Hunk | beginner Tempester

06 | Cyber Security/Red team | Trading/EA | App dev | Poker
自称起業家

[Hunk | beginner Tempester @Hank_agli]

初期侵入どうしたかに関して
わいが思うにハッカーは契約した1台のVPS上で

・ローカルAdministratorのパスワードが、いかにも共通テンプレート由来の固定値である（LAPS不在の兆候）。
・VPSがActive Directoryドメインに参加しており、サポート用の特権アカウントが遠隔ログオンしてくる運用である。
・配布RDPファイルでドライブリダイレクトが既定ON（後のReverse RDPの伏線）
のいずれかに当てはまってることを確認した。
MITRE：T1087（Account Discovery）／T1082（System Information Discovery）／T1016（Network Config Discovery

その後
GMOサポートが顧客VPSを遠隔管理する運用のため、特権アカウントが攻撃者の支配下のVPSにログオンした（またはサポート起票で誘発された）。その結果、特権資格情報がそのVPSのメモリ/資格情報キャッシュに残留し、攻撃者が回収した。

RDP Restricted Admin未強制／Credential Guard無効／PAW（特権専用端末）不在。＝管理者が信頼できない箱に素の資格情報で入っていた。
MITRE：T1003（OS Credential Dumping）／T1078.002（Domain Accounts）

上記を実行した。

その事からハッカーは
奪った特権資格情報が自分の箱以外のVPSでも通ることを、少数のホストで確認した。
MITRE：T1021（Remote Services）／T1550（Use of Alternate Authentication Material）

確認次第ハッカーは
Active Directory + GPO(本来はパスワードポリシーやソフト配布に使う全ドメイン参加機に自動で降ってくる設定配信チャネル)を悪用して
各VPSが定期的に実行する gpupdate のタイミングで
SYSVOL共有（全DCが保持する配布元）から設定を取得し、全台が自分からそのタスク/スクリプトを実行するようにした。

この手法であればハッカーは各ホストに接続すらせずに配信元を1回汚すだけで、2万7000台が自律的に横並びで動かすことができる。

まとめると0-dayのような派手な攻撃手法ではなく、AD/GPO＋Windows標準＋共通特権鍵のLOTLで完遂。GMOの脆弱性の本質は「誰でも外から侵入できた」ことではなく、「テナント分離と特権資格情報の衛生が欠落し、1テナントから全VPS群に特権が届いた」点にある

根拠として
・攻撃者が「AD集中管理」を明示。
・奪ったのがドメイン特権（変種A＝キャッシュされたサポート管理者cred）なら、GPO書き換え権限に直結。
・手動横展開の痕跡（大量RDP/PsExec）が相対的に少なく済む＝ステルス

[oyamon @oyamon_dev]

「GMOのセキュリティがガバガバで、誰でも簡単に侵入できる状態だった。だからGMOが悪い」という批判があるけど、これって実はハッカー側の印象操作に乗せられているんじゃないか、という危うさも少し感じている。

今回の攻撃者の声明を見ていて、ちょっと気になったことがある。

攻撃者は、GMOの管理体制の問題として、Active Directoryによる集中管理や、複数の顧客VPSに共通する管理者アカウントの存在などを具体的に指摘している。

でも、肝心の「最初にどうやってGMOの管理環境に侵入したのか」については、具体的な説明がない。

管理者のIDやパスワードを盗んだのか、何らかの脆弱性を突いたのか、それとも別の方法だったのか。

そこが分からない以上、本当に最初の侵入が簡単だったのかどうかは、まだ判断できないと思う。

ここで分けて考えたいのが、「最初に侵入することの難しさ」と「一度侵入された後に被害が広がりやすいこと」は、別の話だという点。

仮に共通の管理者アカウントが存在していたとしても、それは管理者権限を奪われた後に、多数の顧客環境へアクセスできてしまう問題であって、誰でも簡単に外部から侵入できたことを意味するわけではない。

