Synapticsのドライバにキーロガー、HPが対策へ

　開発者のMichael Myng氏(ZwClose)は、HP製のSynapticsドライバに“潜在的な”キーロガーが存在するとし、HPにこの問題を報告した。即日にもHPが対策プログラムを配布している。

　ZwClose氏によれば、知人からHPのノートPCはどのようにしてバックライトを制御しているのか尋ねられることがあったという。そのとき「SynTP.sys」と呼ばれるSynapticsのタッチパッドドライバによって制御していると答えたのだが、これをIDAで開き調査したところ、キーロガーと思わしき文字列を発見したのだという。

　このキーロガーと思われる文字列は、「sub_140022C10」と呼ばれる機能に呼び出されていた。そしてこのsub_140022C10の正体は「KeyboardHookCallback」で、「TraceMessege」と呼ばれる機能に呼び出され、キーをトレースしていたという。

　ただしこの機能を有効にするためには「DebugMask」の値を2にセットしなければならず、標準では「3」に設定されていて無効化されている。また、ドライバのプロバイダIDとメッセージIDを取得しなければ、キートレースを取得できない(ただしこれは解明済みで、ZwClose氏はHPの製品を所持していなかったため検証できなかった)。

　ZwClose氏はコミュニティにこの問題を報告したが、誰も相手にしてくれなかった。そこでHPに直接報告したところ、すぐにこれがキーロガー(実際にはデバッグトレースだった)だと判明し、問題を修正するためのアップデートを配布したという。

　この脆弱性を突くためには、UACを迂回してWindowsのレジストリを編集する必要があるため、影響はきわめて限定的である。また、HPやSynapticsはこの機能でユーザーのデータにアクセスしたりはできない。しかし、この問題の影響を受ける機種のリストを見ると、約470機種ほどが該当するほか、SynapticsのすべてのOEMパートナーの製品に影響するため、比較的大規模な脆弱性修正が行なわれると見られる。CVEによる脆弱性問題の公開はもうじきアナウンスするとしている。