Trusted Design

T1089 - Disabling Security Tools

概要

Adversaries may disable security tools to avoid possible detection of their tools and activities. This can take the form of killing security software or event logging processes, deleting Registry keys so that tools do not start at run time, or other methods to interfere with security scanning or event reporting.

管理者によるコメント

T1089「Disabling Security Controls」（セキュリティ制御の無効化） は、攻撃者が自分の活動を検出されないようにするため、あるいはマルウェアの実行を妨げられないようにするために、システムに備わっている防御機能を力ずく、あるいは設定変更によって無効化する手法です。

1. 概要

この手法で攻撃者は、防御側（EDR、アンチウイルス、ログ収集ツールなど）の「目」と「手」を奪うことを実現します。

2. 攻撃の流れ

攻撃者は、管理者権限を取得した直後、またはマルウェアのペイロードを実行する直前に以下の操作を行います。

  1. プロセスの停止: タスクマネージャーやコマンド（taskkillなど）を使用して、セキュリティ製品のプロセスを強制終了させます。
  2. サービスの無効化: sc config コマンドやレジストリ操作を通じて、アンチウイルス等のサービスがOS起動時に立ち上がらないように設定を変更します。
  3. 構成変更（除外設定）: アンチウイルスを止めるのではなく、特定のフォルダ（例：C:\temp）を「スキャン対象外」に設定し、そこにマルウェアを隠します。
  4. ドライバのアンロード: 脆弱性のある古い正規ドライバを悪用してカーネル空間に侵入し、EDRの監視ドライバをメモリ上から直接削除します（BYOVD攻撃）。

3. 防御・対策

セキュリティソフトそのものが攻撃対象になるため、製品自体の「自己防衛機能」が重要です。

4. 重要ポイント

5. 関連する主なCWE

6. 関連する代表的なCVE

セキュリティ製品の不備や、ドライバの脆弱性を突いて無効化を行う際に CVE が関係します。

補足: T1089は、近年のランサムウェア攻撃（LockBitやContiなど）において、暗号化を開始する前の「必須ステップ」として必ずと言っていいほど実行されています。

分析

この攻撃手法を利用する脅威アクター

関連する CVE

攻撃手法 – 脅威アクター Graph

← Technique一覧に戻る ← Tactics一覧に戻る