認証情報窃取マルウェア

認証情報窃取マルウェアは、より大規模なインフォスティーラーの一部であることもあり、Windows LSASS プロセス内の認証情報、ブラウザのパスワードストア、SSH 鍵、Wi-Fi パスワード、キャッシュされたドメイン認証情報など、保存済みまたはメモリ上の秘密情報を狙います。取得した認証情報は横展開、持続化、BEC、クレデンシャルスタッフィングに利用されます。代表例の Mimikatz は、リフレクティブロードでメモリにロードされることが多いです。対策としては、Credential Guard、LSA 保護、厳格な最小権限、ローカル管理者権限の削除、パスワードに代わる FIDO2 キーの利用、メモリスクレイピング検知が可能な EDR、認証情報ストアへの不審アクセス監視などが挙げられます。