JPCERT/CCが公開JPCERTコーディネーションセンターは2015年12月2日、「攻撃者が悪用するWindowsコマンド」と題するリポートを公開した。});JPCERTコーディネーションセンター(JPCERT/CC)は2015年12月2日、「攻撃者が悪用するWindowsコマンド」と題するリポートを公開した。これらと、普通の利用者が使うWindowsコマンドとの「ずれ」に着目し、実行を制限することによって、攻撃の影響を低減する手助けにすることを狙っている。Tool)」と呼ばれる遠隔操作用マルウエアがインストールされることが多い。攻撃者はRATを介してリモートからコマンドシェルを実行し、端末やネットワーク内の情報収集、探索を行い、システム内に感染を広げ、横展開しながら機密情報の収集などを試みる。このレポートは、実際に三つの攻撃グループが使用していたC&Cサーバーで入力された集計結果を基に、侵入後の活動に攻撃者が用いるWindowsコマンドをまとめたものだ。した端末を別のマルウエアにも感染させる、または別の端末にアクセスを試みる「感染拡大」という三つのフェーズに分け、集計している。初期調査この段階では、コンピューター上で実行されているプロセスの一覧を表示する「tasklist」やWindowsのバージョン情報を表示する「ver」、ネットワーク設定を確認する「ipconfig」などのコマンドが上位に入っている。「どのような端末に感染したのかを調査し、マルウエア解析のためのおとり環境でないかなどを確認していると考えられる」という。start9qprocess10query探索活動この段階では、ファイル名やサブディレクトリ一覧を表示させる「dir」に加え、さまざまなサブコマンドの付属した「net」コマンドが多用されている。netコマンドはWindowsネットワークのトラブルシューティングに欠かせないコマンドであり、さまざまなサブコマンドがあるが、攻撃者はこれを用いて共有リソースやユーザーアカウント情報を表示させ、ローカルネットワーク内を探索しているものと思われる。Directoryに含まれるアカウントを検索する「dsquery」やアカウント情報を取得する「csvde」といったコマンドが利用されることもあるという。Instrumentation)を通じてインベントリ情報を取得・管理する「wmic」といったコマンドが上位に入っている。攻撃者はこれらのコマンドをマルウエア実行のために利用していると見られる。advfirewall6sc7rundll32これらのコマンドは、Windows管理者ならばともかく、一般的なユーザーならばほとんど使用しないものが含まれている。Directoryのグループ・ポリシー「ソフトウェアの制限のポリシー」を活用し、不要なWindowsコマンドの実行を制限することで攻撃者の活動を抑え、比較的早い段階でインシデントの拡大を抑止できるとしている。環境によっては、いきなりWindowsコマンドの実行を制限するのが難しいこともある。した場合には、AppLockerの「監査」により、イベントログに実行記録を残すことから始めるよう推奨している。メールマガジンをご購読ください。申し込みページへITmediaはアイティメディア株式会社の登録商標です。