インシデントレスポンスレポート: TeamCity 侵害 (CVE-2024-27198)

分析者: Belal Abdelsalam
日付: 2026年7月
ラボ/環境: CyberDefenders JetBrains

---

📄 エグゼクティブサマリー

本レポートは、侵害された JetBrains TeamCity サーバー（バージョン 2023.11.3）のフォレンジック分析を文書化したものです。提供されたネットワークパケットキャプチャ（.pcap）を分析することで、外部の脅威アクターがパストラバーサルの脆弱性（CVE-2024-27198）を使用して認証メカニズムをバイパスしたことが確認されました。攻撃者はその後、Java Server Page (JSP) ウェブシェルを含む悪意のあるプラグインをアップロードし、リモートコード実行 (RCE) を達成し、さらにシステム列挙を行いました。

---

🔍 1. 初期アクセスと偵察

調査は異常なトラフィックの発生源を特定することから始まりました。Wireshark を使用して、Statistics > Conversations > IPv4 に移動し、Web サーバーとの通信量が最も多いエンドポイントを特定しました。

• 攻撃者IP: 23.158.56.196
• ターゲットサーバー: 2023.11.3

HTTP POST リクエスト（http.request.method == "POST"）でトラフィックをフィルタリングし、初期の悪用ベクトルを特定しました。攻撃者は REST API エンドポイントに構造的なセミコロンを追加することで、既知の認証バイパスの欠陥を利用しました。

• 悪用リクエスト: POST /app/rest/users;.jsp
• 特定された脆弱性: CVE-2024-27198

これにより、攻撃者は有効な資格情報なしで管理アクセストークンを生成できました。

---

🪝 2. ウェブシェル展開による永続化

管理アクセスを確保した後、攻撃者は永続性を確立するために動きました。http.content_type contains "multipart/form-data" を使用してファイルアップロードのネットワークストリームをフィルタリングしました。

これらのリクエストの TCP ストリームを追跡すると、攻撃者が .zip アーカイブとしてフォーマットされた悪意のある TeamCity プラグインをアップロードしていることが明らかになりました。

• 悪意のあるアーカイブ: NSt8bHTg.zip
• ウェブシェルペイロード: zip アップロードのプレーンテキスト HTTP ストリームを調べると、内部ディレクトリ構造が明らかになり、NSt8bHTg.jsp という名前の JSP バックドアの存在が確認されました。

---

⚙️ 3. 実行とシステム列挙

侵害の範囲を理解するために、新たに展開されたウェブシェルとの攻撃者のやり取りを追跡しました。

フィルター http.request.uri contains "cmd=" を適用することで、コマンド＆コントロール (C2) トラフィックを正常に分離しました。攻撃者は URL パラメーターを介してオペレーティングシステムコマンドを直接渡しました。

これらの HTTP GET リクエストの TCP ストリームを追跡すると、サーバーのプレーンテキスト応答を読むことができ、攻撃者の列挙手順が明らかになりました。

1. ユーザー探索: whoami を実行して権限レベルを特定しました。
2. ネットワーク探索: ls を実行して内部ファイルをマッピングしました。
3. 防御回避: 攻撃者は Windows Defender にパス C:\TeamCity および C:\Windows のディレクトリ除外を明示的に追加することで、足跡を隠そうと試みました。

---

🚩 侵害指標 (IOC)

---

🛡️ 結論と修復メモ

脅威アクターは CVE-2024-27198 を悪用して初期アクセスを獲得し、永続化のためにカスタムウェブシェルをアップロードし、システムコマンドを実行してホストを列挙し、ローカル防御を回避しました。

推奨アクション:

• 隔離: 影響を受けた TeamCity サーバーを直ちにネットワークから切断する。
• パッチ: TeamCity をバージョン 2023.11.4 にアップグレードするか、JetBrains のセキュリティパッチプラグインを適用する。
• ハント: 特定された IOC について広範なネットワークをスキャンし、攻撃者が侵害されたサーバーを足がかりとして内部インフラストラクチャにピボットしていないことを確認する。

---

免責事項: このリポジトリは、管理された CyberDefenders ラボ環境の一部として教育目的のみで使用されます。所有していない、またはテストする明示的な許可がないシステムでこれらの手法を使用しないでください。