セキュリティ

Defenderが悪性ファイルを元の場所に書き戻す奇妙な挙動

マルウェアと判定したファイルを、なぜかDefenderが元の場所に書き戻す。その奇妙な挙動を突いてSYSTEM権限を奪うPoCが公開された。2週間で2本目のゼロデイ投下だ。

情報の灯台

2026年4月17日

守るはずのアンチウイルスが、ファイルを復元する

本日、Microsoft Defenderに未パッチの権限昇格ゼロデイが存在することが明らかになっている。PoC（概念実証コード）はGitHubに公開済みで、完全にパッチが当たったWindows 10、Windows 11、Windows ServerでSYSTEM権限を奪取できる。ただし条件は一つ、Defenderが有効になっていること。皮肉としては、なかなかの切れ味だ。

発見したのは「Chaotic Eclipse」を名乗る研究者で、GitHubでは「Nightmare-Eclipse」として活動している。同じ人物が2週間前に公開した別のDefenderゼロデイ「BlueHammer」は、4月のPatch Tuesdayで CVE-2026-33825 として修正されたばかりだ。しかし今回のRedSunは別物で、現時点ではパッチが存在しない。

核心は、研究者自身がリポジトリ（repository）のREADMEに書いた一文に凝縮されている。

普通ならPoCをそのまま放り投げて、あとは勝手に解析してもらうところだ。だが今回はそれができない。あまりにも笑える話だからだ。Windows Defenderは、悪性ファイルにクラウドタグが付いていると気づくと、なぜか知らないがそのファイルを元の場所に書き戻すのが良いと判断する。このPoCはその挙動を悪用して、システムファイルを上書きし、管理者権限を奪う。

ウイルス対策ソフトが、検知したマルウェアを「削除する」のではなく「元の場所へ丁寧に復元する」。文章として読むだけでも奇妙だが、PoCはこの挙動を利用して実際にシステムを乗っ取る。

クラウドタグという落とし穴

技術的な仕組みを整理する。RedSunが利用するのはWindowsの「Cloud Files API」、つまりOneDriveのようなクラウド同期ストレージのためのインターフェースだ。攻撃者はまず、このAPIを使ってクラウドタグ付きのファイルを作成し、その中にEICAR（アンチウイルスのテスト用文字列）を書き込む。Defenderは当然これを悪性ファイルとして検知する。

問題はここからだ。通常なら削除や隔離に進むところを、Defenderはクラウドタグを見て「これは同期ファイルだから、元の場所に復元しておこう」と判断してしまう。この瞬間に、攻撃者はNTFSジャンクション（ディレクトリ再解釈ポイント）とオポチュニスティックロック（opportunistic lock）を組み合わせて、書き込み先をC:\Windows\System32配下の任意のファイルにすり替える。

Defenderは自分が書き戻そうとしたファイルが、気づけばシステムディレクトリのサービス実行ファイルに化けていることに気づかない。SYSTEM権限で動作するDefenderが、SYSTEM権限で動くサービスバイナリを、攻撃者が用意した内容で上書きする。次回そのサービスが起動した時点で、攻撃者のコードがSYSTEM権限で走る。ゲームオーバーだ。

アンチマルウェア製品というのは、悪性ファイルを「削除する」ものだと思っていた。「そこに在ることを確認する」ものではなく。まあ、私の認識がおかしいだけかもしれないが。

研究者自身のこの皮肉が、脆弱性の本質を最も端的に突いている。保護機能が、保護対象を破壊する経路になっている。

Tharrosの主任研究員も動作を確認

Bleeping Computerの報道によれば、Tharros（旧Analygence）の主任脆弱性アナリストであるウィル・ドーマン（Will Dormann）がPoCの動作を検証済みだ。最新のPatch Tuesday適用済みのWindows 10・Windows 11・Windows Server 2019以降で、SYSTEM権限を取得できることを確認している。

ドーマンはMastodonへの投稿で技術的な解説を加えており、PoCが「Cloud Files API」を使ってEICARを書き込み、オポチュニスティックロックでボリュームシャドウコピーのレース条件を勝ち取り、ディレクトリジャンクションで書き換え先をC:\Windows\system32\TieringEngineService.exeに誘導すると説明した。

