Lindnorバックドアとセキュリティキラーツール、米国のランサムウェア攻撃で使用

概要

Anubisランサムウェアと新たに確認されたカスタムバックドアであるBackdoor.Lindnorが、アメリカの組織に対するランサムウェア攻撃で使用されました。攻撃者は、複数のBYOVD（Bring Your Own Vulnerable Driver）ツールとセキュリティを無効にする実行ファイルをデプロイし、カーネルレベルのアクセスを取得しました。侵入はランサムウェアの暗号化段階が開始される前に最終的に妨害されました。

調査

Lindnorバックドアが2つのMicrosoft SQL Serverシステムで検出された後、調査が開始されました。アナリストは、攻撃者がChromeやVMware関連のコンポーネントにマルウェアを偽装し、セキュリティサービスを終了させるためのいくつかのツールをデプロイしていることを発見しました。Safe Modeで動作するように設定されたAnyDeskなどの正当なリモートアクセスソフトウェアも観察されました。

軽減策

組織は、許可されていないドライバーのロードをブロックし、BYOVD手法への露出を減らすためにセキュリティコントロールを設定するべきです。署名されていないか、または既知の脆弱なドライバーに対する厳しい実行制御が重要です。セキュリティチームはまた、許可されていないリモートアクセスツールやSafe Mode永続性や実行に関連する疑わしいレジストリ変更を監視するべきです。

対応

悪意のある活動が検出された場合、影響を受けたSQL Serverシステムを隔離し、最近インストールされた実行ファイルとドライバーを監査してください。Lindnorバックドアと関連ファイルの徹底的な調査を行い、例えば healthcontroller64.exe or svchelper.exe。AnyDeskに関連するレジストリキーの変更をレビューし、許可されていないローカルユーザーアカウントの作成を調査してください。

シミュレーション実行

• 攻撃の説明とコマンド： 敵対者は初回アクセスを取得し、セーフモードへの再起動を生き延びる持続的なリモートアクセスチャネルを確立しようとしています。標準のスタートアップフォルダ監視からの検出を回避するために、攻撃者はWindowsセーフブートのレジストリ設定をターゲットにしています。彼らは reg.exe を使用して新しい値を SafeBootNetwork レジストリキーに注入し、具体的にはそれを「AnyDesk」と名付け「Service」と設定しています。これにより、技術者または攻撃者がセーフモードを起動したときに、AnyDeskが自動的に開始され、主要なセキュリティスイートが非アクティブな間にバックドアを提供します。

• リグレッションテストスクリプト：

  # reg.exeを通じたAnyDeskセーフモード持続性を模倣するシミュレーションスクリプト
  # このコマンドは検出ロジック内の特定の文字列に一致します。
  
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  $command = "reg add `"$registryPath`" /ve /t REG_SZ /d Service /f"
  
  Write-Host "[*] シミュレーションコマンドを実行中: $command"
  Invoke-Expression $command
  
  if ($LASTEXITCODE -eq 0) {
      Write-Host "[+] 成功: テレメトリが生成されたはずです。"
  } else {
      Write-Host "[-] 失敗: コマンドが失敗しました。スクリプトが管理者として実行されていることを確認してください。"
  }

• クリーンアップコマンド：

  # シミュレートされたレジストリキーを削除するためのクリーンアップスクリプト
  $registryPath = "HKLMSYSTEMCurrentControlSetControlSafeBootNetworkAnyDesk"
  Write-Host "[*] クリーンアップ中: $registryPathを削除"
  reg delete "$registryPath" /f