脆弱性の解析情報を紹介してきました。Explorer(IE)の脆弱性「MS12-037(CVE-2012-1875)」を悪用する「JS_DLOADER.QOA」の解析結果を紹介します。2012年6月13日(日本時間)に修正プログラムがリリースされており、それと同時に当該の脆弱性を利用する攻撃コードも公開されています。脆弱性に関する情報と修正プログラムがリリースされた時点で攻撃コードが公開されたこと、および該当の脆弱性を利用する不正プログラムが発見されているケースはそれほど多いことではありません。潜在しているため、この脆弱性が悪用された場合、被害の影響範囲は非常に大きいものになると推測されます。本記事では「JS_DLOADER.QOA」の解析結果を共有することで脆弱性「CVE-2012-1875」に対する注意喚起を行うとともに、解決策を提案します。Programmin」です。不正プログラム「JS_DLOADER.QOA」のコードを見てみましょう。OSバージョン、使用言語に関わる情報をスクリプトにより、柔軟に収得しています。使用(指定)言語です。Spray」記法を利用しています。Spray」に指定したヒープ(Heap)への移動(Jump)はできません。ROP記法を利用しています。バージョンや使用言語別に違うメモリ番地にロードされているモジュールを利用するため、スクリプトを利用し、前述のとおり動作環境(OS、言語)確認しました。コードを生成しています。ROPコード次に、「JS_DLOADER.QOA」を動作させ、上記のスクリプトはどの様に実行されるかを確認してみましょう。削除し、どのように脆弱性が利用されるかを確認してみます。実行結果は以下の通りです。Function)を示しています。示しており、正常な動作としては「mshtml!CElement::SecurityContext」を示していますが、脆弱性「CVE-2012-1875」により、誤った番地を示し、エラーが発生しています。今回は、「JS_DLOADER.QOA」のコードをそのままを利用し、どの様に脆弱性が悪用されてしまうかを見てみましょう。行われているか見てみます。Sprayで挿入したコード(Padding+ROP+Shellcode+Padding)を実行させます。設定を回避しているのでしょうか。実行可能ではない領域上でコード実行を防止する役割があります。されたヒープ領域には実行権限がなく、RW(読み込み/書き込み)権限しかありません。確保したヒープ領域の属性を変更しています。より、実行可能となったヒープ領域に移動します。フォルダにダウンロード後実行し、その後削除します。図16:「JS_DLOADER.QOA」の不正プログラムダウンロードコード■本脆弱性に対するトレンドマイクロからの対策およびソリューションのご提案このような脆弱性に対してどのように対応すればよいのでしょうか。特定アプリケーションの脆弱性の存在が確認された場合、システム上に該当する脆弱性が利用されるアプリケーションがインストールされているかどうか、および脆弱性が利用された場合の影響度を考え、優先度に従った対策を講じましょう。脆弱性を利用しており、かつ利用された場合リモートコードが実行されるため、影響度が高いと想定されます。いった場合は早急な対策の実施は必須と言えます。セキュリティ対策は様々な解決策、方法が公開されていますが、今回は「運用・製品・ひと(人)」の観点から解決策を考慮してみます。「運用」の観点から出来る限り迅速に該当するセキュリティパッチを適用してください。セキュリティ対策プロセスに応じたパッチ適用を行うことは脆弱性を防ぐための最良な選択であります。次に、「製品」の観点からセキュリティパッチの適用のための検証などで早期には難しい場合、「仮想パッチ」などの製品機能を用いて脆弱性を利用した侵入防御を行うことも有効です。脆弱性対策オプション」を利用するユーザは、以下のフィルタを適用することにより、上記の脆弱性を利用する攻撃からシステムを防御することが可能です。Vulnerability(CVE-2012-1875)また、脆弱性を利用した侵入に成功した場合でも、「製品」の観点から被害を最小限に留めるためには、ネットワークコンテンツフィルタリングが有効と言えます。「JS_DLOADER.QOA」は脆弱性を利用した侵入に成功した後、不正ウェブサイトに置かれている画像ファイルを装った実行イメージ「BKDR_AGENT.BCSG」のダウンロードを試みます。HTTP通信により、画像ファイルを装った実行イメージをダウンロードしているため、完全に防御することは難しいと考えられます。Discovery」では、画像ファイルに偽装した不正プログラムのダウンロード行為を「疑わしい振る舞い」として検知することが可能です。最後に、「人」の観点からいくら素晴らしい製品、および運用プロセスが決まっていても各個人のセキュリティ意識が低い場合、その組織のセキュリティレベルは当然低くなることは容易に想定できます。解析者である私の視点では、各個人、その組織が「脅威」を正しく理解した上で適切な対策を行うことが一番重要であると考えています。「脅威」に関して、数百・数千の不正プログラムを解析してきた立場から言えることは、不正プログラム、および脆弱性を悪用した攻撃に成功した場合、バックドア型不正プログラム、スパイウェアなどを順次に作成、ダウンロードさせる多段階攻撃の目的は、感染端末内の情報や金銭詐取です。窃取されるデジタル情報の対象になります。Eメールを開封しないといった今までよく知られた一般的なセキュリティ対策を講じることも、脆弱性を悪用した攻撃への対策として大きな効果を発揮します。セキュリティ管理者としては、パッチメンテナンスに非常に大きなリソース、時間などがかかりますが、システム内の情報資産を正しく把握し、守るべき情報資産の優先度を決めた後、新しい脆弱性が発見された場合、優先度に応じて対策を講じることをお勧めします。9.205.80(公開日:2012年06月20日)より、「JS_DLOADER.SMGA」へ名称が変更になりました。