脅威アクターがMicrosoftのボリュームシャドウコピーサービス(VSS)を、二つの異なる目的で武器化するケースが増えています。ランサムウェア展開前に復旧手段を排除することと、保護されたWindowsファイルから認証情報を抜き取ることです。
この変化により、VSSのテレメトリはもはや単純なバックアップやディスクメンテナンスのイベントとして扱うべきではなく、プロセス・ID・エンドポイントの文脈を踏まえた挙動として監視する必要が生じています。
バックアップ製品は、Active DirectoryのようなアプリケーションやSQL Server、Exchangeが稼働中でもデータを取得するためにこの機能を利用します。
しかし同じ機能が、攻撃者に対しても通常ロックされているファイルの静的コピーへのアクセスを許してしまいます。逆に、暗号化を開始する前にローカルの復旧ポイントを破壊するためにも使われます。
ランサムウェアでの利用法はすでに確立されています。攻撃者はvssadmin.exe、wmic.exe、diskshadow.exe、wbadmin.exe、bcdedit.exeといったネイティブユーティリティを使い、シャドウコピーの削除やバックアップカタログの消去、復旧機能の無効化を行うのが一般的です。
MITRE ATT&CKはこの活動をT1490「システム復旧の妨害(Inhibit System Recovery)」として追跡しており、データ暗号化攻撃や破壊的攻撃の被害を拡大させるために頻繁に使われると指摘しています。
そのため、vssadmin.exe delete shadows /all /quietのようなおなじみのコマンドは、単なるクリーンアップ作業ではありません。ランサムウェアのペイロードが起動する直前の最終準備段階である可能性があり、被害者から容易なロールバック手段を奪うことになります。
MITREは、シャドウコピー削除に関連するランサムウェアファミリーやグループとして、Akira、Black Basta、BlackCat、Conti、LockBit、Qilin、RansomHub、REvil、Ryuk、WannaCryなど多数を挙げています。
しかし、VSSの悪用は削除にとどまりません。攻撃者はスナップショットを作成し、本来であればOSによってロックされているはずの機密ファイルのコピーにアクセスすることも可能です。
ドメインコントローラー上では、これにパスワードハッシュデータを含むActive DirectoryデータベースのNTDS.ditや、秘密情報の抽出に必要な関連レジストリ情報が含まれる場合があります。
スナップショットからデータをコピーする手法は、稼働中のプロセスや保護されたデータベースに対して直接的な認証情報ダンプを試みるよりも、目立ちにくい傾向があります。
このリスクは、Huntressが公開ツールNightmare-Eclipseを分析した中でも示されています。
研究者らの報告によると、BlueHammerというローカル権限昇格の手法は、Windows Defenderのタイミングに関する問題とVSSスナップショットを悪用し、SAM(Security Account Manager)データベースへのアクセスを取得していました。
セキュリティトレーニングコース
VSSは、アプリケーション整合性を保ったまま特定時点のスナップショットを取得できるよう調整するために設計されたWindowsのフレームワークです。
シャドウコピーの悪用
このツールはさらにSAMハイブを解析し、権限昇格の一環としてユーザーのNTハッシュを復号していました。
Huntressはこの活動について、VSSスナップショットが保護された認証情報ストアと攻撃者が制御するプロセスとの間の橋渡し役になり得ることを示していると述べています。
このため、単純な「シャドウコピー」に関するアラートだけでは不十分です。企業はバックアップエージェントやリモート監視管理(RMM)プラットフォーム、ストレージメンテナンスタスク、正当な管理業務を通じて日常的にスナップショットを作成・削除しています。
「シャドウコピーが削除された」というアラートだけでは、それが定期的な保持ポリシーによるものか、侵入によるものかを見分ける材料としては不十分です。
検知エンジニアリングでは、VSSの活動をその前後の一連の挙動と相関させて評価するべきです。
リスクの高い兆候としては、通常とは異なる親プロセスからvssadmin、wmic、diskshadowが起動されること、一時ディレクトリやユーザー書き込み可能なディレクトリからの実行、リモートシェルの使用、バックアップサービスや復旧設定の急な変更、認証情報アクセスの試み、探索コマンド、そしてその直後に発生する暗号化を思わせるファイル活動などが挙げられます。
攻撃者は古いスナップショットを利用可能な容量から押し出すためにこの操作を使うことがあるため、シャドウストレージのサイズ変更操作についても注意が必要です。
防御側は特に、VSSの作成に続いてNTDS.dit、SAM、SYSTEM、SECURITYといった各ハイブへのアクセス、アーカイブユーティリティの使用、不審なステージングディレクトリ、あるいは外部への転送活動が発生していないかに注意を払うべきです。
想定されたバックアップサービスが通常の頻度で作成したシャドウコピーは、運用上のテレメトリにすぎません。
一方、対話的なユーザーや身元不明のバイナリ、あるいはレジストリハイブへのアクセス直前に実行されたスクリプトによって作成されたシャドウコピーは、インシデントの候補と見なすべきです。
防御の観点からの結論はシンプルです。ローカルスナップショットは運用上の復旧には依然として有用ですが、ランサムウェア耐性を持つバックアップではありません。
VSSにはボリュームあたり64TBという制限があり、書き込み負荷が高い状況ではオーバーヘッドを増やしかねないCopy-on-Write方式に依存しています。あくまでWindowsネイティブの仕組みであって、完全なレジリエンス戦略ではありません。
最も重要な点として、ローカルのシャドウコピーはランサムウェアの攻撃者が侵害するシステムそのものから到達可能な場所にあります。
組織は、保護されたオフホストの、できれば改ざん不可能なバックアップを維持し、バックアップインフラを管理できる権限を必要最小限に制限し、ネイティブの復旧ユーティリティを監視し、インシデント発生時の状況下で実際に復元が機能することを検証すべきです。
MITREはさらに、バックアップコピーを被害システムの外部に保管すること、バックアップへのアクセスを必要なアカウントのみに限定すること、diskshadow.exeのようなユーティリティが不要な環境では実行制御を用いることを推奨しています。
★ 7つのメトリックゲート方式によるAI SOC導入フェーズを学ぶ – 無料のAI SOC導入プレイブック2026をダウンロード。
翻訳元: https://gbhackers.com/shadow-copies-abuse/
