MWS Cup 2021
課題4 DFIR
ポストミーティング本日の内容課題4の紹介● 今年の課題4 振り返り
● アンケート結果● 攻撃者視点での課題解説●○

ログ解析者（防御者）視点での解説はしません

2

課題4の紹介3

課題4 DFIR の紹介● EDR（Soliton InfoTrace Mark II）のログを分析調査し、どのようなサイバー攻撃が行われたか（インシデントが発生したか）解明○

EDRログのフォーマットは、Soliton Dataset で提供されているものと同じ分析調査する観点（設問）

ログに記録されている情報
●
●
●
●
●
●

プロセス
ファイル操作
レジストリ操作
ネットワークユーザログオン
etc…

● どのホストが影響を受けたか？
● どのように攻撃者は侵入 /●●●マルウェアに感染したか？
どのようにネットワーク内部で侵害を拡大したか？
どのような情報が漏えい/暗号化されたのか
etc…

4課題4 DFIR の紹介
EDRログのサンプル：PsExec起動時● プロセスの起動● ファイル作成● レジストリ値のセット
5今年の課題4 振り返り6

今年の方針2020

2021○ 人の手による攻撃○ 複数端末○ EDRログ（InfoTrace Mark II）
から侵害状況を明らかにする○ 人の手による攻撃○ 複数端末○ EDRログ（InfoTrace Mark II）＋プロキシログから侵害状況を明らかにする○ 環境情報やフォーマットの事前アナウンス○ 現実の攻撃を再現した擬似攻撃

7

課題4 担当メンバー●主担当○

保要 隆明（株式会社エヌ・エフ・ラボラトリーズ）

全体調整
攻撃シナリオ作成
擬似攻撃検証、実行
問題作成

● 担当
○
○
○
○
○
○
○
○
○
○

荒木 粧子（株式会社ソリトンシステムズ）
白鳥 隆史（株式会社ソリトンシステムズ）
後藤 公太（株式会社ソリトンシステムズ）
尾曲 晃忠（株式会社ソリトンシステムズ）
竹澤 一輝（株式会社ソリトンシステムズ）
木野田 渉（株式会社ソリトンシステムズ）
阿部 航太（株式会社エヌ・エフ・ラボラトリーズ）
飯田 良 （NTTコミュニケーションズ株式会社）田口 裕介（NTTコミュニケーションズ株式会社）
久保 佑介（NTTコミュニケーションズ株式会社）監修
問題レビュー
ログ取得環境構築・運用
問題レビュー

擬似攻撃検証、実行問題レビュー
8今年のテーマ

Human-Operated Ransomware（標的型ランサムウェア）

9Human-Operated Ransomware（標的型ランサムウェア）•

2019年頃からランサムウェアを用いた新たな攻撃が急増•••

APT のような手法で横展開し組織の奥深くに侵入する
最近では発見した機密情報の窃取も行う
ランサムウェアを組織全体に配信し、復号と情報公開をネタに二重脅迫

https://www.ipa.go.jp/security/announce/2020-ransom.html

https://jsac.jpcert.or.jp/archive/2020/pdf/JSAC2020_1_tamada-yamazaki-nakatsuru_jp.pdf

10インシデント事例

https://www3.nhk.or.jp/news/html/20210509/k10013019791000.html

https://news.yahoo.co.jp/articles/4fb2485ce69b7ae5f73eaba1a8c0e7505ac411b3

11

インシデント事例

https://www.nikkei.com/article/DGXZQOUE071OK0X01C21A1000000/

12

事の始まりフューチャー・ガジェット・ラボラトリー（FGLab）はコロナウイルス感染拡大による緊急事態宣言の影響により、ラボに集まって研究を続けることができなくなっていた。
急遽クラウド上にリモート業務用サーバを構築し、リモートから研究開発活動を行うことを余儀なくされた。

