Soliton Dataset 2018 目的エンタープライズ向けセキュリティログ取得製品を利用し様々なマルウェア動作ログを提供することでマルウェア対策の研究開発の促進に寄与することを目指します特長 Windows 上でのマルウェア動作ログ横展開や MBR 書き換え系マルウェアも可能な範囲

Size: px

Start display at page:

Download "Soliton Dataset 2018 目的エンタープライズ向けセキュリティログ取得製品を利用し様々なマルウェア動作ログを提供することでマルウェア対策の研究開発の促進に寄与することを目指します特長 Windows 上でのマルウェア動作ログ横展開や MBR 書き換え系マルウェアも可能な範囲"

ありおききせんばる
5 years ago
Views:

1 MWS ポストミーティング Soliton Dataset 2018 について 2017 年 12 月 1 日株式会社ソリトンシステムズ本資料に記載の内容は 2017 年 12 月 1 日時点の予定であり今後変更の可能性があるものですあらかじめご了承ください

2 Soliton Dataset 2018 目的エンタープライズ向けセキュリティログ取得製品を利用し様々なマルウェア動作ログを提供することでマルウェア対策の研究開発の促進に寄与することを目指します特長 Windows 上でのマルウェア動作ログ横展開や MBR 書き換え系マルウェアも可能な範囲で記録を取る方針 Copyright Soliton Systems K.K. All rights reserved. 2

4 Copyright Soliton Systems K.K. All rights reserved. 4 利用するマルウェア収集元 VirusTotal を中心に独自に収集収集方針影響が大きく調査が必要と思われたマルウェアを対象に収集 1 年以内に話題になったもの出来るだけ新しいものにフォーカスファイルタイプ PE だけではなくスクリプトや Office マクロタイプも対象 ( 動作するマルウェアであれば種類は問わない ) 検体数量よりも質を重視しつつ 100 検体分以上を目指す

5 Copyright Soliton Systems K.K. All rights reserved. 5 ログ取得方針 1 検体 1 ログファイルログは Key=Value 形式 1 検体最大 15 分実行 15 分以上必要となることが分かった場合は延長するケースもあり検体特性理解のために必要な情報は出来る限り取得横展開するマルウェアは複数端末にて実行 MBR 書き換えを行うものも記録可能な範囲で取得マルウェア実行環境 Windows 7 32bit 詳細は次ページ以降ご参照

マルウェア実行環境概要 ( コードネーム :Tsurutus) PC Server The Internet

NUC) x 16 PCs L3 Switich iscsi Boot Disk (LinuxIO) To USB

Terminal Emulator (Kermit) USB-Serial Keyboard Mouse

6 マルウェア実行環境概要 ( コードネーム :Tsurutus) PC Server The Internet DHCP/TFTP/DNS Servers (Dnsmasq) Ethernet Target PC (Intel NUC) x 16 PCs L3 Switich iscsi Boot Disk (LinuxIO) To USB and Mother Board Front Panel Conn. Terminal Emulator (Kermit) USB-Serial Keyboard Mouse Power Switch Reset Switch Emulator Copyright Soliton Systems K.K. All rights reserved. 6

8 マルウェア実行環境の特長 ButtonClicker 改め CrazyClicker マルウェアの活性化をアシストすべく画面に現れる実行警告ダイアログ等のボタンを自動で認識しクリックしていくプログラムディスクのロールバックバッキングストアに dm-thin を使ったブロックデバイスを利用ファイルシステムの余計な処理が無い Copyright Soliton Systems K.K. All rights reserved. 8

オリジナルディスクイメージ例 ) /dev/mapper/boot/win7-x86-pc1 このブロックデバイスを

10 Device-Mapper (dm-thin) を使ったブロックデバイス層でのディスクのロールバックオリジナルディスクイメージマルウェア実行ロールバックディスク改変改竄マルウェア本体オリジナルディスクイメージ例 ) /dev/mapper/boot/win7-x86-pc1 このブロックデバイスを iscsi ターゲットのバッキングストアとして使用 Copyright Soliton Systems K.K. All rights reserved. 10

11 InfoTrace Mark II for Cyber( 以下 Mark II) 国産 EDR セキュリティログアプリ通信制御などを実装セキュリティログ機能プロセスチェーンを追えるように独自 ID を付与ファイルハッシュ値を記録 (MD5/SHA1/SHA256) プロセスファイルレジストリネットワークはカーネルレベルで監視データセットでは監視除外フィルタを外した状態で記録 Copyright Soliton Systems K.K. All rights reserved. 11

