Trusted Design
Adversaries may gain access to and use centralized software suites installed within an enterprise to execute commands and move laterally through the network. Configuration management and software deployment applications may be used in an enterprise network or cloud environment for routine administration purposes. These systems may also be integrated into CI/CD pipelines. Examples of such solutions include: SCCM, HBSS, Altiris, AWS Systems Manager, Microsoft Intune, Azure Arc, and GCP Deployment Manager.
Access to network-wide or enterprise-wide endpoint management software may enable an adversary to achieve remote code execution on all connected systems. The access may be used to laterally move to other systems, gather information, or cause a specific effect, such as wiping the hard drives on all endpoints.
SaaS-based configuration management services may allow for broad Cloud Administration Command on cloud-hosted instances, as well as the execution of arbitrary commands on on-premises endpoints. For example, Microsoft Configuration Manager allows Global or Intune Administrators to run scripts as SYSTEM on on-premises devices joined to Entra ID.(Citation: SpecterOps Lateral Movement from Azure to On-Prem AD 2020) Such services may also utilize Web Protocols to communicate back to adversary owned infrastructure.(Citation: Mitiga Security Advisory: SSM Agent as Remote Access Trojan)
Network infrastructure devices may also have configuration management tools that can be similarly abused by adversaries.(Citation: Fortinet Zero-Day and Custom Malware Used by Suspected Chinese Actor in Espionage Operation)
The permissions required for this action vary by system configuration; local credentials may be sufficient with direct access to the third-party system, or specific domain credentials may be required. However, the system may require an administrative account to log in or to access specific functionality.
T1072「Software Deployment Tools」（ソフトウェア展開ツール） は、組織内の多数のコンピュータにソフトウェアを自動的にインストール・更新するために使われる「管理ツール」を攻撃者が乗っ取り、マルウェアの配布や実行に悪用する手法です。
本来はIT管理者の「味方」であるツールが、攻撃者の「最強の武器」に変わってしまうパターンです。
この手法で攻撃者は、「組織全体への一括かつ正規ルートでの侵害」を実現します。
攻撃者はまず、ネットワーク内の「管理サーバー」を特定し、その制御権を奪うことに全力を挙げます。
管理ツールの「管理者」をいかに守り、監視するかが鍵となります。
特定の脆弱性よりも、攻撃グループによる「戦術」として有名です。
組織内のソフトウェア展開ツールが「誰によって」「いつ」「何を」配布したかの履歴を、管理サーバーの外部（Syslogサーバーなど）にリアルタイムで転送・保存しておくことは、万が一の際の追跡において生命線となります。
この攻撃手法を利用する脅威アクターは登録されていません。
この攻撃手法に関連する CVE は登録されていません。