正規の低レベルツールを武器化する：ランサムウェアはいかにしてアンチウイルス対策を回避するのか

正規の低レベルツールを武器化する：ランサムウェアはいかにしてアンチウイルス対策を回避するのか

目次

• イントロダクション
• 「デュアルユースのジレンマ」：攻撃者が正規のツールを好む理由
• ウイルス対策ソフトによる無力化が重要な理由
• 抗ウイルス中和の歴史的進化
• ランサムウェアのキル チェーン
• 正当な低レベルツールの悪用段階
  • ステージ1：アンチウイルス無効化と権限昇格のための低レベルツール
  • ステージ2：認証情報窃盗、カーネル操作、ランサムウェア展開ツール
• 実際のキャンペーン事例：アンチウイルスによる攻撃からランサムウェア対策まで
• 脅威アクターの TTP マッピング (MITRE ATT&CK)
• 新たなトレンドと将来の脅威
• 認定条件 Seqrite これらの活動から身を守る
• 高度な脅威に対する検出およびインシデント対応に関する推奨事項
• セキュリティのベストプラクティスと推奨事項
• 結論

導入：

ランサムウェアはもはや単なる悪意のあるコードではなく、ビジネスのように運営されている。現代の攻撃は綿密に計画された段階を経て展開され、一般家庭ユーザーから中小企業、大企業まであらゆる層を標的としている。今日の攻撃者は、カスタムマルウェアだけに頼るのではなく、悪意を持った侵入テスト担当者のように振る舞う。防御システムを研究し、弱点を探し出し、そして本来保護されるべきシステムに対して、正規の低レベルツールを悪用するのだ。

Process Hacker、IOBit Unlocker、PowerRun、AuKillといったユーティリティを例にとってみましょう。これらは元々、ITチームがシステムのトラブルシューティング、レジストリの管理、ドライバの操作を行うために開発されたものです。しかし、悪意のある者の手に渡ると、ランサムウェアが姿を現す前に、アンチウイルス保護機能を密かに無効化する武器となってしまうのです。

攻撃者がそれらを好む理由：

• 信頼係数: デジタル署名が施されており、広く利用されているため、セキュリティシステムはそれらを安全なものとして扱うことが多い。
• 能力： これらは攻撃者にシステムレベル、あるいはカーネルレベルの制御権を与えるものであり、通常のマルウェアが単独では達成できないことが多い。
• ステルス： 彼らの活動は通常の事務作業のように見え、痕跡はほとんど残らない。

この「二重用途のジレンマ」こそが、これらのツールを非常に危険なものにしているのだ。問題を解決するために設計されたツールは、警報を発することなく、セキュリティを解体するための完璧な武器へと容易に転用されてしまう可能性がある。

ウイルス対策ソフトによる無力化が重要な理由

ランサムウェア攻撃において、ウイルス対策ソフトを無効にすることは単なる些細なステップではなく、ペイロード実行への道を開くための意図的な戦術です。セキュリティツールは、悪意のあるファイルをブロックし、不審な動作を記録し、防御側にリアルタイムで警告を発するように設計されています。攻撃者はこれらのツールを停止させることで、攻撃を静かに、そして中断されることなく実行できるのです。

セキュリティ対策を無効にすることが、攻撃者にとって直接的にどのようなメリットをもたらすかを以下に示します。

• アンチウイルスソフトは、ランサムウェアの実行時にそのペイロードをブロックする。
• EDRは、異常なファイル暗号化動作を検知してログに記録します。
• 鑑識資料は、SOCチームが対応する機会を与える可能性がある。
• これらの保護機能を無効にすることで、攻撃者はランサムウェアが検出されずに実行できる「サイレントゾーン」を作り出す。

抗ウイルス中和の歴史的進化

ランサムウェアグループは現状維持に甘んじていたわけではなく、アンチウイルス対策を回避する方法を着実に改良し続けてきました。当初は単純なスクリプトベースの攻撃だったものが、カーネルレベルの操作や、ランサムウェア・アズ・ア・サービス（RaaS）キットに標準搭載されている既製のモジュールなど、高度に洗練された攻撃へと進化しました。以下の表は、この進化をまとめたものです。

