MWS Cup 2023 x DFIR 課題解説
MWS Cup 2023
DFIR作問チーム
阿部 航太

DFIR課題メンバー■

ソリトンシステムズ
尾曲 晃忠
後藤 公太
木野田 渉
伊神 和馬
西井 雅人
荒木 粧子
白鳥 隆史
竹澤 一輝

■

GMOサイバーセキュリ
ティbyイエラエ株式会社
小林 靖幸

■

ANTI MALWARE ENGINEERING WORKSHOP 2023

■

田口 裕介
大森敬仁
■

NTTセキュリティ・ジャパン
大倉 有喜
戸祭 隆行

NTTフィールドテクノ
市川 久哲
光安 正憲
岸田 隆祐
鴨下 将成
仲川 宜秀

NTTコミュニケーションズ■

エヌ・エフ・ラボラトリーズ
保要 隆明
阿部 航太
遠藤行人
市岡 秀一
2今年のあらすじ
イーデン・カレッジは、学問、スポーツ、芸術など様々な分野において優れた学生が集まる小中高一貫の国を代表する学校である。そのため、国を代表する著名人の子息も多く在学している。
そんなイーデン・カレッジは、昨年度起きた重大インシデントを受けて、ICT教育に力を入れていくことになった。中でも空前のAIブームということもあり次年度から機械学習の授業を行うことになった。

ANTI MALWARE ENGINEERING WORKSHOP 2023

3イーデンカレッジのIT環境構成図

ANTI MALWARE ENGINEERING WORKSHOP 2023

4

ある日、IT管理者から連絡が…
IT管理者からSwanに対して、「SWAN先生の端末から不正な通信が発生している」との連絡があった。
ヒアリングを行ったところ、「その日は機械学習でよく用いられるpytorchパッケージをダウンロードするために、いくつか解説サイトを探しその情報をもとにインストールを試みたが…」と話している。

ANTI MALWARE ENGINEERING WORKSHOP 2023

5

事件を解決せよ！
昨年に引き続き、敵国の諜報活動が活発化しているとの情報がある。
もしかしたら、敵国スパイの諜報活動かもしれない。。
EDRログ、プロキシログを解析し、イーデン・カレッジでどのような出来事が起きたか明らかにして欲しい。

ANTI MALWARE ENGINEERING WORKSHOP 2023

6今年のテーマ

偽のPythonパッケージを起点にした攻撃

ANTI MALWARE ENGINEERING WORKSHOP 2023

7

偽のPythonパッケージを用いた攻撃■

既存のパッケージをコピーして、同種の悪性パッケージを作成して配布する例がある

引用: https://www.bleepingcomputer.com/news/security/fake-vmware-vconnector-package-on-pypi-targets-it-pros/
ANTI MALWARE ENGINEERING WORKSHOP 2023

8

偽のPythonパッケージを用いた攻撃■

既存のパッケージをコピーして、同種の悪性パッケージを作成して配布する例がある

引用: https://www.bleepingcomputer.com/news/security/fake-vmware-vconnector-package-on-pypi-targets-it-pros/
ANTI MALWARE ENGINEERING WORKSHOP 2022

9

偽のPythonパッケージを用いた攻撃■ Typosquattingが利用されることもある

引用: https://blog.phylum.io/phylum-detects-active-typosquatting-campaign-in-pypi/
ANTI MALWARE ENGINEERING WORKSHOP 2023

10

偽のPython製PoCを用いた攻撃■

CVE-2023-40477のPoCとして配布しているPythonコードを実行するとRATに感染する

引用: https://unit42.paloaltonetworks.com/fake-cve-2023-40477-poc-hides-venomrat/
ANTI MALWARE ENGINEERING WORKSHOP 202311

