。
この攻撃は、ESETのコマンドラインスキャナの脆弱性を悪用します。この脆弱性は、「version.dll」ファイルを安全でない方法で読み込みます。システムディレクトリから正規のバージョンを読み込む代わりに、まずカレントディレクトリをチェックするため、攻撃者は独自の悪意のあるDLLファイルを挿入する機会を得ます。
CVE-2024-11859: 悪用された脆弱性
CVE-2024-11859（CVSSスコア：6.8）として追跡されているこの脆弱性により、管理者権限を持つ攻撃者は安全でないコードを実行できました。しかし、この脆弱性自体では権限の昇格は許可されませんでした。攻撃者はこの脆弱性を悪用するために既に管理者権限を必要としていたのです。ESETは2025年1月にこの脆弱性を修正し、Windows向けのコンシューマー、ビジネス、サーバー向けセキュリティ製品向けにアップデートをリリースしました。
EDRSandBlastの武器化：TCESBがセキュリティ保護を無効にする方法
TCESBはオープンソースツールEDRSandBlastの修正版です。カーネル構造を操作して、通知ルーチン（コールバック）などのセキュリティメカニズムを無効化します。通知ルーチンは、プロセスの作成やレジストリの変更といった重要なイベントについてシステムドライバーに警告する重要な機能です。
これを実現するために、TCESBはよく知られたBYOVD（Bring Your Own Vulnerable Driver）手法を採用し、デバイスマネージャーインターフェースを介して脆弱なDellドライバ（DBUtilDrv2.sys）をインストールします。このドライバは、権限昇格の脆弱性であるCVE-2021-36276の影響を受けます。
Dellのドライバー：繰り返し発生する弱点
Dellドライバがサイバー攻撃に悪用されたのは今回が初めてではありません。2022年には、北朝鮮と関係のあるLazarusグループがDellドライバの別の脆弱性（CVE-2021-21551）を悪用し、セキュリティメカニズムを無効化しました。攻撃者は、古いドライバや脆弱なドライバを悪用してセキュリティ対策を回避し続けています。
TCESBの実行戦略
脆弱なドライバがインストールされると、TCESBは2秒ごとにカレントディレクトリ内の特定の名前のペイロードファイルを継続的にチェックします。ペイロードが最初に存在しない場合、TCESBはペイロードが出現するまで待機します。ペイロードはAES-128で暗号化され、デコードされて実行されます。
検出と予防措置
- このような脅威に対抗するために、セキュリティ チームは次のことを行う必要があります。
- ドライバーのインストール イベント、特に脆弱なドライバーに関連するイベントを監視します。
- 特にカーネル デバッグが想定されていないシステムでは、疑わしいカーネル デバッグ アクティビティに注意してください。
- 既知の脆弱性に対するパッチを含む、すべてのセキュリティ ソフトウェアが更新されていることを確認します。
- 攻撃者がこのような脆弱性を悪用するのを防ぐために、管理者権限を制限します。
サイバー脅威の攻撃者は進化し続けているため、ToddyCat による攻撃のような高度な攻撃から身を守るには、警戒を怠らず、積極的なセキュリティ対策を講じることが重要です。
