概要
「サイバーレスキュー隊(J-CRAT)技術レポート2017 インシデント発生時の初動調査の手引き～WindowsOS標準ツールで感染を見つける～」で学んだことをまとめます。
www.ipa.go.jp
J-CRATとは
IPAは標的型サイバー攻撃の被害拡大防止のため、2014年7月16日、経済産業省の協力のもと、相談を受けた組織の被害の低減と攻撃の連鎖の遮断を支援する活動として、サイバーレスキュー隊（J-CRAT：Cyber Rescue and Advice Team against targeted attack of Japan）を発足 「標的型サイバー攻撃特別相談窓口」
本記事の概要
この資料は、インシデントの初期段階に実施すべき「初動調査」について具体的な手順を解説
ガイドラインの章構成は以下の通りです。
目次 1.はじめに 2.基礎知識 3.情報収集 4.評価 5.おわりに
2章では標的型攻撃で使用されるマルウェアの基本的な情報をまとめています。
マルウェアの特性
永続化
攻撃者はRATを利用する場合が多く見られます。 RAT等をOS起動時に自動的に起動するように設定 永続化
Windowsでは以下の部分に設定されることが多いです。
自動起動レジストリ
スタートアップ起動プログラム
サービス起動プログラム
スタートアップフォルダ
ログオンスクリプト
タスクスケジューラ
偽装
マルウェアはフォルダ名やファイル名、サービス名などを偽装することが多く見られます。
著名なアプリケーションと同じ、または似せた名称を使用
Windowsの正規ファイルと同じ、または似せた名称をファイル名を使用
また、マルウェアの起動時に偽装を行うケースもあります。
Windows標準の正規プログラムを利用する。
正規アプリケーションの一部のプログラムを利用する。
外部通信
外部通信に関しては、ネットワーク機器の調査が必要になりますが、このレポートではPCを対象としており、外部への通信の調査の一つとして「DNSキャッシュ」
攻撃の痕跡確認
マルウェアが配置されやすい場所（感染頻出箇所）
マルウェアが配置される傾向にあるフォルダがあります。特に管理者権限がないユーザーが権限を有し、環境変数でアクセスしやすい箇所
感染頻出箇所
実行痕跡
マルウェアが実行された痕跡の調査例として以下のものが解説されています。
実行痕跡の例
上記の「RunMRU」 に関して、これは「ファイル名を指定して実行」で実行したプログラムの情報で、以下のレジストリに格納されています。
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
また「Prefetch」 は、利用頻度が高いアプリケーションの起動を高速化する仕組みで、WindowsXPから導入されたものです。プログラムが起動された10秒後に、「C:\Windows\Prefetch」に、ファイル名が「プログラム名-フルパスのハッシュ値.pf」のファイルが作成されます。
ハッシュ値は、プログラムのフルパスから計算されるため、「プログラム名」部分が同一でハッシュ値が異なるPFファイルは、異なるフォルダから実行されたと判断できます。
3章では実際の調査方法を解説しています。
調査するユーザアカウントに関して
インシデントの調査時には、調査するユーザアカウントに注意
Windowsのレジストリには以下のものがあります。
主なルートキー
HKCU は、現在ログオンしているユーザーのレジストリ
また、レジストリ以外にもユーザごとに作成されるものとしてプロファイルがあります。
wmic path win32_userprofile
永続化設定の取得
システムのスタートアップ時に起動されるプログラムをレジストリから取得します。
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /s
reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run"/s
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce"/s
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnceEx" /s
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\RunServices" /s
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce"/s
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run"/s
reg query "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon"/v "Userinit"
reg query "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon"/v "Shell"
reg query "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify" /s
reg query "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Windows"/v "AppInit_DLLs"
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /s
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce" /s
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnceEx" /s
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\RunServices" /s
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\RunServicesOnce" /s
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\policies\Explorer\Run"/s
reg query "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows"/v "Load"
reg query "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows"/v "Run"
reg query "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v "Shell"
reg query "HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run"/s
サービス起動プログラムもレジストリから収集できます。
reg query HKLM\SYSTEM\currentControlSet\services /s
スタートアップフォルダの位置は、下記レジストリに設定されています。
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders"/v "Startup"
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders"/v "Startup"
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders"/v "Startup"
reg query "HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders"/v "Startup"
上記実行後に実際のファイルを取得します
dir /q /r /s "C:\Users\hajime.kamagata\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup"
下記コマンドで設定内容を出力できます。
schtasks /fo CSV /query /v
外部通信情報の取得
ipconfig /displaydns
実行痕跡
プリフェッチ
dir /od /tc C:\Windows\PreFetch\
RunMRU
reg query " HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU "/s
TypedURLsTypedURLs
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU" /s
PsExecの実行痕跡
PsExecはリモート実行ツールで、感染拡大によく利用されます。レジストリを確認することで、過去に実行したことがあるかを判断できます。
reg query "HKEY_USERS" /s /k /f PsExec