周期	一次中和技術	代表的なランサムウェアファミリー
2015 – 2017	基本的なスクリプト（taskkill/net stop）	CryptoLocker、WannaCry
2018 – 2020	プロセスハッカーによる悪用	リューク、ドッペルペイマー
2021 – 2023	カーネルレベルのドライバ操作	コンティ、ロックビット2.0
2024 - 現在	RaaSキットにパッケージ化されたアンチウイルスキラーモジュール	LockBit 3.0、BlackCat

長年にわたり、攻撃者は単純なコマンドを実行することから、オペレーティングシステムを直接改ざんするようになり、現在では、デフォルトでアンチウイルス無効化ツールをバンドルした自動化されたRaaSキットに依存するようになっている。これにより、これらの攻撃はより高速で、より巧妙になり、阻止するのがより困難になっている。

ランサムウェアのキル チェーン

ランサムウェア攻撃は通常、キルチェーンと呼ばれる一連の意図的な手順を経て行われます。このキルチェーンは、最初の侵害から広範囲にわたる暗号化、そして業務の中断に至るまでの一連のプロセスです。攻撃者が正規の低レベルツールを使用する場合、このキルチェーンはさらに巧妙かつ効率的になります。各段階は、防御を回避し、より高い権限を取得し、ランサムウェアが検出されることなく任務を完了できるように、綿密に設計されています。

• 初期アクセス 攻撃者は、フィッシングメール、盗まれた認証情報、または悪用されたリモートアクセスツール（RAT）を通じて侵入し、最初の足がかりを築きます。
• 権限昇格 PowerRunやYDArkなどのツールが悪用され、SYSTEMレベルまたはカーネルレベルの権限が取得される。
• ウイルス対策無力化 セキュリティソフトウェアは、ウイルス対策プロセスおよびEDRプロセスを停止またはアンロードすることで無効化されます。
• 資格情報の盗難 Mimikatzなどのユーティリティは、保存されているパスワードやトークンを抽出して、ネットワーク内を横断的に移動する。
• 粘り強さと後片付け Unlock_ITやAtool_ExperModelのようなツールは、ログを削除したり、起動ルーチンを無効にしたりすることで、侵入の痕跡を隠蔽します。
• ペイロードの実行 ―最後に、ランサムウェアが展開され、通常のシステム動作に紛れ込みながらファイルを暗号化する。

正当な低レベルツールの悪用段階

攻撃者はランサムウェア攻撃において、管理ツールや低レベルのユーティリティを悪用する際に、通常2段階のプロセスに従います。各段階には明確な目的があり、それぞれ異なるツールセットを活用します。

ステージ1：アンチウイルス無効化と権限昇格のための低レベルツール

攻撃者は、ファイルロック解除ツール、プロセス強制終了ツール、権限昇格ツール、認証情報ダンプツールなどを組み合わせて利用することが多い。これらの正規ツールを悪用することで、攻撃者はウイルス対策を組織的に無効化し、痕跡を消去し、ランサムウェア実行のための環境を整える。以下の表は、最も悪用されるツールを4つの主要カテゴリに分類したものである。

ツール	正当な目的	攻撃シナリオ（悪意のある使用 + サイレントコマンドライン 例 + 技術的な流れ）	セキュリティへの影響
IOBit アンロック	ロックされたファイルのロックを解除	アンチウイルスバイナリをサイレントに削除 → IOBitUnlocker.exe /delete “C:\Program Files\AV\avp.exe” → NtUnlockFile APIを使用してOSロックをバイパス	ウイルス対策ソフトの再起動やアップデートを阻止します。
TDSSKiller	ルートキットの削除	アンチウイルスカーネルドライバのアンロードに悪用される → tdsskiller.exe -silent -tdlfs → アンチウイルスカーネルモジュールの再ロードをブロックする	カーネルレベルの防御を弱体化させる
Windowsカーネルエクスプローラー（WKE）	カーネルデバッガー	PsSetCreateProcessNotifyRoutine を介したドライバの直接アンロードとカーネルオブジェクトの操作 → 攻撃者が OS カーネルを制御	OSの完全な制御権限を付与します。
Atool_ExperModel	レジストリ/プロセス診断	アンチウイルス起動キーを削除します → atool.exe /regdel HKLM\SOFTWARE\AVVendor\Startup → スケジュールされたタスクを削除して永続性を解除します	再起動後にウイルス対策ソフトが自動起動しない
プロセスハッカー	タスクマネージャー/デバッガー	SeDebugPrivilege を介してアンチウイルス プロセスを終了 → taskkill /IM Antivirusguard.exe /F	リアルタイムのウイルス対策監視を即座に停止します
プロセスKO	高速プロセス終了	アンチウイルスサービスを即座に終了する → ProcessKO.exe -kill Antivirusservice.exe	リアルタイム保護を数秒で解除します

