フォローする 
概要
脅威アクターは、Samsung MagicINFOの脆弱性を悪用して管理対象のエンドポイントに初期アクセスを取得しました。攻撃者は、事前に構築されたバイナリを展開するのではなく、複数のCコンパイラと.NETユーティリティを使用してカスタムMoneroクリプトマイナーを侵害されたホスト上で直接コンパイルしました。このアプローチにより、環境に特化した最適化が可能になりましたが、コンパイル活動の急増により、EDRの可視性が高まることにもつながりました。
調査
Huntressの研究者は、Samsung MagicINFOのインストールに関連する異常なEDRテレメトリーを通じて侵入を特定しました。調査により、Apache Tomcatサービス (tomcat9.exe) がAnyDeskをダウンロードするために certutil とPowerShellを使用してコマンドを実行していることが判明しました。分析者はまた、攻撃者がローカル管理者アカウントを作成し、Windows Defenderを無効にし、クリプトマイナーをビルドするためにいくつかのコンパイラを実行している様子を観察しました。
緩和策
組織は既知の脆弱性に対処するために、インターネットに面した全てのSamsung MagicINFOの導入を迅速にパッチ適用するべきです。防御者は、RMMツールの繰り返しのダウンロード試行やエンドポイントでの予期しないコンパイラの実行を監視するべきです。デジタルサイネージ管理ソフトウェアのインターネット公開を制限することで攻撃面をさらに減少させることができます。
対応策
不審なコンパイラ活動や許可されていないRMMのダウンロードが検出された場合、他のペイロードの実行を防ぐために、影響を受けたエンドポイントを直ちに隔離してください。初期アクセスの手段を特定するために完全なフォレンジック調査を実施し、脆弱なWebサービスを含む点を調べてください。ローカルユーザーアカウントをレビューし、許可されていない追加を確認し、Microsoft Defenderのようなセキュリティコントロールの整合性を確認してください。
攻撃フロー
この部分はまだ更新中です。
検出
Powershellを介したダウンロードまたはアップロード（cmdline経由）
隠しAnyDeskインストールの可能性（cmdline経由）
永続性を確保するためのアカウントの可能性 [Windows]（cmdline経由）
短いファイル名（cmdline経由）
データのエンコードおよび証明書操作のためにCertutilを使用（cmdline経由）
代替リモートアクセス／管理ソフトウェア（process_creation経由）
疑わしいファイルダウンロードの直接IP（proxy経由）
IOCs（HashSha256）検出対象: 知られざるマイナー：エンドポイント上でクリプトマイナーをコンパイルする脅威アクター
IOCs（SourceIP）検出対象: 知られざるマイナー：エンドポイント上でクリプトマイナーをコンパイルする脅威アクター
IOCs（DestinationIP）検出対象: 知られざるマイナー：エンドポイント上でクリプトマイナーをコンパイルする脅威アクター
新規管理者アカウントの作成とDefenderの無効化の検出 [Microsoft Windowsセキュリティイベントログ]
CertutilまたはPowerShellを利用したAnyDeskのダウンロード [Windows Process Creation]
シミュレーション実行
-
攻撃のストーリー & コマンド： 敵対者は初期アクセスを得て、長期的な永続性を確保し、検出を防ぎたいと考えています。攻撃者はまず、
oldadministratorと名付けたローカルユーザーを作成し、ローカル管理者グループに追加します。Windows Defenderが後続のツールダウンロードをフラグしないように、攻撃者はSystemSettingsAdminFlows.exeをdisable引数で起動します。この特定のシーケンスは、ホストの防御を弱体化させるために、特定のクリプトマイニングマルウェア群によって使用される既知のパターンを模倣するように設計されています。 -
回帰テストスクリプト：
# シミュレーションスクリプト： 'oldadministrator'とDefender無効化検出をトリガー # 注意：このスクリプトは管理者権限で実行する必要があります Write-Host "[+] シミュレーションを開始..." -ForegroundColor Cyan # 1. 検出ルールで必要な特定のユーザー名を作成 Write-Host "[+] アカウント作成： oldadministrator" -ForegroundColor Yellow net user oldadministrator Password123! /add net localgroup administrators oldadministrator /add # 2. SystemSettingsAdminFlows.exeを介してDefenderを無効化をシミュレート # ルールが探している特定のコマンドラインパターンを使用します Write-Host "[+] 'disable' 引数で SystemSettingsAdminFlows.exe を実行" -ForegroundColor Yellow Start-Process "C:WindowsSystem32SystemSettingsAdminFlows.exe" -ArgumentList "disable" -ErrorAction SilentlyContinue Write-Host "[+] シミュレーション完了。SIEMでアラートを確認してください。" -ForegroundColor Green -
クリーンアップコマンド：
# クリーンアップスクリプト：シミュレーションアーティファクトを削除 Write-Host "[+] シミュレーションアーティファクトをクリーンアップ中..." -ForegroundColor Cyan # 作成したユーザーを削除 net user oldadministrator /delete # 注：テスト環境の安定性のために特に必要とされない限り、スクリプトでDefenderを再有効化しません
