Palo Alto Networks Cortex XDR に深刻な検知バイパス：暗号化ルールの解読と攻撃への悪用

Researchers Decrypt and Exploit Encrypted Palo Alto Cortex XDR BIOC Rules

2026/03/17 CyberSecurityNews — Palo Alto Networks の Cortex XDR エージェントにおいて、振る舞い検知 (行動ベース検知) の完全な回避を攻撃者に許す脆弱性が、サイバー・セキュリティ研究者たちにより発見された。 InfoGuard Labs チームが、暗号化された検知ルールをリバース・エンジニアリングした結果、ハードコードされたグローバル許可リスト (グローバル・ホワイトリスト) の存在が確認された。この仕組みを悪用する脅威アクターは、セキュリティ・アラートを発生させることなく悪意ある操作を実行できる。

検知エンジンの復号

Palo Alto Cortex XDR は、エンドポイント上の悪意ある動作を検出するために、Behavioral Indicators of Compromise (BIOC) に大きく依存している。 これらのルールは、改竄や外部解析を防ぐために、暗号化された形式で提供されている。

InfoGuard Labs はレッド・チーム活動の一環として、Cortex Windows エージェントのバージョン 8.7／8.8 を分析した。InfoGuard Labs の研究者 Manuel Feifel は、カーネル・デバッグツールを使用して復号プロセスを追跡した。 

この調査の結果、復号キーはエージェント内にハードコードされた文字列と、プレーン・テキストの Lua コンフィグ・ファイル (設定ファイル) を組み合わせて生成されていることが判明した。 これにより、研究チームは振る舞い検知ルール・セット全体を復号し、独自形式の CLIPS ルールをプレーン・テキストへ変換して詳細を分析した。

method to dump LSASS using ProcDump from SysInternals( source : InfoGuard Labs )
method to dump LSASS using ProcDump from SysInternals( source : InfoGuard Labs )
ccmcache 回避のテクニック

復号されたルールの分析により、正規ソフトウェアの誤検知を防ぐための例外処理に、深刻な問題が存在することが明らかとなった。 最も深刻な問題は、攻撃者が容易に悪用できるグローバル許可リストである。 

特定の文字列条件として、プロセスのコマンド・ライン引数に “\Windows\ccmcache” という文字列が含まれる場合、XDR エージェントによる監視から、それらのプロセスは自動的に除外されてしまう。 この単一の条件により、Cortex XDR の振る舞い検知ルールの約半数が回避可能となる、大規模な検知の盲点が生じていた。 

既知の悪意のツールに、この文字列を付加する攻撃者は、検知を回避できてしまう。InfoGuard Labs は SysInternals の ProcDump を利用し、この文字列を指定して実行することで、まったく検知されることなく、LSASS メモリ・ダンプ (典型的な認証情報窃取手法) を完全に実行できることを実証した。

Implant runs undetected by Cortex rules( source : InfoGuard Labs )
Implant runs undetected by Cortex rules( source : InfoGuard Labs )
修正と現在のリスク

InfoGuard Labs は、2025年7月に責任ある開示を実施した。その後に Palo Alto Networks は、顧客を保護するための調整期間を経て、2026年2月末に包括的な修正を公開した。 

  • 修正済みバージョン：Cortex XDR Agent バージョン 9.1／Content バージョン 2160 をリリース。
  • 修正内容：過度に広範なグローバル許可リストの完全削除／暗号鍵生成プロセスの一部変更／検知回避を可能にしていた広範な例外処理の排除が行われた。 
  • 現在のリスク：単一のインプラントにより、すべての検知ルールを同時に回避することは不可能となった。しかし、復号されたルールを分析する攻撃者が、悪用可能な個別の例外を発見する可能性は依然として残る。

この発見が浮き彫りにしたのは、クローズドな検知エコシステムに関する問題である。暗号化された非公開ルールに依存する仕組みは、内部ロジックに欠陥が存在する場合であっても、誤った安心感を与える可能性がある。

Elastic や HarfangLab のようにルールを公開するベンダーも存在するが、Cortex XDR のようなクローズド・システムでは、防御側に慎重な運用が求められる。ユーザー組織は、自社のセキュリティ・ツールの内部動作を深く理解し、ブラック・ボックス型検知に無条件で依存すべきではない。 

なお、復号されたルールおよび PoC スクリプトは GitHub 上で公開されており、コミュニティによるさらなる研究が進められている。

訳者後書：今回の Cortex XDR における脆弱性は、セキュリティ製品の検知ロジックが一部の条件下で自動的にスキップされてしまうという、設計上の不備に起因します。具体的には、正規ソフトウェアの誤検知を防ぐための例外処理が過剰に設定されており、特定のフォルダ・パスを含むプロセスを、無条件で信頼するグローバル許可リストがハードコードされていました。さらに、検知ルールを保護するための暗号化が、エージェント内の固定文字列などを組み合わせて復号可能な状態だったことも、解析を許す一因となりました。よろしければ、Palo Alto で検索も、ご参照ください。