argument switch attack KHOBE

こんちゃ（´･ω･)ﾉ

皆さんは「argument switch attack」という攻撃をご存知かな。
または、「KHOBE(Kernel Hook Bypassing Engine 」ともいいます。

この攻撃は最近出てきたものであまりメジャーではないのだが、
なかなかおもしろい攻撃なので紹介しようと思う。

この「argument switch attack」は
PCにいれてるセキュリティソフトの効果を無効にしてしまうといったことをするのです。

正確には、
悪意のあるコードを実行する前にチェックするはずが、
チェック前に先に「無害だよ！」ってセキュリティソフトに知らせる。

そういったことをする攻撃です。
これで悪意のあるコード実行し放題ですし、
セキュリティソフトは悪意のあるコードを発見できません。

この悪意のあるコードというのは、
ウイルスやスパイウェアなどいろいろと有害なものがあるため、
これは心配です。


これを知ったきっかけは、
http://headlines.yahoo.co.jp/hl?a=20100513-00000006-inet-secu
の記事をみて知りました。

ちなみに、
ほとんどのセキュリティソフトがこの攻撃には対応できないらしいです。

マトウセック社がこの情報を発表したのですが、
GDATAはこれを「問題ない」としています。

というのも、
まだこの攻撃手法を使用した実際のウイルスやスパイウェア、
攻撃事例などがないからです。

また、このような攻撃があっても、
パターンファイルマッチングで、
このコード自体を検出するようにできるとのこと。