SolarWinds Web Help Desk悪用警告：RCEとDCSync対策

Introduction: なぜ重要なのか

インターネットに公開された業務アプリケーション（line-of-business）ツールは依然として高価値の標的であり、Microsoft は、単一の SolarWinds Web Help Desk (WHD) インスタンスの侵害が、より広範なドメイン侵害への足掛かりとなった実際の攻撃を確認している。このキャンペーンは「living-off-the-land」(LoTL) 行動、正規の管理ツールの悪用、そして低ノイズな永続化が特徴で、シグネチャベースのみの対策を回避しやすい。

What’s new / Microsoft が観測した内容

Microsoft Defender Research は、公開された WHD サーバーを起点とする多段階侵入を特定した。

• WHD の悪用による初期侵入 (RCE): 悪用に成功すると、WHD アプリケーションのコンテキストで 未認証のリモート コード実行 が可能になった。Microsoft は使用された特定の脆弱性を確認できていないが、影響を受けたシステムは CVE-2025-40551、CVE-2025-40536、CVE-2025-26399 に脆弱であったと指摘している。
• 組み込みツールを用いたペイロード配布: 侵害後、WHD サービスが PowerShell を起動し、BITS を使用してペイロードをダウンロードして実行した。
• 制御に正規 RMM を使用: 複数のケースで、攻撃者は対話的アクセスを得るために Zoho ManageEngine (RMM) のコンポーネント（例：ToolsIQ.exe のようなアーティファクト）をインストールした。
• 認証情報の取得と権限昇格:
  • Domain Admins を含むドメイン ユーザー/グループの列挙。
  • wab.exe が悪意のある sspicli.dll を読み込む DLL サイドローディング。これにより LSASS へのアクセスが可能になり、よりステルス性の高い認証情報窃取が行われた。
  • 少なくとも 1 件は DCSync に進展しており、高権限の認証情報取得を示唆する。
• 永続化と回避:
  • 逆方向の SSH および RDP アクセス。
  • 特にステルス性の高い手法：起動時に SYSTEM 権限で QEMU を起動する スケジュール タスク。ホスト ポート経由で SSH をフォワードしつつ、VM 内にアクティビティを隠蔽する。

IT 管理者とエンドユーザーへの影響

• 管理者: 公開到達可能な WHD インスタンスは、ドメイン全体の侵害につながり得る侵入口として扱うべきである。攻撃者は管理作業（PowerShell/BITS/RDP/SSH）に紛れ込むため、エンドポイント、ID、ネットワークを横断した行動ベースの監視が不可欠となる。
• エンドユーザー: ドメイン支配が成立すると、アカウント乗っ取り、パスワード窃取、サービス妨害、さらにランサムウェアやデータ窃取リスクの拡大といった下流影響が生じ得る。

推奨アクション / 次のステップ

1. 即時にパッチ適用と露出削減を実施
   • CVE-2025-40551、CVE-2025-40536、CVE-2025-26399 に対処する更新を適用する。
   • 可能な限り公開を取りやめ、管理経路を制限し、ログ（Ajax Proxy などの WHD コンポーネントを含む）を強化する。
2. 侵害後の兆候をハンティング
   • Microsoft Defender Vulnerability Management (MDVM) を使用して、脆弱な WHD サーバーを特定する。
   • Defender XDR Advanced Hunting で、WHD から開始する不審なプロセス チェーン（例：wrapper.exe が PowerShell/BITS を起動）や、侵害が疑われる期間以降に追加された ManageEngine/RMM アーティファクトを確認する。
3. 不正なリモート ツールを排除
   • 想定外の ManageEngine RMM コンポーネントを特定して削除し、どのように配布されたかを調査する。
4. 封じ込めと復旧
   • 疑わしいホストを隔離し、WHD から到達可能なサービス アカウントおよび管理者アカウントを起点に 認証情報をローテーションする。
   • ID 侵害の兆候（pass-the-hash/over-pass-the-hash）と DCSync の兆候を調査する。

Microsoft は分析が進行中であるとし、防御側はアクティブな悪用が継続している前提で、インターネット公開アプリケーションの衛生管理と多層的な検知を優先すべきだとしている。