競技で解析するログ
各エンドポイントのEDRログ■ インターネットの接続点に設置したProxyのログ■

ANTI MALWARE ENGINEERING WORKSHOP 202312

解析するログ
EDRログ■

Soliton InfoTrace Mark II のログ
Soliton Dataset で提供されているデータと同様のフォーマット

■

記録されている情報プロセスの起動・終了
ファイルの作成・削除
レジストリ操作
ネットワーク接続・切断
Windowsイベントログ情報など

ANTI MALWARE ENGINEERING WORKSHOP 202313

解析するログ
Proxyログ■OSSのプロキシソフトウェア Squid のアクセスログ■

記録されている情報
クライアントIPアドレス
HTTP リクエストメソッド
HTTP アクセス先URLHTTP レスポンスステータスコード
クライアントから送信（アップロード）されたデータ量の合計
クライアントへ送信（ダウンロード）したデータ量の合計
リファラ
User-Agentなど

ANTI MALWARE ENGINEERING WORKSHOP 2023

14

課題概要
0. Prolougue
11-1. Initial
Access/Execution
1

1-2. Initial
Access/Execution
1

1-3. Initial
Access/Execution
1

FLAG/選択形式 : 17pts
2-3. Discovery
12-1. Discovery
12-2. Discovery
13-1. Credential Access23-2. Credential Access
15-2. Lateral Movement
15-3. Lateral Movement
15-4. Lateral Movement1

6. Persistence2

7. Exfiltration
38-1. Incident Response
18-2. Incident Response
28-3. Incident Response
2

ANTI MALWARE ENGINEERING WORKSHOP 2023

4. Discovery
15-1. Lateral Movement1

記述形式: 8pts
15

問題解説

ANTI MALWARE ENGINEERING WORKSHOP 2023

16

解説を行う前に■ MK2ログを結合したファイルを作っておく
cat dc01.log file01.log ws01.log ws02.log ws03.log | sort > combined.log■ 複数の端末のログが時間順にソートされて結合され、分析しなすくなる■ 必要に応じて、結合したログで解説

ANTI MALWARE ENGINEERING WORKSHOP 2023

17

解説に使用するツール■ テキストエディタ: Visual Studio Code

言語モードを「Log」にすることで、見やすくハイライトしてくれる表示の「右端で折り返す」必要に応じて切り替えると見やすいターミナルを表示し、grepを使う■ ログ検索コマンド: grep

LinuxやmacOSは標準的にインストール
Windowsの場合、WSLやCygwinをインストールして使うと良い■ Webブラウザ: Google Chrome

関連情報をググるのに使用

ANTI MALWARE ENGINEERING WORKSHOP 2023

18

1.1 Initial Access/Execution (1pt)
ログを確認したところ、不審な通信が発生する前に機械学習用のpythonパッケージがインストールされていることがわかった。
Swan先生にヒアリングを行ったところ、「機械学習の授業のためにいくつかのパッケージを10月5日にインストールした。パッケージ以外でファイルのダウンロードは行っていない。」と話している。
Swan先生が機械学習のパッケージのインストールを開始した時刻を答えよ。
フォーマット: YYYY/MM/DD_hh:mm:ss
解答例: 2023/10/24_09:00:00

ANTI MALWARE ENGINEERING WORKSHOP 2023

19

1.1 Initial Access/Execution (1pt)
ws01.logからpipの実行を検索する
cat ws01.log | grep pip | headA. 2023/10/05_17:08:43
ANTI MALWARE ENGINEERING WORKSHOP 2023

20

1.2 Initial Access/Execution (1pt)
1.1の後、一定間隔で外部のサーバーへの通信が発生している。
そのサーバーのIPアドレスとポート番号を答えよ。
フォーマット: `AAA.BBB.CCC.DDD_ZZZZ`
解答例: 192.0.2.1のポート443への通信の場合 `192.0.2.1_443`

