【ITニュース解説】An attacker’s blunder gave us a look into their operations

サイバー攻撃者がどのようにしてシステムに侵入し、内部で何を行っているのか、その詳細な活動を具体的に知る機会は非常に稀である。しかし、ある攻撃者が犯した一つの重大なミスにより、その攻撃手法から使用ツール、そして最終的な目的に至るまで、活動の内部が明らかになるという貴重な事例が報告された。この出来事は、システムを防御する側にとって、攻撃者の思考や行動を理解するための実践的な教訓を与えてくれる。

この事件の発端は、攻撃者が被害者のコンピュータ上に、自身の攻撃ツールや活動記録がすべて詰まった「VHDX」という形式の仮想ハードディスクファイルを誤って残してしまったことであった。これは、攻撃者が自分の道具箱を犯行現場に置き忘れていくようなものであり、セキュリティ研究者はこのファイルを分析することで、攻撃の一連の流れを詳細に追跡することが可能になった。

分析から明らかになった攻撃の第一段階は、最初の侵入経路の確保である。攻撃者は「ScreenConnect」や「AnyDesk」といった正規のリモートアクセスツールを悪用していた。これらのツールは、本来システム管理者が遠隔地のコンピュータを操作し、メンテナンスするために使われる正当なソフトウェアである。攻撃者は、多くの企業で利用されているこれらの正規ツールになりすます、あるいはその脆弱性を悪用することで、セキュリティ製品による検知を回避し、システム内部への足がかりを築いた。このように、OSに標準で搭載されている機能や、一般的に使用される正規のツールを悪用する攻撃手法は「Living Off the Land（環境寄生型）」と呼ばれ、近年増加している巧妙な手口の一つである。

システムへの侵入に成功した攻撃者が次に行うのは、より強力な権限を手に入れる「権限昇格」である。侵入直後の権限は一般ユーザーのものであることが多く、システム全体を掌握するためには、あらゆる操作が可能になる管理者権限を奪取する必要がある。この攻撃者も、特定のツールを用いてシステムの脆弱性を突き、管理者権限を手に入れていた。

管理者権限を得た攻撃者は、次にネットワーク内の他のコンピュータへと侵入を広げる「横展開（ラテラルムーブメント）」を開始する。一台のコンピュータを制圧した後、そのコンピュータを踏み台にして、同じネットワークに接続されている他のサーバーやPCを探し出し、次々と感染を拡大させていく。この活動には、ネットワーク内のアクティブな機器を探索するポートスキャナーなどのツールが利用された。目的は、より価値のある情報が保管されている重要なサーバー、例えばデータベースサーバーやドメインコントローラーなどを見つけ出し、組織全体のシステムを支配することにある。

そして攻撃の最終目的である、価値のある情報の窃取へと移行する。攻撃者が残したファイルからは、彼らが何を狙っていたかが明確に見て取れた。攻撃者は、ブラウザに保存されたパスワードや企業の機密文書、そして特に暗号資産のウォレットファイルなどを集中的に探していた。この情報収集のために、「LaZagne」や「Mimikatz」といった強力なパスワード窃取ツールが悪用されていた。「Mimikatz」は、コンピュータのメモリ上に一時的に保存されている認証情報を直接抜き出すことができる非常に危険なツールであり、多くの深刻なサイバー攻撃で利用されている。さらに、高速なファイル検索ツールを使い、「password」や「wallet」といったキーワードでシステム内を検索し、効率的に標的となる情報を探し出していた。収集された情報は、外部のサーバーに送信されるが、この攻撃者は盗んだ情報をチャットアプリであるTelegramのボット機能を使って自分自身に自動で送信するスクリプトを用意しており、巧妙かつ体系化された手口で犯行に及んでいたことがわかる。

この事例は、システムエンジニアを目指す者にとって多くの重要な示唆を含んでいる。第一に、正規ツールであっても攻撃に悪用されるリスクを常に認識する必要がある。システム管理で日常的に使うリモートアクセスツールなどが、本当に正当な目的で使用されているか、その通信や挙動を監視する体制が重要となる。第二に、パスワード管理の重要性である。安易にパスワードをブラウザに保存する習慣は、専門的なツールによって容易に窃取されるリスクを伴う。パスワードだけに頼らず、多要素認証（MFA）を導入することが、認証情報を守る上で極めて効果的である。最後に、攻撃は完璧ではなく、人間によるミスが起こり得るという事実である。しかし、防御側はそのような幸運に頼ることはできない。システム内で何が起きているかを常に監視し、異常な活動を早期に検知するためのログ監視やセキュリティソリューションの導入が不可欠である。この攻撃者の失敗は、サイバー攻撃の現実を浮き彫りにした。ここで明らかにされた手口は、他の多くの攻撃でも共通して見られる典型的なものである。未来のシステムエンジニアは、このような実際の攻撃事例から攻撃者の視点を学び、より堅牢なシステムを構築するための知識と技術を身につけていく必要がある。