初期侵入どうしたかに関して わいが思うにハッカーは契約した1台のVPS上で ・ローカルAdministratorのパスワードが、いかにも共通テンプレート由来の固定値である（LAPS不在の兆候）。 ・VPSがActive Directoryドメインに参加しており、サポート用の特権アカウントが遠隔ログオンしてくる運用である。 ・配布RDPファイルでドライブリダイレクトが既定ON（後のReverse RDPの伏線） のいずれかに当てはまってることを確認した。 MITRE：T1087（Account Discovery）／T1082（System Information Discovery）／T1016（Network Config Discovery その後 GMOサポートが顧客VPSを遠隔管理する運用のため、特権アカウントが攻撃者の支配下のVPSにログオンした（またはサポート起票で誘発された）。その結果、特権資格情報がそのVPSのメモリ/資格情報キャッシュに残留し、攻撃者が回収した。 RDP Restricted Admin未強制／Credential Guard無効／PAW（特権専用端末）不在。＝管理者が信頼できない箱に素の資格情報で入っていた。 MITRE：T1003（OS Credential Dumping）／T1078.002（Domain Accounts） 上記を実行した。 その事からハッカーは 奪った特権資格情報が自分の箱以外のVPSでも通ることを、少数のホストで確認した。 MITRE：T1021（Remote Services）／T1550（Use of Alternate Authentication Material） 確認次第ハッカーは Active Directory + GPO(本来はパスワードポリシーやソフト配布に使う全ドメイン参加機に自動で降ってくる設定配信チャネル)を悪用して 各VPSが定期的に実行する gpupdate のタイミングで SYSVOL共有（全DCが保持する配布元）から設定を取得し、全台が自分からそのタスク/スクリプトを実行するようにした。 この手法であればハッカーは各ホストに接続すらせずに配信元を1回汚すだけで、2万7000台が自律的に横並びで動かすことができる。 まとめると0-dayのような派手な攻撃手法ではなく、AD/GPO＋Windows標準＋共通特権鍵のLOTLで完遂。GMOの脆弱性の本質は「誰でも外から侵入できた」ことではなく、「テナント分離と特権資格情報の衛生が欠落し、1テナントから全VPS群に特権が届いた」点にある 根拠として ・攻撃者が「AD集中管理」を明示。 ・奪ったのがドメイン特権（変種A＝キャッシュされたサポート管理者cred）なら、GPO書き換え権限に直結。 ・手動横展開の痕跡（大量RDP/PsExec）が相対的に少なく済む＝ステルス