ANTI MALWARE ENGINEERING WORKSHOP 2023

21

1.2 Initial Access/Execution (1pt)
Proxy.logを眺めると明らかで、pip関連のパッケージのダウンロード後にhttp://3.114.83.243/ に2秒おきに通信している

A. 3.114.83.243_80

ANTI MALWARE ENGINEERING WORKSHOP 2023

22

1.3 Initial Access/Execution (1pt)
1.2の通信を発生させたプロセスの絶対パス、および、そのプロセスの親プロセスの絶対パスを答えよ
フォーマット： 通信を発生させたプロセスの絶対パス_親プロセスの絶対パス
解答例：C:\Program Files\Internet
Explorer\iexplore.exe_C:\Windows\System32\cmd.exe

ANTI MALWARE ENGINEERING WORKSHOP 2023

23

1.3 Initial Access/Execution (1pt)
Ws01.log から3.114.83.243の80番ポートへの通信を調べるとそこへの通信を発生させたプロセスが分かる
cat ws01.log | grep "dstIP=3.114.83.243" | grep "dstPort=80" |grep -v "dstPort=8000"

ANTI MALWARE ENGINEERING WORKSHOP 2023

24

1.3 Initial Access/Execution (1pt)
そのプロセスの起動ログをpsGUIDから追うと親プロセスのパスが分かる
cat ws01.log | grep "A7081BC5-BF6E-41C8-8129-D8AC69268BDC" | head -n 1

A.
c:\users\public\notepad.exe_C:\Users\Swan\AppData\Local\Programs\Python\Python311\python.exe
ANTI MALWARE ENGINEERING WORKSHOP 2023

25

pipパッケージ経由のコード実行
既存パッケージのsetup.pyを書き換えて配布することで、インストール時にマルウェアを実行するためのコードを追加できる

ANTI MALWARE ENGINEERING WORKSHOP 2023

26pipパッケージ経由のコード実行

ANTI MALWARE ENGINEERING WORKSHOP 2023

27

Havoc C2 Framework■

オープンソースのC2フレームワーク■

Team Server, Client, Agentの構成でUIや機能を含め、Cobalt Strikeを意識したつくりになっている

引用: https://github.com/HavocFramework/Havoc/

ANTI MALWARE ENGINEERING WORKSHOP 2023

28

2.1 Discovery (1pt)
攻撃者は、初めにプロセス一覧の取得を行っている。その時に利用しているコマ
ンド名を答えよ。
フォーマット：コマンド名のみを回答
解答例： ipconfig /all を実行していた場合、 ipconfig と回答

ANTI MALWARE ENGINEERING WORKSHOP 2023

29

2.1 Discovery (1pt)
先ほどのnotepad.exeをpsGUIDで追っていくと分かる
cat ws01.log | grep "A7081BC5-BF6E-41C8-8129-D8AC69268BDC" | less

A. tasklist

ANTI MALWARE ENGINEERING WORKSHOP 202330

2.2 Discovery (1pt)
攻撃者はその後ある実行ファイルのバージョン情報を取得しようとしている。その実行ファイルのファイル名を答えよ
フォーマット：ファイル名のみを回答
解答例：chrome.exe

ANTI MALWARE ENGINEERING WORKSHOP 202331

2.2 Discovery (1pt)
引き続き先notepad.exeをpsGUIDで追っていく
cat ws01.log | grep "A7081BC5-BF6E-41C8-8129-D8AC69268BDC" | less

プロセス一覧からKeePassのexeのフルパスを取得している

ANTI MALWARE ENGINEERING WORKSHOP 2023

32

2.2 Discovery (1pt)
その後PowerShellのGet-Commandでexeのバージョンを取得している

A. KeePass.exe
ANTI MALWARE ENGINEERING WORKSHOP 2023

33

2.3 Discovery (1pt)
2.2で回答した実行ファイルのソフトウェアのバージョンを答えよ
フォーマット： 数字と. (ドット)の組み合わせで回答
解答例：1.23
3回まで回答可ANTI MALWARE ENGINEERING WORKSHOP 2023

34

2.3 Discovery (1pt)
Ws01.logからKeePass.exeを検索すると、SwanがExplorerからKeePassを起動したときのログを見つけることが出来る。
cat ws01.log | grep "KeePass.exe"

