Microsoft PowerPoint - lecture v03.pptx

Transcription

1 概 要 1 情 報 ネットワーク 特 論 マルウェアとその 解 析 名 古 屋 大 学 情 報 基 盤 センター 情 報 基 盤 ネットワーク 研 究 部 門 嶋 田 創 マルウェアとは マルウェアの 分 類 近 年 のマルウェアの 送 り 込 み 方 マルウェアの 静 的 解 析 マルウェアの 動 的 解 析 解 析 されないためにマルウェアが 取 る 対 策 マルウェアとは MALicious software( 悪 意 のあるソフトウェア)の 略 かつてはよくコンピュータウイルスと 呼 ばれていたが 最 近 は マルウェアと 称 すことが 多 い コンピュータウイルスとの 違 い 愉 快 犯 や 技 術 誇 示 からサイバー 犯 罪 の 道 具 へ おおっぴらに 感 染 / 拡 散 しない 特 定 のグループ/ネットワークのコンピュータにのみ 感 染 そもそも あまりばらまくと 発 見 される 可 能 性 が 高 くなる おおっぴらに 怪 しい 通 信 したりしない 他 の 通 信 にまぎれて 通 信 したりします おおっぴらに 破 壊 活 動 をしたりしない 発 見 されると 証 拠 隠 滅 することはあります 2 マルウェアの 分 類 RAT(Remote Access Trojan) 遠 隔 で 感 染 したPCを 操 作 可 能 な 形 にする トロイの 木 馬 ボットネットクライアント などもこれに 分 類 自 分 が 加 害 者 になる 点 が 怖 い スパイウェア 金 融 関 係 情 報 や 各 種 サービス 用 ユーザ 名 /パスワードの 窃 取 キーロガーやスクリーンショット 取 得 などの 機 能 ダウンローダ Drive-by Download 攻 撃 の 途 中 で 利 用 昔 ながらのもの ウイルス: 無 差 別 に 近 い 拡 散 PCに 何 らかの 以 上 を 発 生 させる ワーム: 増 殖 することに 特 化 3 RAT(Remote Access Trojan) トロイの 木 馬 バックドア 作 成 踏 み 台 ツールの 発 展 指 令 を 受 け 取 って 攻 撃 などの 動 作 を 取 る 昔 はIRC 経 由 が 多 かったが マークされるようになったので 最 近 は HTTPやHTTPS 経 由 で 指 令 受 信 後 述 するDDoS 攻 撃 などに 利 用 遠 隔 で 自 分 自 身 を 更 新 することも 可 能 攻 撃 指 令 更 新 版 指 令 サーバ 更 新 版 配 布 サーバ 4 代 表 的 なRAT: Poison Ivy バージョンアップしながら 今 も 利 用 されている 機 能 スクリーンショット 音 声 Webカメラの 画 像 の 取 得 アクティブなポートの 表 示 キー 入 力 操 作 情 報 の 収 集 開 いているウィンドウの 管 理 パスワードの 管 理 レジストリ プロセス サービス デバイス インストールされているア プリケーションの 管 理 ファイル 検 索 同 時 に 多 数 のファイル 移 動 の 実 行 リモートシェルの 実 行 サーバの 共 有 自 身 の 更 新 再 起 動 終 了 5

2 マルウェアの 送 り 込 み 方 昔 ながらのメール 本 体 に 添 付 することは 減 ってきてウェブからのダウンロードが 中 心 に 複 数 のダウンロードを 繰 り 返 すDrive-by Download 攻 撃 も ウェブからのダウンロード 攻 略 されたウェブサイトから 配 布 ウェブ 広 告 にまぎれて 配 布 標 的 型 攻 撃 (APT: Advanced Persistent Threat) 近 年 話 題 の 攻 撃 標 的 ( 機 密 情 報 サーバなど)にマルウェアを 入 れるまでに 複 数 の 踏 み 台 PCを 経 由 応 用 : 水 飲 み 場 型 攻 撃 特 定 のユーザがよく 見 るウェブサイトにマルウェアをしかける 6 Drive-by Download 攻 撃 複 数 のダウンロードによってマルウェア 配 布 を 欺 瞞 / 隠 蔽 7 Drive-by Download 攻 撃 8 標 的 型 攻 撃 の 動 作 9 複 数 のダウンロードによってマルウェア 配 布 を 欺 瞞 / 隠 蔽 非 常 にざっくり 書 くと5 段 階 侵 入 前 に 組 織 の 内 部 構 成 を 調 査 することもある 組 織 内 での 拡 散 において 潜 伏 索 敵 を 行 うこともある 1 組 織 内 部 への 侵 入 3 攻 撃 者 と バックドア 通 信 4 秘 密 情 報 窃 取 2 組 織 内 部 で 拡 散 5 情 報 送 出 標 的 型 攻 撃 の 時 間 軸 長 いものだと 一 連 の 攻 撃 に 数 ヶ 月 かける 10 標 的 型 攻 撃 の 実 例 三 菱 重 工 への 標 的 型 攻 撃 発 覚 : 2011/8/11にサーバが 再 起 動 を 繰 り 返 すため 影 響 範 囲 サーバー 45 台 従 業 員 用 PC 38 台 8 種 類 のウイルスを 発 見 11の 事 業 所 から 発 見 発 端 : 原 発 のリスク 整 理 という 添 付 ファイル 東 日 本 大 震 災 (2011/3)の 直 後 Adobe Flashの 脆 弱 性 を 利 用 送 信 元 は 内 閣 府 実 在 の 人 物 の 名 前 メールアドレスを 騙 る 三 菱 重 工 は 原 発 を 作 っている(いた)ので 受 け 取 った 人 は 疑 わない 11

3 12 13 さらに 発 展 した 標 的 型 攻 撃 水 飲 み 場 型 攻 撃 の 実 例? やりとり 攻 撃 複 数 回 のメールのやりとりの 後 にマルウェ ア 送 付 水 飲 み 場 型 攻 撃 ある 仕 事 をしている 人 が 頻 繁 に 見 るペー ジにマルウェアを 仕 掛 ける ことによる 特 定 業 種 の 業 社 への 標 的 型 攻 撃 例 : 政 府 のある 機 関 のプレスリリース 入 札 公 告 ページ その 機 関 に 関 連 する 会 社 に 対 して 攻 撃 さらにIPアドレスを 制 限 する 事 例 もある 営 業 発 注 仕 様 書 送 りますので これで 見 積 もりを 攻 撃 者 こんな 製 品 あります? ありますよ カタログもらえます? カタログ EmEditorアップデートファイルを 利 用 した 攻 撃 [1] 攻 撃 対 象 : 名 古 屋 大 学 JAXA ISAS 朝 日 新 聞 農 林 水 産 省 など 以 下 の 様 な.htaccessファイルがアップデート 配 布 ディレクト リに 置 いてあった 指 定 したIPアドレスの 範 囲 からアップデート 要 求 があれば 別 ファイル を 配 布 SetEnvIf Remote_Addr [0-9]+ install SetEnvIf Remote_Addr [0-9]+ install ( 同 様 に70 行 ) SetEnvIf Remote_Addr [0-9]+ install RewriteEngine on RewriteCond %{ENV:install} =1 RewriteRule (.*.txt)$ /pub/rabe/editor.txt [L] [1] 今 回 のハッカーによる 攻 撃 の 詳 細 について / 信 頼 性 の 高 い 攻 撃 用 メールアカウント の 準 備 14 マルウェアの 識 別 15 従 来 だったら セキュリティのゆるいフリーメールアドレスを 利 用 する ただし あまりにも 評 判 が 悪 くなると 後 述 のブラックリストで 対 策 され る 近 年 では そこそこメジャーな 組 織 のメールアカウントを 乗 っ 取 って 送 信 できれば その 組 織 に 対 して 関 係 が 深 い 組 織 のメールアドレス 知 り 合 いからのメールと 見 せかければ 開 封 される 可 能 性 は 数 十 倍 高 い 部 署 までやりとりに 関 係 する 所 があればさらに 好 ましい 多 段 階 でメールアドレス 乗 っ 取 りをかけることも バイナリ 全 体 のハッシュ 値 部 分 コード 列 との 一 致 埋 め 込 みデータとの 一 致 まとめてシグネチャにする シグネチャ 型 IDS/IPS 一 般 的 なアンチウイルスソフトウェア マルウェアの 名 付 け VirusTotalによるマルウェアの 識 別 Antivirusメーカごとに 名 付 けが 違 う 例 Kaspersky: Trojan-Ransom.Win32.Agent AVG: Trojan.Generic35 それどころか ファミリ 分 けも 違 う 例 AVG Trojan.Win32.Agent Trojan.CoinMiner.AKQ Trojan.Dropper.Generic_r.AF Kaspersky: 全 部 Trojan.Inject2.MDE 様 々なAntivirusの 結 果 を 見 ることができるサイト URL(ウェブサーバ)に 対 しても 評 価 してくれる というか ちょこちょこ 巡 回 しているらしい

