アップルの「OS X」ゼロデイ脆弱性に悪用事例が見つかる

　攻撃者がMacにroot権限でアクセスすることができるゼロデイ脆弱性が悪用されている事例が発見された。

　2015年7月、セキュリティ研究者のStefan Esser氏は、「OS X」に存在する特権昇格の脆弱性に関する情報を開示した。影響を受けるのはOS X 10.10.xで、この脆弱性は同OSに新たに追加された機能であるダイナミックリンカdyldと、環境変数DYLD_PRINT_TO_FILEを利用するものだ。

　このセキュリティホールはOS X El Capitan 10.11の最初のベータ版では修正されていたが、OS X 10.10.4の現行リリースや、OS X 10.10.5の現行ベータ版では修正されていないことを考えると、当時Appleがこのセキュリティホールについて知っていたかは明らかではない。Esser氏は、情報開示時にAppleに対して通知しなかったが、同社はほかの研究者の情報開示を通じて、このセキュリティホールについて知っていた可能性があると考えられている。

　残念ながら、このゼロデイ脆弱性はすでにOS Xで悪用されているようだ。

　Malwarebytesの研究者Adam Thomas氏は、新しいアドウェアのインストーラを見つけて調べている時に、この攻撃コードを発見した。Thomas氏は、OS Xのマシンでそのインストーラをテストしていたときに、sudoersファイルが修正されていることに気づいたという。sudoersファイルはUNIXの隠しファイルで、UNIXのシェルで、誰にどのようにroot権限を与えるかを決定するものだ。

　今回、このアドウェアインストーラは、この脆弱性を利用し、管理者のパスワードを入力することなしに、UNIXシェルを通じてroot権限を獲得していた。

　問題の攻撃スクリプトは、ファイルに書き込まれ、実行されてから削除されていた。このスクリプトは、sudoersファイルに変更を加え、パスワードなしでrootとしてシェルコマンドを実行できる状態にしてから、VSInstallerと呼ばれるアプリを実行している。

　このアプリはroot権限を与えられているため、何でも好きなものをダウンロードすることができる。VSInstallerは、アドウェアインストーラーのディスクイメージの中の、隠しディレクトリで見つかった。

　Malwarebytesのセキュリティチームによれば、VSInstallerはアドウェアの「VSearch」をインストールするほか、アドウェアの「Genieo」とジャンクウェアの「MacKeeper」もインストールする。

　公式にパッチが公開されるまでは、Esser氏自身が作成したパッチを使う以外には、これらの攻撃から身を守る方法はない。