Trusted Design

解説:

CVE-2024-21412は、Microsoft Defender SmartScreenにおけるセキュリティ機能のバイパスの脆弱性です。この脆弱性は、インターネットショートカットファイル（.URLファイル）の処理方法の欠陥に起因し、攻撃者がSmartScreenのセキュリティ警告を回避して悪意のあるファイルを配信することを可能にします。

1. 脆弱性の概要

CVE-2024-21412は、Microsoft Defender SmartScreenのセキュリティ機能バイパスの脆弱性であり、不正に細工されたインターネットショートカットファイル（.URLファイル）の処理エラーを利用します。この脆弱性は、以前に修正されたSmartScreenの脆弱性CVE-2023-36025のパッチを回避する形で発見され、活発に悪用されていました。

1.1 影響

この脆弱性が悪用されると、リモートの攻撃者はMicrosoft Defender SmartScreenのセキュリティ警告ダイアログを回避し、被害者のシステムに悪意のあるファイルを配信することができます。これにより、攻撃者は被害者のホストシステムを乗っ取り、不正なコードを埋め込むことが可能になります。結果として、システム侵害、データ侵害、金銭的損失、運用停止などが発生する可能性があります。実際には、DarkMe RAT、DarkGate、様々なスティーラーなどのマルウェア感染に利用されています。窃取された情報は、将来の攻撃に利用される可能性があります。

1.2 深刻度

CVSS v3.1基本スコアは8.1（HIGH）と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、Microsoft Windowsに影響を与えます。具体的には、現在サポートされているすべてのWindowsクライアント版（Windows 10および11）が影響を受けます。これには以下のバージョンが含まれます。 * Windows 10 Version 1809 * Windows 10 Version 21H2 * Windows 10 Version 22H2 * Windows 11 Version 21H2 * Windows 11 Version 22H2 * Windows 11 Version 23H2 * Windows Server 2019 * Windows Server 2019 (Server Core installation) * Windows Server 2022 * Windows Server 2022, 23H2 Edition (Server Core installation)

2.2 影響を受ける設定

Microsoft Defender SmartScreenが有効になっている環境が影響を受けます。特に、インターネットショートカットファイル（.URLファイル）の「Mark-of-the-Web (MotW)」の処理に影響があります。

3. 影響を受けた時の兆候

攻撃は主にソーシャルエンジニアリングの手法を用いて行われます。攻撃者は被害者を騙して不正なリンクをクリックさせ、悪意のあるプログラムを実行させます。具体的には、JPEG画像に見せかけたインターネットショートカットファイル（.URL）が悪用されたり、Google DoubleClickのオープンリダイレクトを利用して偽のソフトウェアインストーラを配布したりする事例が確認されています。影響を受けた場合、DarkMe RAT、DarkGate、各種スティーラーなどのマルウェアに感染し、システム上で不正な活動（情報窃取、C2サーバーへのデータ送信など）が行われる可能性があります。

4. 推奨対策

4.1 本対策

Microsoftは2024年2月13日に、CVE-2024-21412に対する修正パッチを公開しました。影響を受けるシステムをご利用の場合は、可能な限り早期に公式の修正パッチを適用することが強く推奨されます。Windows Updateを通じてセキュリティ更新プログラムを適用してください。

4.2 暫定回避策（緩和策）

• 仮想パッチの適用: トレンドマイクロの顧客は、2024年1月16日以降、仮想パッチによってこの脆弱性から保護されています。仮想パッチの適用にはシステムの再起動は不要です。
• セキュリティベストプラクティス:
  • ITインフラ全体にわたり、脆弱性を継続的に特定し、優先順位を付け、修正する堅牢な脆弱性管理プロセスを確立する。
  • スレットインテリジェンスのフィードやプラットフォームを常に監視し、新たな脅威に対する最新情報を入手し、セキュリティ対策を適宜調整する。
  • 各ベンダーからのパッチ管理を徹底する。
  • 多層防御（multivendor layered security）を導入することでリスクを低減できます。
  • 公式の配布元以外から提供されるソフトウェアインストーラは信用しないよう注意が必要です。

参照したサイト

• Microsoft Defender SmartScreenの脆弱性CVE-2024-21412に関する概要 - Trend Micro
• 『緊急解説ウェビナー Windowsのゼロデイ脆弱性「CVE-2024-21412」』を視聴してみた - DevelopersIO
• CVE-2024-21412の悪用：猛威を振るうスティーラー攻撃 | FortiGuard Labs - Fortinet Japan
• Prevent SmartScreen Vulnerability: CVE-2024-21412 | Trend Micro (US)
• Windows Defender SmartScreen関連の脆弱性「CVE-2024-21412」、マルウェアDarkGateによるゼロデイ攻撃を確認｜トレンドマイクロ - Trend Micro
• 2024 年 2 月のセキュリティ更新プログラム (月例) - Microsoft Japan
• CVE-2024-21412 Vulnerability: Analysis, Detection, Removal | Huntress
• CVE-2024-21412: DarkGate Operators Exploit Microsoft Windows SmartScreen Bypass in Zero-Day Campaign - Trend Micro
• Windows Defender SmartScreenの脆弱性「CVE-2024-21412」、攻撃グループWater Hydraによる金融関連へのゼロデイ攻撃を確認｜トレンドマイクロ - Trend Micro
• SmartScreen Vulnerability: CVE-2024-21412 Facts and Fixes | Trend Micro (US)
• 零日漏洞可繞過Windows Defender防護!駭客積極利用中 - Information Security 資安人科技網
• CVE-2024-21412 Impact, Exploitability, and Mitigation Steps | Wiz
• Microsoft 製品の脆弱性対策について(2024年2月) | アーカイブ - IPA
• CVE-2024-21412 Impact, Exploitability, and Mitigation Steps | Fortinet
• CVE-2024-21412 - Ransomware.live
• February 2024 Patch Tuesday: Updates and Analysis - CrowdStrike

その他解説すべき観点

• 既知の悪用: この脆弱性は、修正パッチが公開される前から「Water Hydra（別名：DarkCasino）」や「DarkGate」といった高度な攻撃グループによって、金融市場のトレーダーなどを標的としたゼロデイ攻撃に積極的に悪用されていました。CISA KEV (Known Exploited Vulnerabilities) カタログにも登録されており、ランサムウェア攻撃での悪用も確認されています。
• 攻撃手法の詳細: 攻撃グループ「Water Hydra」は、JPEG画像に見せかけたインターネットショートカットを使用しました。ユーザーがこれをクリックすると、脆弱性が悪用され、Microsoft Defender SmartScreenを回避し、Windowsホストを完全に制御することが可能になります。また、「DarkGate」の攻撃者は、Google DoubleClickのオープンリダイレクトとCVE-2024-21412を組み合わせることでSmartScreenを回避し、マルウェア感染に誘導しました。