こんにちは。最近、サイバー攻撃による個人情報の漏洩やシステム停止のニュースを目にし、自社の対策が十分か気になっている方もいらっしゃるのではないでしょうか。

こうした被害を防ぐには、組織のデバイスを網羅的に保護し、それらのデバイス上で検知された不審なファイルを見逃さないことも大切です。では、不審なアクティビティを行っているファイルに Microsoft Corporation の有効な署名があり、ウイルススキャンでも検知されないとしたら、皆さんはどのように判断しますか。

有効な署名やスキャン結果はファイルを評価するうえで重要な情報です。しかし、それだけで安全と判断すると、正規のツールや Windows の機能を悪用した攻撃、正規の実行ファイルに悪意ある DLL を読み込ませる攻撃などを見逃してしまう可能性があります。

今回ご紹介するのは、このような条件がそろったファイルについて、NRAS が配置場所や動作、関連する検知を総合的に分析し、資格情報の窃取に悪用されていた可能性が高いと判断した事例です。

■ 3つのポイント

① 「署名あり」「スキャンで検出なし」でも安全とは限らない

対象ファイルには Microsoft Corporation の有効な署名があり、VirusTotal による悪性判定は 0 でした。お客様が実施したフルスキャンでも、脅威は検出されていませんでした。しかし、実際にはブラウザの保護データを復号する不審な動作が確認され、正規ファイルが悪用されている可能性がありました。Windows の正規ファイルであっても不正な処理に悪用される可能性があるため、実際の動作を確認することが重要です。

② ファイルの「置かれ方」と「動き方」から不審点が浮かび上がる

対象ファイルは本来あるべき場所とは異なるフォルダーに配置され、そのようなデバイスは他には存在していませんでした。さらに、SYSTEM 権限でのプロセス起動に続き、ユーザー権限で同名のプロセスが起動してブラウザの保護データを復号する動作が繰り返されていました。これらの情報を組み合わせると、通常の業務や OS の標準的な動作としては説明が難しい状況でした。

③ 判断の根拠を伝えることで、適切な対応につながる

お客様は当初、署名やスキャン結果を踏まえ、端末のリカバリーを避けたいとお考えでした。NRAS では、検知の仕組みと不審と判断した根拠をご説明し、端末のリカバリーやパスワード変更、セッション無効化などの必要な対応をご実施いただきました。

■ 何がおこったか

今回検知されたのは、「不審な DPAPI アクティビティ」というアラートです。 DPAPI（Data Protection API）は、Windows に標準搭載されている、データを暗号化・復号するための仕組みです。今回は、Windows の標準プロセスと同じ名前の「lsm.exe」が、この仕組みを使って Chrome と Edge の保護データを復号しようとする不審な動作を、EDR が検知しました。

対象ファイルには Microsoft Corporation の有効な署名があり、VirusTotal などでもファイル自体は悪性と判定されませんでした。また、お客様が実施したフルスキャンでも、脅威は検出されませんでした。 これらの情報だけでは、一見問題がないようにも見えるかもしれません。しかし、ファイルの配置場所や動作に複数の不審な点が確認されました。

• 想定される配置場所とは異なる、WMI 関連のフォルダー「System32\wbem」に置かれていた
• テナント内の他の端末では、同じパスに当該ファイルは確認されなかった
• 「SYSTEM 権限でプロセスが起動 → 数秒後にユーザー権限で同名のプロセスが起動 → ブラウザの保護データを復号 → プロセスが異常終了」という流れが、ほぼ同じ間隔で繰り返されていた。
• Chrome だけではなく、あるタイミングから復号の対象に Edge も加わっていた
• その後、lsm.exe がアクセスしていた DLL が、マルウェアとして検知・隔離された

特に注目したのは、SYSTEM 権限での起動に続き、ユーザー権限で同名のプロセスが起動していた点です。ユーザーに紐づく保護データを復号する目的で、ユーザーの権限を利用していた可能性が考えられます。 また、ほぼ同じ動作が繰り返されていたことから、人による個別の操作ではなく、何らかの仕組みによって自動的に行われていると考えられます。

これらの情報を総合的に分析し、正規の署名を持つファイルが悪用され、ブラウザに保存された資格情報の窃取が試みられていた可能性が高いと判断しました。

お客様は当初、「正規の実行ファイルに見えるため、できればリカバリーは避けたい」とお考えでした。そこで、署名が有効でも正規ファイルが悪用される可能性があることや、スキャンで検出されないことだけでは安全と判断できないことをご説明しました。あわせて、今回の判断が、ファイルの配置場所、繰り返される復号動作、関連 DLL の検知など、複数の根拠に基づいていることをお伝えしました。

対応としては、資格情報が盗まれた可能性も踏まえ、ユーザーへの確認と並行して、パスワード変更とセッションの無効化を優先してご実施いただきました。 また、最終的に端末のリカバリーもご実施いただき、ブラウザに保存されていた他のパスワードについても、ユーザーへ変更を依頼いただきました。

■ NRAS でできること

EDR がアラートを検知しても、アラートが指し示すファイルに正規署名があり、フル スキャンでも検出されないケースでは、お客様自身での正しい判断が難しい場合もあります。 NRAS では、お客様にご納得いただけるよう、判断の根拠と必要な対応を分かりやすくお伝えすることを心がけています。

NRAS は、根拠に基づく分析から対応完了まで一貫して支援することで、見逃されやすい脅威にも的確に対応し、不正アクセスや情報漏洩のリスクを抑え、お客様が安心して事業を続けられる環境を支えます。

【サービス詳細】
NR Automate Security（ NRAS）
https://nextread.co.jp/service-nras/

【不正アクセス耐性無償診断 ご案内】
M365 不正アクセス内視鏡
https://nextread.co.jp/information/m365-resilience-assessment/