64 ビット オペレーティング システムを実行するコンピューターが数年前に普及したにもかかわらず、64 ビット マルウェアの量は依然として少ないままです。
セキュリティ企業Deep Instinctの新しい調査によると、世界で販売される新しいコンピュータの大部分（93％）は64ビットWindowsで動作するが、ほとんどの悪質なプログラムは32ビットシステムに感染するように書かれているという。
Deep Instinctは、64ビットマルウェアが現在の脅威状況の1%未満を占めていると推定しています。しかし、最近マルウェアの亜種が64ビット版で出現し始めているため、このわずかな数字は今後増加する可能性があります。
ここ2年ほどの間に、ランサムウェアやバンキング型トロイの木馬ファミリー（Zeus）の様々な亜種が64ビット版で登場しています。64ビットの脅威の約60%は、ワーム型のスパイウェアであるExpiroによって占められています。これに次いで、最も一般的な64ビットファミリーはVirut（20%）とNimda（10%）です。
「数億ドルの窃盗に関与した主要なバンキング型トロイの木馬であるZeusは、この種のマルウェアとしては初めて64ビット版を搭載しました」とDeep Instinctは報告しています。「他のバンキング型トロイの木馬やランサムウェアもこの傾向に追随し、今後数年間で64ビットマルウェアの数が増加すると予想されます。」
高度な64ビットマルウェアは、すでに複数のAPT攻撃キャンペーンで確認されています。特に注目すべきは、サウジアラムコの35,000台のコンピューターのデータを破壊した、ディスクを消去する破壊的なマルウェア「Shamoon」です。
Deep Instinctによると、サイバーセキュリティ業界は「悪意のある64ビットファイルの検出において深刻な課題」に直面する可能性があるとのことです。Black Hat 2014などで発表された調査によると、業界は64ビットファイルに対して期待外れの対応をしています。ホワイトハットの研究者たちは、64ビットMeterpreterの使用がセキュリティパッケージのバイパスを容易にすることを実証しました。
2016 年 7 月に公開された、VirusTotal スキャン結果に基づいてさまざまな Meterpreter ステージャーの検出率をテストした最近の調査でも、欠点が強調されました。
出典: ディープ・インスティンクト
コードシフト
32ビットアプリケーションは、WOW64（Windows-on-Windows-64）機能を通じて64ビットシステム上で実行できます。WOW64は、64ビットWindowsにインストールされた32ビットアプリケーションとの下位互換性を提供します。マルウェア環境の変化が、顧客の64ビットシステムの導入に追いついていないのは、このためです。
32ビットアプリケーションと64ビットアプリケーションはどちらも64ビットシステムで実行できますが、ほとんどの場合、32ビットコードは64ビットプロセスのメモリにアクセスできません。ドライバ署名とカーネルの「PatchGuard」保護により、64ビットシステムへのルートキットの感染は極めて困難になっています。こうした要因が、悪意のあるユーザーが64ビットマルウェアを開発する動機となっています。
Deep Instinctは、「多くの32ビットマルウェアの亜種は64ビットシステムでも動作しますが、コードインジェクションや権限昇格攻撃など、64ビットプロセスメモリへのアクセスを要求する攻撃は、64ビットマルウェアを使用するとはるかに容易になります」と述べています。「したがって、64ビットアーキテクチャとオペレーティングシステムが標準となるにつれて、脅威の状況は徐々に64ビットマルウェアへと移行すると予想されます。」
マルチプラットフォーム
悪意のある64ビット実行ファイルはWindowsシステムに限ったものではありません。LinuxやmacOSシステムも潜在的な危険にさらされています。
Deep Instinctによると、2016年末時点で、Linuxの脅威ランドスケープにおける64ビット版の亜種の割合はわずか10%未満ですが、その数は増加傾向にあります。macOSの脅威ランドスケープの大部分は、64ビットアーキテクチャをサポートするマルウェアで占められています。これは、2011年以降のすべてのmacOSプラットフォームが64ビットアーキテクチャでのみ動作することを考えると、驚くべきことではありません。
最近の 64 ビット macOS マルウェアの例としては、特に Mac ユーザーをターゲットにした完全機能のランサムウェアである KeRanger や、APT28 によって作成されたサイバースパイ用トロイの木馬である Komplex などがあります。
「ユーザーが 64 ビットに移行し続けると、マルウェア作成者もそれに追随するだろう」と Deep Instinct は結論付け、近年発見された多くの高度な持続的脅威 (BlackEnergy や Shamoon など) には 64 ビット マルウェアが含まれていたと付け加えています。®
