削除済みVSSスナップショットの復元

Size: px

Start display at page:

Download "削除済みVSSスナップショットの復元"

いとはむらかわ
5 years ago
Views:

1 Japan Computer Emergency Response Team Coordination Center 電子署名者 : Japan Computer Emergency Response Team Coordination Center DN : c=jp, st=tokyo, l=chiyoda-ku, =office@jpcert.or.jp, o=japan Computer Emergency Response Team Coordination Center, cn=japan Computer Emergency Response Team Coordination Center 日付 : :42:18 +09'00' 削除済みVSSスナップショットの復元株式会社インターネットイニシアティブ小林稔 Japan Security Analyst Conference

2 Who am I 小林稔株式会社インターネットイニシアティブセキュリティ本部セキュリティ情報統括室に所属社内外のインシデントレスポンスに従事外部活動 2015 年 8 月 ~2018 年 1 月社会保障審議会年金事業管理部会運営担当参与 Mauritius 2016 FIRST Technical Colloquium スピーカーおよびトレーニング講師 2017 年セキュリティキャンプ全国大会講師 Twitter Japan Security Analyst Conference

3 Agenda 本発表の概要とモチベーション目標 VSSスナップショットのデータ構造 VSSスナップショットの仕組み主なスナップショットパーサ削除済みVSSスナップショットアクセス手法の検討作成したツールの概要と復元テスト Demo まとめ Japan Security Analyst Conference

4 概要本発表は Volume Shadow Copy Service (VSS) に関する調査研究である VSS は Windows に標準搭載されているバックアップ関連機能で NTFS ボリュームの VSS スナップショット ( 以下スナップショット ) を作成することができるスナップショットを参照するとスナップショット作成時のデータつまり過去のデータにアクセスできるそのため攻撃の痕跡を発見できる場合がありインシデントレスポンスにおいて重要な役割を果たすしかし容量の上限によって自然に古いものが消えるもしくは攻撃者やマルウェアによって削除されてしまう場合がある本発表では削除されたスナップショットにアクセスする手法の検討とそれを基に実装したツールの実験結果を解説する Japan Security Analyst Conference

5 インシデントレスポンス時の VSS スナップショットの活用方法時間の経過や攻撃者により削除されてしまったマルウェアや攻撃者の痕跡を復元し解析することでより深く解析を行う攻撃者が使用したツール攻撃者が一時的に作成したアーカイブファイル現在のイベントログから削除されてしまったログランサムウェアに暗号化されてしまったファイルの復元 Japan Security Analyst Conference

6 モチベーション (1) スナップショットは重要なアーティファクトであるが削除されたスナップショットに Windows からアクセスする方法は存在しない X-ways など一部のツールは特定の条件下で削除済みのスナップショットにアクセスできることを CDI 山崎氏が確認しているこのことから VSS 関連のファイルを復元できれば他のツールでもデータを復元できる可能性があるこれが第 1 のモチベーションである Japan Security Analyst Conference

7 モチベーション (2) 削除済みのスナップショットの一部にアクセスする手段の一つとしてカービングが存在するしかしこの手法には致命的な欠陥が存在するカービングはシグネチャを利用して連続した領域をファイルやレコードとして復元するしかしスナップショットは 16KB のデータブロック単位でバックアップが行われるそのためカービングを行っても最大で 16KB のファイルやレコードしかカービングすることができないまたファイル生成日時などのメタ情報も復元できないスナップショットのデータにアクセスする際には現在の NTFS ボリュームとスナップショット内のバックアップデータを正しく組み合わせる必要があるしたがって NTFS ボリュームをパースするカービングツールを使用しても対象ファイル全体をカービングすることはできないこのように削除されたスナップショットのアクセスには専用のツールが必要となるが誰でも自由に使えるソフトウェアがなかったこれが第 2 のモチベーションである Japan Security Analyst Conference

8 目標以下のような状況で削除されたスナップショットからファイルを復元するツールを作成するスナップショットの容量オーバーで自動的に削除されたスナップショット攻撃者やランサムウェア等に削除されたスナップショット Japan Security Analyst Conference