ステージ2：認証情報窃盗、カーネル操作、ランサムウェア展開ツール

アンチウイルスプロセスが無効化されると、攻撃者は認証情報の窃盗、カーネルレベルの防御システムの操作、特権昇格によるランサムウェアペイロードの実行へと移行します。これらのツールはSYSTEMレベルまたはカーネルレベルで動作するため、攻撃者が横方向への移動、セキュリティコールバックの無効化、暗号化ペイロードの中断のない実行を可能にするため、はるかに危険です。以下の表は、この段階で最も悪用されるツールを示しています。

 

ツール	正当な目的	攻撃シナリオ（悪意のある使用例＋サイレントコマンドラインの例＋技術的な流れ）	セキュリティへの影響
0th3r_av5.exe	管理者ユーティリティの偽装	スクリプト駆動ツールがアンチウイルスサービスをサイレントに反復処理し、プロセスを同時に一括終了する	複数のウイルス対策ソフトを一度に無効化します
HRSword	サービス/ドライバ管理ユーティリティ（正規の管理者ツール）	サービス/ドライバの状態を操作してアンチウイルスを無効にし、再インストールを防止します → サイレントコマンドの例: HRSword.exe /service stop “avservice” /disable → 対象のサービスを停止し、ServiceStart を無効に設定し、サービスのバイナリ パスまたは回復オプションを更新して自動再起動を防止します	ウイルス対策サービスの復旧と再インストールを妨げ、攻撃者の潜伏時間を延長し、修復を阻害する。
YDark	カーネル操作	アンチウイルスコールバックを無効にする → ydark.exe -unload Antivirusdriver.sys → ステルス永続化のために PsSetCreateThreadNotifyRoutine をフックする	カーネル保護機能を損なう
パワーラン	アプリをSYSTEMとして実行する	SYSTEMレベルでランサムウェアのペイロードを実行します → PowerRun.exe ransomware.exe	ユーザーレベルの制限を回避し、完全な権限を持つ
アンロック_IT	ファイル/レジストリのロックを解除する	ウイルス対策ログを削除します → UnlockIT.exe /unlock HKLM\Security\AVLogs → レジストリエントリとフォレンジック痕跡を消去します	ログベースの調査を中断する
HackTool AuKill	アンチウイルス中和剤	アンチウイルス/EDRプロセスを明示的に強制終了する → Antiviruskiller.exe –kill –all	ランサムウェア展開の盲点を生み出す
ミミカッツ	認証情報ダンプツール	キャッシュされた管理者認証情報を抽出 → mimikatz.exe privilege::debug sekurlsa::logonpasswords → LSASSメモリを読み取ります	盗まれた認証情報による横方向への拡散を可能にする

実際のキャンペーン事例：アンチウイルスによる攻撃からランサムウェア攻撃まで：

ランサムウェア攻撃者は、アンチウイルス対策を無効化し、権限を昇格させ、ペイロード実行に最適な環境を構築するために、正規の低レベルシステムユーティリティを悪用することがよくあります。以下に、広く悪用されているツールと、それらが確認されたランサムウェア攻撃事例をまとめました。

 

ツール	関連するランサムウェアキャンペーン
IOBit アンロック	LockBit Black 3.0、Weaxor、TRINITY、Proton / Shinra、Mimic、Makop、Dharma、Mallox、Phobos
プロセスハッカー	フォボス、マコップ、ダルマ、グローブインポスター2.0
Windowsカーネルエクスプローラー（WKE）	Dharma (.cezar Family)、TRINITY、MedusaLocker
HRSword	フォボス、グローブインポスター2.0、マコップ
YDark	ウィークサー、フォボス
TDSSKiller	BlackBit
Atool (Atool_ExperModel)	Trigona
プロセスKO	マコップ
0th3r_av5.exe	MedusaLocker
アンロック_IT	対象企業
ミミカッツ	INCランサムウェア

