AiLock 日本交通.lst　構造分析と攻撃手法、防御への教訓その２

はじめに

ネット探検ラボは、流出データを興味本位で覗き見するサイトではありません。

本調査の目的は、ランサムウェア犯罪グループが被害企業のデータ構成をどこまで理解し、内部侵入後にどの深度まで探索・把握・選別したのかを構造的に分析することにあります。

個人情報や機微情報の具体的内容は提示せず、攻撃者の技量・手法・侵害範囲を可能な限り客観的事実から組み上げ、その教訓を防御側の防御設計に資することを願っています。

ファイル本文は開かず、目録に含まれる階層・拡張子・件数・サイズ表記などのメタデータを集計する。
個人名、住所、車両番号、資格番号その他の識別情報はレポートに掲載しない。
確認できた事実、合理的な推察、断定できない事項を明確に分離する。
攻撃者の能力評価を、データ配置、アクセス制御、ドメイン設計、ネットワーク分離、監視設計の改善へ接続する。

エクゼグティブサマリー（調査結果の要約）

対象は、ZIP 展開後 55,738,735 バイト、全 571,269 行の UTF-8 テキストです。末尾集計と独自解析は一致し、48,325 ディレクトリ、522,942 ファイルが列挙されていました。

最大階層深度は 15、ファイルの中央値は深度 7で、ファイルパスの95パーセントは深度10以下に収まっており、攻撃者は主として通常の業務で利用される階層を対象に情報収集を進めていた可能性がうかがえます。

人間が目視で作った一覧ではなく、再帰的列挙を自動実行した出力と判断できます。
もっとも重要な点は、単一のフォルダを偶然取得した形ではなく、OS 削除領域、資格証明画像領域、データベース・バックアップ領域、全社共有領域、部門別領域という性格の異なる複数の論理領域が、同一の木構造として列挙されていることである。これは攻撃者が少なくとも一つの広範な共有ストレージ、または複数領域を束ねたマウントポイントへ到達し、メタデータを読み取れる権限を得ていた可能性を強く示す。
ただし、この目録だけでは Domain Admin 取得、全ファイルの本文閲覧、全件窃取、複数サーバへの横展開を断定できない。目録が単一ストレージのスナップショットから生成された可能性も残る。したがって本報告では、広範な再帰列挙能力は「高確度」、権限昇格や横展開は「中程度の確度」、ドメイン全体の掌握は「未証明」と評価する。

もっとも重要な点は、単一のフォルダを偶然取得した形ではなく、OS 削除領域、資格証明画像領域、データベース・バックアップ領域、全社共有領域、部門別領域という性格の異なる複数の論理領域が、同一の木構造として列挙されていることです。

これは攻撃者が少なくとも一つの広範な共有ストレージ、または複数領域を束ねたマウントポイントへ到達し、メタデータを読み取れる権限を得ていた可能性を強く示しています。

ただし、この目録だけでは Domain Admin 取得、全ファイルの本文閲覧、全件窃取、複数サーバへの横展開を断定できませんでした。目録が単一ストレージのスナップショットから生成された可能性も残ります。したがって本報告では、広範な再帰列挙能力は「高確度」、権限昇格や横展開は「中程度の確度」、ドメイン全体の掌握は「未証明」と評価します。

1.調査対象と解析方法

1−1対象資料

1-2解析方法

1.ZIP の内部構成と展開後サイズを確認した。
2.全行をストリーム処理し、ツリー記号から階層深度を復元した。
3.次行がより深い階層に入るかどうかを利用し、ディレクトリとファイルを分類した。
4.拡張子、サイズ表記、階層深度、最上位論理領域ごとの件数を匿名化して集計した。
5.具体的な個人情報、文書名、識別番号は出力対象から除外した。
注意: 目録内のサイズは K、M、G 等の人間可読形式で丸められている。
　　このため総容量は厳密値ではなく概算である。
また、一覧に存在することは「メタデータを列挙できた」ことを示すが、
本文の読み取り成功や外部への完全窃取を直接証明しない。

2.目録の生成方式に関する分析

出力は、各行に人間可読サイズを角括弧で示し、Unicode の枝記号で階層を表し、末尾に「directories,files」の集計を付す。

これは Linux/Unix 系の tree コマンドに人間可読サイズ表示を組み合わせた出力と極めて近い。Windows 標準の dir /s の出力形式とは異なる。

この観察は攻撃者の侵入 OS を断定するものではない。
攻撃者が Linux の中継・ステージング端末に共有をマウントして列挙した場合、Windows 環境への侵入後でも同じ出力が得られる。
また、取得済みデータを攻撃者側ストレージへ展開した後に目録を生成した可能性もある。
生成時点は目録単体から確定できない。

3.データ構造の定量分析

3-1論理領域

部門別領域が全ファイルの約 80.3%を占め、最大 15 階層まで到達している。全社共有領域も約 9.9 万ファイルを含む。資格証明画像とデータベース・バックアップが同じルート配下に現れることは、情報の機密度や用途が異なる領域が、少なくとも列挙上は一つの名前空間に集約されていたことを示す。

3-2階層深度

ファイルの中央値は深度 7、95%は深度 10 以内に存在し、最大 15 まで到達する。
深度 7 から 9 に大量のファイルが集中しており、攻撃者は上位共有名だけではなく、部門、業務、年度、案件、拠点等で細分化された深部まで再帰的に探索できていたと考えられる。

4.攻撃者の技量・手法の評価

4-1確認出来る能力

この目録は、攻撃者が「何があるか分からない状態」から脱し、企業データを検索・分類・優先順位付けできる段階へ到達していたことを示している。
これは侵入直後の偶発的アクセスではなく、侵入後偵察が一定程度成功した状態である。