12 Mark II ログ例 1 06/30/ :13: loc=ja-jp type=itm2 sn=20612 evt=ps subevt=start com="mwc01" domain="workgroup" profile="mwctest" tmid=e4009d1d a373cde7192c プロセスがスタート csid=s ip= ,fe80::5992:af4e:8c90:5591 mac=06:4d:00:f9:a6:d5 usr="admin1" usrdomain="mwc01" 実行プロセスのパス (pspath) sessionid=2 とコマンド引数 psguid={4eeba2f1-fb65-42bf-a e64fb1d7} pspath="c: Windows System32 rundll32.exe" cmd="027cc.dll #1" psid=2616 psguidはプロセスごとに付与するソリトン独自 parentguid={192b8ace e94-92fb b84} parentpath="c: Windows System32 cmd.exe" psuser="admin1" psdomain="mwc01" arc=x86 sha256=3fa4912eb43fc304652d7b01f e2d628fa7c86193e54d5f 親プロセスのパス sha1=892503b20247b341cfd20dda5fdacfa41527a087 md5=c e275c8f2ad04b687a68ce2 company="microsoft Corporation" copyright="c Microsoft Corporation. All rights reserved." filedesc="windows ホストプロセス (Rundll32)" filever=" (win7_rtm )" product="microsoftr WindowsR Operating System" productver=" " crtime="06/30/ :50:51.609" actime="06/30/ :50:51.609" motime="03/30/ :58:17.736" size=45056 sig=valid signer="microsoft Windows" issuer="microsoft Windows Verification PCA" cersn=" c 80 d5 f b0 9c c" validfrom="03/02/ :46:04.000" validto="05/10/ :46:04.000" 06/30/ :13: loc=ja-jp type=itm2 sn=20626 evt=file subevt=close com="mwc01" domain="workgroup" profile="mwctest" tmid=e4009d1d a373cde7192c csid=s ファイルをクローズ ip= ,fe80::5992:af4e:8c90:5591 mac=06:4d:00:f9:a6:d5 usr="admin1" usrdomain="mwc01" sessionid=2 psguid={4eeba2f1-fb65-42bf-a e64fb1d7} pspath="c: Windows System32 rundll32.exe" path="c: Windows dllhost.dat" drvtype=hdd read=0 write= pe=1 arc=x86 実行プロセスのパス sha256=f8dbabdfa c277ce49c60e35c029ff29d9e3c74c362521f3fb02670d5 対象ファイルのパス書き込みバイト数 sha1=cd23b7c9e0edef184930bc8e0ca2264f0608bcb3 md5=aeee996fd3484f28e5cd85fe26b6bdcd company="sysinternals - copyright="copyright (C) Mark Russinovich" filedesc="execute processes remotely" filever="1.98" product="sysinternals PsExec" productver="1.98" crtime="06/30/ :13:14.414" actime="06/30/ :13:14.414" motime="06/30/2017 プロダクト名は13:13:14.414" PsExec size= sig=valid signer="microsoft Corporation" issuer="microsoft Code Signing PCA" cersn="61 01 cf 3e f" validfrom="12/08/ :40:29.000" validto="03/08/ :40:29.000" Microsoft の正規署名付き Copyright Soliton Systems K.K. All rights reserved. 12

