Microsoft PowerPoint - 鵜飼裕司講演資料shirahama_egg.ppt [互換モード]

Size: px

Start display at page:

Download "Microsoft PowerPoint - 鵜飼裕司講演資料shirahama_egg.ppt [互換モード]"

ありかつちとく
5 years ago
Views:

1 仮想環境に依存しない動的解析システム egg の設計と実装株式会社フォティーンフォティ技術研究所

2 アジェンダ背景と問題 egg とはデモ : 基本的な機能実装 (Ring-0 における汚染追跡 ) デモ : 汚染追跡 egg の制約と今後まとめ 2

3 背景 : 増え続ける新種のマルウェアパックされたマルウェアの割合 2007 年時点で80% のマルウェアがパックされている yr 2003 yr 2005 yr 2007 yr それぞれのマルウェアを手動で解析することは不可能自動解析が重要度が増している. Source: : McAfee Sage vol.1 issue : Panda Research ( 3

4 問題 : 従来の動的解析システムの欠点より詳細な解析に進める際に有用な情報が少ないカーネルモードコードを解析できないプロセスを超えて拡散するマルウェアの解析が困難 4

5 問題 : 先進的なシステム ( 仮想マシンを用いるもの ) 先進的なシステムでは先ほどの問題は解決されている Anubis Eh Ether これらはカーネルモードコードを命令単位で解析できる BitBlaze and Renovo これらは加えてプロセスを超えて拡散するマルウェアを汚染追跡 ( tracing) と呼ばれる技法を使って解析できるしかしながらこれらのシステムは仮想マシン検知技術によってマルウェアから検知されてしまう 5

6 問題のまとめ動的解析システムの種類従来システム先進的システム ( 仮想マシンを用いるもの ) 有用な情報の取得不十分良いカーネルモードコードの解析不十分良い拡散するマルウェアの解析不十分良い仮想マシン検知技術への耐性 ( 影響のなさ ) 良い ( 影響を受けない ) 不十分 ( 影響を受ける ) これらの問題を解決するために egg を開発 6

7 egg とは? egg は Windows デバイスドライバーとして実装された動的解析システム. egg は以下の特長を持つ : 1. より詳細な情報を得ることが可能. 2. カーネルモードコードの解析が可能. 3. 拡散するマルウェアを自動的に解析可能もちろん仮想マシン検知技術の影響を受けないさらに多くのアンチデバッグ技術によって検知されない 7

8 egg はどのような情報を収集するか 1. API 引数 (IN, OUT, INOUT) および戻り値 BOOL WINAPI ReadFile( in HANDLE hfile, out LPVOID lpbuffer, in DWORD nnumberofbytestoread, out_opt opt LPDWORD lpnumberofbytesread, inout_opt LPOVERLAPPED lpoverlapped ); 8

9 egg はどのような情報を収集するか 1. API 引数 (IN, OUT, INOUT) および戻り値 BOOL WINAPI ReadFile( in HANDLE hfile, out LPVOID lpbuffer, in DWORD nnumberofbytestoread, out_opt opt LPDWORD lpnumberofbytesread, inout_opt LPOVERLAPPED lpoverlapped ); call to kernel32.dll!readfile( Arg 1 : = File : Device HarddiskVolume1 WINDOWS (...), Arg 3 : (2048) ) 9

10 egg はどのような情報を収集するか 1. API 引数 (IN, OUT, INOUT) および戻り値 BOOL WINAPI ReadFile( in HANDLE hfile, out LPVOID lpbuffer, in DWORD nnumberofbytestoread, out_opt opt LPDWORD lpnumberofbytesread, inout_opt LPOVERLAPPED lpoverlapped ); call to kernel32.dll!readfile( Arg 1 : = File : Device HarddiskVolume1 WINDOWS (...), Arg 3 : (2048) ) returned from kernel32.dll!readfile( Arg 2 : 0012F F983 is dumped as (...) (...)ReadFile_Arg02.bin ) => (1) 10

11 egg はどのような情報を収集するか 2. コールグラフ 3. 分岐情報コールグラフ (made with Graphviz) 分岐情報 (with IDA Pro) 11

12 egg はどのような情報を収集するか 2. コールグラフ 3. 分岐情報コールグラフ (made with Graphviz) 分岐情報 (with IDA Pro) 12

13 egg はどのような情報を収集するか 2. コールグラフ 3. 分岐情報コールグラフ (made with Graphviz) 分岐情報 (with IDA Pro) 13

14 egg はどのような情報を収集するか 2. コールグラフ 3. 分岐情報コールグラフ (made with Graphviz) 分岐情報 (with IDA Pro) 14

15 デモ : 基本的な機能 sample.exeの解析 Sample.exe はもともとのbeepドライバ (beep.sys) を上書きするその後 beepサービスを再起動することで上書き後のドライバをカーネルに読み込ませる egg は sample.exe と上書きされたドライバの両方を解析する. 15

16 詳細なコード解析の実装 X86のページ保護とトラップフラグを利用 Stealth Breakpoints と呼ばれる技法 1 命令実行されるごとに解析処理を動作させることができるカーネルモードとユーザーモードを解析可能ユーザーモードから透過的に動作する Stealth Breakpoints 16

17 汚染追跡 ( tracing) とは何か不審な要素を追跡する技法不審な要素を汚染としてマークする. 汚染された要素を使用した要素も汚染とみなすことで汚染を自動的に追跡していく何か不審な入力ソース ed NOT ed NEW ed 17