9 VSSスナップショットのデータ構造 Japan Security Analyst Conference

10 VSS スナップショットのファイル VSS スナップショットの管理データはルートフォルダ直下の System Volume Information に保存される Catalog: メタ情報を管理 ( スナップショット生成日時など ) Store: スナップショットのバックアップデータ Japan Security Analyst Conference

VSS システムのレイヤー VSS スナップショットの管理データはファイルとしても管理されているが VSS は NTFS より下のレイヤーで動作しているため VSS がスナップショットのデータを参照する際 NTFS をパースするのではなくオフセットをたどる高レイヤー低レイヤー

11 VSS システムのレイヤー VSS スナップショットの管理データはファイルとしても管理されているが VSS は NTFS より下のレイヤーで動作しているため VSS がスナップショットのデータを参照する際 NTFS をパースするのではなくオフセットをたどる高レイヤー低レイヤー Japan Security Analyst Conference

12 VSS スナップショットへのアクセスオフセットをたどることで VSS スナップショットにアクセス 0x0 0x1e00 VSS Volume Header Catalog Store 1 Store 2 Japan Security Analyst Conference

13 VSS Volume Header (1) NTFS ボリュームの先頭から 0x1e00 に保存される情報 VSS Identifier VSS が有効な場合にセットされる Catalog や Store のデータブロックにもシグネチャとしてセットされる Catalog Offset Catalog が保存されているボリュームの先頭からのオフセットスナップショットが 0 個の場合 0x0 がセットされる Japan Security Analyst Conference

14 VSS Volume Header (2) VSS Identifier Catalog Offset Japan Security Analyst Conference

15 Catalog (1) Catalog Block Header VSS Identifier (Signature) Next offset Catalog は初期状態で 4 データブロック確保されるためオフセットがセットされる Catalog Entry Catalog Entry Type 0x02 と 0x03 の 2 つ一組で 1 つのスナップショットを管理している Catalog Entry Type 0x02 スナップショット生成日時など Catalog Entry Type 0x03 Store Header Offset, Store Block List Offset, Store Block Range Offset, Store Current Bitmap Offset, Store Previous Bitmap Offset, など Japan Security Analyst Conference

16 Catalog (2) Catalog Block Header VSS Identifier Next offset Entry Type 0x02 スナップショット生成日時 (Windows FILETIME 形式 ) Entry Type 0x03 Block List Offset Block Range Offset Previous Bitmap Offset Store Header Offset Current Bitmap Offset Japan Security Analyst Conference

17 Store (1) Store Block Header 4 種類の Record Type の Store Block で 1 つの Store は管理されている Store Header (Store Information) : Record Type 4 スナップショット GUID 属性フラグマシン名など Store Block List : Record Type 3 データブロックが記録されていたオリジナルのオフセットとバックアップ先のオフセットのテーブル Store Block Range : Record Type 5 Store 自身が使用しているファイル領域のオフセットとレンジのリスト Store Current Bitmap / Store Previous Bitmap : Record Type 6 ボリュームのデータブロックの利用状況を表すビットマップ Store Data Block バックアップされたデータブロック Japan Security Analyst Conference

18 Store (2) - Store Block List の例 VSS Identifier Record Type 3 = Store Block List Original data block offset Relative store data block offset Store Header Store data block offset Flag Allocation bitmap Japan Security Analyst Conference

19 VSSスナップショットの仕組み Japan Security Analyst Conference

20 VSS スナップショットのデータ保存 Japan Security Analyst Conference

21 VSS スナップショットのデータ保存 (1) スナップショットを作成するとスナップショット作成日時などのメタ情報を保存する Catalog とバックアップデータを保存する Store が用意される NTFS ボリュームは 16KB ごとのデータブロックと呼ばれる単位で管理される例として 3 つのデータブロックを使用するファイルのスナップショットについて考えてみる NTFS ボリューム 48KB(3 ブロック ) のファイルデータブロック Catalog Store 1 Japan Security Analyst Conference