4 静 的 解 析 とは 18 静 的 解 析 でやること 19 マルウェアのプログラムを 解 析 するもの プログラム 解 析 のために 少 し 程 度 はプログラムを 動 かすのもあり ごく 一 般 的 なプログラムのリバースエンジニアリングのテク ニックが 色 々と 使 えます バイナリに 埋 め 込 まれた 情 報 アクセス 先 のホストなどの 情 報 利 用 するライブラリや 関 数 普 通 のデバッグに 近 い 解 析 変 数 の 変 化 を 追 う (ブレークポイントを 設 定 して 動 作 させて) 制 御 を 追 う 静 的 解 析 でヒントとなる 物 (1/2) 20 静 的 解 析 でヒントとなる 物 (2/2) 21 特 定 のランタイムライブラリの 呼 び 出 し 例 : Advapi32.dll(レジストリ) 特 定 の 関 数 の 呼 び 出 し 例 : GetProcAddress(プロセスのアドレス 確 認 ), SetWindowHookEx/LowLevelKeyboardProc(キー 入 力 フック), など 怪 しい 関 数 はMSDNのWinAPI 検 索 で 調 べたり 自 作 関 数 も 命 名 から 動 きを 想 像 できたり( 例 : URLDownloadToFile) mutex 関 係 の 関 数 の 利 用 同 じマルウェアが 実 行 されていないか 確 認 するためによくmutex 関 係 の 関 数 が 利 用 される サービス 関 係 の 関 数 OS 起 動 時 に 自 動 起 動 するようにサービス 登 録 Navigate 関 係 の 関 数 ウェブへのアクセスで 利 用 変 な 例 外 処 理 スタック 上 の 例 外 処 理 用 ジャンプテーブルをBoFなどで 書 き 換 えて( 上 の 権 限 で) 実 行 WinAPIではなくネイティブAPIの 利 用 動 的 解 析 とは 22 マルウェア 解 析 を 妨 げるもの 23 実 際 にプログラムを 動 かしてその 挙 動 より 解 析 外 部 のどこに 接 続 しに 行 こうとするか 外 部 から 何 をダウンロードして 実 行 しようとするか どのようなファイル レジストリを 触 ろうとするか LAN 内 の 他 のマシンにちょっかいを 出 すか 通 常 は 仮 想 マシン 上 で 動 作 させて 確 認 できれば 他 を 攻 撃 しない 無 害 な 通 信 は 通 過 させた 状 態 で 動 作 インターネットへの 接 続 性 で 動 作 を 帰 るマルウェアは 多 い 外 部 からのコマンドを 受 けて 動 作 を 継 続 するマルウェアもある ただし 外 部 への 接 続 は 解 析 者 がいることを 攻 撃 者 に 伝 える 可 能 性 もある パック: プログラムを 単 純 に 圧 縮 難 読 化 JavaScriprtなどソースコードにおいて 難 読 化 文 字 列 として 解 釈 できるデータを 減 らしてシグネチャのマッチを 回 避 逆 アセンブル 対 策 動 的 解 析 (デバッガ) 妨 害 仮 想 マシン 対 策

