IT担当者の多くは、攻撃者を「侵入させない」ことにエネルギーを注いでいます。しかし、Huntressが調査した最近のインシデントは、攻撃者が侵入した後に何をするのか(そしてそれがなぜ同じくらい重要なのか)について多くのことを教えてくれます。
攻撃者は初期侵入に成功しても、データの窃取やファイルの暗号化、ランサムウェアの展開といった「強奪」にすぐには走りません。むしろ時間をかけて環境に居座り、バックドアを作成し、痕跡を消し、検知に使われるツールを無効化していきます。
本記事では、攻撃者がまさにそうした作業を異例なほど徹底的に行った、6月に発生した実際のインシデントを詳しく見ていきます。攻撃者が初期侵入後に環境を積極的に改変していった経緯と、それが防御側の事後対応の考え方にどのような意味を持つのかを解説します。
侵入経路
Huntressのセキュリティチームは、まずMicrosoft SQL Serverのプロセスに関連する不審な挙動に気づきました。詳しく調べたところ、攻撃者はデータベースを直接狙ったわけではないことが分かりました。
代わりに見つかったのは、同じサーバー上にあるユーザー入力を適切にチェックしていないウェブページ、つまり典型的なSQLインジェクションの脆弱性でした。この欠陥により、攻撃者は基盤となるWindowsマシンにアクセスできるようになっていました。
付け加えておくと、SQLインジェクションは今なお、最も一般的で、かつ最も予防可能なWebアプリケーションの脆弱性の一つです。これは、検索ボックスやログインフォームなど、訪問者が入力した情報を、安全性を確認しないままデータベースに直接渡してしまう場合に発生します。
内部の下見
侵入後、攻撃者は性急には動きませんでした。まず、マシン上で稼働しているサービスの一覧を表示するWindows標準のコマンドを実行しています。これは、攻撃者が「何が狙う価値があるか」「どのプロセスに悪意ある活動を偽装できるか」を把握するためによく使う、シンプルな偵察の手口です。
さらに、そのスキャン結果を自分が管理するサーバーへと送信していました。おそらく後で確認するか、自動化されたツールに読み込ませる目的だったと考えられます。
そこから攻撃者は、環境を自分好みに作り替える作業に取りかかりました。
-
それまで有効化されていなかったリモートデスクトップアクセスを有効化しました。
-
新しいユーザーアカウントを作成し、ローカルの管理者グループに追加しました。これにより、即座に高権限のアクセスを得られるだけでなく、再起動や簡単なクリーンアップを行っても、そのアクセス権が生き残る仕組みを作りました。
-
その新しいアカウントを使ってリモートデスクトップ経由でログインしました。
-
Microsoft標準のウイルス対策ソフトであるWindows Defenderを無効化しました。ただし注目すべき点として、EDRなど他のセキュリティ監視ツールには手を付けませんでした。これはやや珍しく、攻撃者がEDRの存在に気づかなかったか、あるいは無効化する手段を持っていなかった可能性を示唆しています。
Webサーバーを武器化する
続いて攻撃者は、そのマシンで稼働しているInternet Information Services(IIS)のWebサーバーソフトウェア向けに、悪意あるアドオンをいくつかインストールしました。
これらのアドオンは、BadIISとして知られるマルウェアファミリーの一部です。BadIISは通常、正規のWebサイトのトラフィックを乗っ取って検索エンジン詐欺に利用するために使われ、訪問者をリダイレクトしたり、隠しリンクを挿入したり、本来のサイトが意図したものとは異なるコンテンツを表示させたりします。
要するに、他人のWebサーバーを、サイト所有者に気づかれないまま検索順位や広告トラフィックを操作するためのツールへと変えてしまうわけです。
ひそかに仮想通貨をマイニング
次に攻撃者は、そのマシンに仮想通貨マイニングプログラムを仕込みました。これは、侵害したシステムの処理能力を使って仮想通貨を生成し、被害者の電気代負担のもとで余分な価値を搾り取る、攻撃者にとってよくある手口です。
これを隠すため、攻撃者は次のような対策を講じていました。
-
マイニングプログラムのファイルを偽装し、隠しファイル・システムファイル・読み取り専用としてマークしました。これらのファイル属性が付いていると、エクスプローラーで何気なく確認した際に見つかりにくくなります。
-
