悪用に対する強力な保護。エクスプロイト

Windows 10 v1709 の Windows Defender Protection Center には、と呼ばれる新しい保護機能が導入されました。 エクスプロイト保護、システムに感染するマルウェアから Windows コンピューターまたはラップトップを保護するのに役立ちます。これには、オペレーティングシステムレベルまたはアプリケーションレベルで適用できる軽減策が含まれます。この機能の導入により、Windows 10 ユーザーは Enhanced Mitigation Experience Toolkit (EMET) をインストールする必要がなくなりました。実際、Windows 10 Fall Creators Update プロセス自体中に、EMET は削除されます。

Windows 10 のエクスプロイト保護

エクスプロイト保護は機能の一部です エクスプロイトガード Windows Defenderで。この機能にアクセスするには、「」を開きます Windows Defender プロテクションセンター" > "アプリケーションとブラウザの管理" > "エクスプロイト保護設定新しいパネルが開きます。少し下にスクロールすると、ここに使用防止オプションが表示されます。設定は 2 つのタブに分かれています。

A) システムパラメータ。
B) プログラムパラメータ。

「」の章では、 システムパラメータ" 次のオプションが表示されます。

コントロールフローガード (CFG)。
データ実行防止 (DEP)。
画像の強制ランダム配布。 (デフォルトでは、この機能は無効になっています。)
ランダムなメモリ割り当て。
例外チェーンのチェック (SEHOP)。
ヒープの整合性をチェックしています。

「」の章では、 プログラム設定" プログラムを追加するオプションが表示されます。ボタンを押してください。" プログラムを追加する設定用」には 2 つのオプションが表示されます。

名前で追加
正確なファイルパスを選択します。

事前に入力されたリスト内のプログラムをクリックして追加することもできます。設定をXMLファイルにエクスポートする機能があるので、リンクを使用して設定を保存できます。 エクスポートオプション".

エンドユーザー側のソフトウェアの脆弱性の悪用は、闇市場の主な傾向の 1 つとなっています。分析会社は、侵害手段を提供するサービスによるサイバー犯罪者の収入が安定的に増加すると予測しています。エクスプロイトのトップバンドルの所有者の観点からウイルス対策保護を見てみましょう。

まだ使いこなせていない人向け: 概要

私たちは最新の Blackhole をレンタルし (お金をかけなければなりませんでしたが、科学のために何ができるでしょうか)、トップクラスのウイルス対策ソフトウェアの最新バージョンをインストールし、最新のエクスプロイトとの戦いにおいてどれがどのような価値があるかをチェックしました。エクスプロイトパックコンソールとウイルス対策機能を備えた動作するマシンの両方を手元に持っていたおかげで、エクスプロイト対策の有効性を完全に確実に評価することができました。この全体についてのビデオも作成しました。要するに、怠けずに読んでください！

テスト方法

Blackhole は現在、ブラックマーケットでトップクラスのエクスプロイトパックの 1 つです。これについては以前の号ですでに書きましたが、この製品の成功は主にその「洗練さ」と、ウイルス対策ソフトウェア、柔軟なトラフィックリダイレクトシステム (いわゆる TDS) に対抗するためのさまざまなテクノロジの豊富さによって決まります。）、統計情報を統合して表示するためのインターフェイス。これは、レビューに参加しているウイルス対策ソリューションをテストするために使用するこのスポイルパックの最新バージョン (執筆時点) です。
サイバー犯罪市場マトリックス

テストベンチは、Windows 7 Ultimate Edition (デフォルトのセキュリティ設定) がプリインストールされ、次のソフトウェアがプリインストールされたユーザーワークステーションの平均的な構成になります: Adobe Flash Player 10.x (最新バージョンではありませんが、最も一般的なバージョン)、Java JDK/JRE 1.6.0.25、Adobe Acrobat 10.x、Internet Explorer 8.0.x。

テスト方法は簡単です。Blackhole v 2.0.1 エクスプロイトパックを含む悪意のあるリンクをたどり、結果を観察します。バンドルドロッパーが notepad.exe を正常にロードした場合、システムは危険にさらされています。メモ帳ウィンドウが表示されない場合は、報告会 (ウイルス対策ソフトウェアがユーザーに通知したかどうかなど) を実施して、結論を導き出します。

