マイクロソフトは最近、ゲーム環境全体に悪意のあるドライバーを分散させた脅威アクターが関与する興味深いサイバーセキュリティ事故を文書化しました.
Netfilterドライバー: ゲームコミュニティへの脅威
明らかに, 攻撃者はNetfilterと呼ばれる特定のドライバーを提出しました, サードパーティによって構築された, Windowsハードウェア互換性プログラムによる認定. 上記のアカウントは削除されました, そして、そのすべての提出物はマルウェアの兆候についてレビューされています, マイクロソフトは言った.
関連している: フェイスフィッシュオペレーション: 新しいバックドアとルートキットの対象となるLinux
「俳優の活動は、特に中国のゲームセクターに限定されており、企業環境をターゲットにしているようには見えません。," 会社 指定. 操作全体の目標は、ドライバーを使用して地理的位置を偽装し、システムをだましてどこからでも再生することであるようです。. このマルウェアは、脅威の攻撃者にゲームでのパフォーマンスを向上させる利点をもたらします, 「キーロガーなどの一般的なツールを使用してアカウントを侵害することにより、他のプレーヤーを悪用する可能性があります。」
悪意のあるドライバーがセキュリティ研究者のKarstenHahnと彼の会社のGDataによって最初に発見されたことは注目に値します。.
「先週、アラートシステムは、次の名前のドライバーを検出したため、誤検知の可能性があることを通知しました。 “Netfilter” それはマイクロソフトによって署名されました. WindowsVista以降, オペレーティングシステムの安定性を確保するために、カーネルモードで実行されるコードは、公開前にテストして署名する必要があります。. Microsoft証明書のないドライバーは、デフォルトではインストールできません,ハーンは彼の記事に調査結果の詳細を書いています.
検出が誤検知であることが判明したため, 研究者は調査結果をマイクロソフトに転送しました. 同社は、WindowsDefenderにマルウェアシグネチャをすばやく追加することで対応しました. 現在, ルートキットの検出率は非常に高く、 VirusTotal, と 35 から 68 それを検出するセキュリティエンジン. 一部の検出には、Trojan.Agent.NtRootKitが含まれます, Trojan.Agent, Trojan.NtRootKit, 等. ドライバーがMicrosoftの署名プロセスをどのように成功させたかはまだ不明です.
Netfilterの興味深い点の1つは、その文字列の一部がエンコードされていることです。. ハンが指摘したように, ドライバーが文字列の一部を難読化するのは奇妙なことです. 彼の分析中, 研究者はVirusTotalでも同様のサンプルを見つけました, 最も古いものは3月にさかのぼります 2021.
マルウェアのコア機能について, IPリダイレクトのようです. ルートキットが特定のパスを介してルート証明書を受け取ったことも注目に値します (hxxp://110.42.4.180:2081/c), にそれを書く \Registry Machine SOFTWARE Microsoft SystemCertificates ROOT Certificates .
ついに, 攻撃で使用される技術は、悪用後の段階で行われます. これは、インストーラーを実行できるようにするには、攻撃者がシステムの管理者権限を持っている必要があることを意味します, レジストリを更新する, 悪意のあるNetfilterドライバーをインストールします. こちらです, 次回システムが起動したときに確実にロードされます.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: