sdelete

- 目次

全てのセクションを開く | 全てのセクションを閉じる


- ツール概要

カテゴリ
痕跡の削除
説明
ファイルを複数回上書きしてから削除する。
攻撃時における想定利用例
攻撃の過程で作成されたファイルを、復元できないように削除する。

- ツール動作概要

項目 内容
OS Windows
ドメインへの所属 不要
権限 標準ユーザー

- ログから得られる情報

標準設定
  • ホスト
    • sdeleteの使用許諾契約に同意した際に作成されるレジストリ値 (レジストリ)
    • 実行履歴 (Prefetch)
追加設定
  • ホスト
    • 実行履歴 (監査ポリシー, Sysmon)
    • オブジェクトアクセスの監査による、削除対象ファイルを削除・上書きする動作の記録 (監査ポリシー)

- 実行成功時に確認できる痕跡

- 実行時に記録される主要な情報

- ホスト

イベントログ

# ログ イベントID タスクのカテゴリ イベント内容
1 Microsoft-Windows-Sysmon/Operational 1 Process Create (rule: ProcessCreate) Process Create.
  • UtcTime: プロセス実行日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (検体のパス)
  • CommandLine: 実行コマンドのコマンドライン
  • User: 実行ユーザー
2 セキュリティ 4656 ファイル システム / その他のオブジェクト アクセス イベント オブジェクトに対するハンドルが要求されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • オブジェクト > オブジェクト名: 対象のファイル名 (削除対象のファイル)
  • アクセス要求情報 > アクセス/アクセス理由/アクセス マスク: 要求された権限 (WriteDataまたはAddFile、AppendData)
3 セキュリティ 4656 ファイル システム / その他のオブジェクト アクセス イベント オブジェクトに対するハンドルが要求されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • オブジェクト > オブジェクト名: 対象のファイル名 (削除対象のファイル)
  • プロセス情報 > プロセス名: ハンドルを閉じたプロセス名 (検体のパス)
  • アクセス要求情報 > アクセス/アクセス理由/アクセス マスク: 要求された権限 (DELETE)

Prefetch

レジストリエントリ

# パス
1 HKEY_USERS\[ユーザーSID]\SOFTWARE\Sysinternals\Sdelete 0x00000001

MFT

# パス ヘッダフラグ 有効
1 [ドライブ名]:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf FILE ALLOCATED
2 [削除対象のファイル] - (消去される)

USNジャーナル

# ファイル名 処理
1 [削除対象のファイル] CLOSE+FILE_DELETE
2 [検体の実行ファイル名]-[文字列].pf FILE_CREATE
3 [検体の実行ファイル名]-[文字列].pf DATA_EXTEND+FILE_CREATE
4 [検体の実行ファイル名]-[文字列].pf CLOSE+DATA_EXTEND+FILE_CREATE

UserAssist

# Registry Data
1 \REGISTRY\USER\[ユーザーSID]\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{[GUID]}\Count\[パスのROT13]\[実行ファイル名のROT13] 初回実行日時、累計実行回数