13

FGLabのリモートワーク環境

14ある日、事件が起こる
業務環境をクラウドに移行して数週間経った2021年の10月6日の朝、仕事を始めたところ「リモート業務用サーバ上のファイルが開くことができない」という事象が発生した。
IT管理者のhashidaがこの件について調査を行っていたところ、ファイルの拡張子が.encryptedに変更されて暗号化されており、 身代金を要求されるREAD_TO_DECRYPT.html という名前のファイルが一部のユーザのDesktopに作成されていた ことがわかった。

15

ラボの危機を救え！
どうやら今流行りのランサムウェアを使ったサイバー攻撃を受けてしまったらしい。
FGLabで何が起きたのか、 EDR（InfoTrace Mark II) ログとプロキシログを分析し、攻撃の全容を明らかにせよ！

16

課題概要
0. Prolouge0

インシデントの発生状況説明
1.3 Lateral Movement /Execution
1. ランサムウェアの被害状況・挙動・感染経路
11
1.1 Impact

1.2 Command and Control

1

2.1 Lateral Movement /2.2 Execution
Execution
2. ドメインコントローラの侵害
1 (DC01)1

3.1 Execution /Privilege Escalation
2

2.3 Credential Access /Exfiltration
1

3.2 Collection /Exfiltration
1

3.3 Lateral Movement
3. 漏えいした情報の特定、初期侵入端末からの横展開(WS02)
1

4. 防御機構回避
14 Defense Evasion

5. 永続化2

5 Persistence

6 Timeline
5

1.4 Lateral Movement2

Flag形式/選択形式
15点

記述形式
5点
17

1. ランサムウェアの被害状況・挙動・感染経路
1. 暗号化プログラムが動作したコンピュータ名（ホスト名）を答えよ。
2. 暗号化プログラムが通信している外部サーバのURLを答えよ。
3. 暗号化プログラムをリモートから起動する際に使用した手段（ Windowsの機能）を選べ。
4. リモートログインを行った（暗号化プログラムをリモートから実行した）コンピュータ名とリモートログインに使われたユーザ名を答えよ。

● NW内のすべての端末がランサムウェア被害● WS02から他のサーバに暗号化プログラムをWMIを用いて配布
18

2. ドメインコントローラの侵害 (DC01)
1. WS02からDC01でコマンド実行する際にWS02上で利用されたプログラムのフルパスを答えよ。
2. DC01で不審なURLへ通信を発生させているプロセスの起動時刻（日本時間）を答えよ。
3. DC01からあるデータを盗んでいる。 盗まれたデータを取得するために実行しているプロセスの起動ログのシーケンス番号 (sn) を答えよ。

● WS02からPsExecを用いてDC01に侵入● DC01からドメインの認証情報（NTLMハッシュ 等）が流出
19

3. 漏えいした情報の特定、初期侵入端末からの横展開 (WS02)
1. WS02で不審なURLへ通信を発生させたプログラムを実行させたツール名を答えろ
2. WS02から圧縮して持ち出されたファイルサーバのファイル数を答えよ。
3. WS02でプログラムを実行した、他のコンピュータのコンピュータ名とユーザ名を答えよ。

● 社内に共有されていたファイルサーバに保管していた情報（顧客情報、機密情報）が漏えい● WS01（初期侵入端末）からWS02にWMIを用いて横展開20

4. 防御機構回避
1. 攻撃者は攻撃全体を通して防御機構を回避するために使用しているコマンドを答えよ● 各端末でのWindows Defenderの無効化

5. 永続化
1. WS01で実行された永続化手法をMITRE ATT&CKのTechnique IDで答えろ。
● WS01でバックドアアカウントの作成

21

結果
回答チーム
1614
12

Active Directoryの認証に関する問題

10864
200

1.1

1.2

1.3

1.4

EDRとプロキシログを合わせて分析する問題

2.1

2.2

2.3

回答チーム

3.1

3.2

3.3

4

56

ヒントが少ない問題

22

結果

記述問題回答チームは上位

順位
100

1.1
12
3
33
6
7
7
9

0
0
0
0
0
000

1
1
1
1
1
1
1
1

10
10
10
10
14
15
16
1700

1
100

1
10

1

1.2
1
1
1

1
1

1.3
11.4
2

2.1
12.2
1

1
1
11
1122

111
1111111112222211112222

111-1-1

12.3

3.122

113.2
13.3
11111111111-1

1312111111
10996

1

11合計
15

1
116.
3

11
1115.

