潜む脅威：DLLサーチオーダーハイジャッキング

潜む脅威：DLLサーチオーダーハイジャッキング

はじめに

現代社会において、インターネットは必要不可欠なインフラとなり、企業活動や日常生活に深く浸透しています。それと同時に、悪意のある攻撃者によるサイバー攻撃の脅威も増大しており、その手口は巧妙化の一途を辿っています。セキュリティ対策は、企業にとって事業継続を図る上で、また個人にとっても安全なデジタルライフを送る上で、極めて重要な課題となっています。

近年、その巧妙化するサイバー攻撃の中でも特に注目を集めている攻撃手法の一つに「DLLサーチオーダーハイジャッキング」が挙げられます。これは、Windowsなどのオペレーティングシステムが持つ、プログラム実行時のファイル検索順序の仕組みを悪用した攻撃です。具体的には、攻撃者は、正規のプログラムが使用するファイルを、悪意のある偽のファイルに置き換え、プログラムの動作を乗っ取ります。

この攻撃の恐ろしい点は、一見すると正規のプログラムが動作しているように見えるため、ユーザーが攻撃を受けていることに気付きにくい点にあります。また、攻撃者はこの手法を用いることで、システムへの不正アクセスや情報窃取、さらにはマルウェアの拡散など、様々な悪質な行為を実行することが可能になります。

今回は、この「DLLサーチオーダーハイジャッキング」という攻撃手法について、その仕組みや具体的な攻撃の流れ、そして具体的な対策方法などを詳しく解説することで、読者の皆様のセキュリティ意識向上の一助となれば幸いです。

DLLサーチオーダーハイジャッキングとは

– DLLサーチオーダーハイジャッキングとは

Windowsのアプリケーションは、多くの場合、共通の機能を提供するプログラム部品であるDLL（ダイナミックリンクライブラリ）を利用します。例えば、画像を表示する機能やネットワークに接続する機能などもDLLとして提供されています。

アプリケーションがこれらの機能を使いたい場合、必要なDLLを読み込む必要がありますが、WindowsはこのDLLを特定の順番で探しに行きます。これが「DLLサーチオーダー」です。

DLLサーチオーダーハイジャッキングは、このDLLサーチオーダーの仕組みを悪用した攻撃手法です。

攻撃者は、アプリケーションが本来読み込むべき正規のDLLよりも先に、悪意のあるコードを含んだ偽のDLLを、Windowsが検索するパス上に配置します。

すると、アプリケーションは、偽のDLLを正規のDLLと誤認して読み込んでしまいます。

その結果、アプリケーションは攻撃者の仕掛けたコードを実行させられ、情報漏えいやシステムの乗っ取りなどの被害に遭う可能性があります。

攻撃の仕組み

– 攻撃の仕組み

この攻撃は、ソフトウェアの脆弱性を突くために、巧妙な手段を用います。攻撃者はまず、標的となるアプリケーションが使用しているプログラム部品（DLL）と全く同じ名前を持つ悪意のあるプログラム部品を作成します。

次に、攻撃者はこの悪意のあるプログラム部品を、アプリケーションが動作する際に参照するフォルダに配置します。アプリケーションは、必要なプログラム部品を見つけるために、特定の順番でフォルダを検索します。攻撃者は、この検索順序を悪用します。

具体的には、悪意のあるプログラム部品を配置したフォルダが、正規のプログラム部品が保存されているフォルダよりも優先的に検索されるように細工するのです。

こうして、アプリケーションは、必要なプログラム部品を探している過程で、攻撃者が仕掛けた悪意のあるプログラム部品を誤って読み込んでしまいます。正規のものと全く同じ名前であるため、アプリケーションはこのプログラム部品が偽物であることに気づきません。