5 24 25 パック コードの 難 読 化 まずパック 部 をデコードするラッパープログラムを 起 動 静 的 解 析 ではラッパーを 解 析 することしかできない UPX( 有 名 アンパック 手 法 JavaScriptの 難 読 化 start start ラッパープログラム オリジナルの 実 行 ファイル ( 文 字 列 や 他 の 情 報 は 見 える) パックされた 実 行 ファイル ( 文 字 列 や 他 の 情 報 は 見 えない) 難 読 化 を 解 除 しましょう 例 : Online JavaScript beautifier 可 変 長 命 令 ならではの 逆 アセンブル 妨 害 26 動 的 解 析 (デバッガ) 妨 害 27 x86 命 令 は 可 変 長 命 令 セット 一 部 のバイト 列 を 飛 ばすと 別 の 命 令 列 になることも 例 普 通 に 逆 アセンブルするとjz->jnz->call 実 際 の 動 作 はjz->leaもしくはjnz->lea デバッガが 使 う 関 数 を 監 視 デバッガがアタッチする 際 の 動 作 (Using the WinAPI)をス キャン いくつかの 関 数 はデバッガ 検 知 に 使 われる ドキュメントに 載 っていない 機 能 を 使 うことも メモリ 構 造 をチェック デバッガの 残 留 物 をサーチ Windows 側 の 出 力 や 仮 想 マシンの 出 力 より デバッガ 検 出 に 使 えるWinAPI 他 のデバッガ 対 策 IsDebuggerPresent Process Environment Block (PEB) 構 造 体 の 中 デバッガが 起 動 しているかどうか CheckRemoteDebuggerPresent Process Environment Block (PEB) 構 造 体 の 中 デバッガがプロセスに 接 続 されているかどうか NtQueryInformationProcess あるプロセスがデバッグされているかどうか OutputDebugString デバッガに 文 字 列 を 送 信 する 関 数 適 当 なエラー 値 をセットしてデバッガに 文 字 列 を 送 信 し エラー 値 を 確 認 (そのままならばデバッガあり) API hookで 防 衛 しましょう わざと0となっている 変 数 除 算 して 例 外 処 理 へ プロセス 毎 のPEB 構 造 体 のデバッグステータスを 確 認 プロセス 列 挙 APIを 叩 いて 一 覧 からデバッガ 探 し レジスリのAeDebugキーの 値 がデバッガか? Ae = Application Error 実 行 中 のウィンドウのタイトル 名 がデバッガか? 例 外 から 戻 る 時 間 などを 計 測 デバッガがアタッチされる 前 に 実 行 されるThread Local Storage 領 域 で 実 行 普 通 は 使 わないので 存 在 していたら 怪 しいと 思 え single-step exceptionを 発 生 する 命 令 によりシングルステッ プ 実 行 妨 害

6 仮 想 マシン 対 策 レジストリの 中 /プロセスリストに 仮 想 マシンの 痕 跡 を 探 す NICのMACアドレスが 仮 想 マシンの 物 か? VMwareは00:0C:29から 開 始 cpuidなどのハードウェア 情 報 にアクセスする 命 令 の 返 り 値 における 不 審 ホストOSとの 通 信 I/O 叩 き 30 デバッガ/ 仮 想 マシン 対 策 対 策 プロセスの 終 了 に 関 するコードへの 制 御 を 削 除 あやしいexitを 削 除 プログラムの 最 後 へのジャンプを 削 除 自 身 を 削 除 するルーチンへのジャンプを 削 除 時 間 計 測 箇 所 の 間 でステップ 実 行 しない 例 外 をトラップしない 31 参 考 文 献 32 Practical Malware Analysis: The Hands-On Guide to Dissecting Malicious Software 各 種 デバッガ 系 ツールの 使 い 方 などもあり 演 習 問 題 も 各 種 あり Dissecting/dp/