Trusted Design

T1177 - LSASS Driver

概要

The Windows security subsystem is a set of components that manage and enforce the security policy for a computer or domain. The Local Security Authority (LSA) is the main component responsible for local security policy and user authentication. The LSA includes multiple dynamic link libraries (DLLs) associated with various other security functions, all of which run in the context of the LSA Subsystem Service (LSASS) lsass.exe process. (Citation: Microsoft Security Subsystem)

Adversaries may target lsass.exe drivers to obtain execution and/or persistence. By either replacing or adding illegitimate drivers (e.g., DLL Side-Loading or DLL Search Order Hijacking), an adversary can achieve arbitrary code execution triggered by continuous LSA operations.

管理者によるコメント

T1177「LSASS Driver」 は、Windowsのセキュリティの要である LSASS（Local Security Authority Subsystem Service） プロセスに対して、悪意のある「ドライバー」を読み込ませることで、メモリ内の認証情報（パスワードハッシュなど）を直接盗み取ったり、セキュリティ機能を無効化したりする手法です。

1. 概要

この手法で攻撃者は、「システムの深層部からの、究極の認証情報奪取」を実現します。

何を実現できるのか

2. 攻撃の仕組みと流れ

LSASSは通常、許可されたプログラム以外からのアクセスを厳しく制限していますが、攻撃者は「ドライバー」という特権を利用してその壁を越えます。

  1. ドライバーの準備: LSASSのメモリを読み書きするための悪意のある、あるいは脆弱な正規ドライバーを用意します。
  2. 署名のバイパス（DSEバイパス）: Windowsの64bit版では署名のないドライバーは読み込めないため、以下のいずれかを行います。
    • 盗んだ証明書で署名する。
    • BYOVD (Bring Your Own Vulnerable Driver): 脆弱性のある「正規のドライバー」を悪用して、カーネル権限でコードを実行します。
  3. LSASSへの注入: ドライバーをロードし、LSASSプロセスのメモリ空間にアクセスして認証情報を抽出します。
  4. 情報の持ち出し: 抽出した情報をファイルに保存したり、ネットワーク越しに攻撃者へ送信したりします。

3. 防御・対策

カーネルレベルの攻撃を防ぐには、OSの根本的な保護機能を活用する必要があります。

4. 重要ポイント

5. 関連する主なCWE

6. 関連する代表的な事例

実務上のヒント

最新のWindowsであれば、「Windows Defender Credential Guard」 を有効にすることが、この T1177 に対する最も強力な対抗策となります。これが有効な環境では、たとえカーネル権限を奪われても、パスワードハッシュを直接盗み出すことは極めて困難になります。

分析

この攻撃手法を利用する脅威アクター

関連する CVE

攻撃手法 – 脅威アクター Graph

← Technique一覧に戻る ← Tactics一覧に戻る