カスペルスキーインターネットセキュリティ

Microsoft が OS レベルでエクスプロイトに対抗する普遍的な方法を模索し (ASLR および DEP テクノロジは十分に進歩していないことが判明)、開発者に料金を発表する一方、Kaspersky Lab はこの方向で独自の道を進み、「自動保護」テクノロジを発表しています。 MRG Effitas 研究所のテストから判断すると、まともな結果が示されています。このテストの方法論は、当時公式ベンダーからパッチが提供されていなかった脆弱性 (「ゼロデイ脆弱性」) に基づいて、Metasploit フレームワークとそれが提供する一連のエクスプロイトを使用することでした。エクスプロイトの起動中にペイロードの初期化がブロックされた場合、システムは安全であると見なされます。

自動エクスプロイト保護 (AEP) テクノロジーは、この種のマルウェアの既知のインスタンスの動作分析と、危険にさらされており攻撃者から大きな注目を集めているアプリケーションの現在の状態に関するデータに基づいています。 AEP は、Windows オペレーティングシステムに組み込まれたアドレススペースランダム化 (ASLR) 機能も強化します。従来の保護方法 (署名分析、コンテンツフィルタリング、クラウドサービス) と組み合わせることで、実際の状況では、このテクノロジーはサードパーティソフトウェアの脆弱性を悪用した攻撃を撃退する大きな可能性を秘めています。

このテストが Kaspersky Lab によって開始されたという理由から、完全に独立したものであると呼ぶことは困難です。つまり、明らかに一時的な理由により、テストの時点ではこのイノベーションに類似したものはありませんでした。攻撃者の視点から「カスペルスキーインターネットセキュリティ 2013」のカスタム保護がどのように見えるかを見てみましょう。当社は、ワークステーションがこの製品のアクティブな保護下にあるユーザーのブラウザを、当社のリンクが配置されている悪意のあるリンクに送信します。ダウンロードプロセスは、悪意のあるオブジェクトに関するメッセージによって直ちに中断されます。結論: Blackhole エクスプロイトキットデータベースの 1day およびその他の脆弱性は通過せず、アドレス空間のランダム化が強化されたため、脆弱性の悪用は停止され、バンドルドロッパーは単純に初期化されません。

ESETスマートセキュリティ

ロシアのウイルス対策業界で2番目に大きな代表企業は、エクスプロイトとの戦いについて直接的な声明は出していませんが、この高度に専門化された機能をESET Live Grid、ESET ThreatSense、およびESET ThreatSense.Netテクノロジー全体に分散させています。 1 つ目は、対象となる情報システムの動作パラメータとその中で発生する疑わしいプロセスに関するデータを収集し、レピュテーションシステムに基づいて実行中の各アプリケーションのリスクを評価する分散分析センターです。

ThreatSense テクノロジーは、脆弱性を悪用する際のペイロードの初期化に直接対処する高度なヒューリスティックテクノロジーです。ウイルス対策ソフトウェアは、ヒューリスティック手法の結果と、エミュレーション (サンドボックス) および悪意のあるコードを検出するための署名手法の結果を組み合わせて、感染の試みがあるかどうかを判断します。 ThreatSense と高度なヒューリスティックの有効性は、独立した IT セキュリティ機関 AV-TEST が提供する「保護」セクションの認定レポートによって実証されています (レポートのこのセクションでは、ソフトウェア製品が初期段階からワークステーションを保護する能力を判断します)マルウェアのライフサイクルの 1 つ）、ウイルス対策ソフトウェアは「ゼロデイ脆弱性」を利用するエクスプロイトインスタンスの 90 % を特定することに成功しました。同じ期間（2012 年 9 月から 10 月）に AV-TEST によって認定された Kaspersky Lab のウイルス対策ソリューションが、同様の一連のエクスプロイトのインスタンスの 98% を特定することに成功したことは注目に値します。ただし、ウイルス対策の最も誠実なテストはハッカー研究所で行われることが知られているため、他の人の結果について話すのはやめて、自分自身の結果を見てみましょう。

ESET ウイルス対策ソリューションの悪意のあるリンクをクリックしても、目に見える反応は発生しません。脆弱性を悪用する試みが検出されたことを示す通知やログファイルのエントリはありません。ただし、メモ帳の実行可能ファイルはロードされていないため、ウイルス対策ソフトウェアがエクスプロイトの動作を許可していないことが示唆されます。

