第10回 情報セキュリティマネージャー
ＩＳＡＣＡ カンファレンス in Tokyo

昨今のサイバー攻撃手法とインシデント対応事例の紹介
トレンドマイクロ株式会社
インシデントレスポンスチーム
日本Region Leader 田中 啓介

Agenda• インシデントレスポンス概要• 攻撃手法について– 標的型攻撃– ランサムウェア• 当社におけるIR対応業務• 対応実例のご紹介© 2022 Trend Micro Inc.

2

自己紹介
田中 啓介
アプライドサイバーセキュリティラボ部
インシデントレスポンスチーム 日本Region Leader
情報処理安全確保支援士,SANS GIAC GCFA,GDAT

期間

所属/業務

役割

備考

2007年-

個人製品サポート

エンジニア

・ウイルスバスター担当(技術/更新)

2009年-

法人製品サポート

エンジニア

・グループウェア製品担当

エンジニア

・中央省庁CSIRTのリード(常駐)・ログ監視、端末調査、対策立案（1000件以上未知のマルウェア発見）

2012年2017年-

インシデントレスポンス

2019年-

法人 製品提案SE

2021年-

インシデントレスポンス

マネージャ

・インシデントレスポンス業務を兼務
コンサルタント© 2022 Trend Micro Inc.

・国内のインシデント対応サービスをリード3

自己紹介 - 研究活動
• 2020年：2件の論文投稿、研究会発表
1.
2.

•

セキュリティインシデント実例を元にした各種ガイドラインの対策評価と，効果的なセキュリティ対策の提言(2020/7)
MITRE ATT&CKを用いたセキュリティインシデント実例の分析と,コストを考慮したセキュリティ対策の提言(2020/10)

2021年：9月より立命館大学 後期博士課程 入学 (上原研究室)– 2022年3月7,8日：IOT研究会にて発表予定•「中小企業における情報セキュリティ対策状況のインタビュー調査」

1)https://ipsj.ixsq.nii.ac.jp/ej/?action=pages_view_main&active_action=repository_view_main_item_detail&item_id=206131&item_no=1&page_id=13&block_id=82)https://ipsj.ixsq.nii.ac.jp/ej/?action=pages_view_main&active_action=repository_view_main_item_detail&item_id=208491&item_no=1&page_id=13&block_id=8© 2022 Trend Micro Inc.

4

インシデントレスポンス概要

インシデントレスポンスとはインシデント

インシデントレスポンス• 情報システムの運用におけるセキュリティ上の問題として捉えられる事象• 例：情報流出,フィッシングサイ
ト,不正侵入,マルウエア感染
Webサイト改ざん、DoS攻撃等• インシデント発生後の被害を最小化するための「事後」対応

出典：JPCERT/CC インシデントとは
https://www.jpcert.or.jp/aboutincident.html© 2022 Trend Micro Inc.

6

対応の流れ封じ込め

証拠保全

調査と解析

根絶と復旧

端末の隔離

ディスクイメージ

簡易調査：攻撃に用いられたツール群の発見

暫定対処

調査ツール

詳細調査：ディスクイメージ解析

恒久対処

ネットワークログ等の確認© 2022 Trend Micro Inc.

7

サイバー攻撃の分類
手法

目的

対象

攻撃
者

マルウェア

金銭

個人

犯罪者

標的型
マルウェア

情報

企業

犯罪組織

ランサムウェ
ア

業務妨害

公共団体

国家機関

DDoS攻撃主張

官公庁

国家の支援を受けた組
織Web改ざん© 2022 Trend Micro Inc.

8

サイバー攻撃の分類（標的型）
手法

目的

対象

攻撃者

マルウェア

金銭

個人

標的型
マルウェア

情報

企業

犯罪組織

ランサムウェ
ア

業務妨害

公共団体

国家機関

DDoS攻撃主張

官公庁

国家の支援を受けた組
織Web改ざん© 2022 Trend Micro Inc.

犯罪者

標的型攻撃
(そこにしかない情報を得る)
9サイバー攻撃の分類（金銭目的）
手法

目的

対象

攻撃
者

マルウェア

金銭

個人

標的型
マルウェア

情報

企業

犯罪組織

ランサムウェ
ア

業務妨害

公共団体

国家機関

DDoS攻撃主張

官公庁

国家の支援を受けた組
織Web改ざん© 2022 Trend Micro Inc.

犯罪者

金銭を目的とした攻撃(効率的に多額の金銭を得る)
10サイバー攻撃の分類（サイバーテロ）
手法

目的

対象

攻撃
者

マルウェア

金銭

個人

標的型
マルウェア

情報

企業

犯罪組織

ランサムウェ
ア

業務妨害

公共団体

国家機関

DDoS攻撃主張

官公庁

国家の支援を受けた組
織Web改ざん© 2022 Trend Micro Inc.

犯罪者

サイバーテロ(政治動機等で妨害や主張をする)11

サイバー攻撃の分類（本日話す内容）
手法

目的

対象

攻撃
者

マルウェア

金銭

個人

標的型
マルウェア

情報

企業

犯罪組織

ランサムウェ
ア

業務妨害

公共団体

国家機関

DDoS攻撃主張

官公庁

国家の支援を受けた組
織Web改ざん© 2022 Trend Micro Inc.

犯罪者

法人向けランサムウェア攻撃の手法や対策をお話しします！
12

攻撃手法について

標的型攻撃一般的な攻撃のステップ
攻撃の準備から目的達成までの流れをトレンドマイクロでは6段階に分類

参考：トレンドマイクロ, 「標的型サイバー攻撃」, https://www.trendmicro.com/ja_jp/security-intelligence/research-reports/threat-solution/apt.html※ 一般的にはLockheed Martin社の「Cyber Kill Chain」モデルで説明されることがあります
参考：Lockheed Martin, 「Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains」, https://www.lockheedmartin.com/content/dam/lockheed-martin/rms/documents/cyber/LM-White-Paper-Intel-Driven-Defense.pdf© 2022 Trend Micro Inc.

15

1段階目：事前準備© 2022 Trend Micro Inc.

標的の情報収集

不正プログラムの準備

攻撃先の環境情報調査

指令サーバの構築
16

2段階目：初期侵入
指令サーバ

標的型
メール

侵害されたWebサーバ

手口③：ユーザの訪問するWebサイトを侵害し、不正プログラムに感染させる（水飲み場型攻撃）

手口①：公開サーバのぜい弱性等を悪用し侵入ドメイン ファイル
コント
サーバ
ローラ

公開サーバ

手口②：標的型メールの添付ファイルを開き感染© 2022 Trend Micro Inc.

不正
プログラム

クライアント端末

173段階目：端末制御
不正プログラムやリモートデスクトップなどを通じて、侵入先のクライアント端末やサーバを制御下に置く

指令
サーバ

Webサーバ

侵害された
Webサーバドメイン ファイル
コント
サーバ
ローラ

クライアント端末© 2022 Trend Micro Inc.

18

4段階目：情報探索
組織内のサーバ資産や権限などを探索・可視化する
指令
サーバ
管理者権限の奪取

Webサーバ

重要情報へのアクセスドメイン ファイル
コント
サーバ
ローラ

クライアント端末© 2022 Trend Micro Inc.

19

5段階目：情報集約
重要情報を踏み台端末に収集し、暗号化＋圧縮する
指令
サーバ

暗号化＋圧縮Webサーバドメイン ファイル
コント
サーバ
ローラ

クライアント端末© 2022 Trend Micro Inc.

20

6段階目：データ送出
暗号化＋圧縮したデータをマルウェア×C&C間の通信で直接取得したり、外部サーバにアップロード等して持ち出す
指令
サーバ

クラウド
ストレージ

暗号化
＋圧縮
ドメイン ファイル
コント
サーバ
ローラ

Webサーバクライアント端末© 2022 Trend Micro Inc.

21

ランサムウェア

ランサムウェアの分類
従来型

二重脅迫型

• Worm等で自動拡散• データ暗号化にて脅迫• 人手による侵入と拡散• データ暗号化＋情報取得とリークによる脅迫【注意喚起】事業継続を脅かす新たなランサムウェア攻撃について
https://www.ipa.go.jp/files/000084974.pdf (IPA, 2020年8月20日)© 2022 Trend Micro Inc.

23

従来型ランサムウェア
ランサムウェアに感染させる

身代金の支払い手法
1.改竄したWebサイトやばらまき型のメールにランサムウェアを添付し感染させる
2.ドライブ上に保存されているファイルを暗号化
3.データ復号化のために身代金を請求

暗号化したファイルの復号のみの要求© 2022 Trend Micro Inc.

24

二重強迫型ランサムウェア
Maze等⑤ダークウェブに公開①ランサムウェアに感染させる③暗号化し身代金を要求④データ公開(リーク)の脅迫②暗号化前に情報を奪取

Sodinokibi等⑤ダークウェブ上のオークションで販売①ランサムウェアに感染させる③暗号化し身代金を要求④データ公開(リーク)の脅迫②暗号化前に情報を奪取© 2022 Trend Micro Inc.

