インターンシップ生があるSaaSを用いた未知のC2脅威を実証してみた

2023/5/19更新: 本記事のタイトルを「インターンシップ体験記～RedTeamでの攻撃技術検証業務～」から「インターンシップ生があるSaaSを用いた未知のC2脅威を実証してみた」に変更しました。内容に変更はありません。

イノベーションセンター RedTeamプロジェクトでは、2月に現場受け入れ型インターンシップを実施しました。本記事は、本取り組みに参加していただいたインターンシップ生による寄稿となります。インターンシップ生本人の希望により匿名での投稿とさせていただきます。

※今回注目したあるSaaSに関する発展的な攻撃テクニック(本記事記載のC2への応用を含む)について、NTTコミュニケーションズ RedTeamとして国内外のカンファレンスへ投稿する予定です。そのため、本記事では具体的なSaaS名の記載を控えます。

よろしくお願いいたします。

はじめに

こんにちは、今回NTTコミュニケーションズのインターンシップに参加させて頂いた者です。現在大学3年生で、大学ではWebセキュリティ、特にXSSの検知・防御に関する研究をしています。

2023年2月に2週間、RedTeamのメンバーとして業務体験をさせていただきました。この記事ではインターンシップで行った取り組みについて紹介したいと思います。

概要

今回私は、RedTeamサービスを提供するにあたっての攻撃技術の開発・検証業務を行いました。

今回のインターンシップでは、初日と最終日の2日間を現地にて実施し、他の日程はリモートでの実施でした。

参加に至った経緯

私は元々サイバーセキュリティ分野に興味があり、これまでに脆弱性診断、PSIRT(脆弱性通報対応)、インシデントレスポンス、セキュリティツール開発などのインターンシップに参加しました。インターンシップに参加する中で特にオフェンシブセキュリティに興味を持ち、RedTeamの業務体験ができるインターンシップを探したところこちらのインターンシップを見つけ、今回応募させていただきました。

また、これまでに参加したインターンシップでは長くとも4、5日という期間でしたが、今回は2週間の現場受け入れ型インターンシップということで、より実務に近い部分で深くセキュリティエンジニアとしての業務を体験できるという点にも興味がありました。

取り組んだこと

RedTeamの受け入れポストの応募要項としては、以下のような記述がありました。(2023年2月16日時点)

攻撃者視点を持ち企業のセキュリティ強化をミッションとするRedTeam
●業務内容
RedTeamサービスに関する攻撃技術の開発・検証を経験していただきます。
■主な業務内容
MITRE ATT&CKをフレームワークとした攻撃技術の開発・検証
実際のサイバー攻撃と同様の技術を用いた、演習形式の企業セキュリティ対策評価
■RedteamPJの業務一例
https://engineers.ntt.com/entry/2021/12/09/103248

●応募要件
【必須】
RedTeamに興味があり、攻撃技術の深堀り、習得する意欲のある方
Pythonを用いたプログラミング経験がある方。
【推奨】
情報、通信、コンピュータ系、セキュリティ専攻学科の方
CTFなどのセキュリティコンテスト入賞経験

●受け入れ会社
NTTコミュニケーションズ株式会社

●勤務地
〒108-8118 東京都港区芝浦3-4-1 グランパークタワー

現場受け入れ型インターンシップコース | インターンシップ情報 | NTTドコモ新卒採用

主な業務内容の項にあるように、RedTeamサービスに関する攻撃技術の開発・検証に関する業務を行いました。一般的にSaaSを悪用したC2の脅威について注意喚起されている事例がありますが、今回はまだ世の中に事例がない、あるSaaSとそのエージェントの仕組みを悪用したC2のPoC(Proof of Concept: 概念実証)コードを開発しました。

初日に取り組むテーマを2つ提示していただき、興味のあるほうを選ぶという形で今回のテーマを進めていくことになりました。

今回開発したC2について

まずC2とは、Command & Controlの略で、攻撃者が対象のホストへ侵入した後にホストと攻撃者の間で通信を確立し、ネットワーク経由で外部からコマンドによる操作が可能な状態を維持する技術です。

