( 億 種 ) マルウェアが 急 速 に 増 加! 短 時 間 で 解 析 し, マルウェアの 意 図 や 概 略 を 把 握 したい マルウェアを 実 行 し, 挙 動 を 観 測 することで 解 析 する 動 的 解 析 が 有 効 しかし, マルウェアの 巧 妙 化 により, 観 測 自 体

Transcription

1 大 月 勇 人, 瀧 本 栄 二, 毛 利 公 一 立 命 館 大 学

2 ( 億 種 ) マルウェアが 急 速 に 増 加! 短 時 間 で 解 析 し, マルウェアの 意 図 や 概 略 を 把 握 したい マルウェアを 実 行 し, 挙 動 を 観 測 することで 解 析 する 動 的 解 析 が 有 効 しかし, マルウェアの 巧 妙 化 により, 観 測 自 体 が 困 難 となっている アンチデバッグ: 観 測 ツールを 検 知 し, 観 測 解 析 を 妨 害 する コードインジェクション: 一 般 のプロセスに 感 染 し, 悪 意 あるスレッド を 潜 ませる 立 命 館 大 学 年 12 月 4 日 ( 年 ) 2011 年 には4 億 300 万 種 の 新 種 や 亜 種 が 出 現! (Symantec のデータより )

3 マルウェアに 検 知 されない 観 測 システムの 実 現 マルウェアよりも 高 い 権 限 で 動 作 マルウェア 動 作 環 境 への 影 響 を 抑 制 VMM を 検 出 されないために ハードウェア 構 成 を 固 定 しない ゲスト OS と 通 信 せずに 内 部 の 情 報 を 得 る 立 命 館 大 学 年 12 月 4 日

4 実 環 境 に 近 い ゲスト OS は 実 マシンのハードウェアを 認 識 する マルウェアに 検 出 されにくい オーバヘッドが 小 さい 1 体 辺 りの 解 析 時 間 の 短 縮, 時 間 計 測 を 用 いたアンチデバッグの 回 避 などが 見 込 める 脆 弱 性 が 潜 在 する 可 能 性 が 低 い マルウェアに 乗 っとられる 可 能 性 が 低 くなる VM が1つのみ 解 析 中 に 他 の VM の 影 響 を 受 けない 立 命 館 大 学 年 12 月 4 日

5 マルウェアの 意 図 を 理 解 しやすい 情 報 を 提 供 粒 度 の 観 点 から 命 令 単 位 よりもAPI 単 位 の 観 測 が 有 効 悪 意 あるスレッドがシステムに 影 響 を 与 えるには システムコールが 必 要 悪 意 あるスレッドを 追 跡 し, 挙 動 を 観 測 コードインジェクションを 構 成 する 挙 動 を 観 測 別 プロセスへのメモリ 書 換 え, DLL 挿 入, スレッド 作 成 など システムコールの 発 行 元 をスレッドレベルで 区 別 立 命 館 大 学 年 12 月 4 日

6 マルウェア 観 測 用 ロギング 用 ユーザ モード VM SystemCall ログ 分 析 挙 動 抽 出 LogViewer 立 命 館 大 学 カーネル モード システムコール 観 測 部 Alkanet BitVisor Windows システムコールを フックし, 情 報 取 得 ログ メモリから 直 接 ログを 取 得 BitVisor core 内 の VM-Exit をハンドルする 部 分 に 実 装 6 表 示 保 存 Logger 2012 年 12 月 4 日

7 1 9 ntdll.dll sysenter 3 2 sysexit 立 命 館 大 学 NtCreateFile KiFastSystem Call KiFastCall Entry 5 システムコールの スタブ NtCreateFile KiFastSystem CallRet KiSystemCall Exit2 Windows Kernel マルウェアが システムコールを 発 行 する 2. ブレイクポイントにより, VM-Exit を 発 生 させ Alkanet に 制 御 を 移 す HWBP を 使 用 BitVisor にDR 隠 蔽 機 能 を 追 加 3. 必 要 な 情 報 の 取 得 する システムコール 発 行 元 プロセスとスレッドの 情 報 プロセスID, スレッドID, プロセスの 名 前 システムコール 番 号 システムコールの 引 数 固 有 のデータ 構 造 に 対 する 補 足 情 報 4. Windows に 制 御 を 戻 す 2012 年 12 月 4 日

