Sysmon v13 で高度なプロセス改ざん戦術を検知する

Sysmon は、Windows オペレーティングシステムを監視、管理、トラブルシューティングするための包括的なツール群である Microsoft の Sysinternals Suite のコンポーネントです。Sysmon のバージョン 13 では、2 つの高度なマルウェア戦術（process hollowing と herpaderping）に対する監視が導入されました。この記事では、これらの戦術が何であるのか、なぜそれほど危険なのか、そして Sysmon を使ってそれらをいまどのように検知できるのかを説明します。

Process Hollowing と Herpaderping とは？

Sysmon バージョン 13 では、2 つの高度なマルウェア手口の監視が導入されました：

• Process hollowing– Windows のプロセス内のコードを悪意のあるコードに置き換え、悪意のあるコードが正規の Windows プロセスになりすまして実行されるようにします。この手口は何年も前から存在します。
• Process herpaderping– イメージがマップされた後に、ディスク上のプロセス内容を変更するために使用します。その結果、ディスク上のファイルは信頼されたプロセスに見える一方で、悪意のあるコードはメモリ上で実行されます。これは比較的新しい技術です。

これら2 つの手口はいずれも深刻な被害を引き起こし得ます。たとえば、process herpaderping が使われて Mimikatz を、Web ブラウザの正規のプロセス（例：Google Chrome）の下で実行するとします。OS には Mimikatz ではなく Google Chrome が実行されているように見え、しかもそのプロセスには有効な Google の署名まで付いている可能性があります。つまり、process herpaderping を特別に監視するセキュリティソフトがない限り、Mimikatz を実行する攻撃者は完全に検知されないままになり得ます。

さらに、ペイロードは Mimikatz である必要はありません。悪意のある攻撃者は、この手口を使ってお好みのものをお使いのネットワーク内で実行できます。TrickBot、Emotet、Ryuk、Mirai など。したがって、Sysmon がこれらの手口を検知できるようになったことは非常に価値があります。

Sysmon 13 はプロセス Hollowing と Process Herpaderping をどのように記録しますか？

Sysmon 13 はプロセス hollowing とプロセス herpaderping の両方の攻撃を検出できます。これらはイベント ID 25、Process Tampering として Windows イベント ビューアに記録されます：

画像提供：Mark Russinovich の公開 Twitter アカウント（Sysmonの著者、Sysinternals経由）

Sysmon 13 を設定してプロセス Hollowing と Process Herpaderping を検出する

次の手順で Sysmon をインストールし、プロセス hollowing およびプロセス herpaderping の監視を構成します：

1. Sysmon をダウンロード、ファイルを解凍して、昇格（管理者権限）のコマンド プロンプトで Sysmon.exe を実行します:

      >> Sysmon.exe -i -accepteula

System Monitor v13.01 - System activity monitor

Copyright (C) 2014-2021 Mark Russinovich and Thomas Garnier

Sysinternals - www.sysinternals.com

Sysmon installed.

SysmonDrv installed.

Starting SysmonDrv.

SysmonDrv started.

Starting Sysmon..

Sysmon started.
      

• デフォルトのインストールには、プロセスの改ざん（イベント ID 25）の監視とログ記録が含まれていないため、Sysmon の設定を更新する必要があります。プロセスの改ざんのイベント フィルターを含む、非常に基本的な Sysmon 設定 XML を以下に示します。これを Sysmon.XML として保存してください。

      <Sysmon schemaversion="4.50">

  <EventFiltering>

       <ProcessTampering onmatch="exclude">

       </ProcessTampering>

  </EventFiltering>

</Sysmon>
      

• 昇格（管理者権限）のコマンド プロンプトで、ファイルが含まれるディレクトリに移動し、次のコマンドで設定を読み込みます:

      >> sysmon.exe -c Sysmon.xml

System Monitor v13.01 - System activity monitor

Copyright (C) 2014-2021 Mark Russinovich and Thomas Garnier

Sysinternals - www.sysinternals.com

Loading configuration file with schema version 4.50

Configuration file validated.

Configuration updated.
      

Sysmon 13 がプロセス Herpaderping を検知する例

それでは、設定をテストしてみましょう。

プロセス herpaderping 攻撃の実行

まず、こちらにあるプロセス herpaderping 手法を使って、Google Chrome のプロセス（chrome.exe）になりすまして Mimikatz を実行します。

重要: プロセス herpaderping を試みると、対象プロセスが動作不能になる可能性があります。十分に注意して進め、セキュリティやマルウェアの手法は必ず安全なサンドボックス環境でテストしてください。

まず、上記のリンクから ProcessHerpaderping.exe をダウンロードします。次に、そのファイルがあるディレクトリで昇格（管理者権限）のコマンド プロンプトを使用して、次のコマンドを実行します。:

      >> ProcessHerpaderping.exe mimikatz.exe "\Program Files\Google\Chrome\Application\chrome.exe"
      

信頼性の高いプロセスである chrome.exe の中から mimikatz.exe を正常に実行できました。また chrome.exe のプロセスを確認すると、有効な Google の署名が確認できます。:

Sysmon 13 プロセス Herpaderping 攻撃の検知

しかし、Sysmon 13 の設定のおかげで、この悪意のある活動をすぐに検知できました：

これは、管理者やあなたの セキュリティ情報およびイベント管理（SIEM）ツールへ Windows Event Forwarding (WEF) 経由で送信できる、非常に貴重な情報です。

Sysmon のアンインストール

テスト目的でのみ Sysmon をインストールした場合は、次のコマンドを使用してアンインストールできます：

      >> Sysmon.exe -u

System Monitor v13.01 - System activity monitor

Copyright (C) 2014-2021 Mark Russinovich and Thomas Garnier

Sysinternals - www.sysinternals.com

Stopping Sysmon.

Sysmon stopped.

Sysmon removed.

Stopping SysmonDrv.

SysmonDrv stopped.

SysmonDrv removed.

Removing service files.
      

Netwrix がどのように支援できるか

Netwrix Threat Prevention は、高度なマルウェア手口から組織を守るのに役立つ強力なサイバーセキュリティソリューションです。認証ベースおよびファイルシステムへの攻撃、特権アカウントの悪用、IT 環境への重大な変更、侵入者の偵察を示唆する活動などを効果的に特定できます。さらに、高度な機能により、LSASS プロセスへの悪意のあるコードの注入を試みる Windows SSP injection attacks のような特定の脅威も検出可能であり、そして DCSync 攻撃も含まれます。これらの脅威を事前に識別して防止することで、本ソフトウェアは最も高度なサイバー攻撃に対しても包括的な防御を提供し、組織の機密データとシステムの安全を確実にします。