Uncoder AIとSentinelOne Query Languageを使用したCurlベースのTORプロキシアクセスの調査

**イベント概要**

このイベントは、プロセスが特定の条件を満たし、`curl.exe`実行可能を介したダークウェブまたは匿名ネットワークとの相互作用の可能性を示すとトリガーされます。

**主要条件**

1. **実行可能パス**: ターゲットプロセス (`TgtProcImagePath`) は、`curl.exe`のパスを含む必要があります。これは、対象のプロセスがcurlコマンドラインツールのインスタンスであることを示唆しています。
2. **コマンドラインパラメータ**: `curl.exe`プロセスのコマンドライン (`TgtProcCmdLine`) に特定のURLパターンが含まれ、これらが潜在的な悪意のあるまたは疑わしい活動の指標です。

• `socks5h://`, `socks5://`, または `socks4a://`: これらの文字列はSOCKSプロキシの使用を示します。SOCKSは、インターネットトラフィックをプロキシサーバー経由でルートするためのプロトコルです。`socks5h`の`h`は通常、ホスト名がプロキシ側で解決されることを示し、実際の目的地を隠すのに役立ちます。
• `.onion`: この文字列はTorオニオンサービスに関連しています。オニオンサービスは、匿名であり、Torネットワークを介してアクセス可能なウェブサイトや他のサーバーをホストするために使用されます。

**意味**

これらの条件の組み合わせは、いくつかの可能なシナリオを示唆しています。

• **ダークウェブリソースへのアクセス**: `.onion` URLの存在は、しばしば不正行為に関連するダークウェブ上のリソースへのアクセスの試みを示していますが、ユーザーのプライバシーを保護するために使用されることもあります。
• **匿名性のためのプロキシの使用**: SOCKSプロキシ（`socks5h://`, `socks5://`, または `socks4a://`で示される）の使用は、インターネットトラフィックを匿名化しようとする試みかもしれません。プロキシの使用は一般的であり、必ずしも悪意のあるものではありませんが、オニオンサービスや他の潜在的に敏感なコンテンツにアクセスする文脈では、セキュリティ上の懸念を引き起こす可能性があります。
• **潜在的回避技術**: 悪意のあるアクターは、これらの方法（匿名化プロキシやダークウェブリソース）を彼らの戦術、技術、手順（TTP）の一部として使用し、攻撃中に検出を回避したり、痕跡を隠したりすることがあります。

**対応**

このs1-イベントがトリガーされたときは、アクティビティの背後にある文脈や意図を理解するためにさらなる調査が必要です。これには以下のことが含まれます。

• 他の疑わしいアクティビティのためにネットワークログを確認する。
• 検出されたアクションの前後でシステムの動作を分析し、潜在的な前駆体や結果を識別する。
• マルウェアや不正アクセスの試みの兆候をシステム上で検査する。

このイベントの性質を考慮すると、これらの指標に関与するすべての活動が悪意のあるものではないことを理解しつつ、セキュリティの警戒を維持することが重要です。正当な用途には、研究、プライバシーの保護、または安全な通信のためのオニオンサービスのアクセスが含まれるかもしれません。