di_blog_post

Deep Instinct prevents more advanced threats than any EPP or EDR in the world.

Deep Instinct Blog: Breaking News and Updates

プラットフォームの概要

エンドポイントの先にあるもの

エンドポイント セキュリティ

製品

ランサムウェアの予防

ゼロデイ攻撃の防止

EPPの有効性の向上

EDRでは不十分

ファイルレス攻撃の阻止

ソリューション

サイバーセキュリティにおける深層学習

Deep Instinctのお客様

Deep Instinctが信頼される理由

Deep Instinctについて

ニュース

採用

お問い合わせ

会社概要

カタログ/資料

ブログ

デモ動画

トレーニング

リソース

資料請求/デモリクエスト

カスタマーポータル

インテグレーション/コンプライアンス

クイックリンク

アプリケーション向けの対策

+ Microsoft Defender

従来のAVを置き換える

カタログ・資料

オンラインセミナー

リーダーシップメンバー

ボードメンバー

国内販売代理店

パートナ

content_block

Perspective & Findings

ブログを読む

Emotet再来! 2023年最初のマルスパムの波

emotet-returns-2023-blog.jpg

Listing preview

Perspective & Findings

Emotet再来! 2023年最初のマルスパムの波

image_media_card

2022年ガートナー®マジック・クアドラントのEPP部門でDeep Instinctが唯一の新規ベンダーに選ばれた理由

死から蘇った、2022年のエモテット

The Re-Emergence of Emotet

Emotetの休暇は終了：悪い奴は休まない

Deep Instinct のトレンド

carousel_cards

listing_preview

Blog JP

cdr-blog.png

社内、社外またはサードパーティからのアプリケーションファイルのアップロードは、新たな脅威のベクトルとなっています。AVやサンドボックスのような従来のアプローチは、悪意あるコンテンツを捕捉するために多くの組織で使用されてきましたが、スピード、効果、規模に関して重大な欠点がありました。CDRはこれらの懸念に対処するために作られましたが、それでもまだいくつかの大きな問題点があります。CDR（Content Disarm and Reconstruction）は、悪意のあるファイルのアップロードを防ぐという点では非常に有望ですが、実際には、十分とは言えません。 本ブログでは、CDRの歴史、長所と短所、そしてビジネス上でリスクを大幅に削減するマルウェア対策に代わる優れた方法について説明します。また、他のファイルアップロードセキュリティ対策についても、こちらで詳しく説明しています。 <a href="https://info.deepinstinct.com/ja-jp/file-upload-security" target="_blank">ファイルセキュリティ: 包括的なセキュリティのための新しいカテゴリ</a><h3>CDR（Content Disarm & Reconstruction）とは？</h3>CDR（Content Disarm and Reconstruction）は、悪意あるファイルを防ぐための新しい方法として登場しました。CDRは、送られてくるすべてのファイルをスキャン、検査、完全に分析するのではなく、マクロやVBAなど、潜在的に悪用されたり、悪意があったりするファイル内のアクティブコンテンツを対象とします。この技術の利点は、潜在的に悪意のあるファイルを非常に迅速に駆除することができるため、ファイルサンドボックス化による遅延を回避できることです。<img src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt4834b6dbec9d696e/63d156275c5c9c52a32ec073/cdr-workflow-process.png"/>出典: SaniTOX - Content Disarm & Reconstruction(CDR) サービス*<h3>CDRの種類</h3>CDRの基本的な3つの考え方は：<ol><li>フラットファイル変換：Tアクティブなコンテンツを持つ新規ファイルを取得し、そのフラットコピーをPDF形式で作成します。この方法は、迅速かつ効果的に攻撃対象領域を最小化することができますが、悪意のあるファイルと良性のファイルを区別する能力がないため、マクロ、フォームフィールド、ハイパーリンクなどの正当なコンテンツが消去されます</li><li>コンテンツのストリッピング: アクティブコンテンツと埋め込みオブジェクトを除去し、元のフォーマットでファイルを再構築することで、エンドユーザーの使い勝手をある程度維持します。ただし、CDRは悪意のあるファイルと良質のファイルを区別できないため、正当なコンテンツであっても破壊されることがあり、元のファイルを取得するためには管理者の操作が必要になります</li><li>Positiveの選択: テンプレートに基づいてファイルを再構築することにより、前の2つの方法の欠点に対処しようとするもので、再構築後のファイルの完全な機能を維持するのに役立ちます。これは、既知の良性な（積極的に選択された）コンポーネントのみを再構築されたファイルにコピーすることによって行われます。この方法は、削除または破壊される正当なコンテンツの量を削減する一方で、マルウェア識別機能がないため、不正確であることがほとんどです</li></ol><h3>マルウェア対策としてのCDR（Content Disarm and Reconstruction）の3つの問題点</h3>2021年のレポートで、ガートナーは「CDRはうまくいけば、大きなレイテンシーを追加することなく、アップロードされたファイルからすべての脅威を取り除くことができますが、同時にCDRの大きな欠点は、ファイルの内容を変更してしまうことにあります」と述べています。CDRは、転送中にファイルを修正するため、テキストや画像などの<a href="https://www.infusedinnovations.com/blog/secure-intelligent-workplace/what-is-content-disarm-and-reconstruction-cdr" target="_self">編集できないファイル</a>が大幅に変更されて配信されることが比較的高い確率で発生します（図1参照）。CDRで加工されたファイルによくある問題として、文書ファイルとの互換性やフォントの問題で編集ができなくなった文書や、画像が正しく再構成されなかったり、高解像度が失われたりすることが挙げられます。