認証強制攻撃とは
サイバーセキュリティ研究者たちは、Windowsを標的とした攻撃において、ユーザーの操作やシステムの脆弱性を必要とせずに、基本となるOS機能を悪用して貴重な認証情報を強制的に漏洩させる新たな傾向を特定しました。この「認証強制（Authentication Coercion）」として知られる攻撃手法は、正規のリモートプロシージャコール（RPC）プロトコルを操作し、コンピューターを攻撃者が制御するシステムに認証させることで、ネットワークドメイン全体を危険にさらす可能性があります。
認証強制攻撃は、Windowsに組み込まれた自動認証の動作を悪用します。マシンが共有ディレクトリやプリンターなどのネットワークリソースに接続しようとすると、自動的に認証を開始します。攻撃者はこの基本的な機能を悪用し、正規のリソースを偽装する悪意のあるリスナーをセットアップします。ターゲットマシンが接続すると、意図せずハッシュ化された認証情報が攻撃者のサーバーに送信され、その後の侵害の足がかりとなります。
進化する攻撃手法
近年、PrintNightmareのような認証強制技術が広く認識されるようになりましたが、セキュリティ研究者たちは、攻撃者の戦術に大きな変化が見られると指摘しています。防御策の標的となった既知の脆弱性に依存するのではなく、脅威アクターは監視が手薄なRPCインターフェースや機能を悪用する傾向を強めています。この進化により、悪意のあるアクターは、従来の強制攻撃を検出するために特別に設計されたセキュリティツールを回避することが可能になっています。
拡大する攻撃対象領域
潜在的な悪用の範囲は、当初認識されていたよりもはるかに広範です。Windowsの認証強制メソッドに関する公開リポジトリには、攻撃者が利用できる5つのプロトコルにわたる16の機能が文書化されており、研究者たちはさらに240以上の機能が未テストであり、悪用される可能性があると指摘しています。これは、攻撃者がこれらの攻撃を実行するための多数の経路を持っていることを意味し、防御の進化に合わせて技術を切り替えることができます。
最近のテレメトリーデータによると、複数のセクターの組織が、ますます高度化する認証強制キャンペーンに直面しています。脅威アクターは、ドメインコントローラーや読み取り専用ドメインコントローラーなどの重要な資産を標的とすることに特に関心を示しています。これらが侵害された場合、ドメイン全体の侵害やエンタープライズネットワーク内でのラテラルムーブメントにつながる可能性があります。
最近の事例
2025年3月に発生したある医療機関へのインシデントでは、攻撃者はめったに使用されないMS-EVEN（EventLog Remoting Protocol）インターフェースを悪用して認証強制を実行しました。脅威アクターは、一般的なネットワーク環境ではほとんど監視されない比較的知られていないRPCメソッドであるElfrOpenBELW関数を使用しました。
ドメインコントローラーやCitrixシステムを含む複数の重要サーバーから認証を強制することに成功した後、攻撃者はNTLMハッシュを窃取し、その後、証明書認証局サーバーに対してNTLMリレー攻撃を実行しました。これにより、ドメイン全体の特権昇格につながる可能性がありました。この攻撃の成功は、ターゲット環境におけるこのRPCインターフェースの稀少性を悪用したことに起因しています。より知られていない機能を使用することで、脅威アクターはPrintNightmareやPetitPotamのような一般的な強制技術に焦点を当てた従来の検出メカニズムを効果的に回避しました。
脅威への対策
組織は、特定の既知の脆弱性を標的とする受動的な防御を超えた対策を講じる必要があります。効果的な保護には、一般的なRPC監視の実装が求められます。これにより、不審なUNCパスパラメータ、疑わしい送受信の組み合わせ、重要インフラを標的とした呼び出しなど、行動異常を特定できます。セキュリティチームは、既知の脆弱なインターフェースだけでなく、確立されたベースラインから逸脱する稀なRPC機能も監視する必要があります。
技術的な緩和策には、以下のものが含まれます。
- 未使用のRPCサービスを無効にする。
- ドメイン全体でSMB署名を強制する。
- 認証の拡張保護を有効にする。
- Windowsの組み込みユーティリティを使用してRPCフィルターを実装する。
- ドメインコントローラー上のPrint Spoolerなど、不要なサービスを無効にすることで、攻撃対象領域を大幅に削減する。
防御側が既知のベクトルに対する防御を強化するにつれて、攻撃者は必然的に新しいRPC機能を発見し、悪用するでしょう。成功には、組織がRPCトラフィックパターンにおける異常を特定し、行動ベースラインを確立し、新たな攻撃手法を継続的に評価する、プロアクティブでコンテキストを意識した監視戦略を採用することが不可欠です。