W-2からBYOVDへ：税務検索がカーネルモードのAV/EDR無効化に至る経緯

概要

広範なマルバタイジング作戦が、Google Adsを悪用して税書類検索に関連する偽のScreenConnectインストーラーを配布しています。そのインストーラーは多段階暗号化ツールを展開し、その後BYOVDユーティリティのHwAudKillerをロードします。このツールは署名付きのHuaweiオーディオドライバーをインストールし、カーネルレベルのアクセスを利用してAVとEDRプロセスを終了させます。一度セキュリティ制御が無効になると、攻撃者はLSASSの資格情報をダンプし、NetExecを使用してネットワーク全体の資格情報を取得します。この活動は、カスタムカーネルドライバーを組み合わせることで、セキュリティを無効化し、ステルスでのアクセスを取得し、永続性を維持することができることを示しています。

調査

Huntressの研究者は、リダイレクト経路を追跡し、 anukitax.com to bringetax.com 偽のScreenConnect MSIパッケージの配信を確認しました。ドロップされたcrypteds.exeは、2GBのメモリアロケーショントリックを使って回避し、timeSetEventを通じて間接的にシェルコードを起動した後にHwAudKillerをロードします。そのペイロードはHavoc.sysを%TEMP%に書き込み、ハードコードされたセキュリティプロセスのリストを終了させるカーネルサービスとしてHavocを登録します。別の侵入では、攻撃者はVPNの脆弱性を利用してアクセスを獲得し、同じドライバーを再利用し、FortiEDRプロセスを含める形でキルリストを拡張し、comsvcs.dllを使用してLSASSをダンプし、NetExecで横移動しました。

緩和策

組織は、正規のScreenConnectデプロイメントをブロックまたは厳格に許可リスト化し、不慣れな試用インスタンス-*リレーホスト名を監視するべきです。セキュリティチームは、一時パスからロードされたカーネルドライバーに注意し、SysmonイベントID 6およびWindowsサービスのインストールアクティビティに対してアラートを発するべきです。厳密な実行コントロールは、C:WindowsSystemTempScreenConnectおよび%TEMP%に書き込まれたファイルに対して実施されるべきです。また、ユーザーの認識向上活動において、Google Ads検索結果が税関連ダウンロードの信頼できるソースであるべきではないことを強調すべきです。

対応策

不正なScreenConnectインストーラーが見つかった場合、直ちにエンドポイントを隔離し、crypteds.exeおよびドロップされたHavoc.sysドライバーを収集し、Havocサービスを停止します。潜在的に侵害されたアカウントの資格情報リセット手続きを開始し、露出したアクセスを取り消します。その後、追加のScreenConnectリレー接続、NetExecの実行、LSASSダンプの兆候を探して環境全体をスキャンします。最後に、発見されたIOCを内部および外部の脅威インテリジェンスチャネルと共有します。

シミュレーションの実行

前提条件：テレメトリー＆ベースラインの事前チェックが合格していること。

理由：このセクションでは、検出ルールをトリガーするために設計された攻撃者の技術（TTP）の正確な実行について説明します。コマンドと物語はTTPで特定された内容を直接反映し、検出ロジックによって期待される正確なテレメトリーを生成することを目的としています。

• 攻撃の物語とコマンド：

  1. マルバタイジングによる初期アクセス： 被害者は税書類を検索中に悪意のある広告をクリックし、それがドライブバイダウンロードのトリガーとなります form_w9.msi.
  2. 不正ソフトウェアのインストール： MSIがサイレントでScreenConnectに似たリモートサポートツールをインストールし、以下をドロップします crypteds.exe and sent.exe を %TEMP% ディレクトリに配置します。
  3. 資格情報収集： crypteds.exe LSA Secretsをダンプするために起動します。
  4. DLLサイドローディング経由rundll32： 静的検出を回避するため、攻撃者は rundll32.exe をシステムDLLと使用して comsvcs.dll をエントリポイントとして、埋め込まれたペイロードを実行します。

  以下は、テストマシンでシミュレーションされた正確なコマンドです：

  # 1. 悪意のあるMSIをデプロイする（シミュレーション） 
  Start-Process -FilePath "C:Tempform_w9.msi" -ArgumentList "/quiet" -Wait
  
  # 2. 資格情報ダンプツールを起動する 
  Start-Process -FilePath "$env:TEMPcrypteds.exe" -ArgumentList "/dump" -Wait
  
  # 3. コマンドラインのcomsvcs.dllを使用してrundll32経由で悪意のあるペイロードをロードする
  rundll32.exe "C:windowsSystem32comsvcs.dll",LaunchApplication "$env:TEMPsent.exe"

• 回帰テストスクリプト： 以下のスクリプトは、上記のステップを自動化し、生成されたテレメトリーが検出ルールの期待に一致することを確認します。

  # 回帰テストスクリプト – マルバタイジングキャンペーンをシミュレート
  # -----------------------------------------------------------
  # 0. 前提条件：Sysmonがコマンドラインログを有効にして実行していることを確認してください。
  
  # 変数
  $msiPath   = "$env:TEMPform_w9.msi"
  $dumpTool  = "$env:TEMPcrypteds.exe"
  $payload   = "$env:TEMPsent.exe"
  $dllPath   = "C:windowsSystem32comsvcs.dll"
  
  # ヘルパー：マルウェアのバイナリを模倣するダミーファイルを作成します
  New-Item -Path $msiPath   -ItemType File -Force | Out-Null
  New-Item -Path $dumpTool  -ItemType File -Force | Out-Null
  New-Item -Path $payload   -ItemType File -Force | Out-Null
  
  Write-Host "[*] 悪意のあるMSIをインストールしています（シミュレーション）..."
  Start-Process -FilePath "msiexec.exe" -ArgumentList "/i `"$msiPath`" /quiet" -Wait
  
  Write-Host "[*] 資格情報ダンプツールを実行中..."
  Start-Process -FilePath $dumpTool -ArgumentList "/dump" -Wait
  
  Write-Host "[*] rundll32を介してDLLサイドローディングを実行しています..."
  rundll32.exe "`"$dllPath`"",LaunchApplication "`"$payload`""
  
  Write-Host "[+] シミュレーション完了。SIEMを通じて検出を確認してください。"

• クリーンアップコマンド： ダミーアーティファクトを削除し、残留プロセスを停止します。

  # クリーンアップスクリプト
  $paths = @("$env:TEMPform_w9.msi","$env:TEMPcrypteds.exe","$env:TEMPsent.exe")
  foreach ($p in $paths) {
      if (Test-Path $p) { Remove-Item -Path $p -Force }
  }
  
  # テストで開始されたrundll32プロセスを終了します。
  Get-Process -Name rundll32 -ErrorAction SilentlyContinue |
      Where-Object {$_.Path -eq "$env:SystemRootSystem32rundll32.exe"} |
      Stop-Process -Force