ノートンインターネットセキュリティ

シマンテックは、クラウドインフラストラクチャを使用してウイルスの脅威から保護するテクノロジーのパイオニアです。いわゆる SONAR (Symantec Online Network for Advanced Response) 保護は、ターゲットアプリケーションの動作分析と危険性のレベルを評価する評価システムを使用して、ゼロデイ脆弱性の悪用による影響を防ぐように設計されています。このテクノロジーの実装における重要な要素の 1 つは、コミュニティの信頼指標 (ノートンコミュニティウォッチ) です。ウイルス対策アプリケーションは、単一のユーザーナレッジベースであるノートンコミュニティウォッチから取得した統計データの結果を考慮して、ファイルが悪意のある環境に属しているかどうかを判断します。

シマンテックノートンインターネットセキュリティ 2013 の最新バージョンの AV-TEST 認定レポートは、SONAR バージョン 4.0 の保護が、悪意のある Web アプリケーションや電子メールをターゲットとしたゼロデイ攻撃の 96% に対して有効であることを実証しています。レポートの「保護」セクションに含まれるデータから、悪意のあるコードの新しいサンプルに関する情報はクラウドナレッジベースですぐに更新されると結論付けることもできます。ロシアのセグメントで競合する製品はどれも、攻撃に対する 100% の保護を示していません。近年 2 ～ 3 か月で発見された既知のマルウェアの例。また、MRG Effitas が主催したエクスプロイトとの戦いにおいて、SONAR クラウドインフラストラクチャが生産性の点で 2 位となり、テストでは Kaspersky Lab の AEP テクノロジーに次いで 2 番目の結果を示したことも注目に値します。

エクスプロイトパックを含む悪意のあるリンクを介して送信されると、ユーザーのブラウザは古いプラグインに Java コードを実行する許可を求め、肯定的な応答が返された後、その動作を観察します。バンドルは脆弱性の悪用に成功し、その動作が成功したことを示しています。、リダイレクトページにリダイレクトされます。ノートンインターネットセキュリティは今までどこにいたのでしょうか? 不審なアクティビティに関する通知は 1 通もなく、悪用に対する応答もありません。ただし、バンドルドロッパーは notepad.exe を起動しません。この理由は、シマンテックの「サイレント」製品の奥のどこかに失われています。 Blackhole の統計パネルは、ファイルが被害者に正常にアップロードされたことを示しています。

その他の業界の代表者

ロシアのウイルス対策市場の 13% 未満が、Doctor Web、Trend Micro、McAfee などのベンダーによってシェアされています。過去 1 年間、これらの企業によるエクスプロイト対策技術についてメディアで直接的な発言や発表はありませんでしたが、Panda Cloud Antivirus という製品は、ロシア部門での販売量が誤差のほんの一部にも収まりませんでした。このタイプの脅威に対しては、バージョン 2.1 以降で利用可能なエクスプロイト防止メカニズムが利用可能になります。

すべてのユーザーが貢献できるクラウドベースのナレッジベースは、前述のシマンテックの SONAR インフラストラクチャを思い出させます。 AV-TEST のレポートによると、分散環境に基づいた Panda Security テクノロジーは現在、製品のバージョンに応じて平均 80 ～ 85% の攻撃でのみゼロデイエクスプロイトを検出できる能力を実証しています。おそらく、これらの数字は、このテクノロジーが依存しているユーザーセンサーの基盤が小さいながらも着実に成長していることに関連していると考えられます。

まとめ

Windows に組み込まれているゼロデイ対策ツールは、熟練した攻撃者によって作成された悪意のあるコードの現在のバージョンに対処できません。 DEP (データ実行防止) および ASLR (アドレス空間ランダム化) 保護をバイパスする技術が、新しいタイプのエクスプロイトで首尾よく使用されています。

