警察庁と内閣サイバーセキュリティセンター（NISC）は2025年1月8日、攻撃者グループ「MirrorFace」による日本国内の組織を標的にした攻撃キャンペーンについて注意喚起を公開しました。この注意喚起では、「MirrorFace」が Windows サンドボックスと Visual Studio Code を悪用していたことから、それぞれの痕跡の確認方法や検知方法が示されています。
本稿では上記攻撃キャンペーンで使われた攻撃手法のひとつである Windows サンドボックスに着目し、その検証結果や証跡、監視や調査に役立つポイントについて解説します。
なお、本稿は2025年1月22日に開催された JSAC2025 において当社分析官が発表した「Hack The Sandbox: Unveiling the Truth Behind Disappearing Artifacts」に基づく内容です。
Windows サンドボックス内では、デフォルトユーザ名として WDAGUtilityAccount が使われることから、今回解析対象にしたLilimRAT は Windows サンドボックス内でのみ動作することを想定して開発されたと考えられます。
図2. Windows サンドボックスの WDAGUtilityAccount のユーザプロファイル
Windows サンドボックスは Windows の初期設定では無効化されています。そのため、攻撃者は標的マシンを侵害したのち、Windows サンドボックスの機能を有効化します。Windows サンドボックスの機能はホストマシンの再起動後に有効になるため、攻撃者はWindows サンドボックスの構成を定義する WSB ファイルを設置した後、ホストマシンを再起動します。
ホストマシン再起動後に、Windowsサンドボックスが有効になり、WSB ファイルの設定通りWindows サンドボックス内でマルウェア(今回の例では LilimRAT)が起動し、C2サーバーと通信を開始します
図3. Windows Sandbox を悪用する流れ
我々は、このような手法で Windows サンドボックスが悪用されている事実を受け、その仕様について理解を深めるとともに、悪用手法の解明と調査手法、対策方法を確立することを目的として、技術検証を重ねる必要があると考えました。
Windows サンドボックスとは
Windows サンドボックスはユーザが安全にファイルや任意のアプリケーションをテストできるように、ホストシステムから隔離された仮想のOS環境です。OS の中でもう一つの OS がソフトウェアとして動作していると考えていただくとイメージしやすいと思います。この機能は、Windows 10（Build 18342 以降）および Windows 11 で利用可能です。以下に、いくつかの Windows サンドボックスに関する仕様を説明します。
Windows サンドボックスは、WDAGUtilityAccount というアカウント名で動作しています。このユーザは、Administrators グループに所属しています。
C:\Users\WDAGUtilityAccount>net user WDAGUtilityAccount
User name WDAGUtilityAccount
Full Name
Comment Windows Defender Application Guard
User's comment
~ Redacted ~
Local Group Memberships *Administrators *Remote Desktop Users *Users
Global Group memberships *None
Windows Defenderの設定
サンドボックス内の Windows Defender は既定で無効化されており、GUI と PowerShell コマンドのいずれからも有効化はできません。
図6. サンドボックス内の Windows Defender の GUI 設定画面
構成ファイル（.wsb）
WSB ファイルはサンドボックスの構成を定義するための XML 形式の設定ファイルで、ホストのOS内に存在しています。WSB ファイルの例は以下の通りです。
Windows サンドボックス内のマルウェアは、WSB ファイルで設定された通り、ホストマシンのファイルを読み取ることが可能です。ただし、別の OS からファイルを読み取っているため、ホストマシン上で動作している操作ログ取得ツールに動作は記録されませんし、様々な攻撃ツールも Windows Defender が動作していないことから検知されることはありません。攻撃者は様々なセキュリティー製品がない環境で活動することができます。
新機能が招く新たな脅威
Windows サンドボックスの機能や Windows サンドボックスを悪用した攻撃に関する調査を進める中で、重要な機能の更新を確認しました。Microsoft 社の公式ドキュメントでは、プレビューとして新機能について言及があるだけで、アップデートされた機能に関する詳細が公式に開示されていませんが、本記事の作成時点では既に同機能を含むバージョンが配布されていることを確認しました。
引用
Windows Sandbox Client Preview] New! This update adds the Windows Sandbox Client Preview. It includes:
Runtime clipboard redirection
Audio and video input control
The sharing of folders with the host at runtime
To access these, select the ellipses (…) at the upper right on the app. This preview also includes a version of command-line support. (The commands might change over time). To learn more, use the wsb.exe–help command. You can find new updates for this app in the Microsoft Store. This might not be available to all users because it will roll out gradually.
Windows サンドボックスの機能や攻撃手法について解説しましたが、検証を通じて明らかになったサンドボックスを悪用する攻撃手法に有効な防御策を説明します。
監視
ホストマシンとネットワークの監視
ホストマシンにおいては以下の観点での監視が侵害の検知に有用です。
クライアント端末の操作ログ、特徴的なプロセスおよびメモリの監視
WSB ファイルに関連するアクティビティの監視
特徴的なイベントログの監視
また、サンドボックスはホストマシンのネットワークアダプタを使用します。そのため、サンドボックス内のマルウェアが C2 サーバーなどへ通信を行う場合はホストマシンの IP アドレスが送信元 IP アドレスとなるため、通常通りの端末通信の監視が可能です。ただし、Tor が使われている場合は、Tor ネットワークの利用を検知する仕組みが必要になります。
Windows サンドボックスの起動の監視
以下は Windows サンドボックスに関連するプロセスです。この表に挙げたプロセス実行をホストマシンで監視することで、Windows サンドボックスの起動を検知できます。
デフォルトのログストレージサイズは 20,480KB いくつかの有用なイベント（タスクスケジュールなど）は記録されない 成功したログオン（イベント ID 4624）、失敗したログオン（イベント ID 4625）、明示的な認証情報によるログオン（イベント ID 4648）、およびサービスのインストール（イベント ID 7045）などのログオンは記録される
管理策
Windows サンドボックスは既定で無効化されているため、無効化の状態を維持し続けることが望ましいです。しかし、有効化された場合に備え、有効化に関するイベントの監視や検知を推奨します。
管理者権限をユーザに付与しない
Windows サンドボックスの有効化には管理者権限が必要です。そのため、業務上不要な場合はユーザに管理者権限を付与しないことで、ユーザによるサンドボックスの有効化を未然に防ぐことができます。
