MiniPlasma 検出 (CVE-2020-17103)

cldflt.sys の競合状態を悪用して SYSTEM アカウントの windir 環境変数を乗っ取り、WER QueueReporting スケジュールタスクをリダイレクトして攻撃者制御のバイナリを SYSTEM として実行させる Windows ローカル特権昇格エクスプロイト MiniPlasma の Sigma 検出ルール。

CVE-2020-17103 は 2020 年に Google Project Zero の James Forshaw によって報告され、Microsoft によって修正されたとされています。2026 年 5 月現在、完全にパッチ適用された Windows 11 システム上でも完全に悪用可能です。

このルールはエクスプロイトの基本プリミティブである、USER\.DEFAULT\Volatile Environment\windir へのレジストリ書き込みを検出します。この操作は正規のソフトウェアでは決して実行されません。

使用方法

sigma convert -t <backend> -p <pipeline> miniplasma_wer_windir_hijack.yml

参考情報

• https://github.com/Nightmare-Eclipse/MiniPlasma
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17103
• https://www.bleepingcomputer.com/news/microsoft/new-windows-miniplasma-zero-day-exploit-gives-system-access-poc-released/