Trusted Design
This technique has been deprecated. Please use Create Account, Web Shell, and External Remote Services where appropriate.
Adversaries may use more than one remote access tool with varying command and control protocols or credentialed access to remote services so they can maintain access if an access mechanism is detected or mitigated.
If one type of tool is detected and blocked or removed as a response but the organization did not gain a full understanding of the adversary's tools and access, then the adversary will be able to retain access to the network. Adversaries may also attempt to gain access to Valid Accounts to use External Remote Services such as external VPNs as a way to maintain access despite interruptions to remote access tools deployed within a target network.(Citation: Mandiant APT1) Adversaries may also retain access through cloud-based infrastructure and applications.
Use of a Web Shell is one such way to maintain access to a network through an externally accessible Web server.
T1108は「Redundant Access（冗長アクセス）」として定義されていた、ネットワーク侵入後の「永続化（Persistence）」戦術に分類される古典的なテクニックです。
現在は、攻撃の手口をより具体的かつ実態に合わせて細分化・分類し直すというMITREのフレームワーク改訂に伴い、テクニックとしては非推奨（Deprecated）となり、それぞれの具体的な手法である T1136「Create Account（アカウント作成）」、T1505.003「Web Shell（ウェブシェル）」、T1133「External Remote Services（外部リモートサービス）」 などへ移行・統合されています。
攻撃者がターゲットのシステムやネットワークに侵入した際、「防衛側に1つの裏口（バックドア）が見つかって削除・遮断されても、システムへのアクセスを完全に失わないよう、性質や経路が異なる複数の予備の裏口を同時に仕込んでおく」という、文字通りアクセスの「冗長化」を図る戦略的手法を指します。
この手法で攻撃者は、「防衛組織（SOCやインシデント対応チーム）による『駆除・締め出し』の努力を無力化し、泥泥の消耗戦に持ち込んで潜伏を長期化させること」を実現します。
インシデント対応への耐性（トカゲの尻尾切り）:
セキュリティチームが「不審なC2通信を行うマルウェア」を1つ発見してプロセスを終了し、ファイルを削除したとします。通常ならこれで一件落札ですが、攻撃者がT1108（冗長アクセス）を仕込んでいた場合、全く別のWebシェルや不正作成された正規アカウント経由で即座に再侵入し、数時間後にはマルウェアを再配置して復活させます。
全滅リスクの回避:
通信経路（HTTP/S、DNS、VPNなど）や使用するツール、配置する場所を分散させることで、企業のファイアウォール設定の変更やアンチウイルスの定義更新によって、すべてのアクセスルートが一度に全滅するリスクを回避します。
攻撃者が初期侵入（例: 不正メールの開封）に成功し、ネットワークの管理者権限を一時的に掌握した後の「足場固め」のフェーズで実行されます。
メインのバックドア設置:
攻撃者はまず、通常の指令サーバー（C2）と通信する高機能なマルウェア（RAT）を1台の端末に感染させます。
異なるレイヤーでの「予備の裏口」の仕込み（トリガー）:
攻撃者はメインのマルウェアが消されたときの保険として、システム内に以下のような全く異なるタイプのアクセス権を同時にバラまきます。