25

国内におけるランサムウェア状況

図：国内利用者からのランサムウェア関連問い合わせおよびそのうちの被害報告の件数推移© 2022 Trend Micro Inc.

26

二重脅迫型ランサムウェア 特徴 (1/3)
1.特定の法人を標的とした攻撃• 身代金支払い能力がある組織のみを標的にする攻撃団体も存在• 逆に「コロナ禍なので医療業界は狙わない」と言っている組織も…

2.情報暴露（リーク）による脅迫• 以前までは被害者の端末上のデータを暗号化して人質としていたが、昨今は「期日までに支払いを行なわない場合、データを全世界に公開する」という脅迫方法にシフト© 2022 Trend Micro Inc.

27

二重脅迫型ランサムウェア 特徴 (2/3)1）特定の法人を標的とした攻撃•••

従来のメール経由、Web経由による侵入に加え、脆弱性攻撃や不正アクセスによる遠隔からの直接侵入が顕著化
侵入後、内部活動により攻撃基盤を拡大した後、ランサムウェア感染
遠隔実行による感染に加え、グループポリシーによる配信・実行© 2022 Trend Micro Inc.

28

二重脅迫型ランサムウェア 特徴 (3/3)
2）情報暴露による脅迫•

データの暗号化前に情報を窃取、身代金を払わない場合には窃取した情報を暴露すると脅す–「MAZE」、「SODINOKIBI/REvil」、「NEMTY/Nifilim」、「DOPPELPAYMER」など© 2022 Trend Micro Inc.

29

参考：リークサイト© 2022 Trend Micro Inc.

30

参考：リークサイト© 2022 Trend Micro Inc.

31

当社におけるIR対応業務

インシデント対応サービス概要
名称

Trendmicro Cyber Attack Response Service (TCARS)

期間5営業日対応 → 10営業日以内に最終報告
状況確認支援ヒアリング、各種ログの確認等によりインシデントのスコープを確認。
スコープに基づいてインシデントレスポンスでの調査事項やゴールについて合意形成を行う

サービス
内容

インシデント復旧支援
インシデント発生前の状態までの回復を支援。弊社ソリューションを用いたマルウェアの駆除、各レイヤでの検出対応、再発有無確認のための監視を実施。
インシデント調査支援
各種機器(弊社製品以外も含む)のログの解析や、記憶媒体から証跡を抽出しての解析を行い、インシデントの原因等に関する詳細調査を実施
アフターフォロー
最終報告書の作成および報告会の実施。報告には技術施策、マネジメントに関する助言、製品提案なども含む© 2022 Trend Micro Inc.

33

よくある被害事例 (1/2)• メールで侵入＋内部拡散– 不審な添付ファイル付きのメールが着弾– ユーザが添付ファイルを開いて感染開始– LAN内で横展開、不正通信、別の不正プログラムを追加ダウンロード…etc© 2022 Trend Micro Inc.

34

よくある被害事例 (2/2)• 外部から直接侵入＋内部拡散––––外部（あるいは内部の踏み台）からRDPで侵入認証情報の窃取LAN内でRDP経由、ファイル共有等で横展開
ランサムウェアの感染
InternetLAN
RDP・ファイル共有等でログオン
RDPでログオン
攻撃者端末

ランサムウェア感染© 2022 Trend Micro Inc.

35

主な依頼内容
LAN内の不正通信やウイルス検知を起点とした対応• ランサムウェア,標的型検体などの挙動調査• 攻撃手法、感染原因、情報漏洩有無などの調査

公開サーバにおける対応• 侵入原因（脆弱性）の特定• 利用された不正プログラムの特定と解析• 影響範囲の調査© 2022 Trend Micro Inc.

36

主な依頼内容：補足• JPCERT/CCの分類では「その他」が当社インシデント対応
サービスの範囲に近い

出典：JPCERT/CC インシデント報告対応レポート［2021年4月1日～2021年6月30日］
https://www.jpcert.or.jp/pr/2021/IR_Report20210715.pdf© 2022 Trend Micro Inc.

37

ヒアリングから報告までのフロー
状況確認

報告書作成と報告

データ収集

提供サービ
ス確定

端末・検体
調査

1日

・標的型か・業務停止?
・何台か

・検出名,C2© 2022 Trend Micro Inc.

5日

・有償

- 証拠保全・無償- 製品導入- 調査ツール

10日

・IDS設置・Proxyログ

・ツール実行

・検出ログ

・ログ解析

・操作ログ

・侵入経路
・漏洩有無

・恒久対策

38

Tips:”通常”を知る(Know Normal)•“通常”を把握することにより、異常に気付けるようにする–––––––

ネットワーク
プロセス
レジストリ
サービス
ファイル
アカウント
ログ

https://digital-forensics.sans.org/media/SANS_Poster_2018_Hunt_Evil_FINAL.pdf© 2022 Trend Micro Inc.

