SOC Prime Bias: 危機

22 May 2026 07:08 UTC

Huntress

公開されたRDP：攻撃者にとって依然として有利な設定ミス

SOC Prime Team

フォローする

Detection stack

AIDR
Alert
ETL
Query

脅威レポート
攻撃フロー
検出
シミュレーション

概要

この記事では、公開されたリモートデスクトッププロトコル（RDP）サービスが引き続き攻撃者にとって一般的な初期アクセスベクターとして機能していることを説明しています。多くの組織は依然としてRDPポートをインターネットからアクセス可能な状態にしており、自動スキャンや機会を狙った侵入攻撃の容易なターゲットになっています。この投稿は、攻撃者がオープンRDPアクセスや公開されたRDWebポータルを悪用して環境に侵入し、その後、横方向への移動を通じてアクセスを拡大する実例を紹介します。

調査

説明されているケースには、インターネットに露出したRDPポートを持つ医療組織、RDWebポータルを通じた妥協を伴う事件、攻撃者が脆弱なSonicWall VPNデバイスを悪用した後にRDPを有効にするためにファイアウォールとレジストリ設定を変更した侵入が含まれています。これらのシナリオでは、攻撃者は単純なWindowsコマンド、リバーストンネルユーティリティ、および資格情報収集スクリプトに依存してアクセスを維持し、ネットワーク内でさらに深く移動しました。

緩和策

推奨される防御策は、不必要なRDPの露出を排除し、必要なRDPアクセスを適切に設定されたファイアウォールの背後に置き、疑わしい露出の後に資格情報をローテーションし、ファイアウォールおよびVPNログをSIEMに投入してより迅速に検出することに焦点を当てています。また、EDRカバレッジを展開し、RDPサービスを有効または再有効にするレジストリ変更を監視することも勧めています。

対応

疑わしいRDP関連の活動が検出された場合、対応者は問題のIPアドレスをブロックし、RDPサービスを無効にし、悪意のあるレジストリ変更を元に戻し、ファイアウォールルールが変更されていないことを確認し、影響を受けた資格情報をリセットする必要があります。繰り返しアクセスしようとする試みの監視と、すべての設定変更の検証も不可欠です。

<div class="wp-block-socprime-category-attack-flow attack-flow-class" data-title="Attack Flow" data-attack-flow="graph TB %% Class Definitions classDef technique fill:#ffcc99 classDef action fill:#99ccff classDef tool fill:#cccccc classDef operator fill:#ff9900 %% Nodes – Techniques tech_scanning_ip["Technique – T1595.001 Name: Active Scanning: Scanning IP Blocks Description: Adversary probes ranges of IP addresses to locate vulnerable hosts."] class tech_scanning_ip technique tech_scanning_vuln["Technique – T1595.002 Name: Active Scanning: Vulnerability Scanning Description: Uses automated tools to find known vulnerabilities in remote systems."] class tech_scanning_vuln technique tech_valid_accounts["Technique – T1078 Name: Valid Accounts Description: Use of stolen or otherwise compromised credentials to gain access."] class tech_valid_accounts technique tech_disable_firewall["Technique – T1562.004 Name: Disable or Modify System Firewall Description: Alters firewall configuration to allow inbound traffic such as RDP."] class tech_disable_firewall technique tech_create_modify_process["Technique – T1543 Name: Create or Modify System Process Description: Creates or changes system processes via registry or service configuration."] class tech_create_modify_process technique tech_system_services["Technique – T1569 Name: System Services Description: Manipulates services to execute malicious code or maintain persistence."] class tech_system_services technique tech_discovery_network["Technique – T1049 Name: System Network Connections Discovery Description: Enumerates active network connections on the compromised host."] class tech_discovery_network technique %% Nodes – Tools / Commands tool_shodan["Tool – Name: Shodan Description: Internet‑wide scanning service used to discover exposed services such as RDP."] class tool_shodan tool tool_rdp["Tool – Name: Remote Desktop Protocol (RDP) Description: Windows remote login service leveraged after credential theft."] class tool_rdp tool tool_netsh["Tool – Name: netsh Command: netsh advfirewall add rule name='RDP-Open' dir=in protocol=TCP localport=3389 action=allow enable=yes"] class tool_netsh tool tool_reg["Tool – Name: reg.exe Command: reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f"] class tool_reg tool tool_netstart["Tool – Name: net start Command: net start TermService"] class tool_netstart tool tool_adv_ip_scanner["Tool – Name: Advanced IP Scanner Description

