攻撃者に資格情報が窃取された場合、そのアカウントが持っている権限によって組織に与えるインパクトが変わってきます。今回ご紹介するのは、Entra ID のグローバル管理者ロールをもつユーザーがサインインしていたデバイスで「Possible theft of passwords and other sensitive web browser information」という資格情報窃取の可能性を示唆するアラートが検知された事例です。

グローバル管理者ロールを保有するユーザーの場合、一般ユーザーと異なるレベルでのリスク想定や対処が必要となります。

■ 3つのポイント

① 「悪用された痕跡がない」と「侵害されていない」は違う

端末上でブラウザーの Cookie や保存されているパスワードなどの認証情報が窃取された可能性が検知されました。一方で、ユーザーのサインインやアクティビティを調査した結果、当該デバイスにサインインしていたアカウントが実際に悪用されたことを示す痕跡は確認されませんでした。
「悪用された証拠が見つからない」ことと「侵害されていない」ことを分けて考え、最悪の場合のリスクも含めて先回りして判断することが重要です。

② 同じアラートでも、ユーザーの属性によってリスクは変わる

同じ資格情報窃取のアラートでも、対象ユーザーが持つ権限によって、侵害された場合の影響は大きく異なります。
今回の対象ユーザーは、グローバル管理者ロールを保有していたため、仮に資格情報や有効なセッション情報が窃取されて攻撃者に利用された場合には、その影響は個人にとどまらず組織全体に及びかねません。
「何が検知されたか」だけでなく、「誰が侵害されたか」「どのような権限を持っているのか」まで確認し、潜在的な影響を踏まえてリスク評価する必要があります。

③ ログだけで完結させず、利用者へのヒアリングまで含めて実態を確認する

ログからは端末上で「何が起きたのか」をある程度確認できますが、細かい状況が分からない場合もあるため、そのような場合はユーザーへのヒアリングを行います。
今回、実行ファイルを入手した背景をヒアリングした結果、業務目的で非正規のサイトから業務ツールをダウンロードして使用した状況が確認できました。ユーザーが意図的に実行ファイルをダウンロードしたのか、あるいはユーザーが認識せずに実行ファイルが実行されていたのかによっても、事態の深刻さは変わってきます。

■ 何がおこったか

今回の事例では、グローバル管理者ロールが付与されたユーザーの端末で、「starwind-v2v-converter.exe」という名前の実行ファイルの実行に起因して資格情報窃取を疑うアラートが発生しました。

プロセスツリーを確認すると、まず 7-Zip を使用して「starwind-v2v-converter.exe」を含むファイル群が Downloads フォルダーへ展開され、その約 3 分後に当該ファイルが実行されていることが確認できました。
実行直後には、explorer.exe に対するコード注入に関連する挙動が記録され、当該 explorer.exe プロセスによるブラウザーの Cookie や保存パスワードに関連するファイルへのアクセス、資格情報の復号試行、リモートデスクトップ接続に関連するファイルへのアクセスなどが連続して確認されました。この一連の挙動から、端末に保存された資格情報の窃取が試みられた可能性が高い状況でした。

当該実行ファイルのメタ データを確認すると、オリジナルのファイル名は（starwind-v2v-converter.exe ではなく）「Tesli64.exe」となっていました。実行後にコード注入や資格情報へのアクセスが発生している挙動も踏まえ、悪意のあるファイルである可能性が高いと判断しました。

実行ファイルの入手経路について利用者へヒアリングしたところ、「StarWind V2V Converter」を紹介する Web 記事が共有され、ソフトウェアを入手する操作自体には心当たりがあることが分かりました。ユーザーが意図的にダウンロード、実行している（端末がリモート コントロールされている状況ではない）ことが確認できたことは良かったですが、例え本人による操作であっても、実際に入手・実行されたファイルがマルウェアである場合には早急な対応が必要になります。

アラート後の Microsoft Entra ID のサインインや Microsoft Graph の操作からはアカウント侵害を示す不審な操作は確認されませんでしたが、万が一の侵害時の影響を考慮し、グローバル管理者ロールのユーザーのパスワード変更とセッション失効に加え、管理者ロールの一時的な削除を推奨しました。

■ NRAS でできること

アラートを確認すれば、端末上で発生した不審な挙動をある程度は確認できます。しかし、アラート情報だけでは、実際に侵害が発生しているのか、どこまで影響しているのか、どのような対応が必要なのかを判断するためのアラート ストーリーを正確に描くことが難しい場合もあります。
NRAS では、端末上の挙動、ユーザーの権限、サインイン、Microsoft Graph の操作などを横断的に調査することに加え、必要に応じて利用者へのヒアリングを行い、ログからは分からない背景情報も確認します。

：

セキュリティ アラートの調査では、不審な挙動を見つけるだけでなく、全体のストーリーを正確に把握してリスクを正しく評価することが重要です。
NRAS は、複数のログと利用者へのヒアリングからインシデントの実態と影響を詳細に分析し、業務影響を発生させる過剰な対応を避けながらも、必要な対応を案内することでお客様の安全な業務を守ります。

【サービス詳細】
NR Automate Security（ NRAS）
https://nextread.co.jp/service-nras/

【関連記事】
「すごいぞ NRAS！対応事例のご紹介」シリーズ
Microsoft の有効な署名があるファイルが攻撃に悪用された事例
https://nextread.co.jp/column-casestudy/nr-automate-security14/