Cloud Files Infrastructureが、攻撃者が差し込んだTieringEngineService.exeを起動する。それはSYSTEM権限で動くRedSun本体だ。Defenderが掘った落とし穴に、Defenderが自分で落ちていく構図になる。

一部のアンチウイルスベンダーはVirusTotal上でPoCを検出しているが、それは実行ファイルにEICAR文字列が埋め込まれているからに過ぎない。ドーマンが検証用にEICAR部分を暗号化したバージョンを作ると、検出は大きく減ったという。本質的な悪性挙動ではなく、テスト用文字列そのものを見て反応しているだけ、ということだ。

研究者が公開に踏み切った理由

ここから先は、技術の話ではない。

RedSunとBlueHammerがなぜ「調整された開示」を経ずに公開されたのか。研究者本人がブログで語っている内容は、業界関係者にとって無視できない重みを持つ。

普段なら、バグを直してくれと頼み込むプロセスを踏むところだ。だが要約するとこうだ。「お前の人生をめちゃくちゃにしてやる」と直接告げられ、実際にそうされた。この酷い体験をしたのが私だけなのか、数人いるのかは分からない。多くの人は呑み込んで損切りするだろう。だが私の場合、彼らは私から全てを奪った。

別の箇所では「彼らは私を床に叩きつけ、思いつく限りの幼稚な嫌がらせを仕掛けてきた」とも書いている。かなり生々しい表現だが、研究者はこれらをPGP署名付きのメッセージとして投稿しており、別人のなりすましではない。

一方のMicrosoftは、Bleeping Computerの問い合わせに対して一般的なコメントを返した。顧客への約束として報告されたセキュリティ問題を調査する、調整された脆弱性開示の慣行を支持する、という内容だ。具体的な反論は含まれていない。

この食い違いをどう読むかは難しい。ドーマンを含む複数のセキュリティ研究者は、MSRCの対応品質が近年落ちているという観測を共有している。Trend Micro傘下のZero Day Initiativeを率いるダスティン・チャイルズ（Dustin Childs）も、Dark Readingの取材で「似たような不満を過去に経験した」と語っている。脆弱性報告にビデオ実演を要求する運用が、報告者の負担を不必要に重くしているという指摘もある。

もちろん、一研究者の主張だけでMicrosoftの対応全体を断罪することはできない。だがゼロデイが2本立て続けに公開された事実は、少なくとも何かが機能していないことを示している。

現時点で取れる対策

RedSunにはまだ公式パッチがない。Microsoftが緊急アップデートを出すか、Patch Tuesdayまで待つかは現時点で不明だ。企業の管理者が取れる現実的な選択肢は限られている。

Defenderを無効化すれば脆弱性は消えるが、それは別のリスクを抱え込むことになる。クラウドベース保護（cloud-delivered protection）を無効にすることで攻撃経路を一部塞げる可能性はあるが、これも副作用を伴う。

現実的には、Microsoft Defenderを主要保護として使っている環境では、EDRや別のアンチウイルスを併用して多層防御を厚くするしかない。PoCは既に公開済みで、ランサムウェアグループが数日以内に自分たちのツールチェーンに組み込むのは、過去の事例を見れば時間の問題だ。

Chaotic Eclipseは、関係が改善しなければさらに深刻な脆弱性、具体的にはリモートコード実行（RCE）レベルのものを公開すると警告している。脅迫と受け取るか、警告と受け取るかは立場次第だが、少なくともハッタリでないことは2本目の公開で証明された。

この騒動が問うているもの

RedSunという脆弱性そのものは、1〜2週間後に修正される可能性が高い。技術的な問題としては、解決可能な範囲にある。

しかし本当の問題は、それで終わらない。

研究者を公開の実力行使に追い込むまで対話が崩れる開示プロセスが、業界の標準として維持可能なのか。アンチウイルスの設計において、「検知」と「復元」という相反する操作を同じエンジンが担う構造が妥当なのか。そしてMicrosoftが掲げたSecure Future Initiativeは、こうした摩擦の現場に届いているのか。

皮肉屋の研究者が残したREADMEの一文が、業界全体への問いとして重く響く。アンチマルウェアは悪性ファイルを削除するものだ、と。

参照元

他参照