4-2技量の成熟度

目録生成そのものは高度なゼロデイ攻撃を必要としない。
重要なのは、コマンドの難易度ではなく、これほど広い領域へ到達できる認証情報とアクセス経路を確保し、長時間の再帰列挙を完了させた運用能力である。
攻撃者の成熟度は「列挙コマンドが高度か」ではなく、「権限取得、探索範囲の設定、ノイズ管理、成果物化、交渉への転用」を一連の作業として遂行できたかで評価すべきである。

初期侵入後に共有資源を発見する能力。
大量列挙を実施しても直ちに遮断されない滞留能力。
列挙結果を目録として保存し、被害企業や第三者に提示できる証拠化能力。
ファイル種別と容量から、窃取コストと恐喝価値を比較する選別能力。
単なる暗号化ではなく、情報資産の構造理解を恐喝材料へ変換する二重恐喝型の運用能力。

4-3現時点で確認できない能力

5.想定される攻撃シナリオ

5-1最有力シナリオ

フィッシング、認証情報窃取、脆弱な外部公開機器、IAB 等を通じて初期アクセスを得る。
侵害端末またはリモートアクセス基盤から、保存済み資格情報やセッション情報を取得する。
共有フォルダ、NAS、ファイルサーバ、バックアップ領域を探索する。
取得した資格情報で、広範な共有領域に対する一覧取得権限を確保する。
Linux 系端末、WSL、Cygwin、攻撃者側ステージング環境等で tree 系ツールを用い、サイズ付き目録を生成する。
目録を解析して、機密性、業務価値、容量、圧縮効率を基準に窃取対象を選別する。
選別データをステージングし、圧縮・分割・外部転送する。
被害企業名と目録をリークサイトに掲載し、データ保有を示して交渉圧力を加える。

5-2代替シナリオ

「Domain Admin を奪取した」「社内全サーバを横展開した」と断定することはできない。
一方で、52 万件超のファイルメタデータを一貫した形式で取得し、公開用成果物に変換できたこと自体は、攻撃者の侵入後偵察とデータ選別能力を示す強い証拠である。

6.防御側の構成上の論点

6-1 データ構成

機密度の異なるデータが同一の名前空間や共有ストレージに集約されていないか。
部門別領域、全社共有、資格証明、バックアップを同一認証境界から閲覧できないか。
古い年度・終了案件・重複コピーが残り、攻撃時の露出面を増やしていないか。
データベースバックアップが通常のファイル共有と同じ場所・同じ資格情報で参照可能になっていないか。
削除領域やごみ箱に、利用者が削除した機微データが長期間残っていないか。

6.2 アクセス制御

Everyone、Authenticated Users、広すぎる部門グループ等による読み取り権限を棚卸しする。
ACL 継承を無条件で深部まで適用せず、機密領域では明示的な境界を設ける。
サービスアカウントや管理者アカウントに、業務上不要なファイル閲覧権限を与えない。
資格情報を一つ奪われても、部門領域、全社共有、バックアップへ連鎖的に到達できない構成にする。
管理者権限とデータ閲覧権限を分離し、システム管理者であることが全データ閲覧を意味しない設計にする。

6.3 ドメインネットワク設計

通常端末、ファイルサーバ、バックアップ、管理基盤を同一の信頼境界に置かない。
バックアップ基盤は独立した認証、限定された管理端末、ネットワーク分離を採用する。
管理者は日常利用アカウントと管理アカウントを分離し、特権アクセス端末からのみ操作する。
SMB 等の東西通信を必要最小限にし、利用者端末から管理・バックアップセグメントへ直接到達させない。
ドメイン侵害を前提に、重要領域は別資格情報、別管理面、場合によっては別フォレスト等で隔離する。

7.防御側（ブルーチーム）の検知・対応指針

特に重要なのは、本文の大量読み取りだけでなく「メタデータの大量列挙」を検知対象に含めることである。攻撃者は窃取前に、ファイル名、拡張子、サイズ、階層を使って価値を評価する。大量列挙の段階で止められれば、窃取・暗号化より前に介入できる可能性がある。

8.優先改善項目

9.結論

本目録の価値は、流出した個別データの内容ではない。

攻撃者が、52 万件超のファイルと 4.8 万件超のディレクトリを、最大 15 階層まで一貫して列挙し、サイズと種類を把握できる地点へ到達していた可能性を示す点にある。

これは、企業内部の情報資産を「探索可能な地図」に変換した行為である。

攻撃者の技量は、tree 系コマンドの操作自体ではなく、そのコマンドが有効になるだけのアクセス権、経路、滞留時間、探索設計を確保し、成果物を恐喝運用へ接続した点で評価すべきである。

防御側は、端末侵害を完全に防ぐことだけでなく、一つの侵害から全社データの地図を作らせない構成へ転換しなければならない。

攻撃者を知り、防御を強くする。

そのために、データ配置、アクセス制御、ドメイン境界、バックアップ分離、メタデータ列挙の検知を一体として見直すことが、本件から得られるブルーチーム上の中心的教訓である。

付録 A. 評価確度

付録 B. 今後の追加調査

拡張子と容量の組合せによる、攻撃者が優先し得るデータ群の匿名統計。
深度・領域別のファイル密度と、アクセス制御境界らしき分断の有無。
バックアップ・一時ファイル・圧縮済みファイルの比率からみた窃取効率。
公式発表の時系列と照合した、列挙・窃取・発覚・公開予告の位置関係。
実際のログが得られる場合の、SMB、認証、EDR、Proxy、DLP による仮説検証。