［攻撃手法］標的型攻撃はこう動く、AD悪用で同一ドメインを制圧 - 頻発する標的型攻撃に備えよ：ITpro（情報元のブックマーク数）

ついに標的型攻撃のメインとなるActiveDirectoryへの攻撃（認証取得）の話が出てきましたね。

以前に、第8回北海道情報セキュリティ勉強会でMicrosoftの小野寺さんが、APTの話をしてくださった際にも、同様にActiveDirectoryへの攻撃を示唆されていました。
その際は、ActiveDirectoryの認証ログの総量をグラフ化して、アノマリで見たら良いというお話でした。

ステップ1でよく使われるのが、特定のターゲットにメールを送信する「標的型攻撃メール」だ。標的にメールを開かせるため、攻撃者はソーシャルエンジニアリングを駆使する。その手法は最近さらに洗練されてきた。筆者が見る範囲では三つの変化が起こっている。（1）メールの送信元が海外から日本国内に移行している、（2）文字コードがGB2313（中国語）からISO-2022-JP（日本語）に切り替わってきた、（3）添付ファイルの主流がPDFファイルからMicrosoft Wordファイルに変わった。端的に言えば、ユーザーが攻撃だと疑いづらいメールになってきている。 　ステップ2では攻撃者がマルウエアを送り込んだ後、真っ先にActive Directory（AD）の乗っ取りを狙う傾向が強まっている。攻撃者は目的の情報が保存されているシステムを効率的に探し出したい。そこで攻撃者はADからドメイン配下のシステムに対して、まとめて不正操作を試みる。例えば、特定のキーワードを含むドキュメントファイルの一括検索などだ。

［攻撃手法］標的型攻撃はこう動く、AD悪用で同一ドメインを制圧 | 日経 xTECH（クロステック）

ここでADのログに出る感じかな。

盗み出したパスワードハッシュを、攻撃者がADサーバーに送信するのがPass the hashである。パスワードそのものではなく、パスワードハッシュで認証するというNTLM認証の特徴を悪用している。大規模な標的型攻撃「Night Dragon」にも利用された。古いシステムではパスワードハッシュを平文で扱っているため、攻撃者はIDとパスワードハッシュを入手するだけで認証を回避できてしまう。攻撃者はトロイの木馬やRATをドメイン管理者のPCに忍び込ませることができれば、容易に企業内システムに侵入できるわけだ。 　攻撃者はドメインを制圧した後、リモート・コマンド・ツール「PsExec」を利用してさらに深い攻撃を仕掛ける例をしばしば見かける。管理共有を経由してPsExecを利用すると、同じドメインのコンピュータで様々なプログラムを実行させられる。例えば、パスワードハッシュのダンプツール「PwDump」を実行させれば、効率的にパスワードハッシュを収集できる。シェルを実行して、多くのシステムを乗っ取ることもある。ここまでできれば、あとは攻撃者支配下のサーバーに情報を送るステップ3は容易だ。

［攻撃手法］標的型攻撃はこう動く、AD悪用で同一ドメインを制圧（2ページ目） | 日経 xTECH（クロステック）

見えない化ですね

標的型攻撃をネットワーク的に検知することは難しい。マルウエアに感染させるステップ1では、攻撃者はセキュリティ装置の監視をくぐり抜ける工夫をしている。例えば、通信ポートには80（HTTP）や443（HTTPS）を使って、ファイアウォールを突破する。Webフィルタリング装置やウイルス対策ゲートウエイに対しては、主要製品では検出できないことを確認済みの不正URLとマルウエアを利用する。 　マルウエアの侵入後もやっかいだ。攻撃者がトロイの木馬やRATを操作すると、社内の標的システムからインターネット上の攻撃用サーバーにパケットを送るため、検知できそうに見える。しかし、データ量は数十バイトから数百Kバイトにすぎない。ネットワーク運用管理ツールのレポートでは、異常値として検出するのは困難だ。大きなファイルのアップロードでも、巧妙な手口を用いて痕跡を隠す。 　通信の内容についても、攻撃者は検知を困難にする工夫している。例えば、Web閲覧時に発生した画像ファイルへのアクセスを装う通信が増えてきている。数年前はIRCやHTTPリクエストにコマンドを埋め込む例が多かったが、最近はそこまであからさまな通信を見かけることは少なくなった。

［攻撃手法］標的型攻撃はこう動く、AD悪用で同一ドメインを制圧（2ページ目） | 日経 xTECH（クロステック）