<img src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt11051332963c5aa4/63d157e9b369f5745550b605/fig1-cdr-can-lead-to-loss-functionality-in-documents.png"/>図1：CDRはドキュメントの機能喪失につながる（出典: Infused Innovations†)CDRによってITチームの仕事が増える：<ul><li>この技術では、正当なアクティブコンテンツと悪意のあるアクティブコンテンツを区別することができないため、CDRはすべてのファイルを詳細に調査する必要があります</li><li>信頼できるソースからマクロ付きのスプレッドシートを受け取ることを期待していたユーザーは、そのファイルの代わりに重要な機能が無効化されたフラットファイルを受け取ることになります</li><li>そのため、オリジナルのファイルを要求するために、ヘルプデスクとのやり取りが必要になります</li><li>• ユーザーが要求したタイミングによっては、元のファイルを利用できない可能性があります</li></ul>CDRはビジネス上非常に重要な問題を提起している：<ul><li>非常に多くの場合、IT部門は、特定のファイル（またはグループ）、または遅延や文書がそのまま残らない可能性を許容できない経営陣のために例外を認めなければならなくなります</li><li>さらに、この技術が導入されていることを知っているユーザーは、この技術を避け、個人の電子メールアカウントなど、別の方法でファイルを受信することがよく知られています</li><li>これでは、せっかくの技術も台無しになってしまいます</li></ul>CDRは限られた種類のファイルに対してのみ保護を提供する：<ul><li>CDRソリューションでは、EXEやDLLなどのポータブルな実行ファイルや、ほとんどの画像ファイルをサニタイズすることができません</li><li>これは、別のソリューションで対処しなければならない広いセキュリティギャップを生み出し、また誤ったセキュリティ意識につながる可能性があります</li></ul><h3>悪意のあるファイルのアップロードから保護するためのより良いアプローチ：マルウェア対策</h3>悪意のあるファイルのアップロードが懸念される中、企業はビジネスのニーズに合ったスピードとスケールでマルウェアを防止できる摩擦のないソリューションを必要としています。CDRは、従来の方法と比較していくつかの利点がありますが、私たちはその利点をはるかに上回る欠点があると考えています。<a href="/ja/prevention-for-applications" target="_self">Deep Instinct Prevention for Applications</a> は、REST APIまたはICAPを介してエージェントなしで実装される、独自のファイルスキャンソリューションです。エンドポイントでの実行を許可される前に脅威を防止することが実証されている、業界をリードする静的マルウェア対策エンジンを搭載したDeep Instinctは、すべての企業のファイルスキャンセキュリティ要件を満たしています：最速のスピード <ul><li>未知のマルウェアに対して、20ms以内に悪意があるか無害であるかを判定</li><li>脅威情報のフィードに依存することなく、自律的に判定を実行</li></ul>高いスケーラビリティ<ul><li>1日あたり数百万ファイルをレイテンシーなしでスキャン可能</li><li>誤検知率を0.1%未満に抑え、SOCの効率を改善</li></ul>最高レベルの未知の脅威に対する有効性<ul><li>他のソリューションで見落とされたOfficeファイルやPDFの感染を防止</li><li>ランサムウェアが実行されて感染する前に阻止</li></ul>プライバシーを守る<ul><li>お客様の環境からデータを一切持ち出すことなく、データのプライバシーを保護</li></ul>ゼロデイや未知の脅威をファイルアップロードから阻止することは、リスクを低減する上で最も重要なことです。もし、あなたの環境でファイルアップロードについて懸念しているのであれば、脅威が内部に侵入する前に阻止するための最新の防御アプローチを検討する時期が来ています。詳しくは、ホワイトペーパーをご覧ください： <a href="https://info.deepinstinct.com/ja-jp/file-upload-security" target="_blank">ファイルセキュリティ: 包括的なセキュリティのための新しいカテゴリ</a><a href="/ja/prevention-for-applications" target="_self">Deep Instinct Prevention for Applications</a> は、ファイルアップロードセキュリティのニーズに対応するために特別に設計され、オリジナルファイルのコンテンツと整合性を維持しながら、比類ないスピード (20ミリ秒未満での判断) 、効果 (99%以上の検知率) 、精度 (0.1%未満の誤検知率) でこれを実現します。悪意のあるファイルから身を守る方法の詳細については、Deep Instinct に今すぐ<a href="https://info.deepinstinct.com/ja-jp/request-a-demo" target="_self">お問い合わせください</a>。<h3>リソース</h3><ul><li><a href="https://www.deepinstinct.com/ja/blog/malicious-office-files-20-years-of-microsoft-office-exploits" target="_self">悪質なOfficeファイル：20年以上にわたるMicrosoft Officeエクスプロイトの歴史</a></li><li><a href="https://www.deepinstinct.com/ja/blog/five-advantages-of-deep-learning-for-preventing-cybersecurity-threats" target="_self">サイバーセキュリティにおけるディープラーニングの5つの優位性</a></li></ul><h3>出典</h3>* <a href="https://sanitox.jiransecurity.com/scan/" target="_self">https://sanitox.jiransecurity.com/scan/</a>† <a href="https://www.infusedinnovations.com/blog/secure-intelligent-workplace/what-is-content-disarm-and-reconstruction-cdr" target="_self">https://www.infusedinnovations.com/blog/secure-intelligent-workplace/what-is-content-disarm-and-reconstruction-cdr</a>