3
32
14
12-1

4.
1

20点満点

-1

5555
4
2
1-1

23

アンケート結果

24

2020年のアンケート結果（難易度）● 約50%の参加者が「難しい」 （4以上）と回答

2020

25

2021年のアンケート結果（難易度）● 約90%の参加者が「難しい」（4以上）と回答

2021

26

2020年のアンケート結果（分量）● 約50%の参加者が「多い」（4以上）と回答

2020

27

2021年のアンケート結果（分量）● 約85%の参加者が「多い」（4以上）と回答

202128アンケート結果（コメント・抜粋）
●●
●
●
●
●
●
●
●

楽しい問題をありがとうございました．例年Mark IIログのみであったため，問題をとく際にアクセスログからも確認することを忘れがちで大変でした．
難しかったですが、複数のコンピュータのログを相関分析して一つずつ辿るのはとても楽しかったです。
このようなログを探索する機会はあまりないため，楽しみながら問題を解くことができた．
問題の分量は多いが、解説がしっかりとしており再学習しやすい資料であるため非常に役立つ課題だと思う。
量は多かったがやりごたえがあって、楽しかった。来年度もこのぐらいでやって欲しい。
内容も現実にありそうなテーマのフォレンジックとなっていて、とても良かったと思っています。
ツールを使いこなすのではなく，元々の.logファイルをいかに工夫して分析するかを問う問題が多いと感じました（問題1.1について？）無意味なミスリードはやめてほしかったです。
システムを把握していなかったのですが、ヒントの1ポイントが現状から引かれるのではなく、正解時の２点が１点になるのかと勘違いしていました。

29

アンケート結果（使用したツール）
●
●
●
●
●
●
●
●

Visual Studio Codegrep
メモ帳Excel
事前配布の可視化ツール
Elastic Searchpythonなど

30

攻撃者視点での問題解説

31

注意事項
● 擬似攻撃の手法を紹介しますが、悪用しないでください○○

システム管理者の許可なくこれから紹介する行為を行った場合、「不正アクセス行為の禁止等に関する法律」に抵触する可能性があります■ https://elaws.egov.go.jp/search/elawsSearch/elaws_search/lsg0500/detail?lawId=411AC0000000128
正当な理由なくこれから紹介する行為を行った場合、「不正指令電磁的記録に関する罪」に問われる可能性があります■ https://elaws.egov.go.jp/search/elawsSearch/elaws_search/lsg0500/detail?lawId=140AC0000000045#740● 正当な理由があり攻撃を試す場合は、自分で作った環境や管理者に許可を貰った環境でやりましょう● 今回は擬似社内環境、擬似攻撃サーバ、疑似C2サーバには Amazon EC2 を使用● 各環境は関係する環境からのみアクセスを許可し使用
32

なぜ攻撃者視点で解説？
● 攻撃手法を知らないと、正常な挙動と見分けがつかない○「敵を知り、己を知れば百戦危うからず」という故事もある● 攻撃手法、事例を知ることで、ログ分析時の発想力が増える○

例えば、ネットワーク図を見た時に、「ここがやられそう」とわかる。

33

使用した擬似マルウェア● RAT (Remote Access Trojan) : Covenant○

C#で書かれたC2フレームワーク○

https://github.com/cobbr/Covenant/tree/master/Covenant● ランサムウェア（暗号化プログラム）: Ransomware○

goで書かれた実験用ランサムウェア○

https://github.com/mauri870/ransomware● 透明性を保つためOSSとして公開されているフレームワークを使用

34

擬似攻撃
概要

① AdministratorユーザにRDP辞書攻撃、AdministratorユーザでRDPでの不正ログイン

35.74.200[.]209

RAT実行

35.75.228[.]21

ランサムウェア
実行
35

RDPポートスキャン、辞書攻撃、ログオン● 多くの事例で、外部公開されているサービスから侵入● レポートで報告されている事例は特にRDPからの侵入が多い

36
https://www.secureworks.jp/resources/at-targeted-ransomware-spreading-in-japan