22 VSS スナップショットのデータ保存 (2) ファイルの保存などでデータ変更が発生したデータブロックはデータが書き込まれる前に Store にデータブロック単位でバックアップされる NTFS ボリュームファイルの 1 番目のデータブロック部分のデータ書き換え Application Catalog Store 1 Japan Security Analyst Conference

23 VSS スナップショットのデータ保存 (3) 2 つ目のスナップショットを作成すると Catalog へのメタ情報の追加と 2 つ目の Store が用意され変更が発生したデータブロックは Store 2 にバックアップされる 3 つ目以降のスナップショットも同様 NTFS ボリュームファイルの 1 番目と 2 番目のデータブロック部分のデータ書き換え Application Catalog Store 1 Store 2 Japan Security Analyst Conference

24 VSS スナップショットのデータアクセス Japan Security Analyst Conference

25 VSS スナップショットのデータアクセス (1) スナップショットのデータにアクセスする際 Store に保存されているデータブロックと現在の NTFS ボリュームを組み合わせてスナップショット作成時のデータブロックを再現する例としてスナップショット 1 作成時のファイルにアクセスする場合を考える NTFS ボリュームこのファイルのスナップショット 1 のデータにアクセスする Catalog Store 1 Store 2 Japan Security Analyst Conference

26 VSS スナップショットのデータアクセス (2) Store2 に保存されているデータブロックをファイルに重ね合わせる NTFS ボリューム Catalog Store 1 Store 2 ファイルに Store 2 のデータブロックを重ねる Japan Security Analyst Conference

27 VSS スナップショットのデータアクセス (3) Store1 に保存されているデータブロックをファイルに重ね合わせるこのようにスナップショット内にバックアップされたデータブロックを新しい順に NTFS ボリュームのデータブロックに重ねることでスナップショット作成時のデータにアクセスすることができる NTFS ボリューム Catalog Store 1 Store 2 先ほどの状態に Store 1 のデータブロックを重ねるとスナップショット 1 作成時のデータと同等になる Japan Security Analyst Conference

28 VSS スナップショットの削除 Japan Security Analyst Conference

29 スナップショット削除時の動作 (1) スナップショット削除コマンド vssadmin.exe delete shadows /all スナップショット削除直後の Catalog と Store の状態 Catalog と Store の MFT の削除済みエントリが確認できる Japan Security Analyst Conference

30 スナップショット削除時の動作 (2) スナップショット削除直後の Catalog のファイル内容 Entry Type が全て 0x01 となりデータは 0x00 で埋められる Japan Security Analyst Conference

31 スナップショット削除時の動作 (3) スナップショット削除直後の Store のファイル内容削除前削除後ヘッダの一部 ( 動作に影響のない GUID) が変更される Japan Security Analyst Conference

32 スナップショット削除時の動作 (4) スナップショット削除から数分経過後 Catalog と Store の MFT エントリが消えてしまう Store のファイル名が見えているが $I30 のエントリ Japan Security Analyst Conference

33 主なVSSスナップショットパーサ Japan Security Analyst Conference

34 主な VSS スナップショットパーサ Forensic Tool Kit X-ways Forensics AXIOM EnCase などの商用製品 ShadowExplorer ShadowKit などのフリーソフトウェア libvshadow などのオープンソースソフトウェアほとんどのツールは削除されたスナップショットにアクセスできない X-Ways は MFT に Catalog と Store の削除エントリが残っていればスナップショットにアクセス可能しかしスナップショット削除後数分経過するとこれらのエントリは MFT から削除されてしまうため実用性は高くない今回は libvshadow を作成するツールのベースとして採用した Japan Security Analyst Conference

