SolarWinds攻撃で使用されたツールを分析していて印象的なのは、攻撃者が自らの存在に気づかれないように細心の注意を払っていることです。ステルス性に高いソフトウェアサプライチェーン攻撃では、通常は危険と認識されない信頼できる提供元からの署名のあるソフトウェアを悪用します。ただし、この攻撃者はこの隠れ蓑だけでは満足せず、他の手段も使って検出を逃れようとしました。

まず、トロイの木馬化したSolarWinds Orionのアップデートを使用してSunburstバックドア（Backdoor.Sunburst）を配信し、14日後に実行するように設定しました。つまり、この期間が経過するまで攻撃を開始しないよう設定したのです。

このような期間を設定したのは、最初の攻撃のログエントリが次のアクティビティを開始する前に削除されるのを見込み、それによって、2つの不正なアクティビティが関連付けられないようにするためと推測されます。マネージドセキュリティサービスプロバイダ（MSSP）を含め、多くの組織がストレージのコスト削減と検索の簡略化のために1週間ほどでセキュリティログを削除しています。

Sunburstではマシンの現在のWindowsドメインも調査されます。ドメインに文字列「test」やラボシステムに関連すると思われる「swdev.local」、「apac.lab」をはじめとする13の特定ドメインのいずれかが含まれている場合、攻撃は実行されません。  すべてのドメインのリストは付録Aを参照してください。

セキュリティソフトウェアと調査システムの回避

攻撃はトロイの木馬化されたSolarWindsのOrionソフトウェアで始まりました。攻撃者はOrionを改変してSunburstバックドアをコンピュータに配信しました。Sunburstは第1段階のマルウェアで、感染したコンピュータを偵察し、セキュリティツールのチェックを行い、必要に応じて第2段階のペイロードを配信するように設計されています。

メインのSunburstコードはSolarWindows.Orion.Core.BusinessLayerという名前のクラスに含まれ、最初にインスタンス化されるとUpdateというメンバー関数が呼び出されます。この関数名は偽装のためコードによって更新は実行されませんが、その代わりにセキュリティソフトウェアが無効化され、セキュリティ調査システムが回避され、攻撃者の利益にならないシステムでの実行が防止されます。この関数にはプロセス名のリスト、ドライバファイル名のリスト、プロセスとサービス名の組み合わせのリストの3つのリストが含まれています。これらの名前はすべて、FNV1A アルゴリズムを使ってハッシュ化し、タイムスタンプを装った変数名を使用することで、コード内で難読化されています。

この関数は以下を実行します。

• 実行中のプロセスのリストの取得
• プロセスのリストの項目とプロセス名の一致の確認
• インストールされているすべてのドライバのリストの取得
• ドライバのリストの項目とドライバ名の一致の確認
• 一致する項目が確認された場合、この不正なコードではそれ以上のアクションは実行されません。

このプロセスとドライバのリストにはセキュリティ調査システムで一般的に実行されるツールが含まれているため、検出を逃れるためにこれらのシステムでは実行しないように設計されているものと推測されます。すべてのセキュリティツールのリストは付録Aに記載されています。このリストには以下のようなさまざまなセキュリティソフトウェアプログラムに関連する名称も含まれています。

• セキュリティソフトウェアのプロセス名
  • AVG/AVAST
  • Panda
  • Kaspersky
  • Tanium
• ドライバ名
  • CyberArk - cybkerneltracker.sys
  • Altiris Symantec - atrsdfw.sys（Ghostプレインストールブート環境ドライバ）
  • Raytheon Cyber Solutions - eaw.sys
  • CJSC Returnil Software - rvsavd.sys
  • Verasys Digital Guardian - dgdmk.sys
  • Sentinel One – sentinelmonitor.sys
  • Hexis Cyber Solutions - hexisfsmonitor.sys
  • Dell SecureWorks - groundling32.sys, groundling64.sys
  • SAFE-Cyberdefense - safe-agent.sys
  • Cybereason – crexecprev.sys
  • Absolute - psepfilter.sys, cve.sys
  • Bromium - brfilter.sys, brcow_x_x_x_x.sys
  • LogRhythm - lragentmf.sys
  • OESIS OPSwat - libwamf.sys

このリストに記載されているセキュリティベンダーは、攻撃の標的にする組織に自社製品がインストールされる可能性が低いと攻撃者が判断したために選ばれた可能性が高いと考えられます。また、サプライチェーンの攻撃ベクトルが無差別であること、そして、SolarWindsの約18,000社の顧客企業が標的になったことから、攻撃者は自分たちに利益にならない組織で検出されるリスクを回避したかったためとも考えられます。

興味深いことに、solarwindsdiagnosticsというプロセスもブラックリストに含まれています。これは、SolarWindsのテスト中やトラブルシューティング中に検出されるのを回避するためと推測されます。

セキュリティソフトウェアの無効化

Sunburstでは、レジストリを介して一部のソフトウェアセキュリティサービスを無効化することも試行されました。これにより、Sunburstは検出されずに攻撃を実行できます。

攻撃者が迅速に行動を起こし、その後サービスを復元すると、セキュリティ管理者はそのアクティビティを記録できず、一時的に保護が解除されていることに気づかないことすらあります。

この関数は以下を実行します。

• 実行中のプロセスのリストの取得
• プロセス/サービス名の組み合わせのリストの項目とプロセス名の一致の確認
• サービスレジストリのエントリの変更によるセキュリティソフトウェアの無効化
• ソフトウェアの無効化を確認した後（通常は再起動後）、不正なコードはコマンド＆コントロール（C＆C）サーバーに接続し、さらに攻撃を実行する可能性があります。

Sunburstでセキュリティソフトウェアを無効にする場合、単純に製品のサービス開始を「無効」に設定します。Windowsでは以下のレジストリキーを設定して無効にします。

• HKLM\ SYSTEM\CurrentControlSet\services\<サービス名>\Start = 4

この設定によって、次回の再起動時にセキュリティソフトウェアがロードされなくなります。

シマンテック製品は攻撃者によって無効化されることはありません。これは、シマンテックのソフトウェアには改ざん防止機能があり、自らのサービスが無効になるのを防止しているためと推測されます。

プロセスとサービスの組み合わせのリストには、以下のベンダーのソフトウェアが含まれています。

• CrowdStrike
• Carbon Black
• FireEye
• ESET
• F-Secure

リストにはMicrosoft Defenderも含まれていますが、興味深いことに、サービスキーのアクセス許可のみが変更されています。  現在、その影響は確認されていません。また、未知の製品も複数含まれていますが、巧妙にコメントアウトされています。攻撃者はその手法がそれらの製品には効果がないと判断したのでしょう。

さらに、Sunburstでは続行前に、api.solarwinds.comが有効なアドレスに解決されるか確認されます。

存在を隠す脅威

SolarWinds攻撃は、近年の攻撃の中でも特に計画的で巧妙です。攻撃者は標的となる組織への有効な侵入経路を見つけ出し、ネットワーク侵入後は検出を回避するためにさまざまなツールを使用しています。これらのツールは現在分析中ですが、今後ブログで公開する予定です。

保護/緩和

こうした攻撃に関連するツールは、シマンテックのエンドポイント製品を実行するマシン上で検出されブロックされます。

ファイルベースの保護:

• Backdoor.Sunburst
• Backdoor.Sunburst!gen1
• Backdoor.SuperNova
• Backdoor.Teardrop

ネットワークベースの保護:

• System Infected: Sunburstマルウェアのアクティビティ

 付録A

回避されたドライバ

回避されたセキュリティツール

回避されたセキュリティソフトウェア

回避されたドメイン

サービス無効化のリスト