攻撃フロー

検出

可能なリモートデスクトップサービスの影 [via registry_event]

SOCプライムチーム

2026年5月21日

表示

可能なリモートデスクトップサービスの影 [via process_creation]

SOCプライムチーム

2026年5月21日

表示

CLIによる疑わしいファイアウォールの変更 [via cmdline]

SOCプライムチーム

2026年5月21日

表示

RDP接続を有効にするためのレジストリ変更を検出 [Windowsレジストリエベント]

SOCプライムAIルール

2026年5月21日

表示

公開されたRDPとファイアウォールルールの変更の検出 [ファイアウォール]

SOCプライムAIルール

2026年5月21日

表示

シミュレーション実行

前提条件: テレメトリおよびベースラインのプリフライトチェックが合格している必要があります。

根拠: このセクションでは、検出ルールをトリガーするために設計された敵対者の技術（TTP）の正確な実行を詳細に説明します。コマンドおよびナarr atorが識別されたTTPに直接的に反映され、検出ロジックによって期待される正確なテレメトリーを生成することを目的としています。

攻撃の説明およびコマンド:
1. 偵察 (T1016.001): 敵対者は、ターゲットサブネットのポート3389が開いているホストを特定するために Test-NetConnection をループで実行します。
2. 特権昇格/ファイアウォール操作 (T1021.001): ローカル管理者権限を取得した攻撃者は、 netsh.exe を使用して、RDPのために許可するインバウンドファイアウォールルールを追加し、サービスをインターネットに露出させました。
3. 作成後の検証: 攻撃者はファイアウォールルールをリストして、新しいエントリが存在することを確認し、その後、RDPセッションを開始します（このテストの範囲外）。

回帰テストスクリプト:

#---------------------------------------------------------
# シミュレートされた敵対者の活動 – RDPがnetsh経由で公開されている場合
#---------------------------------------------------------
# 1. 開いているRDPポートの探索のためにローカル/24サブネットをスキャンします（無害の再評定）
$subnet = "10.0.0."
1..254 | ForEach-Object {
    $ip = "$subnet$_"
    $result = Test-NetConnection -ComputerName $ip -Port 3389 -WarningAction SilentlyContinue
    if ($result.TcpTestSucceeded) {
        Write-Host "[+] RDPが $ip に開いています"
    }
}

# 2. 任意のアドレスからのインバウンドRDPを許可するファイアウォールルールを追加
$ruleName = "TempAllowRDP_$(Get-Random -Maximum 10000)"
$netshCmd = "advfirewall firewall add rule name=`"$ruleName`" dir=in action=allow protocol=TCP localport=3389"
Write-Host "`n[+] netshでファイアウォールルールを作成しています..."
Start-Process -FilePath "$env:SystemRootSystem32netsh.exe" -ArgumentList $netshCmd -Wait -NoNewWindow

# 3. ルールが存在するか確認（オプション、テレメトリーの確認に役立つ）
netsh advfirewall firewall show rule name=$ruleName

# シミュレートされた攻撃の終わり

クリーンアップコマンド:

#---------------------------------------------------------
# テスト中に作成された一時的なファイアウォールルールを削除
#---------------------------------------------------------
$rulePrefix = "TempAllowRDP_"
$rules = netsh advfirewall firewall show rule name=all |
         Select-String -Pattern $rulePrefix |
         ForEach-Object { ($_ -split 's+')[0] }

foreach ($r in $rules) {
    Write-Host "[*] ルール $r を削除しています"
    netsh advfirewall firewall delete rule name=$r
}

SOC PrimeのDetection as Codeプラットフォームに参加し ビジネスに最も関連性のある脅威に対する可視性を向上させましょう。開始して即座に価値をもたらすためには、今すぐSOC Primeの専門家とのミーティングを予約してください。

無料で参加