もちろん、侵入後の被害を食い止めるための対策が不十分だったのであれば、そこはGMO側の問題としてきちんと検証されるべきだと思う。

ただ、今回の攻撃者はGMOに金銭を要求している立場でもある。

GMOの管理体制の問題については詳しく説明する一方で、自分たちが最初にどうやって侵入したのかは明かしていない。

こうした情報の出し方によって、「GMOは誰でも簡単に侵入できるほどセキュリティが甘かった」という印象が広がっている可能性もあるんじゃないだろうか。

そして、GMOへの批判が強まれば企業としての信用も傷つくし、攻撃者にとっては身代金交渉を有利に進めるための圧力にもなり得る。

だとすると、攻撃者にとって都合のいいストーリーが、世間に広まってしまっている可能性も考えておきたい。

GMOのセキュリティ対策に問題があったことと、最初から誰でも簡単に侵入できたかどうかは、分けて考える必要があると思う。

GMO側の問題は問題としてしっかり検証すべきだけど、同時に、ハッカーが発信する情報をそのまま受け取って、知らないうちに攻撃者の思惑に乗せられてしまうことにも気をつけたい。

[Hunk | beginner Tempester @Hank_agli]

@soralis_0912 削除しないと刑事告訴されますよ

[Hunk | beginner Tempester @Hank_agli]

国家認定ホワイトハッカーみたいな枠を作ってくれ
その人には捜査の為の不正アクセス禁止法を問わないとか
#GMO

[Hunk | beginner Tempester @Hank_agli]

これは駄目ですね…笑
大欠陥
呆れるしかないです

[Hunk | beginner Tempester @Hank_agli]

@tabbata @noritaka_okabe 帰属耐性と秘匿通信性能Maxにしてるに決まってるのに逆探知とか無理だからw

[三輪信雄 @NobMiwa]

お名前さん、犯人の主張にアップデートがあったので、手口を更新します

[Hunk | beginner Tempester @Hank_agli]

@NobMiwa つまりこう？

[Hunk | beginner Tempester @Hank_agli]

初期侵入どうしたかに関して
わいが思うにハッカーは契約した1台のVPS上で

・ローカルAdministratorのパスワードが、いかにも共通テンプレート由来の固定値である（LAPS不在の兆候）。
・VPSがActive Directoryドメインに参加しており、サポート用の特権アカウントが遠隔ログオンしてくる運用である。
・配布RDPファイルでドライブリダイレクトが既定ON（後のReverse RDPの伏線）
のいずれかに当てはまってることを確認した。
MITRE：T1087（Account Discovery）／T1082（System Information Discovery）／T1016（Network Config Discovery

その後
GMOサポートが顧客VPSを遠隔管理する運用のため、特権アカウントが攻撃者の支配下のVPSにログオンした（またはサポート起票で誘発された）。その結果、特権資格情報がそのVPSのメモリ/資格情報キャッシュに残留し、攻撃者が回収した。

RDP Restricted Admin未強制／Credential Guard無効／PAW（特権専用端末）不在。＝管理者が信頼できない箱に素の資格情報で入っていた。
MITRE：T1003（OS Credential Dumping）／T1078.002（Domain Accounts）

上記を実行した。

その事からハッカーは
奪った特権資格情報が自分の箱以外のVPSでも通ることを、少数のホストで確認した。
MITRE：T1021（Remote Services）／T1550（Use of Alternate Authentication Material）

確認次第ハッカーは
Active Directory + GPO(本来はパスワードポリシーやソフト配布に使う全ドメイン参加機に自動で降ってくる設定配信チャネル)を悪用して
各VPSが定期的に実行する gpupdate のタイミングで
SYSVOL共有（全DCが保持する配布元）から設定を取得し、全台が自分からそのタスク/スクリプトを実行するようにした。

この手法であればハッカーは各ホストに接続すらせずに配信元を1回汚すだけで、2万7000台が自律的に横並びで動かすことができる。

まとめると0-dayのような派手な攻撃手法ではなく、AD/GPO＋Windows標準＋共通特権鍵のLOTLで完遂。GMOの脆弱性の本質は「誰でも外から侵入できた」ことではなく、「テナント分離と特権資格情報の衛生が欠落し、1テナントから全VPS群に特権が届いた」点にある

根拠として
・攻撃者が「AD集中管理」を明示。
・奪ったのがドメイン特権（変種A＝キャッシュされたサポート管理者cred）なら、GPO書き換え権限に直結。
・手動横展開の痕跡（大量RDP/PsExec）が相対的に少なく済む＝ステルス

[Hunk | beginner Tempester @Hank_agli]

#GMO

[Hunk | beginner Tempester @Hank_agli]