RDPポートスキャン、辞書攻撃、ログオン● shodanで検索するとAdministratorでのログオンしているユーザが多い

37

RDPポートスキャン、辞書攻撃、ログオン● 35.74.200[.]209 からWS01に対してポートスキャンを実行● 35.74.200[.]209 から辞書攻撃を実行○Administratorのパスワードが chris ということがわかる

38

RDPポートスキャン、辞書攻撃、ログオン● RDPからWS01のAdministratorでログオン成功39

擬似攻撃
概要

② mimikatzによりokabeの認証情報を窃取
okabeへ権限でcmd.exeを実行

35.74.200[.]209

RAT実行

35.75.228[.]21

ランサムウェア
実行40

WS01の環境情報収集● whoami /all○

ログオンユーザ情報の確認● ipconfig /all○

ネットワーク情報の確認● net user○

ローカルユーザ情報の確認● net localgroup○

ローカルグループ情報の確認● net localgroup Adminisistrators○

Administratorsグループに属するユーザ確認

41

WS01の環境情報収集● net user で kittingユーザの存在を確認● net localgroup Adminisistrators で kittingユーザがAdministratorsグループに所属していることを確認

42

WS01でのバックドアユーザ作成 (5. Persistence)● バックアップ用のローカルアカウント Administrat0r 作成○

Administratorのパスワードが変更されても継続的にログイン出来るようにするため● 管理者権限を維持するため、Administrators グループにも追加● ATT&CK T1136.001: Create Account: Local Account に当てはまる○

https://attack.mitre.org/techniques/T1136/001/
43

Windows Defender を無効化 (4. Defense Evaision)● ローカル管理者権限を持つので Windows Defender の無効化が可能○

この後使うmimikatzが検知されるので無効化する● PowerShellコマンドを使用○○○

powershell Set-MpPreference –DisableRealtimeMonitoring 1
このコマンド自体は正規のコマンド
攻撃全体を通じて防御機構を回避（Defense Evaision）するために使われている44

認証情報窃取● mimikatz (m.exe)をRDPでコピー、実行。okabeの認証情報を窃取● 管理者権限があるので実行可能○○

報告されている事例でも、侵入時のアカウントが管理者権限であることが多いため、mimikatzが悪用されている
https://jsac.jpcert.or.jp/archive/2020/pdf/JSAC2020_1_tamada-yamazaki-nakatsuru_jp.pdf

45

権限昇格
● mimikatzを用いてPass The Hashの手法でokabeに権限昇格● okabeの権限を持つ別のcmd.exeが立ち上がる○

ただし、ログ上はAdministratorで記録される

46

擬似攻撃
概要

③ okabeの権限でファイルサーバ上のkittingユーザの認証情報（パスワード）を取得

35.74.200[.]209

RAT実行

35.75.228[.]21

ランサムウェア
実行
47

ドメインの情報収集● net user /domain○

ドメインユーザの確認● net group /domain○

ドメイングループの確認● net group "Domain Admins" /domain○

Domain Adminsグループのメンバ確認● net group "Domain Computers” /domain
○

●
●
●
●

ドメインコンピュータの確認nslookup ws02.ad.future-gadget.lab
nslookup ws03.ad.future-gadget.lab
nslookup file01.ad.future-gadget.lab
net view ¥¥file01.ad.future-gadget.lab○

ファイル共有の確認

48

ファイルサーバの認証情報の閲覧● net use Z: ¥¥file01.ad.future-gadget.lab¥kitting○

Zドライブに ファイル共有フォルダ kitting をマウント● 認証情報が書かれた credentials.txt を閲覧○

ファイルサーバには生の認証情報が書かれたファイルは置かない方が良い

49

擬似攻撃
概要
④ 窃取した認証情報を用いてkittingでWS01->WS02に横展開（RAT実行）
35.74.200[.]209

RAT実行

35.75.228[.]21

ランサムウェア
実行50

WMIを使ったRAT実行 (3.3 Lateral Movement / Execution)● 窃取した認証情報を用いてWMIを使用○○○WMI(Windows Management Instrumentation) はWindowsを効率よく管理する仕組み
使用するためにはユーザ情報とパスワードが必要
リモートコンピュータで指定したプロセスを起動できる。

