本稿は、サイバーセキュリティに関するイベント「Black Hat Asia 2026」で実施されたセッション「Breaking Hybrid Boundaries Across Azure and Windows」の解説に基づく。セッションにはCymulateのセキュリティリサーチチームリードを務めるイラン・カレンダロフ氏と同リサーチャーのベン・ザミール氏が登壇し、WACのアーキテクチャに潜む盲点と具体的な攻撃の手順を報告した。

　WACは、Microsoft Azureの管理画面内で動作するクラウド版と、ローカルのゲートウェイサーバにインストールされるオンプレミス版の2つの形態で提供されている。クラウド版は対象デバイスにエージェントソフトウェアを導入して通信する一方、オンプレミス版は「Windows Remote Management」（WinRM）などの標準機能を活用し、エージェントソフトウェアを必要としない（エージェントレス）構成で動作する。カレンダロフ氏らの研究チームは、このアーキテクチャの内部に5つの独立した脆弱性を特定した。

　攻撃の第一段階として利用されるのが、プログラムの保存領域に対するアクセス権限の不備だ。低権限のエンドユーザーでも内部のファイルを変更可能であることを悪用し、更新プログラムが検証された直後のわずかな隙を突いて不正なファイルを配置する手口で、システムの最高権限（SYSTEM権限）を容易に取得する。

　システム権限を掌握した攻撃者は、次にWACの認証プロセスに内在する欠陥を突く。クラウド版WACでは、アクセス権を確認するトークンと、エンドユーザーを識別するトークンの2種類を用いて認証する。本来、これらは1対のものとして厳密に検証されるべき仕組みだが、システム側で関連性が適切に検証されていなかった。攻撃者は、正規ユーザーから窃取したトークンと自身で偽造したトークンを組み合わせることで、対象のデバイスを遠隔から不正に操作できるようになる。

　さらに深刻な脆弱性として、通信を保護するための証明書を要求するプロセスの不備も確認された。Microsoft Azureの検証システムの実装が不十分であったため、攻撃者は自身で生成した認証データを改ざんし、標的となる仮想マシンのIDを埋め込むことができた。この偽造リクエストによって、標的マシンの有効な証明書と秘密鍵を不正に取得できる状態にあった。この他、画面の転送処理や応答処理の隙を突いたクロスサイトスクリプティング（XSS）などの脆弱性も含まれており、攻撃の足掛かりとして悪用される。

　これらの脆弱性を連携させることで、Microsoft Azureとオンプレミスシステムを跨ぐ大規模な攻撃の手順が成立する。例えば、低権限のエンドユーザーとしてMicrosoft Azure内の仮想マシンに侵入した後、先述の手口でシステム権限を奪う。その後、通信を傍受する不正なサービスを立ち上げ、接続してきたIT管理者の認証情報を奪取する流れだ。結果として、攻撃者はオンプレミスシステムの権限管理システムを完全に掌握し、最終的にはクラウド全体の管理者権限にまで到達しかねない。他のシステムと連携している接続デバイスを悪用することで、Microsoft Azureからオンプレミスシステムへの逆方向の侵入も引き起こす。

　従来のEDRやアンチマルウェア製品による手法は、マルウェアの固有シグネチャや既知の悪意ある挙動を検出のよりどころとしている。しかし、今回実証された攻撃アプローチは、正規のアイデンティティー情報を悪用し、OS標準の管理ツールを利用して進行する。そのため、従来のセキュリティ製品では、正規のシステム管理業務と攻撃者の不正な操作をシステム的に区別することが極めて困難だ。

　カレンダロフ氏らは、防御側が講じるべき対抗策として、アイデンティティーとトークンの厳格な使用状況監視を提唱している。具体的には、トークンが異なるリソース間や未知のIPアドレスから再利用されていないかどうかを継続的に検証する。加えて、長期間にわたり再認証なしに高リスクな操作が実行されていないかどうかも重要な監視指標となる。同一のデバイスやIPアドレスから複数の異なるアイデンティティーによるアクセス試行が観測された場合、それは資格情報が再利用されている強力な侵害のシグナルと判断できる。

　ハイブリッドなシステム構成の普及に伴い、クラウドサービスのみにひも付くはずのアイデンティティーが、突如としてオンプレミスデバイスへのアクセスを試みるといった、境界を越える不審な挙動が増加している。これらを早期に検出するためには、クラウドサービスとオンプレミスシステムの両方から収集したセキュリティログを集約し、横断的に相関分析する仕組みが不可欠だ。企業は、複雑なインフラを接続するWACのような管理基盤自体を「最も機密性の高い重要資産」（Tier 0資産）として位置付け、厳格なアクセス制御と監視体制を構築しなければならない。

本稿は、Black Hatが2026年8月22日に公開した動画「Black Hat Asia 2026 | Breaking Hybrid Boundaries Across Azure and Windows」を基に作成しました。