このログを確認するとfileVerが2.53.0.0となっていることが分かる。

ANTI MALWARE ENGINEERING WORKSHOP 2023

35

2.3 Discovery (1pt)
Webサイト等での表記は2.53となっていることから、次のいずれでも正解
A. 2.53, 2.53.0, 2.53.0.0引用: https://sourceforge.net/p/keepass/news/2023/01/keepass-253-released/
ANTI MALWARE ENGINEERING WORKSHOP 2023

36

2.3 Discovery (1pt)
実際の出力

ANTI MALWARE ENGINEERING WORKSHOP 2023

37

3.1 Credential Access (2pt)
2.3の後、攻撃者は外部からファイルを取得し、d.exeとして保存して実行している。
この実行ファイルの機能および、デジタル署名の署名者を答えよ
記述問題

ANTI MALWARE ENGINEERING WORKSHOP 2023

38

3.1 Credential Access (2pt)d.exeについてgrepすると起動時の引数および署名者やハッシュ値が分かる
署名者はMicrosoft
cat ws01.log | grep '\\d.exe'

ANTI MALWARE ENGINEERING WORKSHOP 2023

39

3.1 Credential Access (2pt)
ハッシュ値でVirusTotalを見ると元のファイル名がdump64.exeであることや、プロセスのメモリダンプを行う際に用いるMiniDumpWriteDump関数を利用していることが分かる。

引用: https://www.virustotal.com/gui/file/86766ede8801e02bc42a9123c96890714c30ab5d7cab8210c819263be8cab226/details
ANTI MALWARE ENGINEERING WORKSHOP 2023

40

3.1 Credential Access (2pt)
dump64.exeで検索してみると、メモリダンプツールとの記載がある

引用: https://lolbas-project.github.io/lolbas/OtherMSBinaries/Dump64/
ANTI MALWARE ENGINEERING WORKSHOP 2023

41

3.1 Credential Access (2pt)
A. プロセスメモリダンプツールで、署名者はMicrosoft

引用: https://www.virustotal.com/gui/file/86766ede8801e02bc
42a9123c96890714c30ab5d7cab8210c819263be8cab226/details

引用:https://twitter.com/mrd0x/status/1460597833917251595

ANTI MALWARE ENGINEERING WORKSHOP 2023

42

3.1 Credential Access (2pt)
起動時の引数の2904はKeePass.exeのPDI
よって、KeePassのメモリダンプを行っている

ANTI MALWARE ENGINEERING WORKSHOP 2023

43

3.2 Credential Access (1pt)
攻撃者は3.1のツールの出力を利用して横展開のためのクレデンシャルを入手していた。
この時に利用した脆弱性のCVE番号を答えよ
フォーマット: CVE-XXXX-YYYYY case insensitive
解答例： CVE-2021-45105

ANTI MALWARE ENGINEERING WORKSHOP 2023

44

3.2 Credential Access (1pt)
ws01.logからnotepad.exe経由のコマンド実行を追うと、外部からzipファイルをダウンロード・展開し、 keepass_password_dumper.exeを起動している
cat ws01.log | grep "A7081BC5-BF6E-41C8-8129-D8AC69268BDC" | grep "cmd="ANTI MALWARE ENGINEERING WORKSHOP 2023

45

3.2 Credential Access (1pt)
ws01.logからnotepad.exe経由のコマンド実行を追うと、外部からzipファイルをダウンロード・展開し、keepass_password_dumper.exeを起動している。
この時の引数はKeePass.exeのメモリダンプを指定している

cat ws01.log | grep "A7081BC5-BF6E-41C8-8129-D8AC69268BDC" | grep "cmd="ANTI MALWARE ENGINEERING WORKSHOP 2023