35 なぜ libvshadow なのか商用製品が VSS スナップショットをうまく処理できない場合でも libvshadow であれば正常に処理できることが多くあるライブラリだけではなくスナップショットをディスクイメージとして再現する vshadowmount というコマンドがあるため他のディスクイメージを処理するツールと組み合わせやすい Windows の機能を使用せずに VSS スナップショットパーサを実装しておりオープンソースソフトウェアであるため機能の拡張がしやすい誰でも使用することが可能 Japan Security Analyst Conference

36 削除済み VSS スナップショットアクセス手法の検討 Japan Security Analyst Conference

37 削除済み VSS スナップショットアクセス手法の検討 (1) vshadowmount はディスクイメージ内の Catalog と Store を読み込んでスナップショットのデータにアクセスするため Catalog と Store を復元または再生成する必要があるしかし Catalog と Store の復元には以下のような問題が存在する 1. Store については動作に影響しない一部のデータのみが書き換わるだけであるためディスクイメージからカービングしたデータを利用できることが期待できるしかし Store は 4 種類のストアブロックから構成されるためカービングしたストアブロックを 1 つの Store してグルーピングする方法が必要となる 2. Catalog のデータは完全に失われてしまうためカービングした Store などから再生成する必要がある 3. 複数の Store がカービングできた場合 Store が作成された順番が分からない Japan Security Analyst Conference

38 削除済み VSS スナップショットアクセス手法の検討 (2) 問題点 1 Store については動作に影響しない一部のデータのみが書き換わるだけであるためディスクイメージからカービングしたデータを利用できることが期待できるしかし Store は 4 種類のストアブロックから構成されるためカービングしたストアブロックを 1 つの Store してグルーピングする方法が必要となる解決策 1 各種ストアブロックの NTFS ボリューム上での配置を調査してグルーピングの方法を検討する Japan Security Analyst Conference

削除済み VSS スナップショットアクセス手法の検討 (3) CatalogのEntry Type 0x03に記録されている各種ストアブロックのオフセットを見るとある程度の範囲に収まっていることが分かる (NTFSボリュームの大きさによって変化する ) Store Header Offset: 0x02F1BA8000 Store Block List Offset: 0x02F1BAC000

39 削除済み VSS スナップショットアクセス手法の検討 (3) CatalogのEntry Type 0x03に記録されている各種ストアブロックのオフセットを見るとある程度の範囲に収まっていることが分かる (NTFSボリュームの大きさによって変化する ) Store Header Offset: 0x02F1BA8000 Store Block List Offset: 0x02F1BAC000 Store Block Range Offset: 0x02F1BB0000 Store Current Bitmap Offset: 0x02F1BD4000 Store Previous Bitmap Offset: 0x02F1C14000 Entry Type 0x03 Store Block List Offset Store Block Range Offset Store Previous Bitmap Offset Store Header Offset Store Current Bitmap Offset Japan Security Analyst Conference

削除済み VSS スナップショットアクセス手法の検討 (4) 次にディスクイメージ内のストアブロックを検索するツールを作成し他の Store のストアブロックと入り組んだ配置になっていないか確認すると Store ごとに離れて配置されていることが確認できるまた Store は Record Type 4, 3, 5, 6, 6

40 削除済み VSS スナップショットアクセス手法の検討 (4) 次にディスクイメージ内のストアブロックを検索するツールを作成し他の Store のストアブロックと入り組んだ配置になっていないか確認すると Store ごとに離れて配置されていることが確認できるまた Store は Record Type 4, 3, 5, 6, 6 の順番でストアブロックが現れるためこれらを 1 つの Store としてカービングしても問題ないであろうと考えられる 1 つ目の Store Record Type 4, 3, 5, 6, 6 を 1 つの Store として扱う 2 つ目の Store Japan Security Analyst Conference

41 削除済み VSS スナップショットアクセス手法の検討 (5) 問題点 2 Catalog のデータは完全に失われてしまうためカービングした Store などから再生成する必要がある解決策 2 Catalog に必要な主な情報は以下の通りスナップショット生成日時 Store Header Offset などの各オフセットオフセットはカービングした Store から取得することができるがスナップショット生成日時は完全に失われている vshadowmount はスナップショット生成日時の新しい順にスナップショットを並べ替えてスナップショットのデータにアクセスするつまりスナップショット間で前後関係が正しければ生成日時はいつでも良いこのことからカービングを行った日時を基準にスナップショット生成日時をセットすることとした ( 問題点 3 と関連 ) Japan Security Analyst Conference