 

脅威アクターの TTP マッピング (MITRE ATT&CK)

ランサムウェア攻撃は必ず一定のパターンに従い、攻撃者が無作為に行動することはほとんどありません。攻撃者は、攻撃の各段階において、目的と合致するツールや手法を慎重に選択します。これらの行動をMITRE ATT&CKフレームワークにマッピングすることで、正規の低レベルユーティリティがどのように悪用されるかをより深く理解することができます。

以下の表は、攻撃者が権限昇格から防御システムの無効化、認証情報の窃盗、そして最終的にランサムウェアの実行に至るまでの過程を示しています。これらの攻撃はすべて、本来犯罪目的で設計されたものではない信頼できるツールを悪用して行われます。このマッピングにより、防御側は攻撃者の手口を視覚的に把握しやすくなり、被害が発生する前に侵入を検知または阻止する機会を特定しやすくなります。

 

ステージ	技術	MITRE ATT&CK サブテクニック ID	ツール 関係者	アクティビティ
権限昇格	虐待度上昇制御メカニズム	T1548.002	PowerRun、WKE、YDArk	システム/カーネルアクセス
防御回避	セキュリティツールを無効にする	T1562.001	AuKill、IOBit Unlocker、ProcessKO、Process Hacker	アンチウイルス/EDRをバイパス
クレデンシャルアクセス	OS 資格情報のダンプ	T1003.001	ミミカッツ	横移動
固執	レジストリを変更する	T1112	Unlock_IT、Atool_ExperModel	ウイルス対策ソフトを無効にした状態を維持する
防御回避	ファイル削除／ログのクリーンアップ	T1070.004	アンロック_IT	法医学的証拠を消去する
プーケットの魅力	システムサービスディスカバリ	T1082	プロセスハッカー、パワーラン	実行中のウイルス対策プロセスを特定する
影響	システム回復の抑制	T1490	ProcessKO、Unlock_IT	ブロック回復オプション
影響	インパクトのあるデータ暗号化	T1486	すべてのツール	ランサムウェアのペイロードを準備する

新たなトレンドと将来の脅威

ランサムウェアは、より高速化、より巧妙化し、検出が困難になっています。主な新たな傾向は以下のとおりです。

• RaaSアンチウイルスキラー ランサムウェアキットには、アンチウイルス対策を自動的に無効化するように設計された、あらかじめ組み込まれたスクリプトが含まれている。
• カーネルレベルのエスカレーション 攻撃者は、ドライバーを悪用して、システムに対する高度な制御を密かに取得する。
• マルチツールチェーン PowerRun、Unlock_IT、AuKillなどのユーティリティを組み合わせることで、セキュリティ層を確実に回避できます。
• AI支援技術 AIは、それぞれの環境に最適な中和方法を自動的に選択するのに役立ちます。
• サプライチェーン攻撃 トロイの木馬化された管理ツールや偽のソフトウェアアップデートは、新たな感染経路を生み出す。
• クラウドエンドポイントターゲティング ハイブリッドクラウドインフラストラクチャとそのセキュリティツールは、高度な攻撃に対してますます脆弱になっている。

これらの傾向は、ランサムウェアがより自動化され、より精密で、より巧妙な攻撃へと進化していることを示しており、積極的な防御戦略が不可欠となっている。

認定条件 Seqrite これらの活動から身を守る

Seqrite 高度なランサムウェアやアンチウイルス無効化戦術に対抗するための多層防御を提供する Seqrte EPP:

• ウイルス防護 トロイの木馬化されたインストーラー、悪意のあるスクリプト、ランサムウェアのペイロードが実行される前に、それらを識別してブロックします。
• ウイルス対策自己保護 攻撃者がアンチウイルスソフトウェアを強制的に終了またはアンインストールすることを防止します。
• 行動検出 – 大量プロセス終了、レジストリ改ざんなどの不審な動作を監視します。
• ランソムウェア保護 – 異常なファイル暗号化アクティビティをリアルタイムで検知し、ランサムウェアの拡散を阻止します。
• アプリケーション制御 承認されていないユーティリティや管理ツールの実行を制限し、不正使用を防止します。これらの機能を組み合わせることで、事前対策と事後対策の両方を提供し、高度な多段階攻撃に対してもエンドポイントを安全に保ちます。

