SaAT Netizen開発元自社製セキュリティソフトの更新はSHA-256で保護されている

セキュリティサービスのアンラボ
全てを試したわけではないのだが、AhnLab V3 Internet Security 8.0 で更新プログラムに同じような脆弱性があるか調べてみた。

http://updatealj.durasite.net/ahnjapan/onetouch/patch/ahnpatch.ui

更新サーバーのアクセスリストの一部を抜粋
ここは偽装できる

しかし、更新ファイル定義については
http://updatealj.durasite.net/ahnjapan/onetouch/patch/04/ahn.ui
ではなく
http://updatealj.durasite.net/ahnjapan/onetouch/patch/04/ahn.uic.ahc
や
http://updatealj.durasite.net/ahnjapan/onetouch/patch/04/ahn.uic
に行く。

ahc ファイルの中身は何かというと

ahn.uic をcab 圧縮して証明書を付加したファイルになっている。

AhnTrust.dllに AhnTrust_VerifyAHC という関数があるので、恐らくSHA-256の整合性チェックも行われている
暗号化なしの部分のファイルだけダウンロードできるようにしてみたところ、エラーだと怒られてしまった。

ちゃんと強化された、整合性チェックが行われているのだ

つまり、国際的に利用される自社製セキュリティソフトにはダウンロー ドの定義ファイルの検証がしっかり行われているにもかかわらず、日本の銀行関連企業にリリースした SaAT Netizen のダウンロードの仕組みには、検証システムが組み込まれておらず、容易に中間者攻撃によって管理者権限で任意のプログラムを実行するためのバックドアが故 意に仕込まれていたと考えた方が腑に落ちる。

これ…誰も気付かなくて、サイバーテロが実際に起こっていても、ちゃんとした製品ではなく、無料のサービスだったんだから知らんわって雲隠れされそう(笑)

追記：
V3製品のアップデート構成から、SaAt Netizen の更新プログラムのサーバーを見たら更新サーバーの方には 電子署名されたahcファイルが存在してる。
インストール時は管理者権限で任意のプログラムを実行できる。一方、アップデートについては、その可能性ありという感じ。
次の記事でまとめます。

Ahnlab 製品 の解析から分かった SaAT Netizenの脅威のまとめ