42 削除済み VSS スナップショットアクセス手法の検討 (6) 問題点 3 複数の Store がカービングできた場合 Store が作成された順番が分からないスナップショットのデータを参照する際に正しい順番でデータブロックを再構成しないと正しいデータを再現することができない解決策 3 新しい Store は NTFS ボリュームのオフセットが大きい位置に配置されると仮定し Catalog を生成する際に一番大きなオフセットの Store のスナップショット生成日時にカービングを行った日時をセットし 1 つ前のスナップショット生成日時には 1 時間前の日時をセットするようにした ( 以降同様に 1 時間ずつ前の日時をセットする ) しかし実際には新しい Store が小さなオフセットに作成される場合もあるこのような状況はツールで自動的に判断できないため利用者がスナップショットを読み込む順番を簡単に入れ替えられるようなツールを別途作成した Japan Security Analyst Conference

43 作成したツールの概要と復元テスト Japan Security Analyst Conference

44 作成したツール vss_carver.py ( カービングツール ) ディスクイメージから Store をカービングするカービングした Store から Catalog を生成するディスクイメージ内に Catalog があればその情報とカービングした情報をマージする ( 情報は Catalog を優先する ) vss_catalog_manipulator.py ( カタログを操作するツール ) カタログエントリの順番の変更や削除などを行う拡張版 vshadowmount (libvshadow をベースに作成 ) vss_carver.py で復元した Catalog と Store からスナップショットの情報を読み込むオプションを追加した Japan Security Analyst Conference

45 vss_carver.py の使い方 -o / --offset : ディスクイメージ内のNTFSボリュームのオフセット --i / --image : ディスクイメージのファイルパス -c / --catalog : Catalog 書き出し先のファイルパス -s / --store : Store 書き出し先のファイルパス vss_carver.py -o i y: image -c z: catalog -s z: store Japan Security Analyst Conference

46 vss_catalog_manipulator.py の使い方 list : Catalog 内の情報を出力 vss_catalog_manipulator.py list z: catalog move : Catalog の 5 番のエントリを 3 番の位置に移動する vss_catalog_manipulator.py move z: catalog 5 3 remove : Catalog の 2 番のエントリを削除する vss_catalog_manipulator.py remove z: catalog 2 enable : Catalog の 4 番のエントリを有効化する vss_catalog_manipulator.py enable z: catalog 4 disable : Catalog の 7 番のエントリを無効化する vss_catalog_manipulator.py disable z: catalog 7 Japan Security Analyst Conference

47 拡張版 vshadowmount の使い方既存のオプションは変更せず新たにオプションを追加した -c : Catalogの情報としてvss_carver.pyで生成したCatalogファイルを使用する -s : Storeの情報としてvss_carver.pyでカービングしたStoreファイルを使用する vshadowmount.exe -o c z: catalog -s z: store y: image x: Japan Security Analyst Conference

48 作成したツールの概要 Store Data Block( バックアップされたデータブロック ) 参照先 Store 1 (Store Data Block) データ / ファイル読込 Store 2 (Store Data Block) 1 ディスクイメージから Store の管理部分をカービングする拡張版 vshadowmount 3 ディスクイメージと復元した Catalog Store を読み込んで削除されたスナップショットにアクセスする Store 1 Store 2 Store vss_carver.py 2Store などの情報から Catalog を生成する Japan Security Analyst Conference 2018 Catalog 48