- 詳細:ホスト

- イベントログ

# イベントログ イベントID タスクのカテゴリ イベント内容
1 Microsoft-Windows-Sysmon/Operational 1 Process Create (rule: ProcessCreate) Process Create.
  • UtcTime: プロセス実行日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (検体のパス)
  • CommandLine: 実行コマンドのコマンドライン
  • User: 実行ユーザー
  • LogonGuid/LogonId: ログオンセッションのID
  • Hashes: 実行ファイルのハッシュ値
  • ParentProcessGuid/ParentProcessId: 親プロセスのプロセスID
  • ParentImage: 親プロセスの実行ファイル
  • ParentCommandLine: 親プロセスのコマンドライン
セキュリティ 4688 プロセス作成 新しいプロセスが作成されました。
  • ログの日時: プロセス実行日時 (ローカル時刻)
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • プロセス情報 > 新しいプロセスID: プロセスID (16進数)
  • プロセス情報 > 新しいプロセス名: 実行ファイルのパス (検体のパス)
  • プロセス情報 > 必須ラベル: 権限昇格の要否 (Mandatory Label\Medium Mandatory Level)
  • プロセス情報 > トークン昇格の種類: 権限昇格の有無 (1)
  • プロセス情報 > 作成元プロセスID: 新プロセスを作成した親プロセスのプロセスID。Windows 7では「クリエイター プロセスID」
  • プロセス情報 > 作成元プロセス名: 新プロセスを作成した親プロセスのパス。Windows 10のみで記録を確認
2 Microsoft-Windows-Sysmon/Operational 12 Registry object added or deleted (rule: RegistryEvent) Registry object added or deleted.
  • EventType: 処理の種類 (CreateKey)
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • TargetObject: 作成・削除されたレジストリキー・値 (\REGISTRY\A\[GUID]\Root\File\[GUID])
Microsoft-Windows-Sysmon/Operational 12 Registry object added or deleted (rule: RegistryEvent) Registry object added or deleted.
  • EventType: 処理の種類 (CreateKey)
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • TargetObject: 作成・削除されたレジストリキー・値 (\REGISTRY\A\[GUID]\Root\File\[GUID]\30000191d0)
Microsoft-Windows-Sysmon/Operational 13 Registry value set (rule: RegistryEvent) Registry value set.
  • EventType: 処理の種類 (SetValue)
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • TargetObject: 書き込み先のレジストリ値 (\REGISTRY\A\[GUID]\Root\File\[GUID]\30000191d0\15)
  • Details: レジストリに書き込まれた設定値 (検体のパス)
Microsoft-Windows-Sysmon/Operational 13 Registry value set (rule: RegistryEvent) Registry value set.
  • EventType: 処理の種類 (SetValue)
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • TargetObject: 書き込み先のレジストリ値 (\REGISTRY\A\[GUID]\Root\File\[GUID]\30000191d0\0)
  • Details: レジストリに書き込まれた設定値 (Sysinternals Sdelete)
Microsoft-Windows-Sysmon/Operational 13 Registry value set (rule: RegistryEvent) Registry value set.
  • EventType: 処理の種類 (SetValue)
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • TargetObject: 書き込み先のレジストリ値 (\REGISTRY\A\[GUID]\Root\File\[GUID]\30000191d0\1)
  • Details: レジストリに書き込まれた設定値 (Sysinternals - www.sysinternals.com)
3 Microsoft-Windows-Sysmon/Operational 13 Registry value set (rule: RegistryEvent) Registry value set.
  • EventType: 処理の種類 (SetValue)
  • Image: 実行ファイルのパス (C:\Windows\Explorer.EXE)
  • TargetObject: 書き込み先のレジストリ値 (\REGISTRY\USER\[ユーザーSID]\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{[GUID]}\Count\[検体パスのROT13]\[検体実行ファイル名のROT13])
  • Details: レジストリに書き込まれた設定値 (Binary Data)
4 Microsoft-Windows-Sysmon/Operational 12 Registry object added or deleted (rule: RegistryEvent) Registry object added or deleted.
  • EventType: 処理の種類 (CreateKey)
  • Image: 実行ファイルのパス (検体のパス)
  • TargetObject: 作成・削除されたレジストリキー・値 (\REGISTRY\USER\[ユーザーSID]\SOFTWARE)
Microsoft-Windows-Sysmon/Operational 12 Registry object added or deleted (rule: RegistryEvent) Registry object added or deleted.
  • EventType: 処理の種類 (CreateKey)
  • Image: 実行ファイルのパス (検体のパス)
  • TargetObject: 作成・削除されたレジストリキー・値 (\REGISTRY\USER\[ユーザーSID]\SOFTWARE\Sysinternals)
Microsoft-Windows-Sysmon/Operational 12 Registry object added or deleted (rule: RegistryEvent) Registry object added or deleted.
  • EventType: 処理の種類 (CreateKey)
  • Image: 実行ファイルのパス (検体のパス)
  • TargetObject: 作成・削除されたレジストリキー・値 (\REGISTRY\USER\[ユーザーSID]\SOFTWARE\Sysinternals\SDelete)
5 セキュリティ 4656 ファイル システム / その他のオブジェクト アクセス イベント オブジェクトに対するハンドルが要求されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • オブジェクト > オブジェクト名: 対象のファイル名 (削除対象のファイル)
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID
  • アクセス要求情報 > アクセス/アクセス理由/アクセス マスク: 要求された権限 (WriteDataまたはAddFile、AppendData)
備考: 上書き削除の過程で、sdeleteは削除対象ファイルの名前に、アルファベットを付与したファイルを作成し、削除する動作を繰り返す。例えば削除対象が"sdelete.txt"の場合、"sdeleAAAAAAAAAAAAAAAAAAAA.AAA"や"sdeleZZZZZZZZZZZZZZZZZZZZ.ZZZ"といったファイル名となる。使用されるアルファベットや上書き動作の回数は、指定した削除回数により異なる。
セキュリティ 4658 ファイル システム オブジェクトに対するハンドルが閉じました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID (直前のイベントID: 4656で取得されたハンドル)
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: オブジェクトを要求したプロセス名 (検体のパス)
6 セキュリティ 4656 ファイル システム / その他のオブジェクト アクセス イベント オブジェクトに対するハンドルが要求されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • オブジェクト > オブジェクト名: 対象のファイル名 (削除対象のファイル)
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: ハンドルを閉じたプロセス名 (検体のパス)
  • アクセス要求情報 > アクセス/アクセス理由/アクセス マスク: 要求された権限 (DELETE)
セキュリティ 4663 ファイル システム オブジェクトへのアクセスが試行されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • サブジェクト > ログオンID: プロセスを実行したユーザーのセッションID
  • オブジェクト > オブジェクト名: 対象のファイル名 (削除対象のファイル)
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID (直前のイベントID: 4656で取得されたハンドル)
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: ハンドルを閉じたプロセス名 (検体のパス)
セキュリティ 4660 ファイル システム オブジェクトが削除されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID (直前のイベントID: 4656で取得されたハンドル)
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: ハンドルを閉じたプロセス名 (検体のパス)
セキュリティ 4658 ファイル システム オブジェクトに対するハンドルが閉じました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID (直前のイベントID: 4656で取得されたハンドル)
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: オブジェクトを要求したプロセス名 (検体のパス)
7 セキュリティ 4689 プロセス終了 プロセスが終了しました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • プロセス情報 > プロセスID: プロセスID (16進数)
  • プロセス情報 > プロセス名: 実行ファイルのパス (検体のパス)
  • プロセス情報 > 終了状態: プロセスの戻り値 (正常に終了している場合は"0x0")
Microsoft-Windows-Sysmon/Operational 5 Process terminated (rule: ProcessTerminate) Process terminated.
  • UtcTime: プロセス終了日時 (UTC)
  • ProcessGuid/ProcessId: プロセスID
  • Image: 実行ファイルのパス (検体のパス)
8 Microsoft-Windows-Sysmon/Operational 11 File created (rule: FileCreate) File created.
  • CreationUtcTime: ファイル作成日時 (UTC)
  • Image: 実行ファイルのパス (C:\Windows\System32\svchost.exe)
  • TargetFilename: 作成されたファイル (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)
セキュリティ 4656 ファイル システム / その他のオブジェクト アクセス イベント オブジェクトに対するハンドルが要求されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • オブジェクト > オブジェクトの種類: ファイルの種類 (File)
  • オブジェクト > オブジェクト名: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID
  • プロセス情報 > プロセス名: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)
  • アクセス要求情報 > アクセス/アクセス理由/アクセス マスク: 要求された権限 (WriteDataまたはAddFile, AppendDataを含む)
セキュリティ 4663 ファイル システム オブジェクトへのアクセスが試行されました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • オブジェクト > オブジェクトの種類: 対象の区分 (File)
  • オブジェクト > オブジェクト名: 対象のファイル名 (C:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf)
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID (直前の4656で要求されたハンドル)
  • プロセス情報 > プロセス名: ハンドルを閉じたプロセス名 (C:\Windows\System32\svchost.exe)
  • アクセス要求情報 > アクセス/アクセス理由/アクセス マスク: 要求された権限 (WriteDataまたはAddFile, AppendDataを含む)
セキュリティ 4658 ファイル システム オブジェクトに対するハンドルが閉じました。
  • サブジェクト > セキュリティID/アカウント名/アカウント ドメイン: 実行したユーザーSID/アカウント名/ドメイン
  • オブジェクト > ハンドルID: 当該ハンドルの識別ID (直前の4656で要求されたハンドル)
  • プロセス情報 > プロセス名: オブジェクトを要求したプロセス名 (C:\Windows\System32\svchost.exe)

