1. はじめに

バックアップはサイバー攻撃に対する１つの対抗策であることは間違いありません。しかし、近年のサイバー攻撃者にとって、バックアップは攻撃を完遂するための「最初の標的」になっているのを理解しておく必要があります。

とくにランサムウェア攻撃において、バックアップデータを破壊、あるいは構成情報を窃取して復旧手段を封殺することで、被害企業に身代金を払わざるを得ない状況をより作ることは、いまや攻撃の標準的なプロセスとなりつつあります。

本ブログでは、ある日系グローバル製造企業の海外拠点で実際に発生したインシデントの分析を通じて、攻撃者がいかにしてバックアップ環境へ侵入し、潜伏し、そして情報の窃取を試みたのかを詳述します。攻撃者はどのような戦略を持っていたのか、手口を時系列で紐解いていきましょう。

2. インシデントの全貌：巧妙な偽装と偵察の記録

今回のインシデントでも、攻撃者が「正規ツール」を巧みに悪用し、セキュリティ製品の検知を逃れようとした「Living off the Land（自給自足型）」が多用されていました。

攻撃のタイムラインと高度な隠蔽工作

攻撃は、日本時間の19時半に開始されました。記録されたタイムラインには、攻撃者の慎重な足跡が残されています。

時刻 (UTC)

カテゴリ

攻撃者の具体的な行動と詳細

10:35

侵入の確立

外部IP（攻撃者制御）からネットワークログインが確立される。

10:55

偵察・情報窃取

psql.exe を用い、VeeamBackup データベースにアクセス。PhysicalHosts 等のテーブルから構成情報を検索。

10:58

情報の確認

正規の C:\Windows\system32\notepad.exe を実行。抽出したデータ（vout.txt 等）の内容を確認。

10:59

偽装ツールの実行

本来のパスとは異なる C:\temp\notepad.exe を実行。実体はリモートデスクトップツール「RustDesk」。

10:59

C2通信

rustdesk.com 関連ドメインへの外部接続を確立し、遠隔操作を可能にする。

10:59

証拠隠滅

ping -n 3 127.0.0.1 で数秒の待機時間を作った後、del /f /q で偽の notepad.exe を自動削除。

11:01

横展開の準備

ネットワークスキャナー netapp.exe を実行し、ネットワーク全体の脆弱な端末を調査。

「光と影」を使い分ける偽装戦術

ここで注目すべきは、10時58分と59分の動きです。攻撃者はまず、本物の「メモ帳（notepad.exe）」を使って盗み出したデータベースの内容を精査しました。その直後、同じファイル名に偽装した悪意あるツールを実行しています。この「正規ツールによる確認」と「偽装ツールによる通信」を織り交ぜる手法は、監視者の目を欺くための極めて巧妙なトリックです。また、自身の実行ファイルを削除する際、あえて ping コマンドで「待ち時間」を発生させています。これは、プログラムが確実に終了してから削除コマンドを成功させるための手段として用いられたと推測します。いずれにしても、攻撃者がスクリプトによる自動化の中で、証拠隠滅に注意を払ったことを物語っています。

フレームワークによる分析

構造化して理解するために、サイバーキルチェーンによるマッピングをします。

  1. 偵察 (Reconnaissance):  PostgreSQLを通じたバックアップインフラ構成の把握。
  2. 武器化 (Weaponization):  RustDeskを notepad.exe という一見無害な名称に偽装。
  3. 配送 (Delivery):  ネットワーク共有等を経由したツールの持ち込み。
  4. 設置 (Installation):  攻撃者制御IPからのログインと、一時フォルダへのツール配置。
  5. 遠隔操作 (Command and Control):  RustDeskによる外部C2サーバとのコネクション確立。
  6. 目的実行 (Actions on Objectives):  ネットワークスキャンによる、さらなる重要資産の探索。

3. 技術的特筆点

今回の攻撃において最も警戒すべき点は、攻撃者が psql.exe を使用して  VeeamBackup  のデータベース、特に PhysicalHosts テーブルを執拗にクエリしていたことです。