予備1（Webシェル）:
公開Webサーバーの奥深くのフォルダに、ブラウザからコマンドを実行できる数行のスクリプト（backdoor.php など）を隠す。（⇒ 現 T1505.003）
予備2（正規アカウント）:
Active Directory内、またはローカルのOS設定で、一般社員に見せかけたダミーのユーザーアカウントを勝手に作成し、強力なパスワードを設定しておく。（⇒ 現 T1136）
予備3（外部接続サービス）:
企業の正規のVPNやリモートデスクトップ（RDP）のアクセス権に、盗んだ（あるいは作成した）資格情報を紐づけておく。（⇒ 現 T1133）
防衛側による発見と対処:
企業のSOCが「メインのバックドア（マルウェア）」の不審な通信を検知し、該当端末をネットワークから隔離・クリーンアップします。防御側は「脅威を排除した」と判断します。
冗長ルートからの再侵入（目的達成）:
攻撃者は数日後、検知を免れていた「予備1（Webシェル）」に外部からこっそりアクセスするか、あるいは「予備2・3」のVPNアカウントを使って、正面玄関（正規のログイン画面）から堂々とパスワードを入力してネットワークに再侵入します。これにより、防衛側の知らないところで攻撃フェーズが何事もなかったかのように再開されます。
単一のマルウェア駆除にとどまらず、「システム全体に仕込まれた可能性のある全ての変更点」を包括的に洗い出すパラダイムシフトが必要です。
インシデントレスポンス時の包括的なスコーピング（最重要）:
マルウェアが1つ見つかった際、「そのファイルを消して終わり」にするのではなく、そのマルウェアが動いていた期間中に「新しいローカル/ドメインアカウントが作成されていないか」「Webサーバーの公開ディレクトリに新しいファイルが置かれていないか」「VPNの認証ログに不審な履歴がないか」を横断的に調査（スコーピング）します。
アカウント作成およびグループ変更の厳格な監視:
Active Directoryのイベントログにおいて、イベントID 4720（ユーザーアカウントが作成されました） や イベントID 4732（セキュリティ対応のローカルグループにメンバーが追加されました） などをSIEMで常時監視し、公式の申請プロセスを経ていないアカウントの発生を即座にアラート化します。
Webサーバーのファイル整合性監視（FIM）:
外部に公開されているWebサーバーのディレクトリを監視し、.php や .aspx といった実行可能スクリプトが新しく追加・改ざんされた場合に自動的に管理者へ通知する仕組みを導入し、Webシェルの設置（予備ルートの構築）を防ぎます。
「木を見て森を見ず」を突く心理戦:
攻撃者は、防御側が「1つ大きなサイバー脅威（マルウェアなど）を見つけると安心し、調査をそこで終了しがちである」という運用の隙（人間の心理的バイアス）を極めて的確に突いてきます。T1108は、ハッカーと防衛側の間で行われる知恵比べの象徴的な戦略です。
フレームワーク改訂の背景:
旧T1108が非推奨となったのは、このテクニックが「概念（アクセスを冗長化するぞという目的）」に近く、実際の防衛の現場では「Webシェルを検知する」「アカウント作成を監視する」といった具体的な技術に落とし込まないと対策が難しかったためです。現在のATT&CKでは、より実戦的な戦術へと解体されています。
CWE-276: Incorrect Default Permissions（不適切なデフォルト権限）
WebサーバーのディレクトリやOSの設定において、一般ユーザー（または乗っ取られたプロセス）が新しいファイル（Webシェル）を書き込めたり、サービスを追加できたりする過剰な書き込み権限が残っている問題。
CWE-284: Improper Access Control（不適切なアクセス制御）
外部からアクセスできるリモートサービス（VPNやSSHなど）への認証やアカウント管理のチェックが甘く、攻撃者が勝手に作ったアカウントでのログインや接続維持を許してしまう問題。
高度な標的型攻撃（APT）集団にとって、T1108（冗長アクセスの確保）は「基本中の基本」であり、インフラに数ヶ月〜数年にわたって潜伏するための必須科目となっています。
インシデント対応（IR）の現場において、「一度駆除したはずのマルウェアが、翌週になると同じサーバーでまた元気に動き出した（再感染のループ）」という現象が起きた場合、ほぼ間違いなくこの旧 T1108（冗長アクセス）の予備ルートがどこかに生き残っています。
慌てて同じファイルを何度も消すのではなく、一歩引いて「攻撃者が残していった可能性のある他の足跡（Webシェルや新規アカウント、不審なスケジュールタスク）」の全頭検査にシフトすることが、泥沼の再感染ループを断ち切るための唯一のブレイクスルーとなります。
この攻撃手法を利用する脅威アクターは登録されていません。