46

3.2 Credential Access (1pt)keepass_password_dumper.exeについて調べるとGithubにあるCVE-2023-32784のPoCがヒットする

ANTI MALWARE ENGINEERING WORKSHOP 2023

引用: https://github.com/vdohney/keepass-password-dumper

47

3.2 Credential Access (1pt)
CVE-2023-32784はKeePass 2.54未満のバージョンに存在する、メモリダンプからマスターパスワードを復元できる脆弱性

ANTI MALWARE ENGINEERING WORKSHOP 2023

引用:https://nvd.nist.gov/vuln/detail/CVE-2023-32784

48

3.2 Credential Access (1pt)
次の点から今回利用された脆弱性がCVE-2023-32784であると推定できる■

実行しているexeのファイル名（keepass_password_dumper.exe）■

KeePassのメモリダンプを引数として渡している点■

WS01にインストールされているKeePassのバージョンが2.53という点

A. CVE-2023-32784

ANTI MALWARE ENGINEERING WORKSHOP 2023

引用:https://nvd.nist.gov/vuln/detail/CVE-2023-32784

49

CVE-2023-32784
SecureTextBoxExの実装の不備により、パスワード（例としてP@ssw0rd ）を入力した時に次のような文字列がメモリに残る
●@●●s
●●●s
●●●●W
●●●●●0●●●●●●r●●●●●●●dANTI MALWARE ENGINEERING WORKSHOP 2023

引用:
https://tutorialboy.medium.com/keepass-memory-leakage-vulnerability-analysis-cve-2023-32784-35064aef311e

50

CVE-2023-32784
PoCではそのような文字列を探してパスワードを復元している
そのため、1文字目は特定できず、また2文字目は一部誤検知により候補が複数出る

ANTI MALWARE ENGINEERING WORKSHOP 2023

51

CVE-2023-32784
PoC実行時の出力

ANTI MALWARE ENGINEERING WORKSHOP 2023

52

CVE-2023-32784
PoCの出力をもとに、可能性のあるパスワード一覧を出力（950個）

ANTI MALWARE ENGINEERING WORKSHOP 2023

53

CVE-2023-32784
生成した候補よりJohn the Ripperを使ってマスターパスワードを特定

ANTI MALWARE ENGINEERING WORKSHOP 2023

54

4 Discovery (1pt)
WS01ではActive Directoryを調査するツールが実行されている。 ツールをWS01にダウンロードした際のURLを答えよ。

ANTI MALWARE ENGINEERING WORKSHOP 2023

55

4 Discovery (1pt)
ws01.logからDC01への通信のログを抽出すると、PowerShellから複数回DC01への通信が発生していることが分かる （Port389はLDAP）

cat ws01.log | grep "172.16.2.101"

ANTI MALWARE ENGINEERING WORKSHOP 2023

56

4 Discovery (1pt)
このPowerShellの処理をpsGUIDでgrepして追う
cat ws01.log | grep "F64728E7-9360-4E32-AA73-486D53615715"

このPowerShelｌはinstall.ps1を実行しており、実行元はHavocのexe

ANTI MALWARE ENGINEERING WORKSHOP 2023

57

4 Discovery (1pt)
このPowerShellの処理をpsGUIDでgrepして追う
cat ws01.log | grep "F64728E7-9360-4E32-AA73-486D53615715"

ADReconという名前を含んだファイルの生成も行っている

ANTI MALWARE ENGINEERING WORKSHOP 2023

58

4 Discovery (1pt)
install.ps1はHavocからcurlによってダウンロードしている
cat ws01.log | grep "install.ps1"

ANTI MALWARE ENGINEERING WORKSHOP 2023

59

4 Discovery (1pt)
ディスクに書き込まれたinstall.ps1のハッシュ値をVirusTotalで検索するとADReconであることが分かる

引用:
https://www.virustotal.com/gui/file/5cb950d97db0bfb3
f5f8a7833515b34fa980f6d3fb3114cf9282367d5f7fb7
45/details
ANTI MALWARE ENGINEERING WORKSHOP 2023

60

4 Discovery (1pt)
Active Directoryを調査するツール (ADRecon) をWS01にダウンロードした際のURLは、先ほどのcurlで指定されていたURLA.
http://3.114.83.243:8000/jquery.mobile.min.css