初期侵入どうしたかに関して
わいが思うにハッカーは契約した1台のVPS上で

・ローカルAdministratorのパスワードが、いかにも共通テンプレート由来の固定値である（LAPS不在の兆候）。
・VPSがActive Directoryドメインに参加しており、サポート用の特権アカウントが遠隔ログオンしてくる運用である。
・配布RDPファイルでドライブリダイレクトが既定ON（後のReverse RDPの伏線）
のいずれかに当てはまってることを確認した。
MITRE：T1087（Account Discovery）／T1082（System Information Discovery）／T1016（Network Config Discovery

その後
GMOサポートが顧客VPSを遠隔管理する運用のため、特権アカウントが攻撃者の支配下のVPSにログオンした（またはサポート起票で誘発された）。その結果、特権資格情報がそのVPSのメモリ/資格情報キャッシュに残留し、攻撃者が回収した。

RDP Restricted Admin未強制／Credential Guard無効／PAW（特権専用端末）不在。＝管理者が信頼できない箱に素の資格情報で入っていた。
MITRE：T1003（OS Credential Dumping）／T1078.002（Domain Accounts）

上記を実行した。

その事からハッカーは
奪った特権資格情報が自分の箱以外のVPSでも通ることを、少数のホストで確認した。
MITRE：T1021（Remote Services）／T1550（Use of Alternate Authentication Material）

確認次第ハッカーは
Active Directory + GPO(本来はパスワードポリシーやソフト配布に使う全ドメイン参加機に自動で降ってくる設定配信チャネル)を悪用して
各VPSが定期的に実行する gpupdate のタイミングで
SYSVOL共有（全DCが保持する配布元）から設定を取得し、全台が自分からそのタスク/スクリプトを実行するようにした。

この手法であればハッカーは各ホストに接続すらせずに配信元を1回汚すだけで、2万7000台が自律的に横並びで動かすことができる。

まとめると0-dayのような派手な攻撃手法ではなく、AD/GPO＋Windows標準＋共通特権鍵のLOTLで完遂。GMOの脆弱性の本質は「誰でも外から侵入できた」ことではなく、「テナント分離と特権資格情報の衛生が欠落し、1テナントから全VPS群に特権が届いた」点にある

根拠として
・攻撃者が「AD集中管理」を明示。
・奪ったのがドメイン特権（変種A＝キャッシュされたサポート管理者cred）なら、GPO書き換え権限に直結。
・手動横展開の痕跡（大量RDP/PsExec）が相対的に少なく済む＝ステルス

[oyamon @oyamon_dev]

「GMOのセキュリティがガバガバで、誰でも簡単に侵入できる状態だった。だからGMOが悪い」という批判があるけど、これって実はハッカー側の印象操作に乗せられているんじゃないか、という危うさも少し感じている。

今回の攻撃者の声明を見ていて、ちょっと気になったことがある。

攻撃者は、GMOの管理体制の問題として、Active Directoryによる集中管理や、複数の顧客VPSに共通する管理者アカウントの存在などを具体的に指摘している。

でも、肝心の「最初にどうやってGMOの管理環境に侵入したのか」については、具体的な説明がない。

管理者のIDやパスワードを盗んだのか、何らかの脆弱性を突いたのか、それとも別の方法だったのか。

そこが分からない以上、本当に最初の侵入が簡単だったのかどうかは、まだ判断できないと思う。

ここで分けて考えたいのが、「最初に侵入することの難しさ」と「一度侵入された後に被害が広がりやすいこと」は、別の話だという点。

仮に共通の管理者アカウントが存在していたとしても、それは管理者権限を奪われた後に、多数の顧客環境へアクセスできてしまう問題であって、誰でも簡単に外部から侵入できたことを意味するわけではない。

もちろん、侵入後の被害を食い止めるための対策が不十分だったのであれば、そこはGMO側の問題としてきちんと検証されるべきだと思う。

ただ、今回の攻撃者はGMOに金銭を要求している立場でもある。

GMOの管理体制の問題については詳しく説明する一方で、自分たちが最初にどうやって侵入したのかは明かしていない。

こうした情報の出し方によって、「GMOは誰でも簡単に侵入できるほどセキュリティが甘かった」という印象が広がっている可能性もあるんじゃないだろうか。

そして、GMOへの批判が強まれば企業としての信用も傷つくし、攻撃者にとっては身代金交渉を有利に進めるための圧力にもなり得る。

だとすると、攻撃者にとって都合のいいストーリーが、世間に広まってしまっている可能性も考えておきたい。

GMOのセキュリティ対策に問題があったことと、最初から誰でも簡単に侵入できたかどうかは、分けて考える必要があると思う。

GMO側の問題は問題としてしっかり検証すべきだけど、同時に、ハッカーが発信する情報をそのまま受け取って、知らないうちに攻撃者の思惑に乗せられてしまうことにも気をつけたい。