マルウェア対策としてのCDR（無害化）ソリューションの3つの問題点

MS-Office-Blog.png

武器化した Officeドキュメントは、組織にとって大きなリスクとなります。WordやPowerPointのファイルに埋め込まれたスクリプトやHTMLコードなどのアクティブコンテンツから、Excelのマクロまで、あらゆる組織が注意を払わなければならない攻撃ベクトルです。世界中の約100万社がOffice 365を使用しており、2020年にはフォーチュン500社の70％がO365を購入しました。その結果、ファイル転送を伴うほぼすべてのビジネストランザクションがMicrosoft Office形式となっており、そこにはマルウェアが含まれるリスクが高くなっています。&nbsp;最近のマルウェア攻撃（Q1-22）の約80%がMS Officeの脆弱性を悪用したものであることは驚くことではありません（図1参照）。Office の脆弱性は、最初のシステム感染からリモートでのコマンド/コード実行まで、ハッカーにいくつかの方法を提供し、多くの場合、攻撃者は検知されないままシステムファイルを変更することが可能です。FollinaとTrickbotは、Officeの脆弱性を悪用して活動する最近のキャンペーンの2つの例です。これらのマルウェアがどのようにOfficeファイルを悪用するかについては、後ほど詳しく説明します。Atlas VPNは、2021年、全マルウェアダウンロードの約43%が悪意のあるOfficeドキュメントであり、2020年の14%から、3倍も増加していると報告しています。ほとんどのエンドポイントセキュリティベンダーは、依然としてポータブル実行ファイル（PE）タイプのみに予防策を絞っており、未知の悪意のあるOfficeファイルのダウンロードと実行を阻止できないため、MS Officeの欠陥の悪用が急速に拡大していることは懸念すべきことです。実行ファイルは強力ですが、攻撃者は、組織のコンピューティング環境への足がかりを得るのに最も有利な悪意のあるOfficeドキュメントにその戦術をシフトしていることは明らかです。<figure style = "margin: auto; text-align: center;width: 383px;"><img asset_uid="bltcf20386e88cc8e1b" alt="Figure1: MS Office most likely to deliver malware " src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltcf20386e88cc8e1b/634f2c7bdcd7cf2a10750563/microsoft-office-most-likely-software-to-deliver-malware.png" height="auto" /><figcaption style = "text-align: center;" style="text-align: center;">図1: マルウェアを送り込む可能性が最も高いのはMS Office（出典：: https://atlasvpn.com/blog/microsoft-office-flaws-exploited-in-nearly-80-of-malware-attacks)</figcaption></figure><h3>MS Officeの欠陥を利用した最近の攻撃&nbsp;</h3>Microsoft Officeとデジタル文書が登場して以来、脆弱性を悪用する攻撃は常に行われてきました。22年以上前、攻撃者がMicrosoft Office 2000のドキュメントと同じディレクトリにトロイの木馬DLLを起動時に挿入することに成功する脆弱性が発見されました。CVE-2000-0854です。この脆弱性スコアは10（満点）で、完全な情報漏えい、システムの完全性の完全な侵害、影響を受けるリソースを完全にシャットダウンできることを意味します。過去20年間、攻撃者は、最も広く使用されているアプリケーションスイートを悪用する新しい方法を継続的に発見してきました。この20年間、攻撃者は最も広く使われているソフトウェアを悪用する新しい方法を見つけ続けてきました。最近、「Trickbot」と呼ばれるマルウェアファミリーが示すように、脅威者はMS Officeファイルの悪用をさらに強めています。Trickbotは、多くの場合、VBAコードを埋め込んだWordドキュメント（図2参照）から感染を開始します。VBAコード自体は悪意のあるものではありませんが、Wordドキュメント内に存在することで赤旗が表示され、この手法は、複数のマルウェアファミリーにおいて多数の攻撃者によって利用されています。このドキュメントでは、ユーザーを騙してマクロを有効にさせ（以下のスクリーンショットを参照）、その時点で、悪意のあるJavaScriptコードを含むVBAモジュールがペイロードをダウンロードし、システム上に永続性を確立するよう記述されています。Trickbotが素早く収集するシステム情報の量から、他の多くのキャンペーンでは、これを最初の感染ポイントとして使用することが知られています。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt0edd6960bf9d4ba4" alt="Figure 2: Trickbot uses “tricky” tactics to launch its payload" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt0edd6960bf9d4ba4/634f2c16a1828d22ebc8fd52/picture1.png" /><figcaption style = "text-align: center;" style="text-align: center;">図2：Trickbotは 「トリッキー 」な戦術でペイロードを発射する（出典：: https://www.fortinet.com/blog/threat-research/new-variant-of-trickbot-being-spread-by-word-document)</figcaption></figure>Officeの脆弱性を悪用したさらに最近のキャンペーンは、Follinaとして知られています。Follinaの特徴は、MSDT（Microsoft Support Diagnostic Tool）のバグを操作して、コード実行を可能にすることです。MSDTは、Windowsシステムに関する情報を収集し、Microsoftサポートに送信して調査するために使用されるツールです。このユーティリティは、ローカルのPowerShellポリシーを変更し、コードの実行を可能にすることができます。Follinaは、MSDTを呼び出し、PowerShellのコードを実行させるHTMLファイルを使って実行されます。この攻撃では、ユーザーが悪意のあるHTMLファイルを含むURLを偶然見つけるのをじっと待つのではなく、攻撃者は、Microsoft OOXML（*.docxなど）内の関係ファイル（RELS）を変更し、MS Officeが自動的にHTMLファイルを開き、コードを実行するという別のテクニックを使用します。他のキャンペーンでは、VBAやスクリプトがエンドポイントセキュリティソリューションを回避できるように、ドロッパーの難読化やパディングが行われています。マルウェア「Emotet」ファミリーの復活では、攻撃者は、Excelファイル内のランダムなセルにコード・スニペットを隠すことで動作を偽装し、その後、異なるコーディング言語で書かれた難読化スクリプトの中からこれらのコード・スニペットを呼び出すというものでした。