インフラの「構成図」を盗む

PhysicalHosts テーブルには、バックアップ対象となっているサーバーの名称、IPアドレス、OSの種類、さらには物理的な配置構成までもが記録されています。この情報をクエリすることは、組織のITインフラ全体の「精密な地図」を手に入れることになります。どのサーバーに重要なデータがあり、どのルートで攻撃を広げるべきか、攻撃者は事前に把握しようとしていたと考えられます。

人手による攻撃

11時01分に使用された netapp.exe（Netscan）は、人手による攻撃だと推測しました。自動化されたウイルスとは異なり、人間が背後で操作する攻撃では、まずこのようなスキャナーでネットワーク内の「高価値な標的」を特定します。バックアップサーバーは、その性質上、組織内のほぼすべての重要サーバーと通信可能な権限を持っていることが想定されます。そのため、攻撃者はここを起点としてスキャンを行ったと考えられます。

4. Cybereasonによる守護：GSOCとEDRが果たした役割

防御側に求められるのは「断片的な事象を一つのストーリーとして繋ぎ合わせる力」です。

「文脈」の検知

シグネチャベースのツールや、専門家の監視がないEDRのみを導入していた場合、今回の攻撃はどう見えたでしょうか。psql.exe によるクエリは「標準的なDBメンテナンス」として見過ごされ、notepad.exe の実行も「管理者の作業」としてアラートに埋もれていたかもしれません。

CybereasonのEDRは、これらの断片的な挙動を  MalOp™（悪意のあるオペレーション）  として統合しました。「不審な外部IPからのログイン」「ファイル名偽装ツールの実行」「DBへの異例のアクセス」「終了直後の自動ファイル削除」という一連の流れを、一つの攻撃ストーリーとして可視化したのです。

グローバルSOCによる戦略的介入

CybereasonのグローバルSOCは、上記のEDR検知をトリガーに、以下のステップで分析を開始しました。

  • コンテキスト分析:  単なる「ファイル」ではなく、それがバックアップ構成情報の窃取と紐付いていることを特定。
  • 迅速なエスカレーション:  攻撃の深刻度と、バックアップインフラが標的になっている事実を即座に顧客へ通知。
  • 封じ込めアクション:  該当端末の隔離、管理者アカウントのロック、悪意のあるハッシュ値の即時ブロックを推奨し、攻撃者が「ラテラルムーブメント（横展開）」を開始する前にその足を止めました。

攻撃の一連の流れを、一つの攻撃ストーリーとして可視化できる検知性能と、24時間365日の専門家による監視があったからこそ、情報の「確認」から「次の破壊」へと移行する前に、致命的な被害を食い止めることができたのです。

5. 結論：明日のために、今日私たちがすべきこと

サイバー攻撃を100%防ぐことが困難な今の時代において、組織に求められるのは「サイバーレジリエンス（回復力）」です。今回のインシデントは、その回復力の根幹であるバックアップサーバーが、攻撃者の「最初の戦略的攻撃対象」になっているという現実を我々に突きつけました。今回の教訓を活かすため、皆様へ以下の対策を強く推奨します。

  • バックアップサーバーの要塞化:  バックアップ環境へのアクセスは最小権限の原則を徹底し、多要素認証（MFA）を必須としてください。また、データベースへの直接クエリ権限を厳格に制限してください。
  • リモートアクセスツールの管理:  RustDesk や AnyDesk 等、利便性の高い正規ツールが攻撃の踏み台となります。未承認ツールの実行を即座に検知・ブロックする運用を確立してください。また、バックアップサーバーではそれらのアプリケーションが動作しない（させない）仕組みを検討してください。
  • 特権アカウントの振る舞い監視:  管理者権限を用いた「普段行わない操作（構成情報の詳細な検索など）」を、攻撃の予兆として捉える体制を構築してください。
  • 検知後の初動スピードへの投資:  攻撃者は分単位で証拠を消し、次へ進みます。セキュリティ製品の導入に留まらず、そのアラートの背後にある「意図」を読み解き、即座に対応できるMSS/MDRとの連携が、事業継続の鍵となります。

Cybereasonは、単なる製品ベンダーではありません。お客様の環境に潜む「静かな足音」をいち早く察知し、ビジネスの継続性を共に守り抜くパートナーです。