39

Tips:フォレンジックの概要と限界を知る・ディスク/メモリに残った情報(MFT、ファイル、レジストリ、ログ等)の作成・更新・削除のタイムスタンプから、攻撃者の行動履歴を洗い出す
・FWやProxyの外部ログ等も参照する
・SkySea等の操作ログの方が詳しく証拠が残っていることも多い▼ログ等
日付
6月1日 10:00
6月1日 10:00
6月2日 10:00
6月2日 10:00
6月3日 10:00
6月5日 10:00▼Executive向け報告
概要
ユーザAが端末1でWEBアクセス
端末1のレジストリ変更
ユーザAが端末1でメール開封
端末1でファイル生成
ユーザAが端末2にリモート接続
端末1が暗号化(不正)

6月2日にユーザが不審メールを開き、攻撃者が侵入。
6月3日に端末Bへ横展開を行い、6月5日に端末Aが暗号化された。

▼攻撃シナリオ

タイプスタンプ
から攻撃者の行動履歴を整理© 2022 Trend Micro Inc.

日付
6月2日 10:00
6月2日 10:00
6月3日 10:00
6月5日 10:00

概要
ユーザAが端末1でメール開封(不審)端末1でファイル生成(不審)ユーザAが端末2にリモート接続(不審)端末1が暗号化(不正)40対応実例のご紹介

当社への相談状況 - 概況
• ランサムウェア感染のご相談が6割– ランサムウェアケースの内7割がランサムウェアCring
期間：2021年1月1日～5月31日

二重脅迫ランサムウェア

ランサムウェアの割合© 2022 Trend Micro Inc.

RDP,VPNで
侵入

ハッキング
ツール利用

EPP無効化42対応実例のご紹介• 過去1年程の間に当社で支援したインシデントを整理No

ランサム種別侵入

主な攻撃ツール(TTPs)

1

CrysisRDP

Mimikatz,Advanced Port Scanner,Process Hacker

2

CrysisRDP

Mimikatz,Advanced Port Scanner,Process Hacker

3

Pysa

RDP

Mimikatz,ADRecon,GMER

4

Cring

VPN

Cobalt Strike5

Avaddon

不明

Powertools

6

MatrixRDP

PCHunter

7

Doppel Paymer メール? QAKBOT,PSExec© 2022 Trend Micro Inc.

43

Case 1,2•••

Eyes Only

RDPで侵入&拡散
ハッキングツールの実行
セキュリティ機能の停止© 2022 Trend Micro Inc.

44

Eyes Only

Case 3•4以上の攻撃者が並列作業④各端末にログインし共有フォルダ上のランサムウェアを実行

攻撃者A

攻撃者B

ファイルサーバ

サーバ② セキュリティ機能のアンインストール*サーバによっては失敗③ セキュリティ機能がアンインストールされているサーバ上でランサムウエアを作成①攻撃者Bのみ環境内に侵入成功
ADサーバ1⑤ADサーバ1でイベントログなど痕跡を削除

・・・

攻撃者C

攻撃者D・・© 2022 Trend Micro Inc.

ADサーバ245

Case 3 (セキュリティ製品のアンインストール)© 2022 Trend Micro Inc.

Eyes Only46

Eyes Only

Case 4•Fortigateの脆弱性で侵入–CVE-2018-13383–

初期潜入手法は普段判明しないことが多いが、Cring感染
×Fortigateあり=Fortigateが起点と推測できる状況だった
ログからFortigateのIPが不正接続元として見えたことも多数あった–

ランサムウェア「Cring」の被害が国内で拡大、VPN脆弱性を狙い侵入（2021/5/20）

https://blog.trendmicro.co.jp/archives/27830© 2022 Trend Micro Inc.

47

Case 5Eyes Only• 侵入起点は不明• RDPで侵入・拡散• セキュリティ機能の停止© 2022 Trend Micro Inc.

48

Eyes Only

Case 6
被害概要

特徴

ランサムウェア感染による重要サーバ暗号化

運用上不要なポート(3389)を悪用して感染拡大した事象
インターネット

社内LAN②ハッキングツール、ランサムウェアを設置④認証情報取得ツールと思われるファイルの実行③NW経由(ファイル共有等)でログオン

ADSVR①外部もしくは内部の踏み台よりRDP経由でログオン

攻撃者端末⑤RDP経由でログオン⑥ハッキングツール、ランサムウェアを設置
SVR1

SVR2

SVR3

⑦NW経由(ファイル共有等)でログオン⑧ドメイン情報取得ツールと思われるファイルの実行
ツールの出力結果のファイルの作成⑨各SVでファイル暗号化および脅迫文設置© 2022 Trend Micro Inc.