● WS02でRATをダウンロードするコマンドを実行

WMIC
http://35.75.228[.]21/start

RPC
http://35.75.228.21/en-us/index.html など

WS01
Administrator

WS02
kitting

C2 Server
35.75.228[.]2151

WS02でのWMIのFirewall許可● WS01からWMICを実行したところ、Firewallにより使用不可● WS01からWS02にRDPでログインし、WMIをFirewallで許可

52

WMICでRAT起動 (3.3 Lateral Movement / Execution)● WS01からWMICでWindows Defender無効化後、WS02でRATをダウンロードするコマンドを実行

53

擬似攻撃概要⑤ mimikatzによりhashidaの認証情報を窃取
hashidaへ権限でRAT実行④ 窃取した認証情報を用いて
WS01->WS02に横展開（RAT実行）
35.74.200[.]209

RAT実行

35.75.228[.]21

ランサムウェア
実行54

認証情報窃取● mimikatz (notepad.exe)をCovenantの機能でアップロードし、実行● hashidaの認証情報を窃取● kittingも管理者権限があるので、mimikatzを実行できる55

権限昇格、RAT実行(3.1 Execution / Privilege Escalation)● RATを起動するconfig.batをアップロード● mimikatz (notepad.exe)を用いてPass The Hashの手法でhashidaに権限昇格● hashidaの権限を持つでRAT起動○

ただし、ログ上はkittingユーザで記録される

56

擬似攻撃
概要

⑥ WS02からPsExecを用いて
DC01でRAT実行

35.74.200[.]209

RAT実行

35.75.228[.]21

ランサムウェア
実行
57

Domain ControllerでRAT実行(2.1 Lateral Movement / Execution)(2.2 Execution)● WS02のRATからhashida (Domain Admins) の権限でPsExecを使用○○

PsExecはWindows Sysinternalsのツールで、サーバのメンテナンス等で利用される正規ツール
今回はWS02はシステム管理者がデスクトップに置いて使ってたものを利用

PsExechttp://35.75.228[.]21/start

SMB
http://35.75.228.21/en-us/index.html など

WS02
hashidaDC01
SYSTEM

C2 Server
35.75.228[.]2158

Domain ControllerでRAT実行(2.1 Lateral Movement / Execution)(2.2 Execution)● WS02のRATからhashida (Domain Admins) の権限でPsExecを使用

59

Domain ControllerでRAT実行(2.1 Lateral Movement / Execution)(2.2 Execution)● DC01でRATのDownloaderが実行され、SYSTEM権限でRATが起動

60

擬似攻撃
概要

⑦ DC01でNTDS.ditを窃取

35.74.200[.]209

RAT実行

35.75.228[.]21

ランサムウェア
実行
61

ADの認証情報を窃取(2.3 Credential Access / Exfiltration)● ntdsutil.exe で NTDSのコピーを作成、ZIP圧縮して持ち出し○

NTDSは Active DirectoryのDomain Database62

ADの認証情報を窃取(2.3 Credential Access / Exfiltration)● ntdsutil.exe でdumpしたファイルをZIPで圧縮、持出し63

ADの認証情報を窃取(2.3 Credential Access / Exfiltration)● NTDS.ditからDomain UserのCredential (NTLM Hash) をdumpできる○

すべてのDomain Userのパスワード変更が必要

64

擬似攻撃
概要
⑧ ファイルサーバのファイルを圧縮、持ち出し35.74.200[.]209

RAT実行

35.75.228[.]21

ランサムウェア
実行
65

WS02から情報の持出し(3.2 Collection / Exfiltration)● WS02でFILE01のDevelopersフォルダ、SalesフォルダのファイルをZIPで圧縮、持出し66