18 egg における汚染追跡の全体像 egg は汚染追跡をユニークな方法で実装する egg の場合要素はファイル仮想メモリスレッド File Memory 1. 指定 2. メモリにマップ 3. 実行 4. ファイルへの書込 File Memory Tit 4. メモリへの書込 18

19 egg における汚染追跡の全体像 egg は汚染追跡をユニークな方法で実装する egg の場合要素はファイル仮想メモリスレッド File Memory 1. 指定 2. メモリにマップ 3. 実行 4. ファイルへの書込 File Memory Tit 4. メモリへの書込 19

20 Ring-0 における汚染追跡の実装 PsSetLoadImageNotifyRoutine を使用 File Memory 1. 指定 2. メモリにマップ 3. 実行 4. ファイルへの書込 File Memory Tit 4. メモリへの書込 20

21 Ring-0 における汚染追跡の実装ページ保護を使用 (execute Disable bit) File Memory 1. 指定 2. メモリにマップ 3. 実行 4. ファイルへの書込 File Memory Tit 4. メモリへの書込 21

22 Ring-0 における汚染追跡の実装ファイルシステムフィルタドライバーを使用 File Memory 1. Specify 2. メモリにマップ 3. 実行 4. ファイルへの書込 File Memory Tit 4. メモリへの書込 22

23 Ring-0 における汚染追跡の実装ページ保護を使用 (Write/Read bit) File Memory 1. Specify 2. メモリにマップ 3. 実行 4. ファイルへの書込 File Memory Tit 4. メモリへの書込 23

24 Ring-0 における汚染追跡の実装スレッド安全性を確保するため egg は Windows カーネルのスレッドスイッチ関数 (SwapContext) をフックする. これにより eggはスレッドスイッチの発生を知ることができる. プロセスメモリプロセッサ上で実行中 (not tainted) 実行待ち (tainted) プロセスメモリはまだ変更されていない. 実行待ち (not tainted) 24

25 Ring-0 における汚染追跡の実装汚染スレッドがアクティブになったとき egg はすべてのプロセスメモリを読み取り専用に変更するプロセスメモリプロセッサ上で実行中 (tainted) 実行待ち (not tainted) 現在プロセスメモリは読み取り専用実行待ち (not tainted) もし汚染スレッドがどこかに書き込もうとしたらプロセッサは例外を発生させる egg はこの例外を汚染イベントとしてキャッチする 25

26 Ring-0 における汚染追跡の実装汚染スレッドがアクティブではなくなったとき egg はすべてのプロセスメモリの保護属性を元に戻すプロセスメモリプロセッサ上で実行中 (not tainted) 実行待ち (not tainted) プロセスメモリの保護属性を元に戻す. 実行待ち (not tainted) 26

27 プロセス間メモリ操作の追跡プロセス間メモリ操作を追跡するために egg はプロセスメモリ空間の切り替え関数 (KiSwapProcess) をフックするこれにより eggはプロセス間のメモリ操作を知ることができる malware.exe プロセスメモリプロセッサ上で実行中 (tainted) CR3 explorer.exe プロセスメモリ読み取り専用保護属性はまだ変更されていない 27

28 プロセス間メモリ操作の追跡汚染スレッドが別のプロセスメモリで実行されたとき egg はそのプロセスメモリを読み取り専用に変更する malware.exe プロセスメモリプロセッサ上で実行中 (tainted) CR3 explorer.exe プロセスメモリ eggは他のプロセスメモリに対する操作 ( 例 : WriteProcessMemory) でも追跡することができる保護属性を元に戻す読み取り専用に変更 28

29 デモ : 汚染追跡サンプルマルウェアはスレッドインジェクションを行うサンプルマルウェアは injector.exe VirtualAllocEx WriteProcessMemory CreateRemote を用いてnotepad.exe にスレッドをインジェクトするインジェクトされたスレッドはAllocConsoleとWriteConsoleをループの中で呼び出す egg はこのインジェクトされたスレッドも解析する 29

30 同レベル特権の問題 egg はカーネルモードの解析について制限を持つカーネルモードマルウェアから egg は可視であり破壊可能この制限は仮想マシン検知技術の影響を回避するためのトレードオフ 30

31 まとめ動的解析システムの種類 Egg 従来システム先進的システム有用な情報の取得良い不十分良いカーネルモードコードの解析可不十分良い拡散するマルウェアの解析良い不十分良い仮想マシン検知技術への耐性 ( 影響のなさ ) 良い ( 影響を受けない ) 良い ( 影響を受けない ) 不十分 ( 影響を受ける ) egg を使用することで解析の所要時間を抑えることができる将来のバージョンではより高速かつ安定した動作を目指す. 31

32 ありがとうございました株式会社フォティーンフォティ技術研究所発表者肩書き発表者氏名発表者メールアドレス 32

テスト

テスト NTT Secure Platform Laboratories NTT セキュアプラットフォーム研究所テイント伝搬に基づく解析対象コードの追跡方法 NTT セキュアプラットフォーム研究所川古谷裕平塩治榮太朗岩村誠針生剛男 2012 NTT Secure Platform Laboratories 目次背景問題定義提案手法実装実験関連研究考察まとめ 2 背景マルウェアの動的解析が様々なところで利用されている