この例やその他の例については、Deep Instinctの脅威リサーチチームの<a href="https://www.deepinstinct.com/ja/blog" target="_self">ブログ</a>で詳しく読むことができます。<h3>悪意のあるOfficeドキュメントを防ぐには？&nbsp;</h3>Microsoft Officeとpdfの攻撃は、ここ数年、その数と精巧さを増しています。しかし、さらに心配なのは、ほとんどのエンドポイントセキュリティソリューション、特にエンドポイント検出および応答カテゴリのソリューションは、EXEファイルやDLLファイルのようなポータブル実行可能タイプの既知および未知の両方のファイルしか防ぐことができない点です。また、ほとんどのEDRソリューションは、ファイルが実行され、その挙動を確認してからでないと脅威を阻止するための静的解析ができず、被害を防ぐには遅すぎるのです。<a href="https://www.deepinstinct.com/ja/endpoint-detection-response" target="_self">EDRを導入していてもDeep Instinc</a>が必要なのはまさにこのためです。特に、悪意のあるファイルに隠された未知の攻撃やゼロデイ攻撃に関しては、悪意のある文書ファイルが実行され、ローカルストレージにヒットする前に防ぐことの重要性は、強調してもし過ぎることはありません。ランサムウェア、クリプトマイナー、ワイパーの場合、動作が非常に速いため、実行後の検知では手遅れになります。また、Trickbotキャンペーンで見られたように、ファイルがシステムに侵入した場合、EDRがそれを検知する前にユーザーがそのファイルを操作してしまう可能性があります。MS Office の欠陥の悪用が増加しているという悪いニュースの中にあって、良いニュースもあります：ディープラーニングを活用した静的解析により、悪意のあるOffice文書が実行されたり、ストレージに入る前に防ぐことが可能になります。Deep Instinctは、20ミリ秒以下でファイルの全内容をスキャンすることにより、ファイルが悪意のあるものであると判断し、ディスクへの書き込み、パブリックまたはプライベートクラウドストレージへの格納、Webアプリケーションによるアップロードが行われる前にそれを防止します。Deep Instinctは、既知の脅威インテリジェンスフィードに依存しないため、未知の脅威が野放しになってしまう前に阻止することができます。&nbsp;Deep Instinctは、Follinaの存在を誰も知らないうちに防止した唯一のソリューションです（下図3参照）。すべてのOfficeモジュール（OLE、OOXML、RELS、XL4、ActiveX、LNKなど）のファイルに隠された既知および未知の悪意のある攻撃を防止します。0.1%未満の誤検知、99%以上の未知の脅威に対する有効性、20ミリ秒未満での判断により、Deep Instinctはリスクを低減し、本当に重要なこと、つまりビジネスに集中できる予防能力を企業に提供しています。<figure style = "margin: auto; text-align: center;width: auto;"><img asset_uid="blt3798f8a67c0d098a" alt="Figure 3: A document file that leverages Follina to execute malicious commands is prevented by the Deep Instinct agent before it gets a chance to run. " src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt3798f8a67c0d098a/634f2d01be627424e775b5ef/deep-instinct-threat-prevented-alert.png" /><figcaption style = "text-align: center;" style="text-align: center;">図3：Follinaを利用して悪意のあるコマンドを実行する文書ファイルは、実行される前にDeep Instinctエージェントによって阻止される。</figcaption></figure>未知のマルウェア、<a href="https://www.deepinstinct.com/ja/ransomware-protection-solution" target="_self">ランサムウェア</a> 、<a href="https://www.deepinstinct.com/ja/zero-day-attacks" target="_self">ゼロデイ対策</a>について詳しくお知りになりたい方は、<a href="https://info.deepinstinct.com/ja-jp/request-a-demo" target="_self">デモをリクエスト</a>をください。関連するブログ:&nbsp;<ul><li><a href="https://www.deepinstinct.com/ja/blog/how-your-regular-microsoft-office-file-is-open-to-manipulation" target="_self">Microsoft Office ファイルがどのように操作されているか</a></li><li><a href="https://www.deepinstinct.com/ja/blog/unfolding-the-follina-zero-day-vulnerability" target="_self">ゼロデイ脆弱性「Follina」の解説</a></li><li><a href="https://www.deepinstinct.com/ja/blog/8-reasons-why-edr-is-not-enough" target="_self">EDR では不十分な８つの理由</a></li><li><a href="https://www.deepinstinct.com/ja/blog/types-of-dropper-malware-in-microsoft-office" target="_self">Emotetの検知回避手法を解説：Microsoft Officeにおける4種類のドロッパー マルウェアとメッセージボックスの悪用</a></li></ul>関連するリソース&nbsp;（英語）:&nbsp;<ul><li><a href="https://atlasvpn.com/blog/microsoft-office-flaws-exploited-in-nearly-80-of-malware-attacks" target="_self">Malicious Office flaws exploited in nearly 80% of malware attacks</a></li><li><a href="https://www.fortinet.com/blog/threat-research/new-variant-of-trickbot-being-spread-by-word-document" target="_self">New Variant of Trickbot Being Spread by Word Document</a></li></ul>&nbsp;

