Mitre T1070 #INDICAOTR REMOVAL ON HOST

1. MITRE_T1070
# INDICATOR REMOVAL
ON HOST
@shunaroo

2. 概要(Indicator Removal on Host)
攻撃の発見を遅らせるために、攻撃に関連する証跡を削除または変更する技術
Victim
Villain
Related logs
Delete!!
After attacking victim…
Sysadmin
umm.. there is no
evidence of attack.
LGTM!

3. 参考：MITRE MATRIX上の配置(Defense Evasion)
xxxxxxxxxxxxxxxxxxxxxx

4. MITRE上の定義
意訳：
攻撃者は、攻撃時のログや隔離されたマルウェアのファイルなど、被害者のシステム上にある
証跡を削除または変更する可能性があります。ログの場所やフォーマットは、プラットフォーム
や製品で固有ですが、標準のOSを使用していれば、Windowsの場合はWindowsイベ
ント, Linux/macOSの場合はBash Historyと/var/log/*に保存されます。
これらの操作は、侵入を検知するための情報収集やレポーティングなどを妨害する可能性が
あります。また、本来注目されるはずのイベントが検知されなくなることで、セキュリティソリュー
ションの整合性が損なわれる可能性があります。また、何が起きたかを確定するための十分
な情報が収集できなくなるため、フォレンジックやインシデントレスポンスなども妨げる可能性
があります。

5. MITRE上の定義
原文：
Adversaries may delete or alter generated artifacts on a host system,
including logs or captured files such as quarantined malware. Locations
and format of logs are platform or product-specific, however standard
operating system logs are captured as Windows events or Linux/macOS
files such as Bash History and /var/log/*.
These actions may interfere with event collection, reporting, or other
notifications used to detect intrusion activity. This that may
compromise the integrity of security solutions by causing notable
events to go unreported. This activity may also impede forensic
analysis and incident response, due to lack of sufficient data to
determine what occurred.

6. サブテクニック
T1070.001 Clear Windows Event Logs
T1070.002 Clear Linux or Mac System Logs
T1070.003 Clear Command History
T1070.004 File Deletion
T1070.005 Network Share Connection Removal
T1070.006 Timestomp

7. T1070.001 Clear Windows Event Logs
Windowsのイベントログを削除する技術
Windowsのイベントログとは
コンピュータのアラートや通知の履歴

8. T1070.001 Clear Windows Event Logs
Windowsのイベントログを削除方法（イベントビューアから）

9. T1070.001 Clear Windows Event Logs
Windowsのイベントログを削除方法（コマンドから）
wevtutil cl <ソース>
例）
wevtutil cl system
wevtutil cl application
wevtutil cl security

10. T1070.002 Clear Linux or Mac System Logs
Linux/Macのログを削除する
主な削除対象
/var/log/messages :General and system-related messages
/var/log/secure or /var/log/auth.log: Authentication logs
/var/log/utmp or /var/log/wtmp : Login records
/var/log/kern.log : Kernel logs
/var/log/cron.log : Crond logs
/var/log/maillog : Mail server logs
/var/log/httpd/ : Web server access and error logs

11. T1070.003 Clear Command History
コマンドの履歴を削除する
Linuxの場合
コマンド：history –c
コマンド：rm ~/.bash_history
Windowsの場合
コマンド：Clear-History
ファイルの削除：$env:APPDATA¥Microsoft¥Windows
¥PowerShell¥PSReadLine¥ConsoleHost_history.txt

12. T1070.004 File Deletion
攻撃者が攻撃に使用したマルウェアやツールなど、もともと被害端末になかったファイルを削
除する
単純な削除でなく、サードパーティ製品でファイルそのものを削除する場合もある
例）SDELETE
Windowsの場合、単純な削除では、ファイルの位置情報を削除しただけで、情報そのも
のは保存領域を再利用されるまで、残存していることがある。SDELTEでは、位置情報の
削除したうえで、情報は0埋めする。

13. T1070.005 Network Share Connection Removal
ネットワークの共有接続を削除する
Windowsの場合のコマンド
net use ¥system¥share /delete

14. T1070.006 Timestomp
ファイルの作成・更新時間(Timestamp)を変更する
例）Windowsの場合
TimeStomer
https://github.com/slyd0g/TimeStomper