49 ファイル復元テスト以下の操作を行ったディスクイメージからファイルを復元できるか複数のスナップショットパーサでテストを行った事前準備 3KB, 5MB, 15MB のファイルを 10 個ずつ保存しスナップショットを作成後各ファイルの先頭に 1 バイトのデータを追加してファイルを保存テスト 1 全てのスナップショット削除後 1 分以内のディスクイメージ (MFT に削除エントリが残っている状態 ) テスト 2 全てのファイルを削除し別の 10 個の 5MB のファイルのコピーと削除を 5 回繰り返すテスト 3 Teslacrypt を実行してファイルを暗号化させる外部への通信ができない検証環境で実行する必要があったため通信ができなくともファイルを暗号化する Teslacrypt を使用した Japan Security Analyst Conference

50 ファイル復元テスト結果ソフトウェアテスト 1 テスト 2 テスト 3 備考商用製品 A (Ver. X) 商用製品 A (Ver. Z) MFT に Store のエントリがある場合のみ復元可能上記と同じ製品だが新しいバージョンにも関わらずエンバグしている可能性がある商用製品 B フリーソフトウェア C libvshadow + vss_carver.py : すべてのファイルが復元できた :1 つもファイルが復元できなかった Japan Security Analyst Conference

51 DEMO Japan Security Analyst Conference

52 Demo 1: 自動的に削除されたスナップショットの復元 1 か月程度運用した Windows 7 のディスクイメージディスクイメージ内の Catalog には 3 つのスナップショットのエントリが記録されているがカービングを行うと自動的に削除されたスナップショットのエントリを見つけることができるこの削除されたスナップショットから既存のスナップショットより古いデータを復元できる可能性がある Japan Security Analyst Conference

53 Demo 2: ランサムウェアに削除されたスナップショットの復元被害者コンピュータ :Windows 10 スナップショットを作成既存のファイルを編集保存する Teslacrypt を実行後暗号化が完了したことを確認して VMware のスナップショットを作成する解析コンピュータ :Windows 7 被害者コンピュータの VMware ディスクイメージマウントして vshadowinfo でスナップショットがないことを確認する (Teslacrypt による削除 ) vss_carver.py がカービングした Catalog と Store を使って拡張版 vshadowmount で VMware ディスクイメージをマウントする暗号化される前のファイルが復元できるか確認する Japan Security Analyst Conference

54 ScopeSnapshots の確認 VSS スナップショットにはもう一つ考慮しなければならない点がある Windows 8 以降デフォルトで ScopeSnapshots が有効になっている ScopeSnapshots が有効になっていると VSS スナップショットにはシステム関連のファイルのみが保存されユーザが作成したデータは保存されない ScopeSnapshots を無効化するには HKLM Software Microsoft Windows NT CurrentVersion SystemRestore キーに ScopeSnapshots という名前で DWORD 値 0 を設定し OS を再起動する詳細は弊社発行の冊子 IIR Vol.37 を参照 Japan Security Analyst Conference

55 Future Work 拡張版 vshadowmount の Windows 以外の OS への対応ストアブロックの一部が上書きされている場合の補完処理 Japan Security Analyst Conference

56 まとめディスクイメージから Store と Catalog を復元しこれらのファイルを機能拡張した vshadowmaount で読み込むことで削除された VSS スナップショットのデータにアクセスできるようになったまた自然に削除されたスナップショットやランサムウェアによって削除されたスナップショットにも有効であることが確認できた作成したツールの公開先と公開予定時期拡張版 vshadowmount パッチ公開予定時期 :2018 年 2 月バイナリは先行して公開中 Japan Security Analyst Conference

57 Q & A Japan Security Analyst Conference

IIJ Technical Seminar DAY2018～フォレンジックツールの開発と実装

IIJ Technical Seminar DAY2018～フォレンジックツールの開発と実装フォレンジックツールの開発と実装株式会社インターネットイニシアティブセキュリティ部セキュリティ情報統括室小林稔 Internet Initiative Japan Inc. 自己紹介名前 : 小林稔所属 : セキュリティ本部セキュリティ情報統括室 2014 年 5 月 IIJ 入社フォレンジックインシデントレスポンス IIJ-SECTメンバー外部 Mauritius 2016 FIRST