悪質なOfficeファイル：20年以上にわたるMicrosoft Officeエクスプロイトの歴史

EDR-bypass.png

スター・ウォーズファンの方なら知っていると思いますが、「スター・ウォーズ エピソード4」の中で、オビ＝ワンが「マインド・トリック」を使ってストーム・トルーパーを欺き、ルークと彼がR2-D2とC-3POを連れて検問を通過する場面がありました（実際にはストーム・トルーパーが探していたドロイドだったにも関わらず）。これと同じように、経験豊富なサイバー犯罪者は、多くのセキュリティツール（EDRソリューションを含む）を欺き、悪意のあるシェルコードが検知されずに通過できるような「ジェダイ・マインド・トリック」を独自に開発しました。攻撃者は、検知されないようにしながら損害を与えるために、迂回テクニックを使うことが多くなっています。この記事では、さまざまな回避方法を分析した上で、攻撃者があなたの環境に侵入しないようにするための防御方法も提案します。<h2>攻撃者がEDRをバイパスするための3つの方法</h2>以下は、攻撃者が<a href="/ja/blog/new-fileless-attacks-found-in-event-logs" target="_self">EDRソリューションを回避</a>するための3つの方法です。AMSIバイパス、アンフック、リフレクティブDLLロードです。各手法の詳細と、Deep InstinctがこれらのEDRバイパス手法の防止にどのように役立つかをご覧ください。<h3>1. AMSI バイパス</h3>AMSI（Anti-Malware Scan Interface）は、サードパーティのマルウェア対策ソリューションが、PowerShell、スクリプトエンジン、.NETフレームワーク、WMIなどのMicrosoftコンポーネントやアプリケーションを可視化できるようにするMicrosoftのフレームワークです。EDR ソリューションは、このフレームワークを使用して、ファイル、メモリ、ストリームをスキャンし、悪意のあるペイロードを検知します。これらのコンポーネットやアプリケーションは、サイバー犯罪者がWindowsデバイスに対する攻撃を仕掛ける際に頻繁に使用されるため、より高度な攻撃者が攻撃を成功させるためにAMSIを回避する方法を見つけようとすることは理にかなっています。AMSIを回避するための方法として、リフレクション、COMサーバーのハイジャック、メモリパッチなど、攻撃者が利用可能な手法がすでにいくつか発見されています。AMSIを回避する方法を用いた最近の攻撃の例として、 Ant Tesla リモートアクセス型トロイの木馬 (RAT) があり、メモリパッチ法を用いて、ステージ2ローダーと最終ペイロードの検知を回避しています。AMSIのバイパス手法を防ぐには？これはとても怖いことだと思いませんか？マイクロソフトがエンドポイントセキュリティを回避できないようにするために作成したインターフェースそのものが、今や回避されつつあるのです。Deep Instinctは、「メモリ内の保護」機能を使用して、AMSIを回避しようとするプロセスを終了させることで、AMSIのバイパス手法を防止できます。AMSIのバイパス手法とセキュリティツールの対応についての詳細は、Black Hatのセッション「AMSI Unchained」のスライドをご覧ください。<h2>2. アンフック</h2>アンフッキングの手法を理解するためには、「フッキング」とは何かということを基本的に理解しておく必要があります。API（アプリケーションプログラミングインターフェース）とは、コンピュータシステム上で物事を実現するためにコードが使用されるインターフェースのことです。Windowsには、システムやカーネルレベルへの直接アクセスを必要とする命令を実行するために呼び出すことができるAPI（syscallなど）のセットがあります。前の攻撃方法で述べたように、ほとんどのEDRソリューションは、ゲートウェイであるntdll.dllに「フック」して、メモリへの疑わしい呼び出しを監視することで利用しています。アンフッキングとは、Windowsがプロセス起動時にEDRフックバージョンをロードした後に、攻撃者がフックされていない新鮮なntdll.dllをロードさせる技法のことを指します。これによって、EDRは実行中のコードに気づくことができず、APIコールのリターンアドレスを監視できなくなるため、製品として機能しなくなります。徹底したハッカーであれば、さらに作業の最後にEDRを「再フック」させることで、自分たちの攻撃の痕跡を消すことまでします。フック解除の仕組みについては、EDRをバイパスして認証情報をダンプする「<a href="https://www.ired.team/offensive-security/defense-evasion/bypassing-cylance-and-other-avs-edrs-by-unhooking-windows-apis" target="_self">red team</a>の記事（英語）」 で詳しく解説しています。アンフッキングを防ぐには？ダイレクトシステムコールと同様に、アンフックという手法は、EDRがその仕事をするのを妨害することによって、検知を回避しようとします。Deep Instinctは、これらのメモリ領域への変更を監視することにより、エージェントのフックに対する変更の試みを防ぐことでこの問題に対処しています。これにより、関連するメモリ領域にアクセスしようとする試みは、悪意があると判断され、阻止されることになります。<h3>3. リフレクティブDLLロード</h3>リフレクティブDLLロードは、リモートコードインジェクションの一種で、攻撃者がディスクからDLLをロードする代わりに、既存のプロセスにメモリからDLLをロードする手法です。EDRソリューションは通常、ディスクから読み込まれるDLLを監視してシステムを保護するため、リフレクティブDLLロードは、EDRのレーダーから隠れて静かに活動できる形になります。この手法は、すでに説明した他の手法と組み合わせて使用されることが多く、現代の攻撃者のツールキットの大部分を占める Cobalt Strike および Metasploit フレームワークでも多用されています。<figure style = "float: none;width: autopx;max-width:auto;"><a href="https://pentestlab.blog/2017/04/04/dll-injection/" target="_blank"><img asset_uid="blt141b0c9ccde95150" alt="Figure 1: Example of reflective DLL creation and injection using the Metasploit framework" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt141b0c9ccde95150/630d019afe190b157474c99c/figure-1-reflective-dll-creation-example.png" target="_blank"/></a><figcaption >図1：Metasploitフレームワークを使用したReflective DLLの作成とインジェクションの例</figcaption></figure>Reflective DLLを防ぐには？Deep Instinctは、Reflective DLLのロードに使用されるローカルメモリ領域の割り当てを監視し、それらのメモリ領域からのPE（ポータブル実行ファイル）のロードの試みを阻止することにより、この手法に対する防御を提供します。図2は、この種の攻撃を防止するDeep Instinctの例を示しています。