Akiraランサムウェア、EDRとMicrosoft Defenderを無効化するためWindowsをセーフモードで再起動

Akiraランサムウェアのアフィリエイトが、侵害したWindowsホストをネットワーク機能付きセーフモードで再起動し、エンドポイント保護を無効化する手口が確認されました。これはAkiraの活動に関連付けられている、EDR対策の一種です。

この侵入では、簡素化されたブート環境が仮想メモリエラーを引き起こしたためファイルの暗号化には失敗しましたが、攻撃者はすでに認証情報とデータを窃取しており、データ恐喝を仕掛けるための材料は確保されていました。

Dictionaries& Encyclopedias

今回の事案は、外部公開されていたSonicWall SSL VPNに対する認証情報スプレー攻撃から始まりました。協定世界時03:52、有効なアカウントがMFA(多要素認証)なしでVPNインスタンスへの認証に成功しました。

その後、攻撃者はRDPを使ってドメインコントローラーにアクセスし、権限を昇格させたコマンドシェルを起動して、Akiraに関連付けられている偵察パターンを開始しました。

PowerShellコマンドにより、ActiveDirectoryのユーザーおよびコンピューターの記録一式が、ProgramData配下のAdUsers.txtとAdComp.txtに書き出されました。

ユーザー情報のエクスポートにはユーザーおよび認証情報関連のデータが含まれており、コンピューター情報のエクスポートにはホスト名、OS、IPアドレスが含まれていました。

$formatenumerationlimitを-1に設定することで、攻撃者はMemberOfのような複数値を持つ属性が切り詰められないようにしていました。

その後、攻撃者はアプリケーションサーバーに移動し、WinRARをダウンロードして、マッピングされたファイル共有を再帰的にアーカイブ化しました。

作成されたアーカイブはs5cmdを使って攻撃者が管理するS3バケットへ転送されました。これは、暗号化の成否に関わらずデータを先にコピーし、その後で情報公開をちらつかせて脅迫する、二重恐喝の典型的な手口と一致します。

Huntressは以前にも、Akiraの活動がSonicWall SSL VPNアプライアンスを悪用し、エンドポイント保護の監視を回避するためにクリーンな仮想マシンを使用していたことを詳しく報告しています。

ランサムウェアの実行前に、攻撃者はAnyDeskをWindowsサービスとしてインストールし、これを配送手段として使ったうえで、そのサービスをSafeBoot Networkレジストリキーに追加しました。協定世界時06:29、msconfig.exeが強制的に再起動を実行しました。

Akiraランサムウェアによるウィンドウズの再起動

Windowsのテレメトリには、「SAFEBOOT:NETWORK」を伴うKernel-BootイベントID 27と、BootMode=2を伴うKernel-GeneralイベントID 12が記録されていました。

攻撃者はRDP(リモートデスクトッププロトコル)経由でドメインコントローラーにアクセスし、直接操作を行いました。RDP接続後、まもなく権限昇格したcmd.exeを起動しています。

ネットワーク機能付きセーフモードは、接続性を維持しながら、Windowsの必須ドライバーとサービスのみを起動します。

この仕組みによってHuntressのエージェントは停止させられ、Microsoft Defenderによる保護の起動も妨げられました。Defenderはイベント ID 3002「このサービスはセーフモードでは起動できません」を記録しています。

また、このレジストリ変更によって、最小限のブート構成にもかかわらずAnyDeskは利用可能な状態を保っていました。

この挙動は、MITRE ATT&CKの技術T1688「防御機能の弱体化: セーフモードでの起動」に該当し、SnatchやAvosLockerなど過去のランサムウェアファミリーとの関連が指摘されている手法です。

しかし、この回避策は裏目に出ました。akira.exeは協定世界時06:34に起動し、その後子プロセスが大量に発生しました。Windowsは「Virtual Memory Minimum Too Low(仮想メモリの最小値が低すぎます)」と「Out of Virtual Memory(仮想メモリ不足)」を記録し、PowerShellも新しいスタックガードページを作成できなかったと報告しています。

これらの証跡から、ランサムウェアのプロセスツリーは暗号化を実行する前に、セーフモード環境下でリソースを使い果たしてしまったと考えられます。

その後、スケジュールされたDefenderのスキャンによって、このバイナリはRansom:Win32/Akira.B!ibtとして検知されましたが、セーフモードが有効な間は駆除に失敗していました。

攻撃者が協定世界時08:10に通常のWindowsへ再起動した後になって初めて、復旧したDefenderのリアルタイム保護がこのファイルを検疫しました。

この事案は、防御側の成功事例とは言えません。セーフモードによって監視と防御の両面に空白が生まれており、攻撃者は今後、ペイロードを改良したり、より多くのメモリを利用できる標的を選んだりする可能性があります。

防御側は、VPNアクセスへのMFA適用、SonicWallとWindowsのログの一元管理、正常なログオンに先行するパスワードスプレー攻撃の調査を徹底すべきです。あわせて、SafeBootの変更、Kernel-BootイベントID 27、BootMode=2、セキュリティサービスの停止、SafeBootレジストリへの新規エントリについてもアラートを設定する必要があります。

また、組織は、暗号化が失敗する前に収集されたActiveDirectoryおよびファイル共有のデータがすでに侵害されているものとみなし、VPNおよびドメインの認証情報をローテーションすべきです。

Dictionaries& Encyclopedias

IOC(侵害指標)

注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(例: [.])としています。再度有効な形式に戻す作業は、MISP、VirusTotal、または自組織のSIEMなど、管理された脅威インテリジェンス基盤の中でのみ行ってください。

[ライブウェビナー] Elastic&UnderDefenseが開催するウェビナーにご参加ください。小規模なセキュリティチームがAIの可視性とエージェント型対応を1つの運用モデルへ統合する方法を学べます。 -> 今すぐ登録