その結果、攻撃者は、アプリケーションを意図したとおりに操作できるようになり、情報漏えいやシステムの破壊などの深刻な被害をもたらす可能性があります。

具体的な危険性

– 具体的な危険性

DLLサーチオーダーハイジャッキングは、その名の通り、ソフトウェアの動作に必要なDLLファイルの検索順序を悪用する攻撃手法です。
攻撃者は、正規のDLLファイルと全く同じ名前の悪意のあるDLLファイルを、ソフトウェアが検索するパス上に仕込みます。
ソフトウェアは、悪意のあるDLLファイルを正規のものと誤って認識し読み込んでしまうため、攻撃者の思うがままに操られてしまいます。

この攻撃による被害は、機密情報の窃取、マルウェアの拡散、システムの破壊など、多岐にわたります。
例えば、攻撃者は、
* ソフトウェアが使用するパスワードやクレジットカード情報などの機密情報を読み取る
* マルウェアをダウンロードして実行させる
* システムファイルを改ざんして、システム全体を不安定な状態に陥れる
といったことが可能です。

さらに、DLLサーチオーダーハイジャッキングは、正規のアプリケーションを悪用するため、セキュリティ対策ソフトによる検知が困難な場合があります。
セキュリティ対策ソフトは、悪意のあるファイルかどうかを、ファイルのハッシュ値や動作などの特徴から判断します。
しかし、DLLサーチオーダーハイジャッキングでは、悪意のあるファイル自体が実行されるわけではなく、正規のアプリケーションが悪意のあるDLLファイルを読み込んでしまうため、検知が難しいのです。

このように、DLLサーチオーダーハイジャッキングは、その影響の大きさ、検知の難しさから、非常に深刻な脅威となっています。

新たな標的

– 新たな標的重要なシステムフォルダ「WinSxS」が脅威にさらされている2024年1月、セキュリティ企業であるSecurityJoesは、WindowsOSの重要なシステムファイルが格納されている「WinSxS」フォルダが、DLLサーチオーダーハイジャックと呼ばれる攻撃の新たな標的にされていると発表しました。

WindowsOSでは、アプリケーションの実行に必要なDLLファイルを探す際、特定の順番で検索を行います。DLLサーチオーダーハイジャックは、この仕組みを悪用し、悪意のある偽のDLLファイルを先に読み込ませることで、システムに不正なコードを実行させる攻撃です。

WinSxSフォルダは、Windowsのシステムファイルの整合性を保つ上で非常に重要な役割を担っています。このフォルダには、Windowsの様々なバージョンやエディションで共通して使用されるシステムファイルが格納されており、Windows Updateなどによるシステムファイルの更新や修復にも利用されます。

もし、このWinSxSフォルダが攻撃者に侵害され、悪意のあるDLLファイルが仕込まれた場合、システム全体に深刻な影響が及ぶ可能性があります。具体的には、

* 重要なシステムファイルが改ざんされ、Windowsが正常に動作しなくなる。
* 攻撃者にシステムの管理者権限を奪われ、機密情報が盗み出される。
* マルウェアが拡散され、他のコンピュータにも被害が拡大する。

といった危険性が考えられます。

SecurityJoesは、この脅威からシステムを守るために、最新版のセキュリティパッチを適用すること、不審なファイルを実行しないよう注意することなどを呼びかけています。

対策

– 対策

悪意のあるプログラムが正規のプログラムに成り代わる「DLLサーチオーダーハイジャッキング」は、システムにとって大きな脅威となります。この脅威からシステムを守るためには、いくつかの対策を講じる必要があります。

まず、アプリケーションが使用するDLLを常に最新の状態に保つことが重要です。開発元が提供するセキュリティ更新プログラムには、既知の脆弱性を修正したものが含まれているため、こまめな更新が有効な対策となります。

また、OSやアプリケーションのセキュリティ更新プログラムも迅速に適用することで、システム全体を最新の状態に保ち、既知の脆弱性を悪用した攻撃からシステムを守ることができます。

さらに、セキュリティ対策ソフトを導入し、怪しいファイルの実行をブロックすることも有効な手段です。セキュリティ対策ソフトは、ファイルの挙動や特徴を分析し、悪意のあるプログラムの実行を未然に防ぎます。

これらの対策を組み合わせることで、DLLサーチオーダーハイジャッキングの脅威からシステムを効果的に保護することができます。