［米国］
米国のセキュリティ研究者、新タイプのルートキットをBlack Hatで発表へ

「OSではなくSMMで稼働する、きわめて検知困難なソフト」

（2008年05月12日）

　米国のセキュリティ研究者が、新たなタイプのルートキット（システムのルート権限を盗み出すための悪意あるプログラム）の開発につながる概念実証ソフトを開発した。同ソフトは、今年8月に米国ラスベガスで開催されるセキュリティ・コンファレンス「Black Hat」で公開される予定だ。

SMMルートキットを開発した米国Clear Hat ConsultingのShawn Embleton氏（写真左）とSherri Sparks氏（同右）

　SMM(System Management Mode：システム管理モード)ルートキットと呼ばれるこの概念実証ソフトは、システムの電源管理を担うSMM上で稼働する。SMMルートキットを開発した、米国のセキュリティ・コンサルティング会社Clear Hat Consultingのショーン・エンブルトン(Shawn Embleton)氏とシェリー・スパークス(Sherri Sparks)氏によると、同ソフトには、キー・ロギング／通信ソフトが組み込まれており、同ソフトを忍ばせたPCから情報を盗み出すことも可能だという。

　現在、サイバー犯罪者が使っているルートキットは、検知されるのを防ぐため、みずからの痕跡を隠すように設計されている。ルートキットは、米国Sony BMG Musicによって使われ始めた2005年以降、広く普及するようになった。

　近年、サイバー犯罪者や研究者たちの関心は、OSの外でルートキットを稼働させる手法の開発に集まっている。このようなルートキットは、現在のアンチウイルス製品では検知するのがきわめて難しいからだ。2年前、シンガポールにあるコンピュータ・セキュリティ・イニシアチブ・コンサルタンシー（COSEINC）のジョアンナ・ルトコフスカ(Joana Rutkowska)氏は、AMDが導入したチップ・レベルの仮想化技術を使ってみずからを隠す「Blue Pill」というルートキットを発表し、「この技術を使うことで100％検知不可能なマルウェアを開発することが可能になる」と警告した。

　3年前に「Shadow Walker」と呼ばれるルートキットを開発したことのあるSparks氏も、「近年のルートキットは、ハードウェアで稼働するタイプのものが多くなっている。システムの中に深く入り込むほど攻撃力が強まり、検知も難しくなる」と指摘する。

　Blue Pillが、近年マイクロプロセッサに搭載されるようになった新しい仮想化技術を利用しているのに対し、SMMルートキットは、米国Intelの386プロセッサ（1985年に発表）の時代から使われているSMM上で稼働する。米国のセキュリティ・コンサルティング会社NGS Softwareの調査ディレクター、ジョン・ヒースマン(John Heasman)氏によると、SMMルートキットは、メモリ内におけるロックされた部分に置かれるため、Blue Pillよりも検知が難しいという。

　SMM上で稼働する悪意のあるソフトについては、数年前から多くの研究者たちが警鐘を鳴らしていた。2006年には、ロイス・デュフロ(Loic Duflot)という人物が、SMMマルウェアの稼働メカニズムを実証してみせた。Embleton氏は、「Duflot氏が開発したのは、OSのセキュリティ・モデルの裏をかく小さなSMMハンドラ（制御ソフト）だった。われわれは、このアイデアを発展させ、ルートキット・ライクなテクニックを用いて、より複雑なSMMハンドラを開発した」と語る。それが、SMMルートキットというわけだ。

　ただし、SMMルートキットを稼働させるには、デバッガに加え、扱いにくいアセンブラ言語でドライバ・コードを作成しなければならない。しかも、このドライバ・コードは、攻撃するシステムが明確に認識できるものでなければならないという。

　Sparks氏は、「（SMMルートキットは）ハードウェアへの依存度が高いので、脅威が拡散する可能性は低い。おそらく、ターゲットを絞った攻撃に用いられるのではないか」と指摘する。また、SMMルートキットの検知が100％不可能かどうかという点についても、「検知が難しいとは思うが、不可能であるとは言っていない」と語る。

　Sparks氏とEmbleton氏は、Black Hatのセッションで、検知手法についてもさらに議論したいとしている。

(Robert McMillan／IDG News Serviceサンフランシスコ支局)