APTのライフサイクル：初期アクセスから永続化まで

高度な持続的脅威（Advanced Persistent Threat、APT）とは、通常、国家支援型の攻撃者や資金力のある犯罪グループが、明確な戦略的目的を持って実行する、高度で長期的なサイバー攻撃キャンペーンです。APTを特徴付ける3つの要素は次のとおりです。Advanced（高度）：カスタムマルウェア、ゼロデイ、未知の手法を使用します。Persistent（持続的）：短時間で目的を達成して立ち去る攻撃ではなく、数か月から数年間にわたり密かに存在し続けます。Threat（脅威）：特定の組織を標的とする、協調的で計画的な攻撃です。代表的なAPTグループには、ロシアのGRUとの関連が指摘されるAPT28（Fancy Bear）、中国との関連が指摘されるAPT41、北朝鮮との関連が指摘されるLazarus Groupなどがあります。

APTキャンペーンは通常、実績のある少数の初期アクセス手法のいずれかによって始まります。最も一般的なのは、武器化された添付ファイルや認証情報を窃取するリンクを使ったスピアフィッシングです。メールは信頼できる同僚や取引先から送られたように見えます。サプライチェーンの侵害（SolarWinds/SUNBURSTがその例）では、信頼されたソフトウェア更新に悪意のあるコードを挿入します。インターネットに公開されたサービスの悪用では、パッチが適用されていないCVEを利用してVPNアプライアンス、Exchangeサーバー、Webアプリケーションなどを攻撃します。水飲み場型攻撃では、標的組織の従業員がよく訪れるWebサイトを侵害し、閲覧者にドライブバイ攻撃を仕掛けます。

初期アクセスに成功した後、攻撃者は標的システム上で最初のペイロードを実行する必要があります。APTは通常のシステム活動に紛れ込む手法を好みます。たとえば、被害者がコンテンツを有効にしたときに実行されるOffice文書内の悪意のあるマクロ、開くとスクリプトを実行するHTML Application（HTA）ファイル、そしてLiving-off-the-Land Binaries（LOLBins）があります。LOLBinsでは、mshta.exe、certutil.exe、regsvr32.exe、wscript.exeなどの正規のWindowsツールを使って攻撃者のコードを実行し、アプリケーションの許可リストを回避します。これらの手法により、最初のペイロードは正規のシステム活動と区別しにくくなります。

最初のペイロードが実行されると、攻撃者のインフラストラクチャに戻るコマンドアンドコントロール（C2）チャネルを確立します。最新のAPTによるC2通信では、検知を回避するために設計された手法が使われます。たとえば、Teams、OneDrive、GitHubなどの正規のクラウドサービスを模倣する偽装ドメインへのHTTPS通信、通常のDNSトラフィックに見えるようDNS TXTレコードのクエリにコマンドを埋め込むDNSトンネリング、シード値から毎日新しいC2ドメインを生成し、ドメインブロックを無効にするドメイン生成アルゴリズム（DGA）、そしてSlack API、Google Sheets、Twitterなどの正規のクラウドプラットフォームを通信チャネルとして利用するLiving-off-the-Land型のC2があります。

C2を確立した後、APTの攻撃者はさらに進む前に環境を把握するための内部偵察を行います。これには、BloodHoundなどのツールを使って信頼関係をマッピングし、高価値の標的を特定するActive Directoryの列挙、稼働中のホスト、サービス、開いているポートを特定するネットワークスキャン、設定ファイル、パスワードデータベース、ブラウザーに保存された認証情報をファイルシステムから検索する認証情報の探索、特権アカウント、サービスアカウント、管理者用ワークステーションを特定するアイデンティティの列挙などがあります。検知を避けるため、検出活動の多くではnet user /domain、ipconfig、nltestなどのWindows標準ツールが使われます。

APTは通常、権限の限られたユーザー認証情報で初期アクセスを行うため、目的を達成するには権限を昇格させる必要があります。一般的な昇格経路には、Mimikatzを使ってメモリから認証情報を窃取する手法（LSASSプロセスのメモリからNTLMハッシュを抽出）、Kerberoasting（サービスアカウントのサービスチケットを要求し、オフラインでクラックする手法）、権限が弱く設定されたサービスの悪用（安全でないサービスバイナリパスやDLLハイジャック）、特権プロセスの認証トークンを盗むトークン偽装などがあります。ユーザーアカウント制御（UAC）のバイパス手法を使うと、UACプロンプトを表示させずに標準管理者からSYSTEMへ移行できます。

