マイクロソフト、マルウェア攻撃に悪用された ゼロデイ を修正
セキュリティメディア「Bleeping Computer」によると、マイクロソフト（Microsoft）が初期にはタグできなかった二つの ゼロデイ 脆弱性を4月のPatch Tuesday期間中修正したそうです。
パッチした一つ目の ゼロデイ 脆弱性はプロキシドライバスプーフィング脆弱性（CVE-2024-26234）です。2023年12月にSophos X-Opsが発見し、チームリーダのChristopher Buddが報告した有効なマイクロソフトハードウェアパブリッシャー証明書を使用して署名された悪性ドライバをしようして署名された悪性ドライバを追跡するために発行されました。この悪性ファイルはCatalog Thalesにより「Catalog Authentication Client Service」というラベルが付けられ、これはThalesグループ詐称の試しである可能性が高いです。しかし、調査結果、前にLaiXi Android Screen Mirroringというマーケティングソフトウェアと一緒にバンドルとして提供されたことが明らかになりました。SophosはLaiXiソフトウェアの真偽を把握することはできませんでしたが、Buddはそのファイルが悪意的なバックドアであることを確信すると言います。Buddは、「2022年と同じく、マイクロソフトのセキュリティ対応センターに調査の結果をすぐに報告した。マイクロソフトの研究チームはこれを検証し、関連ファイルを失効リストに追加した」と言いました。
Sophosの研究結果、サイバーセキュリティ会社のStairwellの報告書（1月分）とリバースエンジニアリング専門家のJohann Aydinbaのツイートを確認してシェアされた情報を基盤とします。RedmondはCVE-2024-26234のエクスプロイト状態を修正するために諮問をアップデートしました。Sophosは2023年7月と2022年12月に合法的なWHCP証明書に署名した他の悪性ドライバを報告しましたが、マイクロソフトはそれに対してCVE-ID発給の代わりにセキュリティ勧告を発表しました。
二つ目の ゼロデイ 脆弱性はCVE-2024-29988と追跡される脆弱性であり、保護メカニズムの障害により発生するSmartScreenプロンプトのセキュリティ機能バイパスの脆弱性と説明できます。CVE-2024-29988はCVE-2024-21412のバイパスであり、トレンドマイクロの ゼロデイ イニシアティブのPeter GirnusとGoogleの脅威分析グループDmitrij Lenz、Vlad Stolyarovにより報告されました。ZDIのHead of Threat AwarenessであるDustin Childsは、この脆弱性がEDR/NDRの検知を回避し、MotW（Mark of the Web）機能をバイパスした後、対象のWindowsシステムにマルウェアを配布する攻撃に使用されるとタグしました。
ChildはBleeping Computerとのインタビューで「この脆弱性はZDIの脅威研究者によって見つかり、2月に初めて扱われたCVE-2024-21412と関係がある」と言い、「一つ目のパッチは脆弱性を完全に解決することはできませんでした。このアップデートは悪用チェーンの二つ目のところを扱います。マイクロソフトはこの脆弱性をパッチすると表示しなかったので、パッチが実行されたときは驚きました。」と言いました。CVE-2024-29988を悪用する財政的な動機のあるWater Hydraハッキンググループも大晦日にCVE-2024-21412を ゼロデイ として悪用し、DarkMeのリモートアクセストロイ（RAT）を配置したスピアフィッシングの攻撃で為替取引フォーラムや株取引きのTelegramを攻略しました。CVE-2024-21412はそのものでCVE-2023-36025と追跡された他のDefenderSmartScreen脆弱性のバイパスであり、2023年11月のPatch Tuesdayにパッチされ、Phemedroneマルウェアを除去する ゼロデイ として利用されました。
一方、マイクロソフトは2024年4月のPatch Tuesdayの一部として150個の脆弱性に対するセキュリティアップデートを発表し、その中で67個はリモートコード実行のバグでした。