クライアントPC等

確定している動作（赤：実線）

推測される動作（緑：点線）

49

Eyes Only

Case 7
被害概要

特徴

ランサムウェア感染による業務停止

脆弱なパスワード設定、運用上不要なポートの解放。

社内LAN（拠点A/拠点B）④ワーム型マルウェアにより感染拡大(配布）

サーバ

サーバ1

インターネット①不審メールでの侵入？

③C&Cサーバと通信、マルウェアをダウンロード

攻撃者

サーバ2
クライアントPC

C&Cサーバ②EMOTET,ワーム型マルウェアに感染⑤感染拡大（配布→実行）

クライアントPC⑥ランサムウェアをダウンロード⑦ランサムウェア実行(暗号化)© 2022 Trend Micro Inc.

確定している動作（赤：実線）
推測される動作（緑：点線）

50

Wrap up

本日お話ししたこと (Agenda再掲)• インシデントレスポンス概要• 攻撃手法について– 標的型攻撃– ランサムウェア• 当社におけるIR対応業務• 対応実例のご紹介© 2022 Trend Micro Inc.

52

頻繁に観測されている手法・ツール
外部公開している正規サービスの悪用• リモートデスクトップ,VPNでの侵入
ハッキングツールの利用• Mimikatz• Advanced Port Scanner
セキュリティ製品の無効化• Process Hacker,PCHunter,GMER© 2022 Trend Micro Inc.

53

インシデント実例を踏まえた対策
抑止

緩和

復旧

事前にインシデント発生の要因を断つ

被害発生時の拡大を最小限に止める

インシデント発生後に業務を迅速に再開

RDP制限

挙動監視系機能の有効化

オフラインバッ
クアップ取得パスワード
複雑化

共有フォルダ
アクセス権
整備

ADサーバとセキュリティ管理
サーバの分離二要素認証
検討

セキュリティ製品の最新化© 2022 Trend Micro Inc.

54

参考：対策チェックリスト
分類•

全て〇がつけばここまで話したようなインシデントの発生を防げる

チェック項目評価

VPN装置やファイアウォール機器等ネットワーク機器のパッチ適用を定期的に行っている。
VPN装置で必要に応じて接続元の制限を行っている（例:海外からのVPN接続は禁止する など）
出入口

ネットワーク機器で退職者のアカウントや一時的なメンテナンスアカウントなどを適宜削除している。
ネットワーク機器のID/パスワードを推測されにくい複雑な文字列にしている。
スパムメールのフィルタリングサービスを導入しており、不審なメールは自動で削除されるようになっている。
Webサイト閲覧時にプロキシサーバ等を経由してセキュリティチェックが行われている。
退職者のアカウントや一時的なメンテナンスアカウントなどを適宜削除している。
各サーバでは異なるパスワードを設定しており、全台共通のパスワードを利用していない。

サーバ

各サーバのサービス提供に必要なポートのみ解放するようにしている。
Windows以外にLinux等のサーバにもウイルス対策ソフトを導入している。
OSやミドルウェアのパッチ適用を定期的に行っている。
ウイルス対策ソフトのパターンファイルが最新になっている。
ウイルス対策ソフトの機能を把握し、最大限活用している。

クライアントウイルス対策ソフトのアラートメールを確認し、必要に応じて調査を行っている。
OSやソフトウェアのパッチ適用を定期的に行っている。
USBメモリの私用を制限している(私物のUSBを接続できないようにしている)。
共有フォルダ等のアクセス権限を定期的に見直し、必要最小限のアクセス権限を付与している。

その他

バックアップされたデータが同一LAN内にない、もしくはオフライン化されており、外部からアクセスしにくい状
況で運用されている。
〇・・・実施できている△・・・ある程度できている
×・・・実施できていない/不明© 2022 Trend Micro Inc.

55

THANK YOU!

参考：パスワードの複雑化➢12文字以上の複雑性を満たすパスワードで運用する➢Active Directoryサーバのグループポリシー>パスワードポリシー等で一括制御可能

12文字以上有効© 2022 Trend Micro Inc.

57

参考：ワークステーション間の通信制御
A) Port445(SMB),3389(RDP)などクライアント端末同士では不要なポートをWindows Firewall等で制御B) 「ネットワーク経由のアクセスを拒否」にAdministrators追加

Administrators© 2022 Trend Micro Inc.

58