MS SQLサーバーへの侵入でGoToHTTPとSoftEther VPNを利用したリモートアクセス

概要

Larva-26009として追跡されている攻撃者は、MS-SQLサーバーを標的にして、XMRig CoinMinerやSoftEther VPNを含む複数のマルウェアペイロードを展開しました。この侵入は、永続化のためにウェブシェルをインストールすること、レジストリダンプを通じて資格情報を盗むこと、いくつかの権限昇格ユーティリティを使用することを含んでいました。攻撃者は、また、従来のセキュリティ検出メカニズムを回避するために、特殊なローダーや暗号化されたファイルに依存していました。

調査

AhnLab Security Intelligence Center (ASEC)が、MS-SQLサーバーを標的とした攻撃活動を監視している間に侵入を検出しました。調査により、次のツールの利用が明らかになりました certutil.exe でウェブシェルファイルを解読するほか、資格情報のダンプおよび横移動に関連するコマンドライン活動が行われていたことが明らかになりました。研究者はまた、いくつかのPotatoスタイルの権限昇格ツールとRingQを含む特殊なシェルコードローダーについても記録しました。

緩和策

管理者はすべてのデータベースサービスアカウントに対して強力で複雑で定期的に変更されるパスワードを使用することで、ブルートフォース攻撃のリスクを軽減するべきです。データベースサーバーは、公開アクセスを制限し、露出する攻撃面を最小限に抑えるファイアウォールで保護されるべきです。セキュリティソフトウェアとエンドポイント保護ソリューションも、既知のマルウェアシグネチャや関連する悪意のある活動を検出できるよう完全に更新されているべきです。

対応

悪意のある活動が検出された場合、セキュリティチームは直ちに被害を受けたMS-SQLおよびIISウェブサーバーを隔離して、さらなる横移動を防ぐべきです。レスポンダーは、新たに作成されたユーザーアカウント、特に名前が $で終わるような疑わしい命名パターンを使用しているものを監査すべきです。メモリフォレンジクスを実施して、注入されたシェルコードを特定し、影響を受けたシステムで実行中の無許可のVPNまたはリモートデスクトップサービスを発見することも重要です。

シミュレーション実行

前提条件: テレメトリ & ベースラインプレフライトチェックが合格している必要があります。

根拠: このセクションは、検出ルールをトリガーするために設計された敵の技術（TTP）の正確な実行を詳細に説明します。コマンドと説明は、特定されたTTPを直接反映し、検出論理によって期待される正確なテレメトリを生成することを目的としています。抽象的または関連性のない例は誤診につながります。

• 攻撃ナラティブ & コマンド: 敵は初期アクセスを獲得し、永続性を確立するために二次ペイロードをダウンロードしようとしています。疑惑を避けるために、「Living-off-the-Land」（LotL）技術を使用することに決めました。彼らは2つの方法を試みます: まず、 certutil.exe を使ってファイルをダウンロードし、 -urlcache フラグを使用し、次に古い System.Net.WebClient 呼び出しをPowerShellで行います。これは、管理者の正当な通信に溶け込むフリをしながら道具を引き下げる攻撃者を模倣します。

• 回帰テストスクリプト:

  # CertutilとPowerShellダウンロード検出用シミュレーションスクリプト
  # 注意: このスクリプトは、公的URLから無害なテキストファイルをダウンロードしようとします。
  
  $TargetUrl = "https://raw.githubusercontent.com/socprime/test-payloads/main/test.txt"
  $LocalPathCertutil = "$env:TEMPcertutil_download.txt"
  $LocalPathPS = "$env:TEMPps_download.txt"
  
  Write-Host "[+] シミュレーション開始中..." -ForegroundColor Cyan
  
  # メソッド1：Certutil URLキャッシュダウンロード
  Write-Host "[*] Certutilダウンロード技術を実行中..." -ForegroundColor Yellow
  Start-Process "certutil.exe" -ArgumentList "-urlcache -split -f $TargetUrl $LocalPathCertutil" -NoNewWindow -Wait
  
  # メソッド2：PowerShell WebClientダウンロード
  Write-Host "[*] PowerShell WebClient技術を実行中..." -ForegroundColor Yellow
  powershell.exe -ExecutionPolicy Bypass -Command "(new-object System.Net.WebClient).DownloadFile('$TargetUrl', '$LocalPathPS')"
  
  Write-Host "[+] シミュレーションコマンドが実行されました。" -ForegroundColor Green

• クリーンアップコマンド:

  # クリーンアップスクリプト
  Remove-Item -Path "$env:TEMPcertutil_download.txt" -ErrorAction SilentlyContinue
  Remove-Item -Path "$env:TEMPps_download.txt" -ErrorAction SilentlyContinue
  Write-Host "[+] クリーンアップ完了。" -ForegroundColor Green