Trusted Design

T1107 - File Deletion

概要

Adversaries may delete files left behind by the actions of their intrusion activity. Malware, tools, or other non-native files dropped or created on a system by an adversary may leave traces to indicate to what was done within a network and how. Removal of these files can occur during an intrusion, or as part of a post-intrusion process to minimize the adversary's footprint.

There are tools available from the host operating system to perform cleanup, but adversaries may use other tools as well. Examples include native cmd functions such as DEL, secure deletion tools such as Windows Sysinternals SDelete, or other third-party file deletion tools. (Citation: Trend Micro APT Attack Tools)

管理者によるコメント

T1107「File Deletion」（ファイル削除） は、攻撃者が自身の活動によって生成された証拠や、目的達成後に不要となったツールを削除し、防御側による検知やフォレンジック調査を妨害するテクニックです。

1. 概要

この手法で攻撃者は、ホスト上に残された「悪意ある活動の物理的な痕跡」を消去します。

何を実現できるのか:

*   **検知の回避:** アンチウイルスやEDRがスキャンを行う前に、攻撃に使用したマルウェアやスクリプトを削除する。
*   **調査の妨害:** 攻撃者が作成した一時ファイル、盗み出したデータのバックアップ、実行ログなどを消し、侵入経路や被害範囲の特定を困難にする。
*   **証拠隠滅:** 攻撃の最終段階で、自身をシステムから「掃除」して立ち去る。

2. 攻撃の流れ

攻撃者は目的を果たした後、あるいはステルス性を維持するために、標準的なシステムコマンドを使用してファイルを削除します。

  1. ツールの使用: 侵入に使用した実行ファイル（例：mimikatz.exe）やスクリプトを削除します。
    • Windows: del /f /q filename
    • Linux: rm -rf filename
  2. 一時データの消去: データの窃取（エクスフィルトレーション）のために作成したアーカイブ（zipファイルなど）や、中間ファイルを削除します。
  3. セルフデリート（自己削除）: マルウェアが実行を終えた後、自身を削除するバッチファイルを作成・実行して消滅します。
  4. セクタレベルの消去: 単なる削除（ゴミ箱に入れる、インデックスを消す）ではなく、復元を不可能にするためにデータをゼロやランダムな値で上書きするツール（SDelete など）を使用する場合もあります。

3. 防御・対策

ファイルが消された後では調査が難しいため、「消される前」のログ収集と「不自然な削除」の検知が重要です。

4. 重要ポイント

5. 関連する主なCWE

6. 関連する代表的なCVE

ファイル削除そのものはOSの基本機能ですが、特定の脆弱性を利用して「本来消せないはずのファイル」を消去する攻撃があります。

調査のヒント

T1107（ファイル削除）によって実体が消されても、Windowsの $MFT（マスターファイルテーブル）や $UsnJrnl（USNジャーナル）には、そのファイルが存在していた記録が残ります。専門的な調査では、これらを使って「消された証拠」を掘り起こすことができます。

分析

この攻撃手法を利用する脅威アクター

この攻撃手法を利用する脅威アクターは登録されていません。

関連する CVE

攻撃手法 – 脅威アクター Graph

← Technique一覧に戻る ← Tactics一覧に戻る