Innovative Tech

Windowsを“古いバージョン”に戻す「ダウングレード攻撃」　修正済みの脆弱性をゼロデイ化、“最新の状態”を偽り検出も困難

　イスラエルのサイバーセキュリティ企業の米SafeBreachの研究者であるアロン・レヴィーさんは、セキュリティカンファレンス「Black Hat USA 2024」でWindowsアップデートプロセスを悪用してシステムを古い脆弱なバージョンに戻すダウングレード攻撃「Windows Downdate」を発表した。

　この攻撃はWindowsアップデートを乗っ取り、カスタムダウングレードを作成して、過去の数千もの脆弱性を露呈させ、修正済みの脆弱性をゼロデイ化する。これにより、世界中のWindowsマシンにおいて「完全にパッチ適用済み」が無意味になる可能性がある。

　ダウングレード攻撃とは、ソフトウェアを古い脆弱なバージョンに戻すことを強制する手法である。2023年には「BlackLotus UEFIブートキット」が出現し、Windowsブートマネージャをダウングレードしてセキュアブートをバイパスした。Microsoftはこの脅威に対処し、ブートマネージャへのダウングレード攻撃を緩和してセキュアブートを保護する対応を行った。

　しかし、レヴィーさんは、セキュアブート以外にもダウングレード攻撃に対して脆弱な重要コンポーネントが存在する可能性を考えた。検出不可能なダウングレードフローを見つけることを目指し、Windowsアップデートを調査した結果、脆弱性を特定した。

　具体的には、更新時に行われる整合性検証やTrusted Installerの制限回避などの全ての検証ステップをバイパスするダウングレード更新プログラムの作成方法を発見した。この手法を用いて、DLL（Dynamic Link Library）、ドライバー、NTカーネルといった重要なOSコンポーネントをダウングレードすることに成功し、特権を昇格させ、セキュリティ機能をバイパスすることが可能となった。

　この攻撃の特筆すべき点は、その検出の難しさにある。攻撃後、システムは完全に更新されているように見えるが、実際には古いバージョンのコンポーネントが使用されている。さらに、この攻撃は将来の更新をブロックし、システムファイルの破損を検出するツールの無効化もできる。

　つまり、攻撃が行われた後も、Windows Updateは最新の状態であると報告し続け、ユーザーや管理者は自分のシステムが攻撃を受けて脆弱な状態になっていることに気付きにくくなる。

　さらに、研究者たちは仮想化スタック全体もリスクにさらされていることを発見した。Hyper-Vのハイパーバイザー、セキュアカーネル、Credential Guardの分離ユーザーモードプロセスを過去の特権昇格の脆弱性にさらすようダウングレードすることに成功した。

　加えて、UEFIロックで強制されている場合でも、Credential GuardやHypervisor-Protected Code Integrity（HVCI）などの機能を含む仮想化ベースのセキュリティ（VBS）を無効化する方法を見つけた。これは、物理的なアクセスなしにVBSのUEFIロックがバイパスされた初めてのケースであると考えられる。

　SafeBreachは、24年2月にMicrosoftにこの研究結果を通知した。Microsoftはこれらに対応し、2つのCVE（CVE-2024-21302とCVE-2024-38202）を発行している。

Innovative Tech

2019年にスタートした本連載「Innovative Tech」は、世界中の幅広い分野から最先端の研究論文を独自視点で厳選、解説している。執筆は研究論文メディア「Seamless」（シームレス）を主宰し、日課として数多くの論文に目を通す山下氏が担当。イラストや漫画は、同メディア所属のアーティスト・おね氏が手掛けている。

この連載の記事をもっと見る

この記事の著者

関連記事

• 

  スマホの位置情報を許可→ユーザーの動きや“部屋の間取り”を90％以上で特定できる攻撃　インドの研究者が発表

• 

  職場の「一部ネット接続できない規制PC」から機密データを盗むサイバー攻撃　米研究者らが発表

• 

  中国語のスマホ標準キーボードアプリでキー入力が盗まれる脆弱性　攻撃対象は“10億人規模”と試算

• 

  Appleの“Mシリーズチップ”から秘密鍵を盗む攻撃「GoFetch」　米研究者らが発表

• 

  他人がGPT-4とやりとりしたテキストを盗む攻撃　成功率50％以上　イスラエルの研究者らが発表