Windows Credential Manager から一般権限で一部の認証情報を取得するスクリプト Invoke-WCMDump(Scan Tech Report) | ScanNetSecurity
2020.01.18(土)

Windows Credential Manager から一般権限で一部の認証情報を取得するスクリプト Invoke-WCMDump(Scan Tech Report)

Microsoft 社の OS である Windows の Windows Credential Manager から、一般権限で一部の認証情報を取得するスクリプトが公開されています。

脆弱性と脅威 エクスプロイト
◆概要

Microsoft 社の OS である Windows の Windows Credential Manager から、一般権限で一部の認証情報を取得するスクリプトが公開されています。当該スクリプトにより取得可能な認証情報は限られていますが、攻撃者が Windows 端末への侵入に成功し当該スクリプトを実行した場合、認証情報を取得され、権限の昇格や侵入範囲の拡大に悪用されてしまう可能性があります。

◆分析者コメント

一般権限で認証情報を取得するツールとしては Invoke-Mimikittenz が 2016 年に公開されていますが、Invoke-Mimikittenz が稼働中のプロセスから認証情報を取得するのに対して、今回公開されたスクリプトはメモリから取得するものです。類似した動作をするツールが過去に EXE 形式で公開されていますが、PowerShell のスクリプト化によりファイルを直接アップロードせずに攻撃することが可能となるため、攻撃の検知が難しくなります。対策することが難しい手法であるため、手法として認知することを推奨します。

◆影響を受けるソフトウェア

影響範囲は公表されていませんが、Windows 7 以後の Microsoft Windows で当該スクリプトが動作することを検証により確認しています。

◆解説

管理者権限を必要とせずに Microsoft Windows OS に実装されている Windows Credential Manager から認証情報を取得する、PowerShell のスクリプトが公開されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

PageTop

特集

アクセスランキング

  1. 上野宣はなぜ株式会社Flatt Securityの社外取締役に就任したのか

    上野宣はなぜ株式会社Flatt Securityの社外取締役に就任したのかPR

  2. DNS over HTTPS はインターネットの良心を破壊するか? ポール・ビクシー講演

    DNS over HTTPS はインターネットの良心を破壊するか? ポール・ビクシー講演

  3. 複数のCDNに、サイト閲覧者に攻撃が行われる脆弱性(JVN)

    複数のCDNに、サイト閲覧者に攻撃が行われる脆弱性(JVN)

  4. 「非公開」動画も公開、「TikTok」の脆弱性を発表(チェック・ポイント)

    「非公開」動画も公開、「TikTok」の脆弱性を発表(チェック・ポイント)

  5. 委託先企業の業務用PCが遠隔操作攻撃で操作不能に(荏原製作所、イディア)

    委託先企業の業務用PCが遠隔操作攻撃で操作不能に(荏原製作所、イディア)

  6. 「改ざんサイト」は2019年8月から急増、検索結果から誘導(デジタルアーツ)

    「改ざんサイト」は2019年8月から急増、検索結果から誘導(デジタルアーツ)

  7. OracleがJavaをアップデート、ライセンス変更にも注意(IPA、JPCERT/CC)

    OracleがJavaをアップデート、ライセンス変更にも注意(IPA、JPCERT/CC)

  8. 「Junos OS」に複数の脆弱性、アップデートを呼びかけ(JVN)

    「Junos OS」に複数の脆弱性、アップデートを呼びかけ(JVN)

  9. ドイツBSIの産業用制御システムのセキュリティ10大脅威を翻訳して提供(IPA)

    ドイツBSIの産業用制御システムのセキュリティ10大脅威を翻訳して提供(IPA)

  10. 「よりそうeねっと」へのパスワードリスト型攻撃、アプリからの不正ログインが判明(東北電力)

    「よりそうeねっと」へのパスワードリスト型攻撃、アプリからの不正ログインが判明(東北電力)

ランキングをもっと見る