8 1 9 ntdll.dll sysenter 3 2 sysexit 立 命 館 大 学 NtCreateFile KiFastSystem Call KiFastCall Entry 5 システムコールの スタブ NtCreateFile KiFastSystem CallRet KiSystemCall Exit2 Windows Kernel システムコールが 実 行 される 6. ブレイクポイントにより Alkanet に 制 御 を 移 す 7. システムコールの 結 果 を 取 得 する 戻 り 値 や 生 成 された オブジェクトの 情 報 など スレッド 作 成 の 挙 動 の 場 合, 作 成 されたスレッドの 情 報 8. Windows に 制 御 を 戻 す 9. マルウェアに 制 御 が 戻 る 2012 年 12 月 4 日

9 ntdll.dll NtCreateFile KiFastSystem Call システムコールの スタブ KiFastSystem CallRet 各 システムコールに 対 応 するスタブへの 戻 りアドレス 戻 りアドレス (システムコールのスタブ) アドレスから システムコールを 特 定 できる sysenter KiFastCall Entry sysexit NtCreateFile KiSystemCall Exit2 Windows Kernel 戻 りアドレス (Windows API など) 第 1 引 数 第 2 引 数 ユーザモードのスタック sysenter 時 には EDX, sysexit 時 には ECX に 保 持 立 命 館 大 学 年 12 月 4 日

10 PCR: 各 プロセッサの 状 態 を 保 持 するデータ 構 造 カーネルや HAL, ドライバから 利 用 される カーネルモードでは FS セグメントにマップされている Alkanet では, このデータ 構 造 を 解 釈 利 用 する 現 在 実 行 中 のスレッドオブジェクトへのポインタ カーネルデバッガ 用 の 構 造 体 へのポインタ...など FS KPCR ETHREAD +0x000 Tcb EPROCESS +0x034 KdVersionBlock +0x034 ApcState +0x120 PrcbData +0x010 Process +0x004 CurrentThread +0x1ec Cid +0x174 ImageFileName 立 命 館 大 学 年 12 月 4 日

11 引 数 IN: カーネル 側 に 渡 す 値 OUT: カーネル 側 が 返 す 結 果 を 受 け 取 る 変 数 へのポインタ 戻 り 値 (NTSTATUS): システムコールの 成 否, 失 敗 の 理 由 などを 示 す 値 立 命 館 大 学 NTSYSAPI NTSTATUS NTAPI NtCreateThread( OUT PHANDLE ThreadHandle, IN ACCESS_MASK DesiredAccess, IN POBJECT_ATTRIBUTES ObjectAttributes, IN HANDLE ProcessHandle, OUT PCLIENT_ID ClientId, IN PCONTEXT ThreadContext, IN PUSER_STACK UserStack, IN BOOLEAN CreateSuspended ); 11 作 成 されたスレッドの ハンドルを 受 け 取 る 変 数 スレッドを 作 成 するプロセスを 示 すハンドル 2012 年 12 月 4 日

12 挙 動 ファイル レジストリ 仮 想 メモリ ファイルマッピング プロセス システムコールの 例 NtCreateFile, NtReadFile, NtWriteFile, NtQueryValueKey,NtSetValueKey, NtWriteVirtualMemory, NtProtectVirtualMemory, NtCreateSection, NtOpenSection, NtMapViewOfSection, NtCreateProcessEx, NtTerminateProcess, スレッド ネットワーク ドライバ 立 命 館 大 学 NtCreateThread,NtTerminateThread, NtSetContextThread, NtDeviceIoControlFile, NtLoadDriver, NtUnloadDriver 年 12 月 4 日

13 挙 動 ファイル レジストリ 仮 想 メモリ ファイルマッピング プロセス システムコールの 例 NtCreateFile, NtReadFile, NtWriteFile, NtQueryValueKey,NtSetValueKey, NtWriteVirtualMemory, NtProtectVirtualMemory, コードインジェクションに 用 いられる システムコールへ 対 応 NtCreateSection, NtOpenSection, NtMapViewOfSection, NtCreateProcessEx, NtTerminateProcess, スレッド ネットワーク ドライバ 立 命 館 大 学 NtCreateThread,NtTerminateThread, NtSetContextThread, NtDeviceIoControlFile, NtLoadDriver, NtUnloadDriver 年 12 月 4 日

