侵害されたサーバの分析で判明した攻撃者の「残念な行動」：攻撃者は標的サーバで何をするのか

侵入に成功したサーバで攻撃者がすることを知ることは、セキュリティ対策にとって重要だ。Sophosの分析によって、攻撃者の侵入方法や手口が明らかになった。

[Alex Scroxton，Computer Weekly]

　Sophosは、ある顧客（米国の地方政府機関）に対して長期にわたって仕掛けられたサイバー攻撃の詳細を公表した。攻撃者は最終的にその顧客のデータを盗み出し、ランサムウェア「LockBit」を展開したという。Sophosの研究者は、複数の攻撃者がその脆弱（ぜいじゃく）なサーバに侵入したと考えている。

　「これは非常に厄介な攻撃だった。当社の研究者は、標的になった組織と連携して一つの状況を描き出した。まず初心者と思われる攻撃者がサーバに侵入し、ネットワークをのぞき回った。侵入したサーバでGoogleの検索ツールを使って海賊版や無料版のハッキングツールや正規の管理ツールを探し、それらを組み合わせて攻撃に利用した。その後、攻撃者は次にすべきことが分からなくなったようだ」と話すのは、Sophosのアンドルー・ブラント氏（主任セキュリティ研究員）だ。

侵入開始：攻撃者は何をしたのか

iStock.com/Philip Steury

　最初のアクセスポイントには、ファイアウォールのRDP（リモートデスクトッププロトコル）ポートが利用されたらしい。このポートはサーバへのパブリックアクセスを提供するために開かれていた。この侵入が行われたのは2021年9月だった。

　前述のように、攻撃者は侵入したサーバのWebブラウザを利用してハッキングツールを検索し、そのインストールを試みた。攻撃者が「怪しげな」ダウンロードを行い、サーバに悪意のあるアドウェアをデプロイした形跡もあった。

　攻撃者は「Advanced Port Scanner」「FileZilla」「LaZagne」「Mimikatz」「NLBrute」「Process Hacker」「PuTTY」「Remote Desktop PassView」「RDP Brute Forcer」「SniffPass」「WinSCP」などのインストールを試みている。「ConnectWise Control」や「AnyDesk」といった商用リモートアクセスツールの利用も試していた。

　「具体的な目的があってITチームのメンバーがダウンロードしたのでなければ、PCにそうしたツールが存在するということは攻撃が進行中か、攻撃が差し迫っている危険信号を示す」

　「PCによるネットワークのスキャンなど、ネットワークでの予期しないアクティビティーや通常とは異なるアクティビティーも危険信号の一つだ。ネットワーク内でしかアクセスできないPCでRDPログインの失敗が繰り返されているのは、何者かがブルートフォースツールを使用してネットワーク内を横断的に移動しようとしている表れだ。ITチームがインストールしていないか、過去にインストールしてもしばらく使っていない商用リモートアクセスツールからの活発な接続がある場合も危険だ」（ブラント氏）

新たな攻撃者

　2022年1月になって攻撃者の手口が明らかに変わった。より熟練した集中的な活動の形跡が見られるようになったのだ。以前にデプロイされた悪意のあるクリプトマイナーとサーバのセキュリティソフトウェアが削除された。これは、標的にされた組織がメンテナンス操作後に誤って保護機能を無効にしたまま放置したためだ。その後、攻撃者はデータを盗み出してLockBitをデプロイした。だが、このランサムウェアは部分的にしか成功しなかった。

　ブラント氏によると、この戦術転換は別のグループが個別に関与してきたか、アクセスルートが何らかの方法で売却された可能性があるという。「最初の侵入から約4カ月が経過して攻撃の質が変わった。非常に劇的な変化だったので、全く異なるスキルを持つ攻撃者が争いに加わったと思われる」

　「堅牢（けんろう）で24時間365日稼働する多層防御アプローチがあれば、こうした攻撃が定着するのを阻止しやすくなる。最も重要な第一歩は、そもそも攻撃者がネットワークにアクセスできないようにすることだ。例えば、多要素認証を実装し、VPN接続を介さないRDPポートへのアクセスをブロックするようにファイアウォールのルールを設定する」

　Guruculのサリュ・ネイヤー氏（創業者兼CEO）によると、短期間のパターンを識別するように設定された従来のSIEM（Security Information and Event Management）ツールやXDR（Extended Detection and Response）ツールでは攻撃者の活動をうまく見つけられなくなっていて、攻撃者の潜伏期間が250日を超える場合もあるという。

　数週間や数カ月にわたって行われ、一見共通点がないようなIoC（セキュリティ侵害インジケーター）をセキュリティチームが手作業でつなぎ合わせて全容を解明するのは事実上不可能だと同氏は語る。これには現在の多くのソリューションが苦戦しているという。

　「単純な相関付けやルールベースの機械学習だけでなく、分析、適応型機械学習モデル、学習済み機械学習モデルも使って長期的に多種多様なイベントをつなぎ合わせる高度なツールを検討しなければならない」

　「さらに、脅威コンテンツの取り込み、不正な外部通信を特定するネットワークトラフィック分析、ユーザーやエンティティーの動作のリアルタイムなベースライン化と分析を利用すれば、異常な動作が攻撃活動に関係する脅威であることを明らかにできる。そうすれば形勢は一変し、セキュリティチームは事後対応ではなく事前対応が可能になる」とネイヤー氏は語る。