こんにちは、 ネクストモード株式会社 の sobar です。
今回はエンドポイント検知（Malware via PUP）の対応について記載します。Slackによる検知通知を受けてから該当エンドポイント検知の調査・確認・対応・クローズまでをご紹介してみたいと思います。※記事内の対応についてはあくまでも対応の一例として見ていただけますと幸いです。
弊社ではEPP DetectionのSlack通知設定を行っております。今回は2件届きましたので該当エンドポイント検知を見ていきます。
エンドポイントセキュリティ > エンドポイント検知 より確認しますと2件の検知（手法による戦術：Malware via PUP）があがっていました。IOAによる検知としてプロセス含めて確認をしていきます。※IOA検知については以下のブログもご確認ください。
ステータスと割り当てを変更します。右端の点々 > Edit status をクリックします。
ステータスの変更編集より、ステータス：In progress、割当先：自分 に設定しステータスの更新をクリックします。
2件とも設定変更をします。
調査の前に「手法による戦術：Malware via PUP」について整理します。
PUPは Potentially Unwanted Program（潜在的に迷惑なプログラム） の略称です。
マルウェア（ウイルスやランサムウェアなど、明確な悪意を持って破壊や窃取を行うプログラム）とは異なり、多くの場合、ユーザー自身が（気づかないうちに）同意してインストールしてしまっているという特徴があります。法的にはグレーゾーンに位置することが多いプログラムです。
代表的なPUPの例
アドウェア：画面上に不要な広告を大量に表示させるプログラム。
ブラウザハイジャッカー：ブラウザのホームページや検索エンジンを勝手に書き換えるツールバーや拡張機能。
偽のシステム最適化ツール：「あなたのPCは危険です！」「エラーが100個あります！」と嘘の警告を出し、有料版を購入させようとするアプリ（スケアウェア）。
バンドルウェア：無料のフリーソフトをインストールする際に、「ついでにインストール」するようチェックボックスが最初から入っているおまけのソフト。
CrowdStrike Falcon における「手法による戦術：Malware via PUP」は、「最初は『単なる迷惑ソフト（PUP）』としてPCに入り込んだものが、裏で本格的な『悪意あるマルウェア』をダウンロード・実行する」という戦術（手口）を指しています。
つまり、PUPが本命のマルウェアをPCに引き入れるための「運び屋（ドロッパー/ダウンローダー）」として機能する攻撃手法です。
具体的に該当するシナリオ（手口）
それでは以下より調査を行っていきます。
Charlotte AIにも調査・対応方法を確認します。
2件ともChrome での操作によるダウンロード、Cache各ファイルが隔離されていることが確認できます。さらに調査の進め方について確認すると以下のような内容を提案されました。それぞれ順番に確認していきます。
1) Falconコンソールで検知詳細を開いて「隔離が成功しているか」を確認
2) 「gsecdump-v2b5.exe」が実行された痕跡があるか確認（最重要）
3) 起点の特定（なぜChromeからDownloadsに落ちたか）
エンドポイントセキュリティ > エンドポイント検知 該当検知の詳細を確認すると、実行されたアクション：File quarantined、トリガー元のインジケータでも隔離されたファイルのハッシュ値は同じ（94cae63dcbabb71c5dd43f55fd09caeffdcd7628a02a112fb3cba36698ef72bc）で、それ以外の検知内容も同様ですので、2件とも同件として対応します。
また、エンドポイントセキュリティ > 隔離されたファイル を確認すると該当ファイルが確認できますため、隔離は成功してそうです。
気になったのでCharlotte AIに確認します。「隔離されたファイルに gsecdump-v2b5.exe / f_009c04 と表示されている」 ＝「実行されていない」とは断定できない、ただし実行された痕跡は見えていない状況であるとのこと。Falconの「Quarantined files（隔離）」は、センサーがそのファイルを 安全な場所へ移動・改名・エンコードして隔離したことを意味し、隔離のトリガーは以下2系統あるようです。
実行（または実行試行）時の隔離：“malicious file attempting to run” のタイミングで隔離
書き込み（On Write）時の隔離：ポリシーで Detect on Write / Quarantine on Write が有効だと、ディスクに書かれた時点で隔離され、実行前に止まる（※以下で防止ポリシーの書き込み時隔離の確認も実施）
したがって、隔離欄に該当ファイルが出ているだけでは「実行された/されていない」は決まらないようです。