[oyamon @oyamon_dev]

「GMOのセキュリティがガバガバで、誰でも簡単に侵入できる状態だった。だからGMOが悪い」という批判があるけど、これって実はハッカー側の印象操作に乗せられているんじゃないか、という危うさも少し感じている。

今回の攻撃者の声明を見ていて、ちょっと気になったことがある。

攻撃者は、GMOの管理体制の問題として、Active Directoryによる集中管理や、複数の顧客VPSに共通する管理者アカウントの存在などを具体的に指摘している。

でも、肝心の「最初にどうやってGMOの管理環境に侵入したのか」については、具体的な説明がない。

管理者のIDやパスワードを盗んだのか、何らかの脆弱性を突いたのか、それとも別の方法だったのか。

そこが分からない以上、本当に最初の侵入が簡単だったのかどうかは、まだ判断できないと思う。

ここで分けて考えたいのが、「最初に侵入することの難しさ」と「一度侵入された後に被害が広がりやすいこと」は、別の話だという点。

仮に共通の管理者アカウントが存在していたとしても、それは管理者権限を奪われた後に、多数の顧客環境へアクセスできてしまう問題であって、誰でも簡単に外部から侵入できたことを意味するわけではない。

もちろん、侵入後の被害を食い止めるための対策が不十分だったのであれば、そこはGMO側の問題としてきちんと検証されるべきだと思う。

ただ、今回の攻撃者はGMOに金銭を要求している立場でもある。

GMOの管理体制の問題については詳しく説明する一方で、自分たちが最初にどうやって侵入したのかは明かしていない。

こうした情報の出し方によって、「GMOは誰でも簡単に侵入できるほどセキュリティが甘かった」という印象が広がっている可能性もあるんじゃないだろうか。

そして、GMOへの批判が強まれば企業としての信用も傷つくし、攻撃者にとっては身代金交渉を有利に進めるための圧力にもなり得る。

だとすると、攻撃者にとって都合のいいストーリーが、世間に広まってしまっている可能性も考えておきたい。

GMOのセキュリティ対策に問題があったことと、最初から誰でも簡単に侵入できたかどうかは、分けて考える必要があると思う。

GMO側の問題は問題としてしっかり検証すべきだけど、同時に、ハッカーが発信する情報をそのまま受け取って、知らないうちに攻撃者の思惑に乗せられてしまうことにも気をつけたい。

[Hunk | beginner Tempester @Hank_agli]

@lina_taso @noritaka_okabe 今後暗号通貨メインの世の中になるはずなので使わないと宣言するのはまじ勿体ないっす。仮想通貨触り始めたらJPYCの偉大さにひれ伏すと思います。jpycを拒否することはほぼ今後自分の人生で仮想通貨と関わらないことを宣言してるものと同義です

[Hunk | beginner Tempester @Hank_agli]

@SOU_BTC なんやかんや反発するに一票。
日本代表するセキュリティ企業なんだし
嫌悪感で買わないのは勿体ない

[Hunk | beginner Tempester @Hank_agli]

@9ura00 くもり

[Hunk | beginner Tempester @Hank_agli]

@nftjapannftsub orcaしか勝たんです

[Hunk | beginner Tempester @Hank_agli]

#拡散希望
これが広まって先回りできなきゃ人類滅ぶ

[Hunk | beginner Tempester @Hank_agli]

https://t.co/OVhrPkU4gm

[Hunk | beginner Tempester @Hank_agli]

https://t.co/OVhrPkU4gm

[Hunk | beginner Tempester @Hank_agli]

@mikami_01 みかみさんの広告はXやらYoutube やらでこれまで散々見てるのに本当に、未だに
サービス内容理解出来てない。

Xでアドネスユーザーがアドネスを褒めててもほぼ一切サービス内容を語った投稿がなく
、馴れ合いをしてるようにしか見えない。

大欠陥では

[Hunk | beginner Tempester @Hank_agli]

@RUIZONE08 @hideto_sa 全然ギャンブルではないかなと

[Hunk | beginner Tempester @Hank_agli]

プロフ変えた