APTは、初期アクセスの獲得が困難で費用もかかる場合があるため、再起動や再イメージ化後も生き残る永続化メカニズムに多大な労力をかけます。一般的なWindowsの永続化手法には、レジストリのRunキー（HKLM\Software\Microsoft\Windows\CurrentVersion\Run）、定期的にマルウェアを実行するスケジュールタスク、自動起動するWindowsサービス、ほとんどのクリーンアップ作業を生き残る（検出も困難な）WMIイベントサブスクリプション、DLL検索順序ハイジャック、そしてブート前OSインプラント（OSを再インストールしても残るUEFIファームウェアインプラント。Equation GroupやNSAとの関連が指摘される攻撃者が使用）があります。

APTは、エンドポイントセキュリティツールやアナリストによる検知を避けるため、広範な防御回避を行います。手法には、プロセスインジェクション — explorer.exeやsvchost.exeなどの正規プロセスに悪意のあるコードを注入し、信頼されたプロセス名の下でマルウェアを実行すること、タイムスタンピング — ファイルのタイムスタンプを変更し、悪意のあるファイルが何年も前から存在していたように見せること、ログの削除と改ざん — Windowsイベントログを消去して証拠を削除すること、コード署名証明書の悪用 — 盗んだ正規の証明書でマルウェアに署名すること、そしてメモリ内実行（ファイルレスマルウェア） — ファイルベースのAVが検知できるディスク上に一度も痕跡を残さない実行があります。

APTは、DLP制御や帯域幅の異常検知を発動させないように、データの持ち出しを慎重に管理します。手法には、データステージング — 標的データを暗号化アーカイブに集めてから、数日かけて少量ずつ持ち出すこと、企業ファイアウォールのルールで許可されているクラウドストレージサービス（OneDrive、Dropbox）へのHTTPSによる情報流出、ステガノグラフィ — 画像ファイルの中にデータを隠すこと、そして正規の通信に紛れ込むために営業時間中に行う時間ベースの情報流出があります。APTは、すべてを一括コピーするのではなく、必要なもの（価値の高い知的財産、認証情報、戦略計画）のみを持ち出します。これにより痕跡と検知される可能性を最小限に抑えます。

APTを検知するには、個々のアラートだけでなく、キルチェーン全体にわたる関連活動のパターンを特定する必要があります。主な兆候には、通常とは異なる親子プロセス関係（例：WordがPowerShellを起動する）、PowerShellのエンコードされたコマンドやインターネットからのダウンロード、通常とは異なる時刻に作成されたスケジュールタスクやサービス、システムプロセス以外によるLSASSメモリへのアクセス、ワークステーションからSMBまたはWMIを経由したラテラルムーブメント、そしてサブドメインが長い通常とは異なる外向きDNSクエリがあります。MITRE ATT&CK Navigatorを使用すると、検知した手法をATT&CKマトリックスにマッピングし、検知範囲の不足箇所を特定できます。

活動中のAPTに対応するには、攻撃者に気付かれずに脅威を封じ込めるという慎重なバランスが必要です。早すぎる封じ込め（C2通信の遮断やアカウントの無効化）は、APTに破壊的なペイロードを起動させたり、情報流出を ускорさせたりする可能性があります。ベストプラクティスには、情報を収集しながら密かに監視すること、C2を遮断せずにファイアウォールルールを使って感染ホストを段階的にセグメント化すること、デセプション技術を導入すること（ハニートークン、カナリアアカウント）、そして大規模な封じ込め措置の前に法執行機関と連携することがあります。完全な修復には、すべての永続化メカニズムと侵害されたアカウントを特定する必要があります。見落としたインプラントが1つでもあれば、攻撃者は再び侵入できます。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、APTは高度で執拗かつ標的を絞ったキャンペーンであることを学びました。APTは通常、スピアフィッシング、サプライチェーン攻撃、または脆弱性の悪用によって初期アクセスを取得し、数か月にわたって活動します。また、APTは通常の通信に紛れ込み、検知を回避するためにLOLBinや正規のクラウドサービスをC2に利用すること、さらに永続化メカニズムはレジストリのRunキーからUEFIファームウェアインプラントまで多岐にわたり、その中でもWMIサブスクリプションは特に検知と修復が困難であることも学びました。次は、Pass-the-HashやPass-the-Ticketなどのラテラルムーブメント手法を取り上げます。