【ITニュース解説】New EDR-Freeze tool uses Windows WER to suspend security software

今回のニュースは、「EDR-Freeze」という新しい方法と、それを示す「概念実証ツール」が公開されたという内容だ。このEDR-Freezeは、Windows OSに標準で備わっている「Windows Error Reporting（WER）」という機能を悪用して、コンピュータのセキュリティを守る重要なソフトウェアである「EDR」を一時的に停止させることに成功したという点が問題となっている。システムエンジニアを目指す初心者にとって、OSの基本的な機能とセキュリティの仕組み、そしてそれらがどのように悪用されうるのかを理解する上で非常に重要な情報である。

まず、「EDR」とは何かについて説明する。EDRは「Endpoint Detection and Response」の略で、コンピュータやサーバーといった末端の機器（エンドポイント）で、悪意のある活動を監視し、検知し、対応するためのセキュリティシステムを指す。従来のアンチウイルスソフトが、既知のマルウェアを検知して排除することが主な役割だったのに対し、EDRはさらに一歩進んだ防御策を提供する。システム内でプログラムがどのように動いているか、不審なネットワーク通信がないか、ファイルが不自然にアクセスされていないかなどを継続的に監視し、怪しい動きや、未知の脅威による攻撃の兆候があれば、それをリアルタイムで検知する。そして、管理者へ通知したり、自動的にその脅威の活動を止めたりすることで、被害が広がる前に対処できるように設計されている。今日の複雑なサイバー攻撃に対応するために、多くの企業や組織で導入が進んでいる、非常に重要なセキュリティツールである。

次に、悪用された「Windows Error Reporting（WER）」について説明する。これは、Windows OSに標準で搭載されている機能の一つだ。アプリケーションが予期せず終了したり、システムでエラーが発生したりしたときに、その問題の原因を特定するための情報を自動的に収集し、マイクロソフトに報告するための仕組みである。開発者がソフトウェアのバグを修正したり、システムの安定性を向上させたりするために、非常に重要な役割を果たしている。通常、ユーザーはエラーが発生すると「問題が検出されました」といったダイアログを目にし、エラーレポートを送信するかどうかを選択する機会がある。この機能は、本来はシステムの安定性と信頼性を高めるために善意で提供されているものだ。

しかし、EDR-Freezeは、このWERの仕組みを悪用する。具体的には、攻撃者が標的とするEDRソフトウェアのプロセスを意図的にクラッシュさせるか、エラー状態に陥らせる。すると、WindowsはEDRソフトウェアに問題が発生したと認識し、WERの機能を発動させる。WERは、エラーの原因を調査するために、問題が発生したプロセスに関連する情報を収集する。この情報収集の過程で、WERは一時的にEDRソフトウェアのプロセスを停止させるのだ。まるで、事故調査のために現場検証が行われている間、一時的に交通が遮断されるようなものだ。このEDRが一時的に停止しているわずかな時間、攻撃者はその隙を突いて、検知されることなくシステム内で悪意のある活動を実行できてしまう。

ここで特に重要なのが、「ユーザーモードから」という点だ。Windows OSには、大きく分けて「カーネルモード」と「ユーザーモード」という2つの実行モードがある。カーネルモードはOSの核となる部分で、システム全体の管理やハードウェアへの直接アクセスといった特権的な操作を行う。多くのセキュリティソフトウェア、特にEDRは、このカーネルモードに近い場所で動作し、システム全体を監視することで高いセキュリティを確保している。一方、ユーザーモードは、普段私たちが利用する一般的なアプリケーションが動作する領域で、システムリソースへのアクセスには制限がある。通常、ユーザーモードのプログラムがカーネルモードに近い場所で動作するセキュリティソフトウェアに直接影響を与えることは難しいとされている。しかし、EDR-Freezeは、この権限が制限されたユーザーモードからWERを悪用することで、高い権限で動作するEDRを一時的に停止させることに成功した。これは、攻撃者が高いシステム権限（管理者権限など）を持っていなくても、セキュリティ対策を無力化できる可能性を示しており、その危険性が高いと評価される理由となっている。

EDRが一時的に停止するということは、システムが無防備な状態になることを意味する。この短時間の間に、攻撃者はマルウェアをシステムに完全にインストールしたり、重要なデータを窃取したり、システムの設定を改ざんしたりと、様々な悪意のある行為を実行できてしまう。特に、一度システムに侵入した攻撃者が、自身の活動を隠蔽するためにEDRを停止させる「ポストエクスプロイテーション（侵入後の活動）」において、非常に強力な手口となり得る。OS標準の機能を悪用しているため、検出が難しい可能性もあり、従来のセキュリティ対策では見つけにくい、新しいタイプの攻撃を可能にする可能性があるため、深刻な脅威として受け止められている。

この発見は、Windows OSの既存機能を悪用するという、サイバーセキュリティの新たな側面を浮き彫りにした。マイクロソフトはこの問題について認識しており、今後OSのアップデートで対策を講じる可能性がある。また、EDRを提供するセキュリティベンダーも、このEDR-Freezeのような手法からEDRを保護するため、WERの挙動を監視したり、自社製品のプロセスが不審に停止されないよう保護機能を強化したりといった対策を検討する必要がある。システムエンジニアを目指す者としては、OSやソフトウェアの基本的な仕組みを深く理解し、常に最新のセキュリティ情報を追いかけ、システムを最新の状態に保つことの重要性を再認識すべきだ。未知の脆弱性や悪用手法が日々生まれる中で、基本的なセキュリティ対策の徹底と、新しい脅威への迅速な対応が不可欠となるだろう。