カスペルスキーインターネットセキュリティ 2013 は、そのテクノロジーが実際に動作していることを完璧に実証し、エクスプロイトパックがユーザー側の脆弱性を悪用するのを防ぎ、悪意のあるコンテンツの存在をユーザーに通知しました。次に、ノートンインターネットセキュリティは、エクスプロイトの機能とドロッパーのロードを許可しましたが、悪意のあるコード (この場合は notepad.exe 実行可能ファイルでした) の初期化に失敗しました。その理由はユーザーにとって謎のままでした。製品には通知が表示されず、ユーザーの行動が報告されませんでした。 ESET 製品についても同じことが言えます。ESET 製品は、ノートンインターネットセキュリティとは異なり、被害者側への悪意のあるファイルのダウンロードを「静かに」阻止しました。

デニス・マクルシン氏、Cload.ru、defec.ru の第一人者スペシャリスト

従来のシグネチャベースのウイルス対策ソフトウェアの使用は依然として有効です。古いウイルス、トロイの木馬、その他の種類のマルウェアはまだ消えていません。ただし、ウイルス対策だけでは、最新のエクスプロイト、いわゆるゼロデイ脅威から保護するのに十分ではありません。これらのマルウェアはこれまでに確認されたことがなく、署名もありません。 Malwarebytes Anti-Exploit Premium の無料版です。このツールはエクスプロイトを防止し、動作にシグネチャを使用しません。

ブラウザ保護

無料版では、Chrome、Firefox、Internet Explorer、Opera に保護が実装されています。エクスプロイト対策は、ブラウザ自体だけでなく、プラグインやアドオン、さらには Java 環境も保護します。年間 24.95 ドルのプレミアムバージョンを購入すると、Microsoft Office ドキュメント、PDF ビューア、メディアプレーヤーも保護されます。

有料版では、ユーザーは個々のアプリケーションの保護を有効または無効にしたり、カスタムシールドを作成したりできます。無料版の設定は固定されており、保護は 5 つのプログラムにのみ適用され、それ以上でもそれ以下でもありません。

すべてが機能しています!

各エクスプロイトは被害プログラムの特定のバージョンをターゲットにしており、他のバージョンでは機能しません。このため、テスト条件に対する要求が高まります。 Malwarebytes は、危害を引き起こす可能性がない限り、エクスプロイトには反応しません。 Malwarebytes は、有名ブロガー Kafeine のテストに参加しました。彼のテストでは、最も一般的な 11 個のエクスプロイトを使用しましたが、プログラムはそれらすべてをブロックすることに成功しました。

コンピュータセキュリティの専門家である Neil J. Rubenking は、独自の独立したテストを実施するために、MRG-Effitas 研究所に頼りました。この組織の CTO は、Fiddler Web Debugger を使用してキャプチャされたエクスプロイトのコレクションを親切にも提供してくれました。テストシステムは注意深く構成され、正しいバージョンのプログラムがインストールされた後、攻撃が記録され始めました。 Malwarebytes はすべての脅威を完全にブロックすることに成功しました。

カフェインは、大手小売店のリソースを含む、エクスプロイトでハッキングされたサイトのリストを提供しました。リスト上のいくつかのサイトはすでに修正されていますが、残りは Malwarebytes によって完全にブロックされました。

試すだけの価値があります

Malwarebytes Anti-Exploit Free は、大規模なアップデートをダウンロードするときにネットワークデータ転送チャネルを詰まらせることはなく、ディスク上の占有量はわずか 3 MB です。このプログラムは、追加の保護ユーティリティのコレクションに加えるのに最適です。エクスプロイトがブロックされるまで、プログラムがアクティブであることに気づくことさえありません。 Web 攻撃のみを懸念しているユーザーの場合、提供されるブラウザ保護で十分かもしれません。 MS Office や PDF ドキュメントの保護だけでなく、直接標的型攻撃に対する保護も必要な場合は、Malwarebytes Anti-Exploit Premium をよく検討してください。

Malwarebytes アンチエクスプロイト無料レビュー:

利点

ブラウザと Java 環境を悪用から保護します。
操作には署名は必要ありません。
小規模でリソースをあまり必要としないプログラム。
プレミアムバージョンでは、Microsoft Office ドキュメント、PDF ビューア、およびメディアプレーヤーに対する保護が追加されます。
製品の有効性はテストによって証明されています。
完全に無料の製品。

欠陥

有効性を評価するのが難しい。

総合評価

Malwarebytes Anti-Exploit Free は、最新のゼロデイ脅威を含むエクスプロイト攻撃からブラウザを保護します。この完全に無料の追加セキュリティツールをご自身でお試しください。