今回注目したSaaSでは公式エージェントが提供されており、SaaS利用者はエージェントをインストールしたホストに対し、 SaaSを介して任意の処理を実行させることができます。攻撃者がこのSaaSをC2として悪用できる可能性があり、今回はその脅威について調査し、実際に実現可能であるかを検証しました。

このSaaSをC2に利用する攻撃者側のメリットは、「通信先が攻撃者の用意したサーバーなどではなくSaaSとなるため悪性通信の判別が難しい」、「公式から提供されているエージェント実行ファイルからコマンドを実行するため検知されにくい」という点です。

結果として、実際にC2の仕組みをCLIツールとして実装し、C2通信が可能であることを検証によって確かめられました。また、Microsoft Defender for Endpoint(MDE)を有効にしたWindows環境下で検証したところ、通信の過程では検知がされないという結果となりました。

実装について

言語はPython3で、ClickというCLIツール用のライブラリを使用して開発しました。コマンドとしては、以下のような構成で実装しました。

シェルコマンドによる命令実行
エージェントに付属のスクリプトエンジンによる命令実行
ファイルアップロード
ファイルダウンロード
ログ閲覧機能

ファイルアップロード/ダウンロードは、C2を通じて攻撃者と標的ホスト間でファイルを送受信するための機能です。この機能は、目的達成に必要なファイルの転送やデータの持ち出しのために利用されることを想定しています。

命令の実行やファイルダウンロード/アップロードはSaaSやそのエージェントの機能を利用して実行し、出力結果をログ閲覧機能から確認するという形式になりました。

攻撃者が悪用する場合の実用性に関する検証

提供されているエージェントはシェルコマンドの実行及び、エージェント自身に付属のスクリプトエンジンで命令を実行できます。付属のスクリプトエンジンを用いる場合、PowerShell等を使用しないため、Antimalware Scan Interface (AMSI)による検知を回避できる可能性があります。実際に悪性ファイルとしてInvoke-Mimikatz.ps1¹を用い、付属のスクリプトエンジンでの命令実行により配布サイトからファイルダウンロードをする際にAMSIにより検知されるかについて検証しました。結果的にファイルを保存する時点で検知されましたが、悪性ファイルを配信するURLへの通信という段階では検知がされないということが確かめられました。

企業の業務環境などでは認証プロキシが使用されていることがあります。これらの環境を想定し、認証プロキシ下でC2通信ができるかについて検証しました。結果として、現状提供されているエージェントはBASIC認証以外には対応しておらず、Kerberos認証やNTLM認証といった認証プロキシ下で通信させるには工夫が必要であるということがわかりました。

エージェントをサービスとして動作させるためには管理者権限が必要となります。ユーザ権限下で永続化が可能であるかの検証として、永続化の代表的な手法であるBoot or Logon Autostart Executionを検証しました。 Windowsでは、C:\Users\[Username]\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startupなどに配置したファイルが起動時に自動的に実行されるという機能があります。ここに、VBScriptで記述したエージェントを起動させるためのスクリプトファイルを配置し、実際に起動時にエージェントが起動することを確かめられました。

PoC全体像

成果報告会について

最終日の前日にセキュリティプロジェクト内で、最終日にはNTTドコモグループ全体で、業務体験を通して得られた成果の報告会を行いました。

特に最終日の成果報告会では、セキュリティエンジニアのポストとして参加したインターン生以外に、ソフトウェアエンジニア、ネットワークエンジニア、AIエンジニア、ビジネス企画、マーケティング、デザイナーなど様々な部署でのインターン生の成果発表を聞くことができました。そのため、同年代の様々な就活生の取り組みや、他分野での業務イメージなどが掴めて良い経験となりました。

感想

自分の興味のある部分や実装していく中で思いついた提案などを元に、自由に開発や検証を進めさせていただいたため、インターンシップ期間を通して非常に多くのことが学べました。業務を行うにあたって、学生が普段触れることのできないような企業向けセキュリティツールに触れることができたことも、とても貴重な経験となりました。また、開発で詰まった際の相談や検証環境の準備についても親身にサポートして頂き、とてもやりやすい環境で業務に取り組むことができました。

また、期間中にチーム構成や過去のプロジェクトについての説明の時間を設けていただいたり、他部署合同のミーティングに参加させていただいたりしたため、実際の企業における業務や組織の構成という点でも理解が深まりました。