Akiraランサムウェア攻撃のアフィリエイトが、最近の侵入において斬新な手法を試み、エンドポイント防御を無力化しようとしました。侵害したサーバーをWindowsのセーフモードで再起動し、EDRエージェントとMicrosoft Defenderの両方を一度に機能停止させようとしたのです。しかし、この簡素化された環境が仇となり、ランサムウェアのペイロード自体がファイルを暗号化する前にクラッシュしてしまいました。
この事案はマネージド検知・対応(MDR)プロバイダーのHuntressが公開した技術解説で明らかにされたもので、Akiraのアフィリエイトがセーフモード再起動によってセキュリティツールを回避しようとしたのが観測されたのは今回が初めてだといいます。この手法は、SnatchやAvosLockerといった、より古いランサムウェアファミリーで見られるものです。
Akiraは、Huntressが過去1年間にわたり追跡してきた中で最も活発なランサムウェア攻撃の一つであり、そのアフィリエイトは概ね一貫した手口をたどります。インターネットに公開されたVPNアプライアンス(多くはSonicWall製)を突破口に侵入し、ドメインコントローラーへ横展開してActive Directoryを列挙し、データを窃取したうえで、数時間のうちに暗号化ツールを起動するというものです。Huntressによれば、今回の攻撃もほぼこのパターンに沿っていましたが、最終段階でひねりが加えられていました。
MFAなしの認証情報スプレー攻撃、そしてドメインコントローラーへの見慣れた経路
Huntressによると、侵入は8月上旬、SonicWallのSSL VPNに対する大量のログイン失敗から始まりました。これは認証情報スプレー攻撃に一致するパターンです。その約7分後、1回の試行が成功しました。多要素認証が設定されていない有効なVPNアカウントが突破されたのです。攻撃者が実際の操作に着手するまでには約2時間が経過し、RDP経由でドメインコントローラーにログインすると、PowerShellコマンドを実行してActive Directory環境内のすべてのユーザーとコンピューターのプロパティ詳細を丸ごとダンプしました。Huntressはこの偵察行為をAkiraによる侵入の特徴だとしています。
その後、攻撃者はアプリケーションサーバーに移動してWinRARをインストールし、マッピングされたファイル共有をアーカイブ化。さらにS3転送ツールのs5cmdを使い、ステージングしたデータを自らが管理するクラウドストレージバケットへアップロードしました。これは、被害者がバックアップから復旧できた場合でも攻撃者に交渉材料を残す、二重恐喝の常套手段です。正規のリモートアクセスツールであるAnyDeskは常駐サービスとしてインストールされ、対話的な操作とランサムウェアペイロード自体の配送の両方に使われました。
セーフモードという賭け
過去のAkira事案でHuntressが確認していたような、セキュリティソフトの監視が及ばない別の仮想マシンを立ち上げて暗号化ツールを実行する手法とは異なり、今回のアフィリエイトはWindows標準の設定ツールであるmsconfig.exeを使い、ホストを強制的に「ネットワーク機能を有効にしたセーフモード」で再起動させました。セーフモードは設計上、Windowsのコアドライバーのみを読み込み、サードパーティ製ソフトウェアの大半を無効化します。そのためこの再起動により、Huntressのエージェントはオフラインとなり、同時にMicrosoft Defenderのリアルタイム保護も起動できなくなりました。それでいて、攻撃者が作業を続けるために必要なネットワーク接続は維持されたのです。
攻撃者は、セーフモードによって自らのAnyDeskサービスもブロックされることを事前に見越しており、再起動後もサービスが動き続けるようレジストリエントリを先回りして追加していました。Huntressは、この点について場当たり的な対応ではなく周到な計画性を示すものだと指摘しています。
ランサムウェアが自らを破綻させた
この計画は防御を無力化するという点では十分に機能しましたが、結果として攻撃そのものを頓挫させてしまったようです。akira.exeのペイロードが起動してから数分後、ホストで「仮想メモリ不足」のエラーが発生し始め、暗号化が始まる前にランサムウェアのプロセスツリーが失敗に終わりました。Huntressはこのクラッシュの原因を、セーフモードの制約されたメモリ環境がランサムウェアのリソース要求を満たせなかったためとみています。
約1時間後、スケジュールされたDefenderのスキャンがこのペイロードを検出し、Akiraだと正しく識別しました。しかし、セーフモード中はリアルタイム保護が無効化されたままだったため、隔離することはできませんでした。このファイルが除去されたのは、攻撃者がホストを通常運用へ再起動し、その過程でDefenderの保護が復元された後のことです。つまり、攻撃者自身のEDR回避策は、自らそれを解除せざるを得なかったことによって無効化されたことになります。
暗号化には失敗したものの、攻撃者は再起動前の時点ですでにActive Directoryのデータとファイル共有を窃取しており、ファイルが一切ロックされていなくても被害者は恐喝のリスクにさらされたままでした。Huntressは、今回の結果を確実な防御策と捉えるべきではないと警告しています。メモリ容量が大きいホストやページファイルが大きい環境であれば、セーフモード下でも暗号化ツールが成功する可能性があり、研究者らはAkiraの開発者が今後、マルウェアのメモリフットプリントや起動シーケンスを調整し、この手法をより確実なものにしてくる可能性があると述べています。
推奨対策
Huntressは、すべてのVPNアカウントでMFAを強制すること、VPNログイン失敗の連続発生とそれに続く成功ログインを監視すること、そしてEDRを環境の一部ではなくすべてのエンドポイントに展開することを組織に強く求めています。また、msconfig.exeやbcdeditの実行を含むブート設定の変更やセーフモード再起動を個別に検知してアラートを出すこと、さらにセーフモード起動を示すWindowsイベントログのエントリや、セーフモードで実行を許可するサービスを制御するレジストリキーへの変更についても監視することを推奨しています。