ANTI MALWARE ENGINEERING WORKSHOP 2023

61

ADRecon
ADの情報をまとめて取得できるツール
https://github.com/adrecon/ADReconANTI MALWARE ENGINEERING WORKSHOP 2023

62

ADRecon
ADに参加している端末の情報

ANTI MALWARE ENGINEERING WORKSHOP 2023

63

ADRecon
AD上のグループと、そこに参加しているユーザー

ANTI MALWARE ENGINEERING WORKSHOP 2023

64

5.1 Lateral Movement (1pt)
攻撃者がWS01からの横展開を行うため、外部からツールをダウンロードし実行した。
このツールのツール名を答えよ
フォーマット：case insensitive, スペース無し
解答例：Mimikatz

ANTI MALWARE ENGINEERING WORKSHOP 2023

65

5.1 Lateral Movement (1pt)
ws01.logからHavoc経由のコマンド実行を追うと、明らかに横展開していそうなコマンドが見つかる

cat ws01.log | grep "A7081BC5-BF6E-41C8-8129-D8AC69268BDC" | grep "cmd="ANTI MALWARE ENGINEERING WORKSHOP 2023

66

5.1 Lateral Movement (1pt)
このexeの起動ログを調べると、productからSharpExecと推定できる
cat ws01.log | grep dllhost.exe

ANTI MALWARE ENGINEERING WORKSHOP 2023

67

5.1 Lateral Movement (1pt)
このexeの動きを追うと、DC01にnotepad.exe(Havocのexe)をコピーしている

ANTI MALWARE ENGINEERING WORKSHOP 2023

68

5.1 Lateral Movement (1pt)
dc01.logでその直後のログを確認すると、実際にnotepad.exeがWS01からwmi経由で起動したアラートログが残っており、確かにSharpExecによって横展開されたと分かる。

A. SharpExec

ANTI MALWARE ENGINEERING WORKSHOP 2023

69

SharpExec
C#で書かれた横展開用ツール
今回は利用していないが、Semi-Interactive shellが取れるので便利

https://github.com/anthemtotheego/SharpExec

ANTI MALWARE ENGINEERING WORKSHOP 2023

70

5.2 Lateral Movement (1pt)
5.1のツールを利用して横展開を行った時に利用したユーザ名とパスワードを答えよ。
フォーマット: ユーザ名(全て小文字)_パスワード
解答例: john_hoge123!

ANTI MALWARE ENGINEERING WORKSHOP 2023

71

5.2 Lateral Movement (1pt)
SharpExec起動時のコマンド引数を見れば分かる。

A. henderson_cE)FJArR$QL(E72
ANTI MALWARE ENGINEERING WORKSHOP 2023

72

5.3 Lateral Movement (1pt)
5.1のツールで最初に横展開を行った先でマルウェアが起動した時刻を答えよ
フォーマット: `YYYY/MM/DD_hh:mm:ss`
例: `2023/10/24_09:00:00`

ANTI MALWARE ENGINEERING WORKSHOP 2023

73

5.3 Lateral Movement (1pt)
最初にSharpExecで横展開を行った先のdc01での起動時刻は、dc01.logでのnotepad.exeの起動ログより分かる

A. 2023/10/05_17:39:11

ANTI MALWARE ENGINEERING WORKSHOP 2023

74

5.4 Lateral Movement (1pt)
5.1のツールを用いてWS01から横展開を行った台数を数値で答えよ。
解答例：10ANTI MALWARE ENGINEERING WORKSHOP 2023

75

5.4 Lateral Movement (1pt)
grepでWS01でSharpExecを起動した回数を調べれば分かる。
DC01およびFILE01に横展開を行っている
cat ws01.log | grep "subEvt=start" | grep SharpExec

