Mimikatz を補完する一般的なハッカー ツール

Mimikatz は、ハッカーが横方向への移動や 権限昇格 に使用する、人気のポストエクスプロイト ツールです。Mimikatz は非常に強力ですが、いくつか重要な制限があります:

• 侵害されたマシン上でローカル管理者権限が必要です。
• 組織は PowerShell の保護機能を有効にすることで、Mimikatz の実行をブロックできます。
• Mimikatz を効果的に使用するには、専門的なスキルとかなりの時間が必要です。

その結果、Mimikatz を補完するための別のツールキットが作成されました。この記事では、そのうちの3つである Empire、DeathStar、CrackMapExec が、攻撃者にとって攻撃をより容易にする仕組みを説明します。

Empire

権限の昇格

標準ユーザーにローカル管理者権限を付与しないことで、組織は攻撃者が Mimikatz を使用して資格情報を盗み取ることを防ぐのに役立ちます。これを回避するために、対手は権限昇格用の複数のモジュールを含む Empire に切り替えることができます：

• BypassUAC モジュールは、ハッカーが Windows システムのユーザー アカウント制御（UAC）をバイパスするのに役立ちます。
• GPP モジュールは、グループ ポリシーの設定（Group Policy Preferences）にある脆弱性を悪用して、Group Policy object（GPO）に保存されたパスワードを復号します。
• PowerUp モジュールは、設定ミスのある権限、脆弱なサービス、未パッチのソフトウェアなどの一般的な privilege escalation の手がかり（ベクター）をシステム上でスキャンします。以下のスクリーンショットは、このモジュールの動作例を示しています：

このケースでは、Empire が DLL ハイジャックの脆弱性を発見しました。対手は次のコマンドを使用してこれを悪用できます： powerup/write dllhijacker。

エージェント管理

Empire はまた、下のスクリーンショットに示すように、攻撃者が対象ネットワークに配備されたエージェントを監視し、やり取りできる使いやすいインターフェイスも提供します。このコマンド＆コントロール機能は、構成可能なポートを用いた HTTP により実現されます。

資格情報の盗み取り

Empire は、Mimikatz が資格情報を盗むのを助けるために複数のアプローチを採用しています。メモリからすべてのパスワードとパスワードハッシュをダンプし、さらに分かりやすく表にして表示します：

Empire はまた DCSync と連携して Active Directory ドメインから認証情報を盗みます。具体的には、ドメインコントローラーになりすまし、パスワードデータの複製要求を行います。

DeathStar

DeathStar は、独自の議論に値する Empire モジュールです。スクリプトやその他の Empire モジュールを大規模に実行できるようにする、強力な自動化エンジンを提供します。

DeathStar は、次の別のポストエクスプロイト（post-exploitation）ツールである BloodHound と同様に動作します。両方のツールは、セキュリティの専門家やペネトレーションテスターが正当な作業のために使用する一方で、ハッカーによってネットワークの偵察、脆弱性スキャン、権限昇格、横方向への移動（lateral movement）といった悪意のある目的に悪用されることもあります。以下のスクリーンショットは、DeathStar モジュールが実行されている様子を示しています：

CrackMapExec

CrackMapExe（CME）は、Empire や DeathStar と統合することで強力な有効化（enabler）となる、別のポストエクスプロイト（post-exploitation）ツールです。

ドメインの偵察

CrackMapExec は、AD ドメイン に足場を築いた攻撃者のために、偵察プロセスを簡素化します。CME は、ドメインの パスワード ポリシー をすばやく列挙し、以下に示すように、複雑さの要件やロックアウト設定などの詳細に関する洞察を提供できます。

AD オブジェクトの列挙

CME は、以下に示すように、すべてのリソース識別子（RID）を推測することで、ユーザーやグループを含む AD オブジェクトを総当たり（ブルートフォース）方式で列挙します。（RID はセキュリティ識別子（SID）の末尾にある一連の数字です。）

アンチウイルス ツールの発見

CrackMapExec の enum_avproducts モジュールは、組織が使用しているアンチウイルス（防病毒）ソフトウェアを特定できます。以下の出力は、Windows Defender が実行されている場所を示しています。

アカウントの権限を理解する

CrackMapExec の横方向移動（lateral movement）機能は非常に有用です。たとえば、攻撃者は指定した IP 範囲内のすべてのホストを特定し、さらに特定のアカウントがそれらのホストで権限を持っているかどうかを、以下のように確認できます。

Netwrix ができること

Empire、CrackMapExec、DeathStar などのツールを Mimikatz と統合することで、Windows 環境に足場を築いた脅威アクターは、横方向の移動（lateral movement）や権限の昇格（privilege escalation）を行う能力を得られます。これらの攻撃の種類を検知し、軽減するために有効化できる基本的な PowerShell protections はあるものの、その防御は経験豊富なハッカーによって簡単に bypassed されてしまいます。

これらの悪意のあるツールセットやその他の攻撃から組織を守るための、実績のある方法の1つが Netwrix Active Directory Security Solution です。これにより、次のことを可能にして、Active Directory をエンドツーエンドで保護するのに役立ちます：

• セキュリティ上のギャップを事前に特定して軽減する
• 脅威を迅速に検知し、対応する
• セキュリティインシデントから迅速に復旧して、ダウンタイムやその他の業務影響を最小限に抑える

Netwrix Active Directory Security Solution を導入することで、すべての AD の識別情報（ID）と、それらを支える基盤となる AD インフラが、クリーンな状態に保たれ、適切に構成され、継続的に監視され、厳密に制御されていることを確信できます。その結果、IT チームの業務はより簡単になり、組織のセキュリティも一層強化されます。