14 以 下 は Polipos というマルウェアを 解 析 したときのログ 2 分 程 度 のトレースで 24,000 エントリのログを 取 得 No. / Time 6337 / No. / Time 6339 / Type sysenter Type sysenter SNo. 115 (NtWriteVirtualMemory) SNo. 35 (NtCreateThread) Invoker bc.304, Polipos.exe Invoker bc.304, Polipos.exe Note PID: b0, ProcessName: explorer.exe Note PID: b0, ProcessName: explorer.exe No. / Time 6338 / No. / Time 6340 / Type sysexit Type sysexit Ret 0 (STATUS_SUCCESS) Ret 0 (STATUS_SUCCESS) SNo. 115 (NtWriteVirtualMemory) SNo. 35 (NtCreateThread) Invoker bc.304, Polipos.exe Invoker bc.304, Polipos.exe Note PID: b0, ProcessName: explorer.exe Note Cid: b0.1e8, ProcessName: explorer.exe 立 命 館 大 学 年 12 月 4 日

15 1. スレッド 作 成 Polipos.exe NtCreateThread c winlogon.exe => STATUS_SUCCESS 2. スレッドのコンテキスト 取 得 Polipos.exe NtGetContextThread c winlogon.exe => STATUS_SUCCESS 3. メモリ 確 保 & 権 限 設 定 Polipos.exe NtAllocateVirtualMemory 370 winlogon.exe, BaseAddress: 0xd90000, Protect: 0x40 (PAGE_EXECUTE_READWRITE), => STATUS_SUCCESS Polipos.exe NtProtectVirtualMemory 370 winlogon.exe, BaseAddress: 0xd90000, NewProtect: 0x40 (PAGE_EXECUTE_READWRITE), => STATUS_SUCCESS 4. メモリ 書 込 み Polipos.exe NtWriteVirtualMemory 370 winlogon.exe => STATUS_SUCCESS 5. スレッドのコンテキスト 設 定 Polipos.exe NtSetContextThread c winlogon.exe => STATUS_SUCCESS 6. スレッドの 実 行 開 始 Polipos.exe NtResumeThread c winlogon.exe => STATUS_SUCCESS 立 命 館 大 学 年 12 月 4 日

16 No. [5212, 5213]: Polipos.exe (Cid: 54c.18c) -> svchost.exe (Cid: 480.2c4) (Code Injection) No. [5288, 5289]: svchost.exe (Cid: 480.2c4) -> svchost.exe (Cid: c) No. [5959, 5960]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [6392, 6393]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [11340, 11341]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [14368, 14369]: svchost.exe (Cid: ) -> rundll32.exe (Cid: 220.7f8) (Code Injection) No. [14546, 14547]: rundll32.exe (Cid: 220.7f8) -> rundll32.exe (Cid: )... No. [11844, 11845]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [15080, 15081]: svchost.exe (Cid: c) -> alg.exe (Cid: 34c.1c8) (Code Injection) No. [15240, 15241]: alg.exe (Cid: 34c.1c8) -> alg.exe (Cid: 34c.5ac)... No. [13214, 13215]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.7e0) No. [16586, 16587]: svchost.exe (Cid: 480.7e0) -> explorer.exe (Cid: ) (Code Injection) No. [16744, 16745]: explorer.exe (Cid: ) -> explorer.exe (Cid: 538.6ac)... No. [13802, 13803]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [14422, 14423]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.2d0)... システムコールのログから, 別 プロセスへ 挿 入 された スレッドを 追 跡 可 能 であることを 確 認 ログ 分 析 ツールを 利 用 することで, マルウェアの 挙 動 をさらに 理 解 しやすくできる 立 命 館 大 学 年 12 月 4 日

