脅威アクターの間で、ドメインコントローラーを直接侵害することなくActive Directoryのレプリケーション機構を悪用し、パスワードハッシュを窃取する手口が増加しています。
この手口は「DCSync」と呼ばれ、特権のあるドメイン資格情報を持つ攻撃者が正規のドメインコントローラーになりすまし、機密性の高いディレクトリレプリケーションデータを要求することを可能にします。
サーバー上のマルウェアを利用したり、ドメインコントローラーのメモリから認証情報を抽出しようとしたりする「騒がしい」攻撃とは異なり、DCSyncはActive Directoryレプリケーションという、Windowsエンタープライズにおける重要なプロセスの中にシームレスに組み込まれます。
マルウェア分析ツール
典型的なActive Directory環境では、複数のドメインコントローラーがID情報を同期させることで、ユーザーは異なる場所やサービス間で認証を受けられます。
従業員がパスワードを変更したり、グループメンバーシップを変更したり、アカウント属性を更新したりすると、ドメインコントローラーはMicrosoftのディレクトリレプリケーションサービスリモートプロトコル(DRS/RPC)を通じてその情報をレプリケート(複製・同期)します。
Trellixによると、攻撃者はネットワーク上の別のシステムから正規のドメインコントローラーにレプリケーション要求を送信することで、この信頼されたプロセスを悪用しています。
DCSyncの仕組み
DCSync攻撃では、攻撃者がドメインコントローラー上でコードを実行する必要はありません。その代わりに、ディレクトリレプリケーション権限を持つアカウントの資格情報が必要になります。
こうした権限は通常、Domain Admins、Enterprise Admins、Administratorsといった高度な特権を持つグループに紐づいていますが、サービスアカウントや他のIDに明示的に委任されている場合もあります。
Mimikatz、Impacket、あるいはレプリケーションプロトコルを独自に実装したツールなどを使うことで、攻撃者はDRSGetNCChangesを含むレプリケーション操作を呼び出すことができます。
標的となったドメインコントローラーは、選択されたアカウントに関連する資格情報データを返します。これにはNTLMパスワードハッシュやKerberosキー情報が含まれる場合があります。
- KerberosのTicket Granting Ticketの署名に使用されるkrbtgtアカウント
- ドメイン管理者アカウント
- 特権を持つサービスアカウント
- バックアップシステム、クラウドインフラ、セキュリティツールへのアクセス権を持つアカウント
攻撃者はkrbtgtアカウントのハッシュを入手すると、「ゴールデンチケット」と呼ばれる偽造Kerberos認証チケットを作成できるようになります。この偽造チケットを使えば、侵入者は本来侵害されたユーザーアカウントがリセットまたは無効化された後でも、Windowsドメインに対して永続的かつ高い特権を持つアクセスを維持できます。
DCSyncが特に危険なのは、悪意のあるトラフィックが通常のドメインコントローラーのレプリケーションと酷似している点です。従来のエンドポイントセキュリティ製品は、既知の資格情報窃取ツールや不審なバイナリ、悪意のあるメモリ操作の検出に主眼を置いていることが多くなっています。
このアプローチは、攻撃者が名前を変更したツールや組み込み機能、リモート実行、既知のシグネチャに一致しない独自コードを使用した場合には通用しないことがあります。
より有効な検知シグナルは、行動ベースのものです。すなわち、認識されているドメインコントローラーではないシステムがディレクトリレプリケーションを実行しようとする、という挙動です。
セキュリティチームは、ワークステーション、アプリケーションサーバー、踏み台ホスト、あるいは通常とは異なる管理システムから発信されるレプリケーション要求を調査するべきです。
ソフトウェアサプライチェーン
有用な監視ソースとしては、Active Directory監査、Windowsセキュリティイベント ID 4662、DRS/RPCアクティビティ用のネットワークテレメトリ、特権アカウントログ、ID検出・対応プラットフォームなどが挙げられます。
組織は、レプリケーション権限を本当に必要とするIDのみに限定し、ドメイン命名コンテキストに対するアクセス制御リストを定期的に監査するべきです。レプリケーション権限を委任されたサービスアカウントは、資格情報窃取の格好の標的となりうるため、特に注意深く精査する必要があります。
DCSyncが示しているのは、攻撃者が必ずしも「ボス」となるサーバーに直接侵入する必要はないということです。ボスになりすますだけで、Active Directoryに企業全体の鍵を差し出させることができてしまうのです。
SOCを最新の状態に保ち、活動中のマルウェアやフィッシングの出現から24時間以内に把握しましょう。 ANYRUNを試して早期検知でインシデントを防ぎましょう。
翻訳元: https://gbhackers.com/hackers-steal-active-directory-password-hashes/