「gsecdump-v2b5.exe」 は files_written（書き込み） に登場し、quarantined_files（隔離） に入っているため、 「Chrome経由でダウンロード（書き込み）されたタイミングで隔離された」（＝実行前に止まった）といったシナリオであろうということです。
※プロセス生成があるか？プロセス開始イベントがあるか？の確認は必要なようですので次項で合わせて確認したいと思います。
テナント上で エンドポイントセキュリティ > 防止ポリシー > Windows > 利用ポリシー を確認すると書き込み時隔離（Quarantine on Write） は有効となっていることを確認しました。これによって機械学習を使用して疑わしいファイルがディスクに書き込まれたときにそれらを隔離する対応はとられるようです。
書き込み時隔離（Quarantine on Write） が有効である場合、「gsecdump-v2b5.exe」 は ディスクに書き込まれた（＝ダウンロード/生成/コピーされた）段階で、実行前に隔離された可能性が高く、つまり、少なくとも “ユーザーがダブルクリックして起動した”ような通常の実行は阻止できているという見立てになります。ただし、書き込み→隔離の“間”に一瞬でも実行された（現実的には低いが理屈上はあり得る）といったようなリスクもあるため、「gsecdump-v2b5.exe」が実行された痕跡があるかは以下で確認していきます。
「gsecdump-v2b5.exe」が実行されたことを高度なイベント検索で確認するコマンドを提案されましたので確認していきます。
以下も追加の裏取りとして提案されてますので実際に確認してみます。
調査 > 高度なイベント検索 よりクエリ実行します。
過去7日を対象に検索、検索結果としては無しです。
過去7日を対象に検索、検索結果としては無しです。
過去7日を対象に検索、検索結果としては無しです。
該当検知の詳細ビューをクリックします。
Process tree タブでプロセスツリーを確認します。左から右にプロセスが実行されていきますが、子プロセスとして「gsecdump-v2b5.exe」は実行されていないようです。
※プロセスツリーの子プロセスに現れない=確実にプロセスは実行されていない、とは言い切れないものの、①②③の結果も踏まえると、「gsecdump-v2b5.exe」は実行されていないといえるかと思いますので、プロセスの実行確認は以上とします。
ここでVirusTotalでのハッシュ（94cae63dcbabb71c5dd43f55fd09caeffdcd7628a02a112fb3cba36698ef72bc）検索も確認しておきます。セキュリティベンダー64社のうち57社がこのファイルを悪意のあるファイルとしてフラグ付けしてました。
VirusTotalについては以下のブログをご参照ください。
今回はNetskope（SSE）でも「gsecdump-v2b5.exe」はDL（Internet ArchiveからのDownload）を確認。
該当ユーザに「gsecdump-v2b5.exe」のDLの実行を確認しました。
該当ユーザ（エンジニア）が検証の目的で「gsecdump-v2b5.exe」をDLしたことがわかりました。
※近々購入する予定である検証環境で存分に実施いただくようお伝えしました。
エンドポイントセキュリティ > 隔離されたファイル より、該当のファイルを選択後、アクションの×ボタン（削除）をクリックします。
削除をクリックします。
ステータス：Deleted になりました。
ステータスと割り当てを変更します。右端の点々 > Edit status をクリックします。
ステータス：Close、マークする：無視、タグ：ignored、コメントの追加を行ったのち、ステータスの更新を実施します。
2件とも設定変更をし、対応終了となります。
今回と同様の対応・確認を行う際には以下のCrowdStrike Falcon のライセンスが必要となります。
※その他ライセンスの詳細につきましては弊社までお気軽にお問合せください。
今回はエンドポイント検知（Malware via PUP）の対応について記載しました。改めてですが、今回のようなマルウェアファイルの検知・隔離についても、プロセスが実行された・されていないが焦点になるため、プロセスの実行状況の調査・確認が重要となることを実感しました。また、Charlotte AIの利用が調査を行うための大きなサポートになることを改めて実感いたしました。※冒頭でも触れましたが、記事内の対応についてはあくまでも対応の一例として見ていただけますと幸いです。
この記事によってなにか新たな気づきがあり、皆さまの CrowdStrike Falconの運用一助となれば幸いです。
ネクストモードでは、CrowdStrikeをはじめ、OktaやNetskopeを活用したSaaS・生成AIの包括的なセキュリティ対策をご支援しています 。ご興味のある方は、ぜひお気軽にご相談ください！