A. 2
ANTI MALWARE ENGINEERING WORKSHOP 2023

76

6 Persistence (2pt)
今回の攻撃で、攻撃者はある端末上で永続化を行っていた。
永続化を行った端末名および、利用したテクニックを答えよ。
テクニックはMITRE ATT&CKのPersistenceのTechniquesの中からIDで答えよ。
https://attack.mitre.org/tactics/TA0003/
フォーマット: 端末名_TechniquesID case insensitive
解答例： WS01でSSH Authorized Keysを用いて永続化を行った場合
WS01_T1098.004

ANTI MALWARE ENGINEERING WORKSHOP 2023

77

6 Persistence (2pt)
横展開先のdc01でのコマンド実行を追うと、exeをダウンロードしてサービスとして登録するログが見える
cat dc01.log | grep notepad.exe | grep "cmd="ANTI MALWARE ENGINEERING WORKSHOP 2023

78

6 Persistence (2pt)
Windowsのサービス登録のTechniquesIDはT1543.003

A. DC01_T1543.003
ANTI MALWARE ENGINEERING WORKSHOP 2023

引用:https://attack.mitre.org/techniques/T1543/003/

79

7 Exfiltration (3pt)
今回の攻撃によって、ファイルサーバのいくつかのファイルが外部に持ち出されている。
この時行われたことについて、次の内容を含めながら記述せよ- 持ち出す対象のファイルの探し方- ファイルサーバーから持ち出されたファイルの一覧- それらのファイルをどのように持ち出したか回答は何回でも提出可能です。一番最後に提出された回答を採点します。
ANTI MALWARE ENGINEERING WORKSHOP 2023

80

7 Exfiltration (3pt)
FILE01でのHavocのコマンド実行を追うと、2つのコマンドが観測できる
cat dc01.log | grep notepad.exe | grep "cmd="

拡張子が kdbx, pdf, docx, xlsxなファイルの検索

ANTI MALWARE ENGINEERING WORKSHOP 2023

81

7 Exfiltration (3pt)
FILE01でのHavocのコマンド実行を追うと、2つのコマンドが観測できる
cat dc01.log | grep notepad.exe | grep "cmd="

拡張子が exam, school_docs, studentフォルダーの圧縮

ANTI MALWARE ENGINEERING WORKSHOP 2023

82

7 Exfiltration (3pt)
この時のPowershellのpsGUIDからファイル操作のイベントを抽出して、読み込んでいるファイルが抽出出来る。
cat file01.log | grep F58D2F56-8FEA-46EF-9EA6-AEE4307076FD | grep
"evt=file" | cut -d '=' -f 21 | cut -d ' ' -f 1

ANTI MALWARE ENGINEERING WORKSHOP 2023

83

7 Exfiltration (3pt)
作成されたfile.zipは最終的にHavocのexeが読み込んでいる
cat file01.log | grep file.zip

ANTI MALWARE ENGINEERING WORKSHOP 2023

84

7 Exfiltration (3pt)
この間、C2サーバーとの通信サイズが増大している。そのため、file.zipをC2経由で持ち出したと推定できる
cat Proxy.log| grep 172.16.2.102 | grep 17:48

ANTI MALWARE ENGINEERING WORKSHOP 2023

85

7 Exfiltration (3pt)
解答例
拡張子が kdbx, pdf, docx, xlsxに該当するファイルを探し、そのファイルを含んだフォルダーをzipで圧縮し、マルウェア（notepad.exe）経由で持ち出した持ち出されたファイルは以下- exam_results_1st_grade_class3.xlsx- regular_exam.docx- Contact_persons_list.xlsx- eden-college_security_plan.docx- school_officers_list.xlsx- Imperial_scholar_parents_list.docx- student_transcript.docx
ANTI MALWARE ENGINEERING WORKSHOP 2023

