セキュリティ
「セーフモード」という言葉に、新たな意味が加わりました
Akiraランサムウェアのアフィリエイトが、被害者のコンピュータをセーフモードで再起動させてセキュリティツールを無効化しようとしたところ、この機能制限付きの起動モードが自分たちの暗号化ツールまで破壊してしまうという、皮肉な結果に終わりました。
とはいえ、被害者にとって話が完全にハッピーエンドだったわけではありません。攻撃者はセーフモードによってランサムウェアの動作が妨げられる前に、すでに認証情報とファイル共有からのデータを窃取していたのです。
Huntressのセキュリティ運用アナリストであるJames Northey氏は、水曜日のブログでこの事案を詳しく解説し、これはむしろメモリ構成上の問題である可能性が高く、Akiraランサムウェアによる貴重なファイルのロックを防ぐ実用的な対策として捉えるべきではないと注意を促しています。
「結局のところ、これは戦闘には勝ったものの、戦争には勝てなかったケースと言えるかもしれません」と、Northey氏は水曜日にThe Registerと共有したブログで述べています。
「物理メモリがより多く搭載されたホスト、あるいはページファイルがより大きなホストであれば、akira.exeに十分な仮想メモリが割り当てられ、セーフモードでもエンドポイントを暗号化できてしまう可能性はあります」とNorthey氏は付け加えています。「Akiraの開発者やアフィリエイトが、暗号化ツールのメモリ要求量を減らしたり、セーフモードでの起動シーケンスの信頼性を高めるよう作り直したりすれば、今後の侵入では同じ失敗が起きないかもしれません」
とはいえ、ここには一つ大きな教訓があります。お願いですから、多要素認証(MFA)を有効にしてください。
ここで、何が起きたのか、そしてどうすれば自分たちの身に降りかからないようにできるのかを詳しく見ていきましょう。
事の発端
8月上旬、Huntressはある侵害事案への対応にあたりました。それは、Akiraによる侵入の多くがそうであるように、SonicWall SSL VPNを起点としたものでした。8月4日、このVPNは認証情報スプレー攻撃、すなわち不正な認証情報を使った失敗ログインの連続発生を記録し、これらは拒否されていました。しかしその7分後、攻撃者がMFAで保護されていなかった有効なVPNアカウントを使ったことで、ログインが1件成功してしまいました。
アクセス権を得た犯罪者は、リモートデスクトッププロトコル(RDP)経由でドメインコントローラーにアクセスし、Active Directoryに対してクエリを実行して、ネットワーク、ユーザー、グループ、コンピュータに関する詳細情報を大量に収集しました。これは基本的に、ランサムウェア攻撃における横方向移動や一斉暗号化のために、誰を、何を標的にすべきかを攻撃者が把握するために必要な情報のすべてです。
「この列挙作業は、ドメイン内のすべてのユーザーとすべてのコンピュータに関する、プロパティの全項目をダンプするものでした」とNorthey氏は記しています。
その後、Akiraランサムウェアのアフィリエイトはアプリケーションサーバーへと移動し、窃取するデータの収集を開始しました。まずWinRARをダウンロードし、このツールを使ってマッピングされたファイル共有をアーカイブ化した上で、高速なS3転送ユーティリティであるs5cmdを使って窃取データをクラウドストレージへ送信しました。
さらに、リモートデスクトップソフトウェアのAnyDeskをWindows起動時に自動実行されるよう設定してインストールし、この正規ツールをリモートアクセス型トロイの木馬として悪用することで、攻撃者はキーボードによる直接操作が可能な状態を手に入れました。また、このツールはコマンド&コントロールのチャネルとしても使われ、akira.exeというランサムウェアのバイナリを含む、さらなるマルウェアの投下に利用されました。このファイル名からは、それが何であるか誰にも想像がつかない、実に巧妙な命名です。
そしてセーフモードでの再起動へ
ここから、このランサムウェア犯にとって事態が思わぬ方向へ転がり始めます。侵入開始から約3時間後、攻撃者はコンピュータを強制的に「ネットワーク機能付きセーフモード」で再起動させました。これは、必須のドライバとサービスのみを読み込み、大半のサードパーティ製ソフトウェアをブロックする起動モードです。
攻撃者、特にランサムウェア集団がこれを行うのは、エンドポイント検知・対応(EDR)製品やその他のセキュリティツールを無効化し、自分たちのマルウェアが被害者のマシンに感染するのを検知・阻止されないようにするためです。SnatchやAvosLockerなど一部のランサムウェア集団は、何年も前からこの目的でセーフモードを悪用してきましたが、Huntressが今回、Akiraによるこの手口を目にしたのは初めてでした。
今回のケースでは、この再起動によってHuntressのエージェントが停止し、Microsoft Defenderのリアルタイム保護も無効化され、Defenderが悪意あるファイルを隔離することができなくなりました。
「攻撃者は自分たちにとっての『死角』を手に入れました」とNorthey氏は記しています。「しかし、彼らが手に入れられなかったものがあります。それは、クリーンな爆発です」
再起動から13秒後、コンピュータはメモリエラーを次々と出力し始めました。セーフモードでは仮想メモリが制限された状態で起動するため、エンドポイントを暗号化するのに十分なメモリが確保できなかったのです。つまり、セーフモードはEDRキラーとして機能しただけでなく、ランサムウェア自体も機能不全に陥れたことになります。
Huntressは、複数のユーザー名に対する1つの送信元からのVPNログイン失敗の連続発生についてアラートを確実に受け取れるようにすることや、すべてのVPNアカウントでMFAを必須にすることといった、当然の推奨事項に加え、組織はこのセーフモードの手口にも注意を払うべきだと提言しています。
具体的には、「起動構成の変更やセーフモードでの起動、すなわちmsconfig.exe / bcdeditの実行、SAFEBOOTロードオプションを伴うKernel-Boot EID 27、BootMode=2のKernel-General EID 12、そしてサードパーティ製セキュリティサービスの停止(System EID 7036)についてアラートを設定してください」とNorthey氏は記しています。
さらに、「セーフモードの最小限サービスを登録するレジストリリストに、新たなツールが追加されていないかにも注意してください」とも述べています。®
