セキュリティ研究者らは、攻撃者がMicrosoft Windows Server Update Services(WSUS)のインフラをどのように悪用し、企業ネットワーク全体に悪意のあるソフトウェア更新プログラムを配布し得るかを実証しました。
Securitytraining courses
この手法は、別個のMicrosoft SQL Serverデータベースを利用するWSUS展開環境を標的とした、NTLM認証の強制取得とリレー攻撃を組み合わせたものです。
WSUSは、組織がWindowsエンドポイントへのMicrosoft更新プログラムを一元的に管理・承認・配布するために広く利用されています。ソフトウェア更新プロセスにおいて信頼された役割を担っているだけに、そのバックエンドインフラが侵害されれば、攻撃者にとって横展開や持続的なアクセスを実現する強力な手段になり得ます。
ハッカーによるMicrosoft WSUSサーバー悪用の手口
Specterops社の研究は、上流のWSUSサーバーとWSUSデータベースが別システム上でホストされている環境に焦点を当てています。この構成では、WSUSサーバーは自身のマシンアカウントを使い、SQLクエリを通じてSUSDBデータベースと通信します。
攻撃者が上流のWSUSサーバーを騙し、攻撃者が管理するホストに対して認証を行わせることができれば、そのNTLM認証を外部のSQL Serverへリレーできます。これに成功すると、攻撃者はWSUSコンピュータアカウントとして認証されたSQLセッションを取得することになります。
ただし、ここには重要な制約があります。WSUSマシンアカウントには、必ずしも広範なデータベース権限が付与されているわけではありません。多くの場合、SQLデータベース内のwebServiceロールに属しており、SUSDBテーブルに対する直接のSELECT、UPDATE、DELETE権限は持っていません。
それでもこのロールには、WSUSのストアドプロシージャを実行する権限が残されている場合があり、これによって更新プログラムのメタデータや展開ワークフローを操作できてしまいます。
この研究によれば、攻撃者は正規のWSUSストアドプロシージャを連鎖的に実行することで、カスタム更新プログラムをインポート・設定・展開できる可能性があります。この能力によって、権限が制限されたSQLセッションが、更新プログラムを配布するための潜在的な手段へと変わってしまいます。
中核となるのが`spImportUpdate`プロシージャで、これは更新プログラムのメタデータをWSUSデータベースにインポートします。このメタデータでは、更新識別子、タイトル、発行者ID、ファイル名、ダウンロードサイズ、ハッシュ値、インストール動作、コマンドラインインストールの詳細などを定義できます。
さらに、以下を含む必要なXMLフラグメントを保存できる追加のプロシージャも存在します。
- UpdateIdentity: 展開の適用対象、依存関係、前提条件を定義。
- LocalizedProperties: タイトル、説明、サポートリンクなど、ユーザーに表示されるメタデータを提供。
- ExtendedProperties: ファイルハッシュ、ペイロードサイズ、再起動の挙動、コマンド実行指示など、技術的なインストールデータを格納。
攻撃者は、悪意のあるパッケージを日常的なセキュリティ更新プログラムや重要な更新プログラムに見せかけて作成することが可能で、管理者やユーザーが不審な挙動を見落とす可能性を高めます。
この攻撃連鎖は、大量配布ではなく選択的な展開にも対応できます。WSUSのストアドプロシージャを使えば、コンピュータターゲットグループの作成、登録済みクライアントシステムの特定、特定デバイスの選択したグループへの割り当てが可能です。
展開プロセスの最終段階では、攻撃者は選択したターゲットグループに対して更新プログラムを承認し、インストール期限を設定できます。つまり攻撃者は、必ずしもすべてのエンドポイントにペイロードを配布する必要はなく、価値の高いサーバー、管理者のワークステーション、あるいは横展開に利用されるシステムに標的を絞ることが可能です。
この手法が大きな懸念を呼ぶのは、WSUSクライアントが通常グループポリシーやレジストリ設定を通じて、社内の更新サーバーを信頼するよう構成されているためです。管理者は、Windowsクライアント上のWUServerおよびWUStatusServerのポリシー値を確認することで、設定済みのWSUSエンドポイントを特定できます。
防御策
組織は、自社のWSUSがリモートホストされたSQL Serverを使用しているかどうかを確認し、WSUSマシンアカウントに付与されている権限を評価する必要があります。
NTLMリレー対策の実装を優先事項とすべきです。具体的には、SMB署名の強制、対応環境でのExtended Protection for Authenticationの有効化、NTLM利用の制限、マシンアカウントによる異常な認証の監視などが挙げられます。
セキュリティチームはまた、想定外のストアドプロシージャ実行、新規作成された更新レコード、不審なターゲットグループ、変更された承認ルール、外部ペイロードURLなど、SUSDBの活動状況も監視する必要があります。
Securitytraining courses
WSUSおよびデータベースサーバーへのネットワークアクセスを制限し、管理業務を分離することで、侵害が発生した際の影響をさらに最小限に抑えられます。
今回の研究は、より広範な教訓を浮き彫りにしています。信頼された企業向け管理プラットフォームであっても、認証経路とバックエンドの権限設定が入念に保護されていなければ、極めて有効な攻撃配信システムと化してしまう恐れがあるということです。
新たなフィッシングやマルウェアが貴社を侵害する前に阻止しましょう。世界15,000のSOCからのライブインテリジェンスを統合
翻訳元: https://gbhackers.com/hackers-can-abuse-microsoft-wsus-servers/
