GoSecure、RDPハニーポット内で3年間にわたりハッカーの画面を記録

2020年1月、GoSecureの研究者Olivier BilodeauとAndréanne Bergeronは、米国に意図的に脆弱なパスワードを設定した仮想マシンを、Microsoftのリモートデスクトッププロトコル（RDP）で立ち上げた。これはランサムウェア集団が企業ネットワークに侵入する際に使うのと同じアクセスポイントだった。それは罠であり、自作のPyRDPツールが全セッションを通じてマシンの画面を記録し、侵入者が自分のクリップボードにコピーしたものすべてを密かに取得した。

3年間でこのマシンは2,100万回のログイン試行と、パスワードを総当たり攻撃する攻撃者による2,600回以上のログイン成功を捕捉した。研究者らはそのうち2,300セッションを記録し、470個のアップロードファイルを収集し、有用な映像を含む339本の動画を分析した。100時間以上に及ぶその映像をBergeronは「彼らの行動すべてを映し出す監視カメラのようなもの」と表現した。攻撃者らは使用ツール（Masscan、NLBrute）や作業手順、時には自分自身までも明らかにした。ある者は自分の名前を含む可能性のあるパスワードを生成し、別の者たちは罠の内部から個人のメールアカウントにログインした。

その映像は現場の手引となった。チームは攻撃者をダンジョンズ＆ドラゴンズのキャラクターにちなんだ5つの類型に分類した。即座に偵察を行う「レンジャー」、IPとパスワードのリストを使って総当たりで先へ進む「バーバリアン」、RDPを他のマシンへ連鎖させる「ウィザード」、暗号通貨マイナーをインストールしてトラフィックを収益化する「シーフ」、そして迷える「バード」である。あるバードは「史上最強のウイルス」をGoogleで検索し、別の者たちはYouTubeでポルノを探し、いずれも常にペルシア語で書き込んでいた。自動化されたものはほとんどなく、ほとんどの攻撃者は手作業でクリックしていた。この研究はラスベガスのBlack Hatで発表された。

侵入を記録するだけでなく、その現場を目撃せよ。攻撃者自身の画面とクリップボードを記録すれば、罠はツール、習慣、身元を自ら文書化する。

RDPはもともと侵入が集中する場所であるため、脆弱なRDPの罠は理論上の攻撃者ではなく実在の攻撃者集団を標本化する。

映像はログに勝る。手法やツールは攻撃者の画面から直接読み取れ、フォレンジックな再構築は不要である。

クリップボードの取得により、攻撃者が自分のマシンから持ち込むもの、すなわち認証情報や身元が捕捉される。ただし一部は法的に使用できない。

手法を公開することは攻撃者のコストを高める。監視されている侵入者は速度を落とすか習慣を変えるかのいずれかであり、どちらの結果も防御となる。

ログを保存するハニーポットは何が実行されたかを教えるが、操作者のセッションを記録するハニーポットは彼らが誰であるかを教える。攻撃者は人間のように振る舞い、人間は情報を漏らす。

Bilodeauによれば、その収穫、すなわち手法、ツール、さらには攻撃者がTelegramをインストールして侵害されたシステム上でログインし、電話番号や国コードを露出させたことなどは、技術ログがこれまで提供したことのないインテリジェンスだった。ただし一部の認証情報は残念ながら法的に使用できなかった。GoSecureは企業に対し、誰がノックしているかを経営陣に示すために自社の罠を運用することを提案し、将来の罠に暗号化可能なファイルを仕込んでランサムウェア集団をおびき寄せることも構想した。MalwarebytesのMark Stockleyによる外部検証はその露出度を強調した。彼がかつて運用した10台のハニーポットRDPはすべて15時間以内に攻撃された。