Exploit Guard は、Windows 10 Fall Creators Update で Microsoft によって初めて導入された新しい Windows Defender セキュリティ機能です。

Exploit Protection は、Microsoft の Enhanced Mitigation Experience Toolkit (EMET) の統合バージョンであり、2018 年半ばにサポートが終了します。

Windows Defender がアクティブな場合、脆弱性保護はデフォルトで有効になります。この機能は、リアルタイム保護を有効にする必要がない唯一の Exploit Guard 機能です。

この機能は、グループポリシーまたは PowerShell コマンドを使用して、Windows Defender セキュリティセンターで構成できます。

Windows Defender セキュリティセンター

Windows 10 ユーザーは、Windows Defender セキュリティセンターでエクスプロイト保護を設定できます。

Windows キー + I ショートカットを使用して、設定アプリケーションを起動します。
[更新とセキュリティ] に移動し、[Windows Defender] を選択します。
ボタンをクリックしてください Windows Defender セキュリティセンターを開く.
「アプリケーションとブラウザの管理」パネルを選択します。
開いたページでリンクを選択します エクスプロイト保護設定.

すべての設定は 2 つのカテゴリに分類されます。 システムパラメータそして プログラム設定.

タブ上 システムパラメータ利用可能なすべての保護メカニズムのリストとそのステータスが表示されます。 Windows 10 Fall Creators Update では次の保護機能が利用可能です。

制御フローガード (CFG) - オンデフォルト。
データ実行防止 (DEP) - 有効。デフォルト。
画像の強制ランダム化 (ASLR 必須) - オフ。デフォルト。
メモリ割り当てのランダム化 (低 ASLR) - オン。デフォルト。
例外チェーンのチェック (SEHOP) - オン。デフォルト。
ヒープ整合性チェック - オン。デフォルト。

プログラム設定個々のプログラムやアプリケーションの保護を構成できるようになります。このオプションは、特定のプログラムに対する Microsoft EMET の例外機能と同様に機能します。この機能は、特定のセキュリティモジュールが有効になっているときにプログラムが誤って動作する場合に特に役立ちます。

デフォルトでは、いくつかのプログラム、特に svchost.exe、spools.exe、runtimebroker.exe、iexplore.exe およびその他のコア Windows プログラムが例外に追加されます。ファイルを選択して「編集」ボタンをクリックすると、これらの除外を上書きできることに注意してください。

プログラム設定で追加したプログラムごとに、サポートされているすべての保護のステータスを個別に設定できます。デフォルトのシステム設定を上書きして強制的に有効または無効にすることに加えて、設定を監査専用に設定するオプションもあります。後者の場合、保護ステータスが有効になっていた場合に発生したイベントが Windows システムログに記録されます。

[プログラム設定] リストには、アプリケーションレベルでのみ機能するように構成されているため、[システム設定] では構成できない追加のセキュリティ設定がリストされます。

その中で：

反任意コード制御 (ACG)
整合性の低いイメージのブロック
リモート画像のブロック
信頼できないフォントのブロック
コードの整合性の保護
拡張ポイントの無効化
Win32k システムコールの無効化
子プロセスを許可しない
エクスポートアドレスフィルタリング (EAF)
インポートアドレスフィルタリング(IAF)
実行のシミュレーション (SimExec)
API呼び出しのチェック(CallerCheck)
ハンドルの使用状況の確認
イメージの依存関係の整合性をチェックする
スタックの整合性チェック (StackPivot)

パワーシェル

PowerShell コマンドラインを使用して、メジャーのリストをインストール、削除、または変更できます。次のコマンドが使用可能です。

指定したプロセスのすべての緩和策を表示するには: Get-ProcessMitigation -Name processName.exe

保護措置を設定するには: Set-ProcessMitigation - - 、

スコープ: -システムまたは -名前。

処置: -有効または-無効のいずれか。

措置: 保護措置の名前。利用可能な対策のリストについては、Microsoft Web サイトの表を参照してください。複数のメジャーをカンマで区切ることができます。

Set-Processmitigation -System -Enable DEP
Set-Processmitigation -名前 test.exe -削除 -DEP を無効にする
Set-ProcessMitigation -Name processName.exe -EnableEnableExportAddressFilterPlus -EAFModules dllName1.dll、dllName2.dll

