AhnLab EDR を活用した防御回避手法の検知 Posted By ATCP , 2024년 03월 18일 一般的に、機関や企業のなどの組織では、セキュリティの脅威を防ぐために様々なセキュリティ製品を使用している。エンドポイントを基準にしても、AntiVirus だけでなく、ファイアウォール、APT 防御ソリューション、そして EDR などの製品が存在する。セキュリティを担う組織が別に存在する環境でない、一般ユーザーの環境でも、ほとんどに基本的なセキュリティ製品がインストールされていることが多い。例えば、最新の Windows OS 環境では、ユーザが追加でインストールせずとも、すでに Microsoft Defender などの AntiVirus…
AhnLab EDR を活用した Kimsuky グループのスピアフィッシング攻撃の検知(AppleSeed、AlphaSeed) Posted By ATCP , 2024년 02월 14일 北朝鮮の支援を受けていることで知られている Kimsuky 脅威グループは、2013年から活動している。初期には韓国の北朝鮮関連の研究機関等に対する攻撃を行っており、2014年、韓国のエネルギー機関への攻撃が、そして2017年以降は韓国以外の国への攻撃も確認されている。[1](韓国語にて提供) 主にスピアフィッシング攻撃で国防、防衛産業、マスコミ、外交、国家機関、学術分野を攻撃しており、組織の内部情報および技術の窃取を目的としている。[2](韓国語にて提供) Kimsuky グループは、攻撃によって様々なマルウェアを使用するが、代表的なものとして AppleSeed と AlphaSeed マルウェアをインストールする事例がある。これらの攻撃は数年前から続いており、過去にも「Kimsuky グループの APT…
AhnLab EDR を活用したデータ流出段階の検知(ランサムウェアの攻撃者) Posted By ATCP , 2024년 02월 07일 ランサムウェアの攻撃者は、組織の内部ネットワークを掌握した後、ランサムウェアを配布し、システムを暗号化して復旧のための金銭を要求する方式で収益を得た。しかし最近では、システムを暗号化する以外にも組織の内部データを流出させたあとに、対価を支払わなければこれを公開するという脅迫方法を同時に使用している。 一般的にランサムウェアの攻撃者はデータを収集したあと、圧縮して外部に流出させる。データを流出させる際は、複数の正常なユーティリティが使われる。ファイルの暗号化に使用されるランサムウェアや初期侵入時に使用するマルウェアとは異なり、自ら制作しなくても、すでに大容量のデータを安定的に転送する機能をサポートするユーティリティが多数存在するためである。 数年間に渡り多数のランサムウェアの攻撃者が活動を続けてきたが、データ流出プロセスで使われたものと知られているツールは、数種類が大半を占めている。攻撃者たちは主に FTP プロトコルやクラウドを利用してデータを流出させるが、FTP 方式の場合 WinSCP、FileZilla が主に使用され、クラウドの場合は MegaSync および Rclone が多く使用される。これらのプログラムは、一般ユーザーや管理者が業務や個人的な目的で使用する有名なツールである。すなわち、企業内部のシステムに存在するデータを流出させる際は正常なツールを使用するため、AntiVirus…
AhnLab MDS を活用したアカウント情報窃取マルウェアの検知(Web ブラウザ、電子メール、FTP) Posted By ATCP , 2024년 02월 01일 一般的にユーザーは、利便性のために Web ブラウザや電子メール、FTP クライアントのようなプログラムで自動ログイン機能を使用し、これは結果的に各プログラムが設定データにユーザーのアカウント情報を保存することに繋がる。このような機能はユーザーに利便性を提供するが、セキュリティ上の問題もある。攻撃者によってユーザーのアカウント情報が簡単に窃取される可能性があるからだ。 もし、マルウェアや攻撃者が感染システムの制御権を獲得した場合、様々なツールを利用してユーザーのアカウント情報を窃取することができ、このようなアカウント情報の窃取を主な目的とするインフォスティーラーマルウェアも存在する。マルウェアが既知のマルウェアの場合、エンドポイントにインストールされている既存のアンチウイルスで対応できる。しかし、不明なマルウェアに対応するには、AhnLab MDS(Malware Defense System)が必要である。 サンドボックスベースのファイル解析ソリューションである Ahnlab MDS は、仮想環境でファイルを実行した後、発生した振る舞いを解析する。新種ファイルにも既知の不正な振る舞いが含まれているため、AhnLab…
EDR を利用した様々な LSASS 資格証明ダンプ方式の検知 Posted By ATCP , 2024년 01월 19일 AhnLab SEcurity intelligence Center(ASEC)は、「ドメイン環境における EDR を活用した資格情報窃取段階の検知」 [1] ブログにて攻撃者がアクティブディレクトリ環境に属しているシステムを掌握したあと、資格情報を窃取する様々な方式を紹介した。この記事では、資格情報を窃取する方式のうち、LSASS プロセスのメモリに保存されている NT Hash(NTLM 認証プロトコルで使用するハッシュ)をダンプする様々な手法についてより詳細に紹介する。…