<figure style = "float: none;width: autopx;max-width:auto;"><img asset_uid="bltd8e34847594b49bd" alt="Figure 2: Deep Instinct provides behavioral protection against Reflective DLL loading" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltd8e34847594b49bd/630d019ac12c8404ed2a6edf/figure-2-deep-instinct-protects-against-reflective-dll-loading.png" /><figcaption >図2：Deep InstinctはReflective DLLの読み込みに対する振る舞い防御を提供</figcaption></figure><h2> EDRにとって、これらのバイパス・トリックが持つ意味とは？</h2>ここまで、洗練されていないハッカーでも簡単に見つけ、実行することができるEDRバイパス手法の一例について見てきました。EDRの強みは、脅威が環境に侵入した後に悪意のある行動を検知することですが、検知レーダー自体に引っかからなくなっては意味がありません。そもそもランサムウェアのような高度な攻撃を阻止するには検知して対処するアプローチでは限界があります。私たちはEDRの導入自体に反対しているわけではありません。目指すべきアプローチとしてはまず有効な予防が先にあるべきだと言っているのです。既知、未知、ランサムウェア、ゼロデイなどの脅威を阻止するためには、それらに対して有効な予防を最初の防御ラインとする必要があります。EDRソリューションは、既知の悪意のある脅威や、データが盗まれ、被害が発生した場合に、それらの攻撃を分析したり特定する作業には優れていますが、未知の脅威がエンドポイント、サーバー、またはストレージに侵入する前に阻止するという真の予防との間には大きなギャップが存在します。私たちは今、攻撃者がセキュリティ制御を回避することにますます巧みになっていくまさにターニングポイントにいると言えます。<a href="https://info.deepinstinct.com/8-reasons-why-edr-is-not-enough" target="_self">EDRだけでは、最先端の脅威を阻止することはできません。</a> AIやディープラーニングを採用したソリューションの進歩は、こうした「ジェダイ・マインド・トリック」から身を守るための武器となり、未知のマルウェア、ランサムウェア、ゼロデイ脅威の環境での実行を阻止してくれます。これらの高度な脅威が暗号化、データ流出、または潜伏活動などを行う前に停止することで、ますます複雑でインパクトが大きくなりつつある脅威環境において組織が求めるセキュリティが実現できます。その結果、リスクが低減し、SOCの効率が向上し、セキュリティスタック全体の有効性を高めることができるでしょう。攻撃者にEDRを回避されないようにしましょう。より詳しく知りたい方は、こちらからお問い合わせまたは <a href="/request-a-demo" target="_self">製品デモをリクエスト</a>ください。<h2>Further Reading:</h2><ul><li><a href="/blog/8-reasons-why-edr-is-not-enough " target="_self">https://www.deepinstinct.com/ja/blog/8-reasons-why-edr-is-not-enough </a></li><li><a href="https://www.deepinstinct.com/ja/blog/evading-antivirus-detection-with-inline-hooks" target="_self">https://www.deepinstinct.com/ja/blog/evading-antivirus-detection-with-inline-hooks</a></li><li><a href="https://www.deepinstinct.com/ja/blog/cobalt-strike-post-exploitation-attackers-toolkit" target="_self">https://www.deepinstinct.com/ja/blog/cobalt-strike-post-exploitation-attackers-toolkit</a></li></ul><h2>参考文献</h2>Agent Tesla Trojan ‘Kneecaps’ Microsoft’s Anti-Malware Interface <a href="https://threatpost.com/agent-tesla-microsoft-asmi/163581/" target="_self">https://threatpost.com/agent-tesla-microsoft-asmi/163581/</a>A new BluStealer Loader Uses Direct Syscalls to Evade EDRs <a href="https://blog.minerva-labs.com/a-new-blustealer-loader-uses-direct-syscalls-to-evade-edrs" target="_self">https://blog.minerva-labs.com/a-new-blustealer-loader-uses-direct-syscalls-to-evade-edrs</a>BluStealer Malware Targets Cookies, Passwords, and Cryptocurrency Wallets <a href="https://www.cyclonis.com/bluestealer-malware-targets-cookies-passwords-cryptocurrency-wallets/" target="_self">https://www.cyclonis.com/bluestealer-malware-targets-cookies-passwords-cryptocurrency-wallets/</a>Bypassing Cylance and other AVs/EDRs by Unhooking Windows APIs <a href="https://www.ired.team/offensive-security/defense-evasion/bypassing-cylance-and-other-avs-edrs-by-unhooking-windows-apis" target="_self">https://www.ired.team/offensive-security/defense-evasion/bypassing-cylance-and-other-avs-edrs-by-unhooking-windows-apis</a>Cobalt Strike 4.4: The One with the Reconnect Button <a href="https://www.cobaltstrike.com/blog/cobalt-strike-4-4-the-one-with-the-reconnect-button/" target="_self">https://www.cobaltstrike.com/blog/cobalt-strike-4-4-the-one-with-the-reconnect-button/</a>DLL Injection <a href="https://pentestlab.blog/2017/04/04/dll-injection/" target="_self">https://pentestlab.blog/2017/04/04/dll-injection/</a>