WS02から情報の持出し(3.2 Collection / Exfiltration)● Developers.zip (ファイル数: 8)● Sales.zip (ファイル数: 1）

67

擬似攻撃
概要
⑨ WS02から各サーバへランサムウェアをダウンロード・実行するコマンドを配信。
WS02でも同様のコマンド実行
35.74.200[.]209

RAT実行

35.75.228[.]21

ランサムウェア
実行68

ランサムウェアの実行(1.2 Command and Control)(1.3 Lateral Movement / Execution)(1.4 Lateral Movement )● WS02からPowerShell Remotingを用いて、暗号化プログラムを
http://35.75.228[.]21/files/r.exe からダウンロード、実行○

リモート端末でWinRMを使用してPowerShellコマンドを実行可能○

ユーザを指定しない場合は、現在のユーザの権限（hashida）で実行● PowerShell RemotingでWindows Defenderを停止するコマンドも実行● 暗号化プログラムは、 http://35.75.228[.]21:8080/api/keys/add と通信
http://35.75.228[.]21/files/r.exe

WinRM

http://35.75.228[.]21:8080/api/keys/add

WS02

WS01, WS03,FILE01, DC01

C2 Server
35.75.228[.]2169

ランサムウェアの実行(1.1 Impact)● WS01, WS03, FILE01, DC01の順番で、スクリプト実行

70

ランサムウェアの実行(1.1 Impact)● WS02はPowerShellで同様のコマンド実行でランサムウェア実行71

Timeline (1/2)
TimeEvent

橙色は重要なイベント（加点対象）
グレーはログから確認が難しいイベント
hostuser13:08:18 WS01に対して3389/tcpが開いているかポートスキャン attacker
13:09:46 WS01に対してAdministratorへ辞書攻撃
attacker
発見したパスワードでAdministratorでWS01にRDP接13:11:38 続attacker
13:12:35 ユーザ情報の確認
WS01 Administrator
13:12:53 IPアドレスの確認
WS01 Administrator
13:13:44 ローカルユーザの列挙
WS01 Administrator
13:14:13 ローカルグループの列挙
WS01 Administrator
13:14:41 Administratorsグループのユーザ確認
WS01 Administrator

Time

Eventhostuser

13:25:42 ドメインユーザの列挙

WS01

Administrator (AD¥okabe)

13:26:06 ドメイングループの列挙

WS01

Administrator (AD¥okabe)

13:26:35 Domain Admins グループのユーザ確認

WS01

Administrator (AD¥okabe)

13:27:06 Domain Computerを確認

WS01

Administrator (AD¥okabe)

13:27:51 WS02のIPアドレス確認

WS01

Administrator (AD¥okabe)

13:28:05 WS03のIPアドレス確認

WS01

Administrator (AD¥okabe)

13:28:13 FILE01のIPアドレス確認

WS01

Administrator (AD¥okabe)

13:29:35 すべてのファイル共有を確認（失敗）WS01

Administrator (AD¥okabe)

13:29:55 ドメインのすべてのファイル共有を確認（失敗） WS01

Administrator (AD¥okabe)

13:15:55 バックドアユーザAdministrat0rの作成、パスワード設定 WS01

Administrator

13:16:25 管理者グループにAdministrat0rを追加（失敗）
13:17:01 管理者グループにAdministrat0rを追加

WS01
WS01

Administrator
Administrator

13:17:31 管理者グループに追加されていることを確認
13:18:16 Windows Defenderの動作状況確認

WS01
WS01

Administrator
Administrator

13:30:54 ファイルサーバの情報収集

WS01

Administrator (AD¥okabe)

13:19:27 WS01のWindows Defenderのリアルタイム検知無効
13:21:18 mimikatzを作成

WS01
WS01

Administrator
Administrator

13:31:40 kittingディレクトリをZドライブにマウント

WS01

Administrator (AD¥okabe)

13:22:05 mimikatzを実行し、パスワードハッシュをdump
WS01
mimikatzでPass The Hashを実行し、ドメインユーザの13:24:04 AD¥okabeに権限昇格
WS01