構成のインポートとエクスポート

構成はインポートおよびエクスポートできます。これらの操作は、Windows Defender セキュリティセンターの [エクスプロイト保護設定] ページで行うか、PowerShell またはグループポリシーエディターを使用して実行できます。

さらに、EMET 構成は、後でインポートできるように変換できます。

エクスプロイト保護設定の使用

Windows Defender セキュリティセンターアプリで構成をエクスポートすることはできますが、インポートすることはできません。エクスポートでは、システムレベルおよびアプリケーションレベルのすべてのメジャーが追加されます。

PowerShell を使用して構成ファイルをエクスポートする

コマンドを実行します: Get-ProcessMitigation -RegistryConfigFilePath filename.xml

PowerShell を使用して構成ファイルをインポートする

デバイス管理者権限で Powershell を開きます。
次のコマンドを実行します: Set-ProcessMitigation -PolicyFilePath filename.xml

グループポリシーを使用した構成ファイルの設定

グループポリシーエディターを使用して構成ファイルをインストールできます。

Windows キーを押して、Enter キーを押します。 gpedit.mscをクリックして、Windows Search によって提案された項目を選択します。
に行く [コンピューターの構成] > [管理用テンプレート] > [Windows コンポーネント] > [Windows Defender Exploit Guard] > [エクスプロイト保護].
「エクスプロイト保護設定の共通セットを使用する」ポリシーを選択します。
「有効」オプションを選択します。
「オプション」フィールドに XML 構成ファイルのパスと名前を追加します。

EMETファイル変換

デバイス管理者権限で Powershell を開きます。
次のコマンドを実行します: ConvertTo-ProcessMitigationPolicy -EMETFilePath emetFile.xml -OutputFilePath filename.xml

emetFile.xml を EMET 構成ファイルのパスと場所に変更します。

パスとファイル名.xml を目的の場所とファイル名に変更します。

タイプミスを見つけましたか? ハイライトして Ctrl + Enter を押します

エクスプロイトは「本格的な」ウイルスとはみなされませんが、システムにもたらす可能性のある危険は非常に大きいです。エクスプロイトの目的は、直接危害を加えることではなく、システムやソフトウェアの脆弱性や抜け穴を見つけ、最高の権限を取得して、スパイウェア、トロイの木馬、暗号化プログラム、その他の危険なマルウェアをシステムにロードすることです。

ウイルス対策ソフトがエクスプロイトを正常に特定するには、高品質の動作分析モジュールが必要であり、これがエクスプロイトを特定する唯一の効果的な方法です。この種の脅威にうまく対処できる特別なユーティリティもあります。たとえば、有名な企業 Malwarebytes の Malwarebytes Anti-Exploit などです。

Malwarebytes Anti-Exploit の主な目的は、いわゆるゼロデイ脆弱性を利用するエクスプロイトから Windows を保護することです。このプログラムは革新的な ZeroVulnerabilityLabs テクノロジーを使用しており、定期的な署名の更新や複雑な設定を必要とせずにエクスプロイトの侵入を防ぐように特別に設計されています。

Malwarebytes Anti-Exploit には、エクスプロイトの標的となることが最も多い一般的なアプリケーションのための、いくつかのコア保護コンポーネント (画面) が含まれています。これには、Chrome、Firefox、IE、Opera ブラウザ、さまざまなタイプのブラウザアドオン、および Java 環境が含まれます。ユーティリティのプレミアムバージョンでは、リストに PDF リーダー、マルチメディアプレーヤー、および Microsoft Office ドキュメントが追加されます。さらに、有料版では、より多くのカスタム保護レベルが提供され、それらを柔軟に管理できます。

このプログラムの利点としては、他のウイルス対策製品との互換性、システムリソースへの要求が低いこと、「設定したら後は忘れる」原則に基づいた作業が挙げられます。 Malwarebytes Anti-Exploit は、トレイアイコンの表示を除けば、システム上でエクスプロイトが検出されブロックされない限り、自身を表示しません。 Web 攻撃から保護するには、アプリケーションの無料バージョンで十分です。MS Office および PDF ファイルを保護する必要があるユーザーは、すぐに Malwarebytes Anti-Exploit プレミアムバージョンを詳しく検討することをお勧めします。

悪用に対する強力な保護。 エクスプロイト