B
今週中
Windows Hello for Businessの鍵を悪用し、Microsoft Entra IDへの永続的なアクセス権を取得できる手法が研究者によって実証…
📌 一言でいうと
Windows Hello for Businessの鍵を悪用し、Microsoft Entra IDへの永続的なアクセス権を取得できる手法が研究者によって実証されました。攻撃者が既にユーザーセッション内でコード実行権限を持っている場合、TPMから秘密鍵を抽出することなく、Windowsの認証機能を介してサイレントに認証データを署名させることが可能です。これにより、攻撃者はデバイス登録やプライマリ更新トークン（PRT）の取得を行い、長期的なクラウドアクセスを確立できる可能性があります。
🔍該当判定
- Windows 10/11 PCで『Windows Hello for Business』(顔認証・指紋認証・PINによるクラウドログイン)を利用している
- 社内PCの認証基盤として『Microsoft Entra ID』(旧Azure AD)を利用している
- PCにマルウェアが感染し、ユーザー権限でプログラムが実行されるリスクがある環境である
上記いずれにも該当しない → 静観でOK
✅該当時の対応
予期しないデバイス登録や、不審な認証メソッドの追加を監視することを推奨します。また、エンドポイントでの不審なコード実行を検知・遮断するEDR等の導入と運用を強化してください。
📧 メール案を見る (管理者向け)
⚠️ これは AI が生成した参考例です。配信前に必ず内容をご確認のうえ、貴社の状況に合わせて編集してご利用ください。実際の被害状況や自社の利用環境を踏まえた判断は、貴社のセキュリティ責任者にご確認ください。
件名: 【共有】Windows Hello for Business の鍵悪用による Entra ID アクセスについて
お疲れさまです。Windows Hello for Business の認証メカニズムを悪用した永続的なクラウドアクセス取得手法に関する情報共有です。
■ 概要
ユーザーがサインインしているセッション内で動作するマルウェアが、TPM内の秘密鍵を直接抽出することなく、Windowsの認証機能を介して Entra ID への認証をサイレントに実行できることが実証されました。これにより、攻撃者は PRT (Primary Refresh Token) の取得や、攻撃者が制御するデバイスの登録を行い、長期的なアクセス権を維持できる可能性があります。
■ 影響範囲
- Windows Hello for Business を利用し、Microsoft Entra ID で認証を行っている環境
■ 対応手順
1. Entra ID のサインインログおよびデバイス登録ログを監視し、不審なデバイスの追加や予期しない場所からのアクセスがないか確認してください。
2. ユーザーアカウントへの不審な認証メソッド（MFA手段など）の追加を監視してください。
3. エンドポイントにおける未知のバイナリ実行や不審なプロセス動作を検知するため、EDRの監視ルールを最適化してください。
■ 参考情報
- Dirk-jan Mollema による研究報告
対応優先度: 中
対応期限: 継続的な監視を推奨
お疲れさまです。Windows Hello for Business の認証メカニズムを悪用した永続的なクラウドアクセス取得手法に関する情報共有です。
■ 概要
ユーザーがサインインしているセッション内で動作するマルウェアが、TPM内の秘密鍵を直接抽出することなく、Windowsの認証機能を介して Entra ID への認証をサイレントに実行できることが実証されました。これにより、攻撃者は PRT (Primary Refresh Token) の取得や、攻撃者が制御するデバイスの登録を行い、長期的なアクセス権を維持できる可能性があります。
■ 影響範囲
- Windows Hello for Business を利用し、Microsoft Entra ID で認証を行っている環境
■ 対応手順
1. Entra ID のサインインログおよびデバイス登録ログを監視し、不審なデバイスの追加や予期しない場所からのアクセスがないか確認してください。
2. ユーザーアカウントへの不審な認証メソッド（MFA手段など）の追加を監視してください。
3. エンドポイントにおける未知のバイナリ実行や不審なプロセス動作を検知するため、EDRの監視ルールを最適化してください。
■ 参考情報
- Dirk-jan Mollema による研究報告
対応優先度: 中
対応期限: 継続的な監視を推奨
Subject: [Info] Persistent Entra ID Access via Windows Hello for Business Key Abuse
Dear Team,
We are sharing information regarding a technique that allows malware to abuse Windows Hello for Business keys for persistent access to Microsoft Entra ID.
■ Overview
It has been demonstrated that malware running within a signed-in Windows session can silently use the victim's Windows Hello for Business key to authenticate to Entra ID. The attacker does not need to extract the private key from the TPM or trigger biometric prompts; instead, they leverage the existing Windows ticketing system to sign authentication data. This can lead to the acquisition of Primary Refresh Tokens (PRT) and the registration of attacker-controlled devices.
■ Scope
- Environments utilizing Windows Hello for Business and Microsoft Entra ID.
■ Recommended Actions
1. Monitor Entra ID sign-in and device registration logs for unexpected device additions or anomalous access patterns.
2. Audit the addition of new authentication methods to user accounts.
3. Enhance EDR monitoring to detect and block unauthorized code execution within user sessions.
■ Reference
- Research by Dirk-jan Mollema
Priority: Medium
Deadline: Ongoing monitoring recommended
Dear Team,
We are sharing information regarding a technique that allows malware to abuse Windows Hello for Business keys for persistent access to Microsoft Entra ID.
■ Overview
It has been demonstrated that malware running within a signed-in Windows session can silently use the victim's Windows Hello for Business key to authenticate to Entra ID. The attacker does not need to extract the private key from the TPM or trigger biometric prompts; instead, they leverage the existing Windows ticketing system to sign authentication data. This can lead to the acquisition of Primary Refresh Tokens (PRT) and the registration of attacker-controlled devices.
■ Scope
- Environments utilizing Windows Hello for Business and Microsoft Entra ID.
■ Recommended Actions
1. Monitor Entra ID sign-in and device registration logs for unexpected device additions or anomalous access patterns.
2. Audit the addition of new authentication methods to user accounts.
3. Enhance EDR monitoring to detect and block unauthorized code execution within user sessions.
■ Reference
- Research by Dirk-jan Mollema
Priority: Medium
Deadline: Ongoing monitoring recommended