この手法はエンドポイント防御を意図通り無効化しましたが、それと同時にランサムウェア自体の暗号化処理まで偶然壊してしまいました。
Akiraランサムウェアのアフィリエイトが、エンドポイント検知・対応(EDR)を回避する新たな手口を使っていたことが確認されました。侵害したWindowsシステムを、ネットワーク機能付きセーフモードで再起動させるという手法です。
Huntressによると、この手法によって同社のエージェントとMicrosoft Defenderのリアルタイム保護の両方が実際に機能停止に陥りました。これにより攻撃者は、エンドポイント防御が働かない状態で自由に動き回れる時間を手に入れたと、研究者らは指摘しています。
Huntressが調査したこのインシデントは8月4日、外部に露出していたSonicWall SSL VPNへの認証情報スプレー攻撃から始まりました。ログイン試行の失敗が始まってから約7分後、攻撃者は多要素認証(MFA)が有効になっていないアカウントへの認証に成功したと、HuntressのアナリストであるJames Northey氏はブログ投稿で述べています。
認証を突破してから2時間後、攻撃者はRDP経由でドメインコントローラーにアクセスしたとみられ、Active Directoryの広範な列挙を実施した後、アプリケーションサーバーに移動してマップされたファイル共有をWinRARでアーカイブ化しました。
窃取したデータはs5cmdを使い、攻撃者が管理するS3バケットにアップロードされました。これにより、二重恐喝攻撃におけるデータ窃取の部分が成立しています。
最終的に、持続的なリモートアクセスとAkiraランサムウェアのペイロード配信のため、ホストマシンにAnyDeskがインストールされました。この段階で攻撃者は、EDRを直接無効化する代わりに「msconfig.exe」を使い、マシンをネットワーク機能付きセーフモードへ強制的に移行させました。
Huntressによると、Akiraがこの手法を用いたのを確認したのは今回が初めてだといいます。
ランサムウェア攻撃で広がりつつあるセーフモード活用の手口
セーフモードは本来、必要最小限のドライバーとサービスのみを読み込むWindowsのトラブルシューティング環境です。多くのサードパーティ製セキュリティ製品はこの最小構成の起動プロセスから除外されるため、攻撃者にとって都合の良い環境になります。
攻撃者は、AnyDesk自体もセーフモードでは利用できなくなる可能性を見越し、リモートアクセスサービスが確実に起動するようセーフブートのレジストリ設定を改変していました。
この手法自体は、まったく新しいものというわけではありません。Huntressは、SnatchやAvosLockerなど、以前からセーフモードを使って防御を無効化してきたランサムウェアファミリーの存在を指摘しています。MITRE ATT&CKでは、この挙動をT1688(Impair Defenses: Safe Mode Boot)として追跡しています。
Akiraが今回この手法を取り入れたことは、EDRの検知範囲外で活動しようとする同グループの近年の傾向とも一致しています。今年に入り、あるAkiraのアフィリエイトが、Huntressが導入されていない場所で暗号化ツールを実行するためだけに、被害者のハイパーバイザー上に新たな仮想マシンを作成していたことが報告されています。
EDR回避策が、皮肉にもランサムウェア自体を止めてしまう結果に
もっとも、この手法は攻撃者が望んだ結果をもたらしませんでした、とNorthey氏は指摘しています。「akira.exe」がセーフモードで起動した後、システムは仮想メモリの障害を報告し始めました。Huntressは「Virtual Memory Minimum Too Low」および「Out of Virtual Memory」というエラーの発生を確認しており、その後にPowerShellの障害も続いています。
このランサムウェアは、セーフモードという制約の多い環境下では正常に動作できなかったとみられます。
Defenderは最終的にAkiraの実行ファイルを検知したものの、リアルタイム保護が機能していない状態だったため駆除はできませんでした。マシンが通常のWindows動作モードへ再起動され、Defenderの保護機能が復旧して初めて、当該ファイルの検疫に成功しています。
Huntressは、この暗号化失敗という結果を過度に楽観視しないよう注意を促しています。同社によれば、この失敗はAkiraが要求するリソース量が原因で偶発的に生じた副作用である可能性が高く、信頼できる防御手段とは言えないとのことです。メモリの増強、ページファイルの拡大、あるいは暗号化ツール自体の改良により、将来のバージョンではセーフモードでも正常に動作するようになるかもしれません。
したがって、優先すべきはあくまで再起動前の検知です。Huntressは、すべてのVPNアカウントでMFAを必須化すること、VPNログインの失敗が連続した後に認証が成功するというパターンを相関分析すること、そしてすべてのホストにEDRを展開することを推奨しています。また、SIEMのフィードにおいて「msconfig.exe」や「bccedit」の実行、セーフモードでの起動イベント、セキュリティサービスの停止、セーフブートのレジストリ設定への追加変更などを監視するようアドバイスしています。
Shwetaは2017年以来、エンタープライズテクノロジーについて執筆を続けており、直近ではCSO onlineでサイバーセキュリティを取材しています。ランサムウェアからゼロトラストアーキテクチャに至るまでの複雑なトピックを、専門家にも一般読者にも分かりやすく解説することを得意としています。Asian College of Journalismでジャーナリズムの大学院ディプロマを取得しており、サイバー脅威の解読に追われていないときは、小説を読んだり、映画を観たり、新しいレシピに挑戦したりすることを楽しんでいます。
