CVE-2022-21894

CVE-2022-21894 に関する公開リポジトリ

メインページ

https://www.microsoft.com/en-us/security/blog/2023/04/11/guidance-for-investigating-attacks-using-cve-2022-21894-the-blacklotus-campaign/

Windows Defender がこの脅威を除去可能に「脆弱性の可能性がある EFI ブートローダー」

基本検出

指定されたドライブの EFI システムパーティションをマウントします。

$ mountvol /s

タイムスタンプが不自然な .efi ファイルを検索

$ dir E:\EFI\Microsoft\Boot*efi

すべてのブートローダーファイルの FileHash を取得し、ERROR_SHARING_VIOLATION が発生するか確認

$ Get-FileHash -Algorithm MD5 -Path (Get-ChildItem "E:\EFI\Microsoft\Boot*.*" -Recurse)

ステージングディレクトリの存在

ESP:\system32\ などのカスタムディレクトリに削除されたファイルが過去に存在したかを確認 このディレクトリは BlackLotus インストール後も削除されません。

HVCI の整合性を確認（存在する場合）

$ reg query HKLM\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity

特定の Windows Defender イベントを確認（Defender の改ざん）

$ Get-EventLog -LogName System -InstanceId 3006

$ Get-EventLog -LogName System -InstanceId 7023

winlogon.exe ポート 80 経由の C2 サーバー接続を確認

$ netstat -ano | findstr ":80"

$ tasklist /V | findstr "winlogon.exe"

sysmon を使用し、sysmonconfig.xml に新しい設定を追加

winlogon.exe

Sysmon

https://github.com/olafhartong/sysmon-modular

脆弱性

手法

https://github.com/Wack0/CVE-2022-21894