EDRを回避するためのスター・ウォーズのジェダイ・マインド・トリック

blog-event-logs.png

MITRE が攻撃者の TTP（戦術、技術、手順）をすべて特定した矢先に、新たなものが現れました。最近リサーチャーは、ターゲットしたコンピューターにファイルレス型マルウェアを静かに植え付けるこれまでにはなかった手法を利用した悪質なキャンペーンを発見しました。この攻撃は、Windows Key Management Serviceのイベントログプロセス（および他の正当なプロセス）に悪意のあるコードを追加することで、イベントログの悪意あるコードを隠します。ファイルレス攻撃の台頭これは、攻撃者が攻撃手法を革新している一例です。ファイルレス攻撃は、既存のセキュリティ対策を回避することができるため、非常に人気のある攻撃方法です。図1は、このような攻撃がいかに一般的になっているかを示しています。<figure style = "margin: auto; text-align: center;width: 600px;"><a href="https://www.infosecurity-magazine.com/opinions/fileless-attacks-malware/"><img asset_uid="bltb324628bc79621be" alt="図1：ファイルレス攻撃が増加し、従来のエンドポイントセキュリティを回避している様子" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/bltb324628bc79621be/6283be5f3b9b8554904a0888/figure-1-fileless-attacks-growing.png"/></a><figcaption style = "text-align: center;" style="text-align: center;">図1：ファイルレス攻撃が増加し、従来のエンドポイントセキュリティを回避している様子</figcaption></figure>&nbsp;攻撃者はどのようにイベントログを使用してファイルレス型マルウェアを隠しているのか？攻撃者がWindowsイベントログにファイルレス型マルウェアを隠すために使用しているのは、3つのステージです。以下、各ステージについて詳しく説明し、Deep Instinctのソリューションがこの新しい形式のファイルレス攻撃に効果的である理由を紹介します。ステージ1: ドライブバイ ダウンロードドライブバイ ダウンロードは、新しい手法ではないものの、エンドポイントにマルウェアを送り込むための効果的な手法です。このケースでは、攻撃者は被害者を正規のWebサイトに誘導し、そこで2つの強力な商用侵入テストツール「Cobalt Strike」と「SilentBreak」の圧縮アーカイブをダウンロードさせるよう仕向けます。これらのツールはそれぞれ、検知を回避するために使用されるAES復号化装置で武装しています。Cobalt Strikeに聞き覚えがあるとすれば、それは最近の攻撃キャンペーンで頻繁に使用されているためです。Cobalt Strikeは、ホワイトハットハッカーや侵入テスト担当者のための正当なツールキットであり、その使いやすさと入手しやすさから、2019年から2020年にかけて使用率が161%増加し、現在も上昇中です*（図2）。Deep Instinctはどのように役立つのか。Deep Instinctの静的解析は、攻撃のこの特定の段階において、重要な保護機能を提供します。これは、ペイロードが識別を避けるために変更されたとしても、アーカイブ内の脅威を正しく識別して防止するものです。<figure style = "margin: auto; text-align: center;width: 595px;"><img asset_uid="blt463134676b018b2a" alt="図2：Cobalt Strikeを利用した攻撃の影響を受ける組織数が大幅に増加中" src="https://images.contentstack.io/v3/assets/blt1ec077b6b53d6b3e/blt463134676b018b2a/6283bf44ce671353d507ccb0/figure-2-orgs-impacted-by-colbat-strike-chart.jpeg" /><figcaption style = "text-align: center;" style="text-align: center;">図2：Cobalt Strikeを利用した攻撃の影響を受ける組織数が大幅に増加中</figcaption></figure>&nbsp;ステージ2：シェルコードの注入ツールがシステムにダウンロードされると、攻撃者はその機能を利用して、信頼できるシステム プロセスやアプリケーションにコードを注入します。この場合、Windows KMS（Key Management System）のログ記録プロセスは、「ありふれた場所に隠れている」上に、脅威ハンターが悪意のあるシェルコードを探すのに慣れている場所でもないため、完璧な「トロイの木馬」となります。ファイルレスと分類される理由は、ポータブルな実行ファイルやマクロを含む文書ファイルが存在しないためです。また、悪意のあるコードが正規のシステム プロセス内に注入され実行されるため、従来のエンドポイント セキュリティ プラットフォームにとって検出プロセスが非常に厄介なものになるのもこのためです。システムの正常な動作には、何も異常は見られません。この種の攻撃は、検出を回避するために特別に記述されているため、エンドポイント検出および応答（EDR）ソリューションにとってもリスクとなります。そのため、EDRの機械学習モデルは、このような活動を発見し、行動分析エンジンに追加できるように再トレーニングを行う必要があります。