- MFT

# パス ヘッダフラグ 有効
1 [ドライブ名]:\Windows\Prefetch\[検体の実行ファイル名]-[文字列].pf FILE ALLOCATED
2 [削除対象のファイル] - - (消去される)

- Prefetch

# Prefetchファイル プロセス名 プロセスパス ログから得られる情報
1 [検体の実行ファイル名]-[文字列].pf [検体の実行ファイル名] \VOLUME{[GUID]}\[検体のパス] Last Run Time (最終実行日時)

- レジストリエントリ

# パス 種類
1 HKEY_USERS\[ユーザーSID]\SOFTwARE\Sysinternals\SDelete\EulaAccepted DWORD 0x00000001
2 HKEY_USERS\[ユーザーSID]\SOFTwARE\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{[GUID]}\Count\[検体パスのROT13]\[検体実行ファイル名のROT13] Binary [バイナリ値]

- USNジャーナル

# ファイル名 処理 属性
1 [削除対象のファイル] CLOSE+FILE_DELETE archive
2 [検体の実行ファイル名]-[文字列].pf FILE_CREATE archive+not_indexed
[検体の実行ファイル名]-[文字列].pf DATA_EXTEND+FILE_CREATE archive+not_indexed
[検体の実行ファイル名]-[文字列].pf CLOSE+DATA_EXTEND+FILE_CREATE archive+not_indexed

- UserAssist

# レジストリエントリ ログから得られる情報
1 \REGISTRY\USER\[ユーザーSID]\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{[GUID]}\Count\[検体パスのROT13]\[検体実行ファイル名のROT13] 初回実行日時、累計実行回数