Windowsのゼロデイ脆弱性情報、ネットに9万ドルで売り出し

Windowsのローカル権限昇格の脆弱性情報を9万ドルで売りに出すという投稿がロシア語圏のフォーラムに掲載された。

[鈴木聖子，ITmedia]

脆弱性売り出しを伝えたTrustwave

　Windowsの全バージョンに存在するという未解決の脆弱性に関する情報が、ロシア語圏の闇市場で9万ドルという高値で売りに出されていることが分かった。セキュリティ企業のTrustwaveが5月31日のブログで伝えた。

　それによると、Windowsのローカル権限昇格の脆弱性情報を売りに出すという投稿が5月11日、サイバー犯罪集団が利用しているロシア語圏のフォーラムに掲載された。

　脆弱性はWindowsオブジェクトの不適切な処理に起因しているとされ、Windows 2000以降、Windows 10までの全バージョンのWindowsが影響を受けるという。ASLRやDEP、EMETといったWindowsのセキュリティ対策もかわすことができると主張している。

　投稿者は信憑性を裏付けるために実証ビデオも提供。最新の更新プログラムを適用したWindows 10でこの脆弱性を突いて権限を昇格する様子や、脆弱性緩和ツールのEMETをかわす様子をデモして見せた。

　値段は当初9万5000ドルとしていたが、その後9万ドルに値下げされたという。

　Trustwaveでは、この脆弱性情報は信憑性が高そうだと分析する。権限昇格の脆弱性は、リモートコード実行の脆弱性に比べれば危険度は低いものの、他の脆弱性と組み合わせてサンドボックスなどのセキュリティ対策をかわしたり、マルウェアに感染させたマシンに潜伏するための手段として利用できるという。

脆弱性売り出しサイトと英訳（Trustwaveより）

　「アンダーグラウンド経済はここ数年で飛躍的に成長し、犯罪集団は技術や手口をとてつもなく進化させている」とTrustwaveは述べ、未解決の脆弱性情報がこうした形で公然と売り出されるようになったのは憂慮すべき展開だと指摘している。