無料で入手できる正規の管理者向けツールを使って、マイナーをWindowsサービスとして稼働するよう設定し、自動起動して再起動後も動き続けるようにしました。
-
マルウェアの検知回避を助けるために設計された追加のツールをインストールしました。
スクリプト、スクリプト、そしてまたスクリプト
この攻撃を通じて、侵入者は外部サーバーから一連のPowerShellスクリプトとバッチファイルをダウンロードしていました。これは、初期攻撃にすべてを含めることなく、追加の悪意あるツールを持ち込むためによく使われる手法です。
また、PowerShellを、可視化されたウィンドウを表示せず、セキュリティのプロンプトも出さず、Windowsのスクリプト実行ポリシーによる制限も受けないよう、あえてサイレントに実行される形で使用していました。
個々の手法だけを見れば、どれも目新しいものではありません。攻撃者がマルウェアをインストールし、痕跡を隠そうとするのは日常茶飯事です。
Huntressのアナリストが注目したのは、この攻撃者が単一のマシン上の、単一のインシデントの中に、これほど多くの異なる変更を詰め込んでいた点でした。
今回のインシデントの調査全容をご覧になりたい方は、こちらをご確認ください。
防御側にとっての意味
自分たちが所有・管理するシステムである以上、「ホームアドバンテージ」を持っているように感じるのは自然なことです。しかし、環境をしっかり固め、不審な活動を監視する体制が整っていなければ、内部に侵入した攻撃者はそのアドバンテージを逆転させ、環境を自分の目的に合わせて作り変えてしまいます。それは往々にして、単にアンチウイルスを無効化してマルウェアを仕込む以上のことに及びます。
ここから得られる最大の教訓は、侵入経路を見つけて修正することが、残された痕跡の後始末と同じくらい重要であるという点です。
今回のケースでは、その侵入経路はWebページの検証されていない入力フィールドでした。仮にチームが攻撃者のツールやアカウントをすべて取り除いても、根本原因であるSQLインジェクションの欠陥を修正しなければ、攻撃者は同じ開いたままの扉から難なく再侵入できてしまい、次回はさらに発見が難しくなるかもしれません。
実践すべき具体的な対策
まずは基本から始めることをお勧めします。自分たちが何を保有しているかを把握することです。環境内のすべての物理・仮想システム、そしてすべてのアプリケーションとそのバージョンについて、目録を作成し常に最新の状態に保ちましょう。その上で、以下を実施してください。
-
攻撃対象領域を縮小する。公開されているサービスやアプリケーションが少ないほど、攻撃者に付け入る隙を与えません。
-
不要または未承認のものを取り除く。必要のないものを残しておくリスクは割に合いません。
-
アクセスを厳格に管理する。承認されたユーザーのみがアクセスできるようにし、可能な限り多要素認証(MFA)を標準とすべきです。
-
すべてを常に更新・監視する。稼働中のすべてのアプリケーションを定期的にパッチ適用し、監視対象に含めるべきです。
-
毎回、根本原因を調査する。インシデントを検知した際は、目に見えるマルウェアを取り除くだけで終わらせず、攻撃者がどのように侵入したのかを正確に突き止め、その発見をもとに今後の防御を強化してください。
攻撃者は、防御側が表面的な後始末だけで満足してくれることを当てにしています。より深く、実際の侵入地点まで掘り下げることこそが、ホームアドバンテージを手放さずに自分たちの側に留めておく方法です。
Tradecraft Tuesday:製品紹介なし、営業トークなし。あるのはハッキングの話だけ
Tradecraft Tuesdayは、サイバーセキュリティ専門家向けに、最新の脅威アクター、攻撃ベクトル、緩和戦略について詳細な分析を提供するセッションです。毎週のセッションでは、最近のインシデントの技術的な詳細解説、マルウェアの傾向に関する包括的な分析、そして最新の侵害指標(IOC)を取り上げます。
参加者は以下を得られます。
- 新たな脅威キャンペーンやランサムウェアの亜種に関する詳細なブリーフィング
- 証拠に基づく防御手法と修復技術
- インシデント対応に関する知見を得られる、Huntressアナリストとの直接のやり取り
- 実用的な脅威インテリジェンスと検知ガイダンスへのアクセス
組織の環境を守る責任を担う方々のために設計された、リアルタイムの脅威インテリジェンスと技術教育で、防御態勢をさらに高めましょう。