これは人間が主導するプロセスであり、実装に時間がかかり、セキュリティ システムの中核機能の更新が必要になります。また、EDRは誤検知を多く記録することで知られています。そのため、多くの企業では、正当なビジネス活動を阻害しないように、よく知られたシステム プロセスやディレクトリに例外措置を設け、ヘルプデスクのオーバーヘッドを削減しています。ファイルレス攻撃に対するDeep InstinctのアプローチDeep Instinctは、内蔵のメモリ保護機能を利用してファイルレス攻撃に対する予防策を提供するために、異なるアプローチをとっています。Deep Instinctの自己学習機能は、これまでにない攻撃を予測し、防止することを意味します。ディープラーニングの脳を更新し、新たな攻撃から保護するために、人間が介入する必要はありません。その結果、既知、未知、ゼロデイ脅威を実行前に即座に防止することができます。ステージ3：大きな報酬（ロード）オフこの新しいファイルレス攻撃の最終段階において、攻撃者は、脅威の主体が行うこと、すなわち、すべてを支配する1つのペイロードを提供することを行っています。このキャンペーンで使用されているペイロードは、感染したシステムを完全に遠隔操作するために設計された2つのリモートアクセストロージャン（RAT）のうちの1つです。イベントログに悪意のあるコードを隠すという新しい手法に加え、実際に使用されているコードやリモートアクセスツールの要素には、過去のキャンペーンとの類似点が見当たりません。EPP/EDRの検知メカニズムは、脅威グループを正しく分類・特定し、プロセスの初期段階で適切な対策を講じるために、既存のキャンペーンに関連するコードの断片を探すようにトレーニングされているため、これはEPP/EDRソリューションにとってもう一つの懸念材料となります。Deep Instinctでより正確な予防をDeep Instinctのアプローチは、静的な重み付けをした人為的なデータポイントに基づいて判断するものではありません。そのメリットは、攻撃で使用される行動、コード、ツールがすべて、外部からの影響に左右されずに評価されることです。その結果、より正確な判断を短時間で下し、脅威の把握と被害の防止につなげることができるのです。ファイルレス型マルウェアとディープラーニングの勝負ファイルレス攻撃は、アンチウイルスやEDRなどのセキュリティ ソリューションにとって大きな脅威となります。シグネチャベースのエンジンや機械学習の判定モデルでは、見たこともないような未知の攻撃を検知することができませんが、ディープラーニングベースのソリューションでは、新しい攻撃を予測し、防止することができます。サイバーセキュリティのために開発された世界唯一のディープラーニングフレームワークであるDeep Instinctは、多層的なアプローチにより、99%以上の未知の脅威を&lt;0.1%の誤検出率で防止します。Deep Instinctがどのようにファイルレス攻撃を防ぐことができるかについての詳細は、こちらからデモをリクエストください。<a href="/ja/request-a-demo" target="_self">https://www.deepinstinct.com/ja/request-a-demo</a>関連するブログ<a href="https://www.deepinstinct.com/ja/blog/evading-antivirus-detection-with-inline-hooks">https://www.deepinstinct.com/ja/blog/evading-antivirus-detection-with-inline-hooks</a><a href="https://www.deepinstinct.com/ja/blog/do-not-exchange-it-has-a-shell-inside">https://www.deepinstinct.com/ja/blog/do-not-exchange-it-has-a-shell-inside</a><a href="https://www.deepinstinct.com/ja/blog/what-makes-powershell-a-challenge-for-cybersecurity-solutions">https://www.deepinstinct.com/ja/blog/what-makes-powershell-a-challenge-for-cybersecurity-solutions</a><a href="https://www.deepinstinct.com/ja/blog/cobalt-strike-post-exploitation-attackers-toolkit">https://www.deepinstinct.com/ja/blog/cobalt-strike-post-exploitation-attackers-toolkit</a>リソース攻撃者は、イベントログを使用してファイルなしマルウェアを隠す（英語）リサーチャーは、ターゲットしたコンピューターにファイルレス型マルウェアを静かに植え付ける、これまでにない手法を用いた悪意のあるキャンペーンを発見しましたCobalt Strikeを使用する攻撃者が増加中（英語）レポート：ペン テスト ツールは、低レベルの脅威グループの間で人気がありますファイルレス攻撃：進化するマルウェアの脅威への対応（英語）従来のマルウェア攻撃とは異なり、ファイルレス型マルウェアは、ソフトウェアやシステムにコードをインストールする必要がありません。ファイルレス型ペイロードは、代わりにコンピュータのメモリに感染し、プリインストールされたシステム・ツールを使用して、「土地に根ざした」攻撃を実行します。

イベントログには何が隠されているのか？

2022年ガートナー®マジック・クアドラントのEPP