What is Zero Day Malware?

ゼロデイマルウェアは、未知の保護されていない脆弱性を悪用するマルウェアです。この新しいマルウェアは検出と防御が困難であり、ゼロデイ攻撃は企業のサイバーセキュリティに対する重大な脅威となっています。

ゼロデイ脆弱性とゼロデイマルウェア

ゼロデイ脆弱性とは、ソフトウェアメーカーがパッチをリリースする前、またはパッチが広く展開される前に悪用される脆弱性です。パッチ管理に伴う遅延は、「ゼロ日目」と呼ばれる期間を残し、適切な防御策にアクセスできない組織で脆弱性が悪用される可能性があります。

ゼロデイマルウェアは、これらのゼロデイ脆弱性を悪用するマルウェアです。多くの場合、エクスプロイト開発者は、対応するパッチを開発して展開するよりも迅速に脆弱性に対する攻撃を作成できます。つまり、脆弱性を悪用するマルウェアは、組織が脅威を取り締まる前に広範囲に拡散する可能性があるということです。

ゼロデイマルウェアの例

ゼロデイマルウェアが存在するためには、ゼロデイ脆弱性も存在する必要があります。残念ながら、これらのタイプの脆弱性は非常に一般的です。

最近の例としては、2021年3月に同社によってパッチが適用されたMicrosoft Exchangeの一連の脆弱性があります。これらの脆弱性を悪用して、攻撃者が脆弱なシステム上で悪意のあるコードを実行できるようにする可能性があり、リモートコード実行(RCE)の脆弱性であり、ゼロデイマルウェアに最適です。しかし、脆弱性の潜在的な影響が大きいにもかかわらず、パッチ適用は遅々として進まなかった。

その結果、この脆弱性を悪用するさまざまなゼロデイマルウェアの亜種が作成されました。これらのゼロデイマルウェアの亜種の1つは、 Hafniumと呼ばれています。 Hafniumは、Microsoft Exchangeのエクスプロイトを使用して脆弱なExchangeサーバーにアクセスする情報窃取マルウェアです。そこから、権限を昇格させ、その結果得られたアクセスを使用して、電子メールとユーザーの資格情報を盗みます。

従来のサイバーセキュリティ戦略がゼロデイマルウェアに対して効果がない理由

ゼロデイマルウェアは、従来のサイバーセキュリティ戦略の多くがゼロデイマルウェアから保護できないため、サイバーセキュリティの重大な課題となっています。ゼロデイマルウェアは、特定の脆弱性が発見された直後にリリースされ、その脆弱性について多くのことが知られたり、パッチが開発されたりする前にリリースされるため、従来の防御では検出と防御に苦労する可能性があります。

一部のサイバーセキュリティ戦略は、問題の脆弱性やエクスプロイトに関する知識に基づいていますが、これは明らかにゼロデイ脅威には利用できません。その結果、これらの脅威を軽減するための特定の方法は効果がありません。

パッチ管理: 特定のマルウェアの亜種の脅威を軽減する最善の方法は、その亜種が依存する脆弱性にパッチを適用することです。しかし、ゼロデイマルウェアではパッチが利用できないため、脆弱なシステムにパッチを適用することは不可能です。
シグネチャベースの検出: 従来のウイルス対策システムや脅威検出システムの多くは、マルウェアの亜種の一意のフィンガープリントであるシグネチャを使用して動作します。ゼロデイマルウェアでは、サイバーセキュリティ研究者はマルウェアを研究し、これらのシグネチャを開発して配布する機会がありませんでした。
エクスプロイト検出: マルウェアだけでなく、シグネチャを用いて脆弱性の悪用を検知することも可能です。ただし、マルウェアと同様に、ゼロデイ脆弱性には、これが機能するために必要なシグネチャがありません。

サイバーセキュリティは、常にサイバー防御者とエクスプロイト開発者の間の競争です。ゼロデイ脆弱性やマルウェアの場合、組織が脅威管理を従来の方法に依存している場合、エクスプロイト開発者は大きな利点があります。

ゼロデイマルウェアを防ぐ方法

ゼロデイマルウェアに対して効果のない従来のサイバーセキュリティ戦略は、検出に大きく依存しています。しかし、存在を知らない脅威を正確に検出して対応することは困難です。

ゼロデイ脅威を管理するためのより良いアプローチは、予防を使用することです。チェック・ポイントの予防ファーストのアプローチは、未知の脅威から効果的に保護する唯一の方法であり、次のような機能が含まれています。

脅威インテリジェンス:ThreatCloudは、AIを使用して毎日860億件のトランザクションを検査する最大のサイバー脅威インテリジェンスデータベースです。これにより、ゼロデイマルウェアキャンペーンを早期に検出し、組織が自らを保護できるようになります。
脅威対策エンジン: マルウェアの亜種は大きく異なる可能性がありますが、多くの場合、目的を達成するために同様の手法を使用します。脅威対策エンジンは、リターン指向プログラミング(ROP)や既知のマルウェアのコードの使用などの危険信号を監視し、ゼロデイマルウェアを検出してブロックします。
統一： ゼロデイマルウェア攻撃では、インシデントの影響とコストを最小限に抑えるために、迅速かつ協調的な対応が不可欠です。チェック・ポイントのソリューションは、組織のセキュリティアーキテクチャを統合し、急速に進化する脅威に対する協調的かつ自動化された対応を可能にします。

チェック・ポイントの人工知能(AI)の使用は、予防に重点を置いたセキュリティ戦略にとって重要です。 AIがサイバー攻撃の防止にどのように役立つかについては、こちらのホワイトペーパーをご覧ください。