86

8.1 Incident Response (1pt)
攻撃者によって侵害されたシステムを以下からすべて選択し、その番号を列挙せよ。なお、侵害されたシステムが存在しない場合は、"無し"と記載すること
1WS01

2WS02

3WS03

4DC01

5FILE01

ANTI MALWARE ENGINEERING WORKSHOP 2023

87

8.1 Incident Response (1pt)
侵害されたシステムは、最初に感染したWS01およびSharpExecで横展開した先のDC01およびFILE01
A. 1,3,5

ANTI MALWARE ENGINEERING WORKSHOP 2023

88

8.2 Incident Response (2pt)
攻撃者による行動で確認されたものをすべて選択し、その番号を列挙せよ。なお、存在しない場合は"無し"と記載すること
1. バックドアの設置
2. ログの削除
3. 機密情報の持ち出し
4. 全端末への悪性タスク配布
5. キーロガーの設置
6. ランサムウェアによる端末の暗号化
7. クレデンシャルダンプANTI MALWARE ENGINEERING WORKSHOP 2023

89

8.2 Incident Response (2pt)
1. バックドアの設置→ 6. Persistenceの通りバックドアを設置している
3.機密情報の持ち出し→ 7. Exfiltrationの通りファイルの持ち出しを行っている
7. クレデンシャルダンプ
いる→ 3. Credential Accessの通り、KeePassからクレデンシャルを取得してA. 1, 3, 7
ANTI MALWARE ENGINEERING WORKSHOP 2023

90

8.3 Incident Response (2pt)
ここまでの調査で分かったことを踏まえ、次に実施すべきことを1つ選択せよ。
A: 侵害の疑いがある端末をいち早くクリーンにするため、OSを再インストールする
B: Swan先生の端末(WS01)から外部への通信をブロックする
C: 全端末からの外部への通信をすべてブロックする
D: Swan先生にリテラシー教育を行う

ANTI MALWARE ENGINEERING WORKSHOP 2023

91

8.3 Incident Response (2pt)
DCを含めた複数の端末に感染が広がっていることから、確実な封じ込めを行うことが出来るCが正解
その他の選択肢について
A: 侵害の疑いがある端末をいち早くクリーンにするため、OSを再インストールする→ 封じ込め後の最終段階で実施すること
B: Swan先生の端末(WS01)から外部への通信をブロックする→ 他の端末に感染が広がっているので不十分
D: Swan先生にリテラシー教育を行う→ 今後の対策としては必要だがインシデント終息後にやるべきこと
ANTI MALWARE ENGINEERING WORKSHOP 2023

92

攻撃シナリオまとめ
Timestamp

Tactics

Event

HostUser17:08:43

Initial Access

pipを実行し、Havocが発火

WS01

Swan

17:10:54

Discoverytasklistでプロセス一覧を取得

17:11:20

CredentialAccess

KeePassのexeのフルパスを取得

17:17:06

KeePassのバージョンを取得

17:18:19

Dump64のダウンロード

17:18:54

Dump64でKeePassのメモリダンプ

17:19:25

KeePass Password Dumperのダウンロード

17:20:59

KeePass Password Dumperの実行

17:22:10

kdbxファイルの持ち出し

17:28:24

Discovery

ADReconのダウンロード

17:29:41

ADReconの実行

17:30:21

ADReconの結果をzipにまとめる

17:30:59

ADReconの結果を持ち出し

ANTI MALWARE ENGINEERING WORKSHOP 2023

93

攻撃シナリオまとめ
Timestamp

Tactics

Event

HostUser

17:38:35

Lateral Movement

SharpExecのダウンロード

WS01

Swan

DC01

Henderson

17:39:07
17:40:04

SharpExecでDC01に横展開
Persistence

永続化用のexeをダウンロード
永続化用exeをサービスとして登録

17:40:21
17:41:25

Lateral Movement

SharpExecでFILE01に横展開

WS01

Swan

17:42:19

Exfiltration

特定の拡張子のファイルを探索

FILE01

Henderson

17:44:28

目的のファイルがあるフォルダーをzipにまとめる

17:45:36

zipファイルの持ち出し

ANTI MALWARE ENGINEERING WORKSHOP 2023

94

Thank you!!

ANTI MALWARE ENGINEERING WORKSHOP 2023

95