17 Polipos.exe が svchost.exe にスレッド 作 成 No. [5212, 5213]: Polipos.exe (Cid: 54c.18c) -> svchost.exe (Cid: 480.2c4) (Code Injection) No. [5288, 5289]: svchost.exe (Cid: 480.2c4) -> svchost.exe (Cid: c) No. [5959, 5960]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [6392, 6393]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [11340, 11341]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) スレッドが 派 生 No. [14368, 14369]: svchost.exe (Cid: ) -> rundll32.exe (Cid: 220.7f8) (Code Injection) No. [14546, 14547]: rundll32.exe (Cid: 220.7f8) -> rundll32.exe (Cid: )... さらに 別 のプロセスへ 感 染 No. [11844, 11845]: svchost.exe (Cid: c) -> svchost.exe (Cid: c) No. [15080, 15081]: svchost.exe (Cid: c) -> alg.exe (Cid: 34c.1c8) (Code Injection) No. [15240, 15241]: alg.exe (Cid: 34c.1c8) -> alg.exe (Cid: 34c.5ac)... No. [13214, 13215]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.7e0) No. [16586, 16587]: svchost.exe (Cid: 480.7e0) -> explorer.exe (Cid: ) (Code Injection) No. [16744, 16745]: explorer.exe (Cid: ) -> explorer.exe (Cid: 538.6ac)... No. [13802, 13803]: svchost.exe (Cid: c) -> svchost.exe (Cid: ) No. [14422, 14423]: svchost.exe (Cid: c) -> svchost.exe (Cid: 480.2d0)... システムコールのログから, 別 プロセスへ 挿 入 された スレッドを 追 跡 可 能 であることを 確 認 ログ 分 析 ツールを 利 用 することで, マルウェアの 挙 動 をさらに 理 解 しやすくできる 立 命 館 大 学 年 12 月 4 日

18 Benchmark Native BitVisor1.2 (512MB) Alkanet (hook のみ) Alkanet System Test Suite (PCMarks) HDD - XP Startup (MB/s) Physics and 3D (FPS) Transparent Windows (windows/s) D - Pixel Shader (FPS) Web Page Rendering (pages/s) File Decryption (MB/s) Graphics Memory - 64 lines (FPS) HDD - General Usage (MB/s) Audio Compression (MB/s) Video Encoding (MB/s) Text edit (pages/s) Image Decompression (pixels/s) File Compression (MB/s) File Encryption (MB/s) HDD - Virus Scan (MB/s) Memory Latency - Random 16 MB (accesses/s) 立 命 館 大 学 年 12 月 4 日

19 System Test Suite (PCMarks) Physics and 3D (FPS) Web Page Rendering (pages/s) Video Encoding (MB/s) 43% 84% 84% 80% Native BitVisor1.2 (512MB) Alkanet (hook のみ) Text edit (pages/s) Memory Latency - Random 16 MB (accesses/s) 35% 62% Alkanet 立 命 館 大 学 0% 20% 40% 60% 80% 100% 年 12 月 4 日

20 Memory Latency - Random 16 MB (accesses/s) 35% 61% 100% 103% 0% 20% 40% 60% 80% 100% Native BitVisor1.2 (512MB) Alkanet (hook のみ) Alkanet : メモリ 確 保 操 作 のシステムコールのフック Alkanet による Windows のメモリ 領 域 の 読 み 取 り ログのバッファリング IEEE1394 の DMA によるログ 取 得 立 命 館 大 学 年 12 月 4 日

21 Alkanet VMM を 用 いてアンチデバッグを 回 避 する BitVisor を 用 いることで 実 環 境 に 近 いマルウェア 実 行 環 境, 速 度 が 実 現 可 能 スレッド 単 位 でマルウェアを 追 跡 し, システムコールをトレースする ログを 元 にマルウェアの 特 徴 的 な 挙 動 を 抽 出 するツール 群 も 作 成 別 プロセス 内 に 作 成 されたスレッドも 追 跡 可 能 であることを 確 認 PCMark 05 によるベンチマーク 総 合 では16% 程 度 のオーバヘッド, 特 に Memory Latency が65% 低 下 今 後 の 課 題 評 価 の 続 き オーバヘッドの 評 価 アンチデバッグに 対 する 評 価 ネットワークを 用 いた 挙 動 を 観 測 する 機 能 の 強 化 別 のコンピュータに 攻 撃 させないように 配 慮 する 必 要 がある 既 存 のハニーポットとの 連 携 システムコールトレースログを 元 にした 既 存 手 法 に Alkanet のログが 利 用 できるか 評 価 を 行 う 異 常 検 知 やマルウェアのクラスタリングなど 立 命 館 大 学 年 12 月 4 日