BYOVD攻撃｜サイバーセキュリティ.com

  1. ホーム /
  2. セキュリティ用語集 /
  3. BYOVD攻撃
             

BYOVD攻撃

BYOVD（Bring Your Own Vulnerable Driver）攻撃とは、攻撃者が意図的に脆弱性のあるデバイスドライバを標的システムに持ち込むことで、管理者権限を取得し、システムを制御する攻撃手法です。BYOVD攻撃では、すでに既知の脆弱性を持つドライバが悪用されるため、セキュリティ対策の不備を突いてシステムの中枢に深く侵入しやすくなります。この攻撃は、OSのカーネルレベルにアクセスするための手法として非常に危険で、通常のセキュリティソフトウェアによる検出やブロックが難しい点が特徴です。

BYOVD攻撃の仕組み

BYOVD攻撃は、以下のような流れで行われます。

  1. 脆弱なドライバの選定
    攻撃者は、既知の脆弱性を持つデバイスドライバ（例えば古いグラフィックドライバや、パフォーマンスモニタリングツールのドライバなど）を選定します。これらの脆弱なドライバは、過去に発見された脆弱性により、OSのカーネルモードにアクセスするための権限昇格を可能にします。
  2. システムへのドライバのインストール
    攻撃者は、標的システムにこの脆弱なドライバをインストールします。多くの場合、WindowsやLinuxでは、署名されたドライバであれば比較的簡単にインストールが許可されるため、攻撃が成立しやすくなっています。
  3. カーネルモードへのアクセス取得
    攻撃者は、脆弱なドライバを利用してカーネルモードでの権限を取得し、システムのコントロールを確保します。このようにして、通常のユーザーモードではアクセスできない部分にも侵入できるため、システム全体の乗っ取りが可能になります。
  4. 追加のマルウェア展開や情報収集
    権限を確立した後、攻撃者はシステム内にさらに深く入り込み、データの窃取、ランサムウェアの設置、ネットワークの横展開といった攻撃を仕掛けることが可能です。

BYOVD攻撃のリスク

BYOVD攻撃は、通常のマルウェア攻撃に比べて非常に高度で深刻なリスクを伴います。以下は、主なリスクです。

  1. システム全体の制御を奪われる
    BYOVD攻撃によってカーネルレベルの権限を取得されると、システム全体の制御を攻撃者が掌握する可能性があります。これにより、OSの完全な管理、任意のプログラムの実行、セキュリティソフトの無効化などが行われます。
  2. 検出が困難
    脆弱なドライバを利用することで、通常のウイルス対策ソフトやエンドポイント保護システムを回避しやすくなり、システムが侵害されている事実に気づきにくくなります。さらに、ドライバ自体が正規の署名を持っている場合、セキュリティソフトの信頼リストをすり抜ける可能性が高まります。
  3. 権限昇格と横展開
    カーネルモードへのアクセスにより、攻撃者は通常のユーザーレベルからの権限昇格を実行し、他のシステムへの攻撃を広げることができます。これにより、ネットワーク全体が危険にさらされる可能性があります。
  4. セキュリティソフトや監視の無効化
    カーネルレベルのアクセス権限を得ると、システムのセキュリティ対策や監視機能を無効化することも容易になります。攻撃者は、システムが自身の存在を検出できないように動作し続けるため、長期にわたる潜伏活動が可能になります。

過去のBYOVD攻撃の例

BYOVD攻撃は、サイバー犯罪者や国家主導のAPT（高度な持続的脅威）によっても使用されてきました。以下に、過去の有名なBYOVD攻撃の例を挙げます。

  • Slingshot攻撃
    2018年に発見されたSlingshotマルウェアキャンペーンでは、脆弱なネットワーク機器ドライバを利用してカーネルモードに侵入し、感染デバイスをリモートで制御する手口が用いられていました。
  • Chimera攻撃
    特定のグラフィックドライバの脆弱性を利用し、カーネルモードでの権限昇格を行い、対象のコンピュータに感染させる攻撃です。これにより、システムの制御やデータ窃取が行われました。
  • ロシアのAPTグループによるBYOVD攻撃
    APT攻撃を行うロシアのハッカーグループが、過去に脆弱なドライバを利用して重要インフラや政府システムに侵入する事例がありました。

BYOVD攻撃への対策

BYOVD攻撃を防ぐためには、以下の対策が有効です。

  1. 脆弱なドライバのインストール制限
    管理者がドライバをインストールする際、署名の有無だけでなく脆弱性の有無もチェックし、既知の脆弱性を持つドライバのインストールを防ぎます。特定のデバイスドライバのみを使用するようにポリシー設定を行うことも効果的です。
  2. OSのセキュリティ機能の活用
    Windowsの「WDAC（Windows Defender Application Control）」や「Device Guard」など、未承認のドライバがカーネルモードで動作しないようにする機能を利用します。これにより、脆弱なドライバが不正にインストールされるリスクを抑制できます。
  3. エンドポイント検出と対応（EDR）ツールの導入
    EDRを利用して、異常なドライバのインストールやカーネルモードでの不正動作を監視し、迅速に対応できる体制を整えます。
  4. 脆弱性情報の管理とパッチ適用
    ドライバの脆弱性情報を把握し、可能な限りパッチが提供されているドライバに更新することで、既知の脆弱性が悪用されるリスクを減らします。定期的な脆弱性スキャンも効果的です。
  5. 最小権限の原則
    権限昇格のリスクを減らすため、最小限の権限で業務を遂行できるようにユーザー権限を管理します。特にドライバのインストールは管理者のみが許可されるように制限することで、権限昇格攻撃のリスクが軽減されます。

まとめ

BYOVD攻撃は、脆弱なデバイスドライバを利用してカーネルモードへの権限を不正に取得し、システム全体を支配する危険な攻撃手法です。この攻撃手法は、通常のウイルス対策やエンドポイント保護を回避しやすく、企業や組織にとって重大なリスクとなります。

このような攻撃に備えるためには、脆弱なドライバのインストール制限、OSのセキュリティ機能活用、EDRツールの導入、そして脆弱性の管理と定期的なパッチ適用が重要です。BYOVD攻撃に対して強固な防御策を講じ、システムのセキュリティを維持することが求められます。

関連コラム（あわせて、以下の記事もよく読まれています）

製品・サービス（当該コラムの内容に関連する製品・サービスはこちら）


SNSでもご購読できます。