13 Mark II ログ例 2 06/30/ :18: loc=ja-jp type=itm2 sn=22085 evt=file subevt=create com="mwc01" domain="workgroup" profile="mwctest" tmid=e4009d1d a373cde7192c csid=s ファイルをクリエイト ip= ,fe80::5992:af4e:8c90:5591 mac=06:4d:00:f9:a6:d5 usr="admin1" usrdomain="mwc01" sessionid=2 psguid={4eeba2f1-fb65-42bf-a e64fb1d7} pspath="c: Windows System32 rundll32.exe" mntfld=" admin$" path=" admin$ 027cc.dll" drvtype=net 06/30/ :18: loc=ja-jp type=itm2 sn=22087 evt=file subevt=copy com="mwc01" rundll32.exeが管理共有経由で別端末に domain="workgroup" 027cc.dll profile="mwctest" を生成 tmid=e4009d1d a373cde7192c csid=s ファイルをコピー ip= ,fe80::5992:af4e:8c90:5591 mac=06:4d:00:f9:a6:d5 usr="admin1" usrdomain="mwc01" sessionid=2 psguid={4eeba2f1-fb65-42bf-a e64fb1d7} pspath="c: Windows System32 rundll32.exe" path="c: Users admin1 Desktop 027cc.dll" drvtype=hdd dstmntfld=" admin$" dstpath=" admin$ 027cc.dll" dstdrv=net sha256=027cc450ef5f8c5f ec1fed91f694e0d b30f6b0d7d3a745 rundll32.exeがローカルの027cc.dllを別端末の027cc.dllにコピー sha1=34f917aaba5684fbe56d3c57d48ef2a1aa7cf06d md5=71b6a493388e7d0b40c83ce903bc6b04 crtime="06/30/ :18:34.078" actime="06/30/ :18:34.078" motime="06/30/ :18:34.078" size= /30/ :18: loc=ja-jp type=itm2 sn=22088 evt=file subevt=close com="mwc01" domain="workgroup" profile="mwctest" tmid=e4009d1d a373cde7192c csid=s ファイルをクローズ ip= ,fe80::5992:af4e:8c90:5591 mac=06:4d:00:f9:a6:d5 usr="admin1" usrdomain="mwc01" sessionid=2 psguid={4eeba2f1-fb65-42bf-a e64fb1d7} pspath="c: Windows System32 rundll32.exe" mntfld=" admin$" path=" admin$ 027cc.dll" drvtype=net read=0 write= pe=1 arc=x86 crtime="06/30/ :18:34.078" actime="06/30/2017 別端末の 13:18:34.078" 027cc.dllに byte motime="06/30/2017 書き込み 13:18:34.078" size= sig=invalid signer="microsoft Corporation" issuer="microsoft Code Signing PCA" cersn="61 01 cf 3e f" validfrom="12/08/2009 Microsoftを騙っているが正規署名ではない 07:40:29.000" validto="03/08/ :40:29.000" 06/30/ :18: loc=ja-jp type=itm2 sn=22086 lv=5 evt=ps subevt=start com="mwc01" domain="workgroup" profile="mwctest" tmid=e4009d1d a373cde7192c 実行プロセスは dllhost.dat csid=s プロセスがスタート ip= ,fe80::5992:af4e:8c90:5591 管理共有経由で PsExec(dllhost.dat) が別端末の027cc.dllを実行 mac=06:4d:00:f9:a6:d5 usr="admin1" usrdomain="mwc01" sessionid=2 psguid={5fe60c1c-fe9d-47ad-878b-998fa07f8dc6} pspath="c: Windows dllhost.dat" cmd=" accepteula -s -d C: Windows System32 rundll32.exe ""C: Windows 027cc.dll"",#1 55" psid=4032 parentguid={4eeba2f1-fb65-42bf-a e64fb1d7} parentpath="c: Windows System32 rundll32.exe" psuser="admin1" psdomain="mwc01" 親プロセスの arc=x86 GUID sha256=f8dbabdfa c277ce49c60e35c029ff29d9e3c74c362521f3fb02670d5 よりこれまで仕事をしてきた親プロセスは rundll32.exe sha1=cd23b7c9e0edef184930bc8e0ca2264f0608bcb3 rundll32.exeが親であることが分かる md5=aeee996fd3484f28e5cd85fe26b6bdcd company="sysinternals - copyright="copyright (C) Mark Russinovich" filedesc="execute processes remotely" filever="1.98" product="sysinternals PsExec" productver="1.98" crtime="06/30/ :13:14.414" actime="06/30/ :13:14.414" motime="06/30/ :13:14.414" size= sig=valid signer="microsoft Corporation" issuer="microsoft Code Signing PCA" cersn="61 01 cf 3e f" validfrom="12/08/ :40:29.000" validto="03/08/ :40:29.000" Copyright Soliton Systems K.K. All rights reserved. 13

14 Copyright Soliton Systems K.K. All rights reserved. 14 Soliton Dataset の利用例利用例動的解析に関する研究や対策開発に話題となった Well-analyzed なマルウェアの動作ログでマルウェア挙動の概要を学ぶことができます仮想環境では動作しないマルウェアやスクリプトマクロ型マルウェアの動作を確認できますエンタープライズの実環境に近い OS 標準ソフトウェアなどの動作も含まれたログのため実環境でマルウェア挙動を見出す研究の参考としてお使いいただけますマルウェア実行環境 (Tsurutus) Mark II ログ取得用環境ですご興味ある方はお声がけください

Soliton Dataset 2018

MWS2018 意見交換会 ( プレミーティング ) Soliton Dataset 2018 2018 年 5 月 30 日株式会社ソリトンシステムズ Soliton Dataset 2018 についてエンタープライズ向け EDR 製品である InfoTrace Mark II for Cyber( 以下 Mark II) は内部不正対策としても利用できるログ取得を行っていますこの特性は