サービスにエンドポイントの一部を登録したところ、これらのエンドポイントで不審な活動が複数検出されたため、調査を開始しました。つの悪意のあるバックドアを難読化・展開する侵入行為が調査されました。パスを置き換えました。ファイル名から「s」が削除されました。つなぎ合わされました。件の実行可能ファイルがつなぎ合わされていました。アルゴリズムを使用して、マルウェアで使用されるファイルの暗号化および復号を行っていることを突き止めました。サンプルをリバースエンジニアリングして得られたソースコード。コマンドが確認できます。追加を検出するための動作検知プログラムが作成されました。ページでご確認いただけます。日に、侵害された管理者アカウントが管理されていない資産からドメインコントローラーに接続するために使用されました。レジストリハイブを標的にしました。ソフォスエージェントによって直ちに削除されました。この試みは再度ソフォスによってブロックされました。月中旬に、この攻撃者が有効な管理者認証情報を使用し、主にドメインの列挙を目的としてドメインコントローラーの検出を実行するのが観察されました。レコードの列挙を目的とするコマンドが実行されました。列挙により、攻撃者は管理者権限を持つユーザーと認証に使用されるシステムを即座に特定できます。この活動は、各ドメインコントローラーから独立して情報を収集するという包括的なアプローチを示しています。モジュールを活用し、より隠密性の高い方法で発見した情報を列挙しました。月にはより多くのユーザーに拡大されました。イベントをキャプチャし、特定のフォーマットで一覧化することで、攻撃者は標的のアカウントがアクセス可能なシステムの確認を試みていたと考えられます。2>&1この種の探索を試みる間に、攻撃者はツールや偵察の出力結果を速やかにクリーンアップしました。使ってデータを圧縮しました。コマンドを用い、有効なアカウントを経由して他のマシンに移動しました。入力したため、その後のラテラルムーブメントが一時的に停止していました。そのためソフォスは、この攻撃が自動化されていない活動であることを確信しています。後の事例では、攻撃者が自らのマシンのドメインを誤って認証情報に追加していました。その後すぐに、攻撃者は利用する認証情報を別のものへと切り替えました。侵害した認証情報が無効化されたと攻撃者が誤認したためだと考えられます。脅威ハンティングチームは侵害されたアカウントをさらに特定できました。活動も観測されました。リモート実行に使用しようとしましたが、この活動はソフォスのエージェントによってブロックされました。(最初の脅威ハンティングのきっかけとなった攻撃パターンです)、攻撃者がレジストリキーを使用して常駐化するのが確認されました。使用するサービスを作成し、システムレベルの権限で常駐化を行いました。サービスの権限変更を通じて、権限の昇格を試みるのを繰り返し確認しています。よってロードされるように「System32」ディレクトリに移動しました。サービスを再起動するコマンドセッションを生成しました。サービスの権限を変更するコマンドが実行されました。異なるバージョンをディスクに展開し、「C:\Windows\SysWOW64」に移動しました。