Administrator

13:32:04 kittingディレクトリのマウント確認

WS01

Administrator (AD¥okabe)

Administrator

ファイルサーバから管理アカウントの13:32:57 認証情報（credentials.txt）を閲覧

WS01

Administrator (AD¥okabe)72

Timeline (2/2)
Time

Event

橙色は重要なイベント（加点対象）
グレーはログから確認が難しいイベント

hostuser13:36:31 RDPでWS01からWS02にログインWS02 kitting

13:38:20 WMIを許可

WS02 kitting

13:39:01 RDP切断

WS02 kititing

13:39:31 取得したCredentialでWMIが実行できるか確認

WS01 Administrator

WMIを用いてWS02のWindows Defenderのリ
13:41:15 アルタイム検知無効
WS01 Administrator
13:42:04 WMIを用いてWS02でRATを起動

WS01 Administrator

13:44:16 Seatbeltによるローカルホスト情報の収集
WS02 kitting
mimikatzをCovenantの機能を使ってアップロー
ドC:¥Users¥kitting¥にmimikatz（notepad.exe）
13:46:43 作成
WS02 kitting

13:47:44 mimikatzを実行し、hashidaのhashを取得

WS02 kitting

13:49:40 hashidaに実行させるbatファイルをアップロード

WS02 kitting

mimikatzでPass The Hashを実行し、ドメインユ
13:51:16 ーザのAD¥hashidaに権限昇格
WS02 kittingTimeEventhost
PsExecを用いてDC01のWindows Defenderのリ
13:55:12 アルタイム検知無効
WS02

user
kitting (AD¥hashida)

13:56:58 DC01で実行させるbatファイルをアップロード
WS02
13:58:49 PsExecを用いてDC01でconfig.batを実行
WS02
Windows標準のntdsutilを使ってNTDS.ditを
14:01:23 dump
DC01
14:03:10 dumpしたフォルダをzip形式に圧縮
DC01
14:04:22 dump.zipをRAT経由で持ち出し
DC01
14:07:09 FILE01の共有を確認
WS02
FILE01の共有フォルダDecelopersのファイルを圧
14:08:06 縮WS02

kitting (AD¥hashida)kitting (AD¥hashida)

14:08:41 FILE01の共有フォルダSalesのファイルを圧縮

WS02

kitting (AD¥hashida)

14:09:46 Developers.zipをRATt経由で持ち出し
14:10:17 Sales.zipをRAT経由で持出し
WS01のDefenderを停止
14:15:37 WS01内のすべてのファイルを暗号化
WS03のDefenderを停止
14:16:58 WS03内のすべてのファイルを暗号化
FILE01のDefenderを停止
14:18:08 FILE01内のすべてのファイルを暗号化
DC01のDefenderを停止
14:18:59 DC01内のすべてのファイルを暗号化
14:20:05 WS02内のすべてのファイルを暗号化

WS02
WS02
WS02
WS02
WS02
WS02
WS02
WS02
WS02
WS02
WS02

kitting (AD¥hashida)kitting (AD¥hashida)kitting (AD¥hashida)kitting (AD¥hashida)kitting (AD¥hashida)kitting (AD¥hashida)kitting (AD¥hashida)kitting (AD¥hashida)kitting (AD¥hashida)kitting (AD¥hashida)kitting (AD¥hashida)

SYSTEMSYSTEMSYSTEMkitting (AD¥hashida)kitting (AD¥hashida)

73

まとめ
● 今日話したこと○

課題4の紹介○

今年の課題4 振り返り○

アンケート結果○

攻撃者視点での課題解説● 今年の問題ログは、来年以降のデータセットに収録● 来年以降も同様の問題を作問予定。
作問に協力したい方がいれば、ご連絡お待ちしております● ご意見・ご質問は Slack-MWSの #mwscup までお気軽にどうぞ！
74Thank you for listening
ご意見・ご質問はSlack-MWSの #mwscup までお気軽にどうぞ！