ドメイン環境における EDR を活用した資格情報窃取段階の検知 Posted By ATCP , 2024년 01월 10일 「ドメイン環境における EDR を活用した内部偵察段階の検知」[1] の記事では、攻撃者がアクティブディレクトリ環境に属しているシステムを掌握したあと、内部ネットワークを偵察して情報を収集するプロセスを、EDR を利用して検知する事例を取り上げた。組織のインフラがアクティブディレクトリ(Active Directory)を使用する環境の場合、攻撃者は内部偵察段階を経てドメイン環境の情報を収集し、資格情報を窃取したあと、これをもとにラテラルムーブメントを実行し、最終的にドメイン環境を掌握できる。 ここでは、攻撃者がアクティブディレクトリ環境に属するシステムを掌握したあと、ラテラルムーブメントのために資格情報を窃取する攻撃段階を解説し、EDR を利用してこれを検知する方式を紹介する。攻撃者は資格情報の窃取のために Mimikatz を含む様々なツールも活用することがあり、管理者の不注意を悪用する可能性がある。 このような資格情報窃取の段階はドメインを掌握するための核心的なステップであるため、攻撃者はセキュリティ製品による検知を回避するために様々な手法を用いる。ファイル検知を回避するためにパッキングや難読化を施すことはもちろん、振る舞い検知を回避するために正常なユーティリティである ProcDump…
ドメイン環境における EDR を活用した内部偵察段階の検知 Posted By ATCP , 2024년 01월 03일 攻撃者は、初期侵入プロセスを経てコインマイナーやランサムウェアをインストールして収益を得ることができるが、バックドアまたは RAT マルウェアをインストールして先に感染システムの操作権限を取得する場合が多い。インフォスティーラーマルウェアはシステムに存在するユーザーの情報を窃取することが目的だが、その後は攻撃者が窃取した情報をもとにシステムの操作権限を取得し、最終的にはコインマイナーやランサムウェアをインストールする目的で使用する場合もある。 攻撃対象が独立した特定のシステムに限られるならば無関係だが、企業や機関内に構築された環境であることが確認された場合、攻撃者は当該システムが含まれた全体のインフラに対する攻撃を試みる場合がある。組織のインフラがアクティブディレクトリ(Active Directory)を使用する環境であり、感染システムが当該ネットワークに含まれている場合、攻撃者はマルウェアおよび複数のツールを利用して当該ドメイン全体を掌握することができる。 ここでは、攻撃者がアクティブディレクトリ環境に属するシステムを掌握したあと、内部ネットワークを偵察して情報を収集する一般的なプロセスを扱う。このようなプロセスに成功すると、攻撃者は資格情報を窃取し、その情報を利用してラテラルムーブメントのプロセスを経てドメイン環境を掌握する。そして、最終的にはネットワークに接続されたシステム全体にランサムウェアを配布したり、企業の内部情報を窃取して収益を得る。 このような内部偵察段階では、システム管理用の正常なツールが使用される場合が多い。そのため、AntiVirus のような従来の製品では検知に限界があり、EDR を活用して疑わしい振る舞いをモニタリングして対処する必要がある。 AhnLab EDR(Endpoint Detection…
遠隔操作ツールを利用した感染システムの制御 – EDR 検知 Posted By ATCP , 2023년 12월 18일 遠隔操作ツールは、遠隔地にある端末を管理し、操作する機能を提供するソフトウェアである。コロナウイルスのような環境で在宅勤務ソリューションとしても活用が可能であり、無人端末をリモートで操作、管理およびメンテナンスする用途としても活用される。このように正常な管理目的で使用する遠隔操作ツールを RAT、すなわち「Remote Administration Tool」と呼ぶ。 参考に、Remcos RAT や njRAT、Quasar RAT、AveMaria のようにリモートで感染システムを操作できるバックドアタイプのマルウェアも RAT(Remote Access…
RDP を侵入経路に使用するランサムウェア攻撃の事例 – EDR 検知 Posted By ATCP , 2023년 12월 01일 リモートデスクトップサービス(Remote Desktop Services)は、他の PC を遠隔で操作できる機能を意味し、Windows OS では RDP(Remote Desktop Protocol)を利用してこのようなサービスをデフォルトで提供している。これにより、操作対象のシステムが Windows を使用しているならば別途の遠隔操作ツールをインストールする必要がなく、RDP…
CobaltStrike を利用した Apache Web サーバーを対象とするクリプトジャッキング攻撃キャンペーン Posted By ATCP , 2023년 11월 20일 AhnLab Security Emergency response Center(ASEC)は、脆弱性に対するパッチが適用されていない、または不適切に管理されている脆弱な Web サーバーを対象とした攻撃をモニタリングしている。Web サーバーは不特定多数のユーザーに Web サービスを提供する目的で外部に公開されているため、攻撃者たちの代表的な攻撃対象となっている。 Windows 環境をサポートする…
