ロシア系脅威アクターに関連する露出サーバーが発見され、世界中の組織を標的とした大規模な初期アクセス作戦の実態が明らかになりました。
この活動からは、あるオペレーターがインターネットに公開されたアプライアンスを悪用し、認証情報を窃取し、Windowsネットワーク内を横断的に移動してActive Directoryドメインの完全な支配権を獲得していた様子がうかがえます。
回収されたディレクトリには、2026年半ばから2026年末にかけてのコマンドレベルの活動記録が含まれています。
その内容から、ロシア語話者の初期アクセスブローカーの犯行であることが強く示唆されています。このタイプの脅威アクターはネットワークに侵入し、確実にアクセスできる状態を確立した上で、ランサムウェアグループなどの顧客にそのアクセス権を売却しているとみられます。
このオペレーターは、教育、医療、金融、通信、マネージドサービス、政府機関の被害者を含む、十数カ国にまたがる組織を標的にしていました。
標的リストには、インターネットに露出した数十万台のシステムが含まれており、国別にグループ分けされ、さらに脆弱性あり・到達不能・過去に侵害が失敗したホストという区分で整理され、後の検討に備えていました。
このアクターは、Fortinet、SonicWall、Sophos、Citrix、SAP、F5 BIG-IP、Roundcube、vBulletin、Hikvisionなど、複数の製品に対して並行してキャンペーンを展開していました。
ディレクトリ内には少なくとも12件の脆弱性が用意されていました。悪用コードの大半は公開されているPoC(概念実証)リポジトリからコピーされたものです。
ただし、一部のツールは大規模な悪用、アカウント作成、コールバックテストのために改変されていました。
オペレーターはGo、httpx、masscan、fscan、nuclei、および国別の標的リストでサーバーを準備していました。GNU screenセッションにより、複数のキャンペーンを同時に実行できるようにしていました。
カスタムスキャナーの一つはF5 BIG-IPデバイスを標的とし、侵害したシステム上に管理者アカウントを作成するものでした。攻略に成功した標的は「good.log」という名前のファイルに保存されていました。
露出していたアプライアンスの多くは高等教育機関に属するものでしたが、それ以外にも医療、金融サービス、通信業界の組織が被害を確認されています。
足掛かりを得た後、このアクターはNeo-reGeorg製のWebシェルとSOCKSトンネルを展開し、内部システムへの到達経路を確保していました。
窃取したNTLMハッシュは、Evil-WinRMなどのツールと組み合わせてWindowsホストへの認証に使用されました。ツールキットにはImpacket、NetExec、CrackMapExec、PowerView、Responder、dploot、DonPAPI、GhostKatzも含まれていました。
確認された企業侵害の事例では、このアクターはドメインのDPAPIバックアップキーを抽出し、SAMおよびLSAの機密情報をダンプしたほか、ブラウザや認証情報ストアのデータも収集していました。
少なくとも1件の事例では、有効期限が10年に設定された偽造Kerberosゴールデンチケットの証拠が確認されました。通常、ドメインコントローラーがこのようなチケットを発行することはありません。
この発見は、ドメインのkrbtgtシークレットが窃取されたことを強く示しています。このシークレットがあれば、攻撃者はKerberosのチケット発行チケットを偽造し、ドメイン内のユーザーになりすますことができます。
通常のパスワードのリセットだけでは、このアクセス権を排除することはできません。防御側はkrbtgtアカウントを慎重に、通常は2回にわたってローテーションし、侵害の全経路を調査する必要があると、cloudsekは指摘しています。
注記: IPアドレスおよびドメイン名は、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス環境内でのみ行ってください。
SOC調査の死角を減らし、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を抑えられます。
翻訳元: https://cyberpress.org/kerberos-secrets-seize-domains/