当社は脅威の状況を継続的に監視し、悪用されるユーティリティの新規または改変された亜種を積極的に探し出し、効果的な対策を維持するために検出モジュールと動作ルールを迅速に更新しています。

高度な脅威に対する検出およびインシデント対応に関する推奨事項

現代のランサムウェアから身を守るには、積極的な監視と体系的な対応戦略が必要です。

• プロセス終了監視 – ウイルス対策プロセスまたはEDRプロセスの不審な大量終了を検出します。
• レジストリおよびファイル監査 ・ウイルス対策関連のレジストリキー、ログ、およびスタートアップエントリの変更を追跡します。
• 行動分析 – システムレベルの異常な実行とカーネルレベルの変更を特定する。
• 認証情報盗難検知 - LSASSおよびその他の認証情報ストアへのアクセスパターンを監視する。
• アプリケーション制御 不正使用を防ぐため、実行をホワイトリストに登録された管理ツールに限定する。
• プレイブックとアラート – 権限昇格 → アンチウイルス終了 → レジストリ/ログの変更 → ランサムウェア実行などの攻撃シーケンスに対するアラートを自動化します。
• エンドポイント分離 脅威を封じ込め、横方向への拡散を防ぐため、影響を受けた機器を迅速に隔離する。

これらの手順は、組織が高度な攻撃を早期に検知し、体系的かつタイムリーに対応するのに役立ち、全面的な混乱のリスクを軽減します。

セキュリティのベストプラクティスと推奨事項

積極的なセキュリティ対策を実施することで、ランサムウェアや高度な攻撃のリスクを大幅に軽減できます。

• 管理者に対してMFAを強制する 特権アカウントを侵害から保護するために、多要素認証を必須とする。
• アプリケーションホワイトリストを有効にする 承認されていない、または検証されていないバイナリをブロックし、悪意のあるツールが実行される前に阻止します。
• 終了イベントを監視する – sc stop、net stop、taskkillなどの疑わしいコマンドを継続的に検知し、警告を発します。
• 低レベルツールの使用を制限する 実行対象を、厳選された業務上不可欠な管理ツールのみに限定する。
• 監査登録の変更 アンチウイルス、EDR、またはスタートアップ構成に関連付けられたレジストリキーの変更を追跡し、フラグを立てます。
• SOCチームを教育する ―セキュリティアナリストに対し、防御システムを回避または無効化しようとする巧妙な試みを見抜くための訓練を行う。
• 管理ユーティリティを分離する 機密性の高いツールへのアクセスは、安全で監視されたジャンプボックス経由でのみ許可する。

これらのベストプラクティスに従うことで、組織は重要なシステムに対する強力な管理を維持し、不審な活動を早期に検知し、潜在的な攻撃の影響を最小限に抑えることができます。

結論

もともとはIT運用効率化のために設計された低レベルの管理ツールが、ランサムウェア攻撃において悪用されるケースが増えている。攻撃者はこれらのツールを悪用して、アンチウイルスやEDR（イベント検出・対応）システムを無効化し、密かにシステムへの侵入を維持し、大規模な暗号化を静かに実行するための準備を行う。かつては信頼されていたユーティリティツールが、今やサイバー攻撃を助長する最も危険なツールの一つとなっているのだ。

重要なポイントは明らかです。デュアルユースツールは、企業のセキュリティにとって深刻なリスクとなります。この脅威に対処するには、Quick Heal の強みと、 Seqrite 管理ユーティリティに対する厳格なガバナンスと制御による保護。これらのツールを攻撃者の武器ではなく、防御側の信頼できる味方として取り戻すことで、組織は敵対勢力の隠密行動による優位性を阻止し、現代のランサムウェア攻撃から重要なインフラを保護することができます。

当社は脅威の状況を継続的に監視し、新規または改変されたツールの亜種を積極的に探し出し、それらの発見を直接検出モジュールに反映させることで、攻撃者の戦術変更に合わせて当社の対策範囲が進化するようにしています。

著者

著者: マティン・タドヴィ
共著者スミット・パティル