第1回:BlackEnergyボットTweetPocket脅威情報2011.5.20BlackEnergyは、ここ数年で最も有名なDDoSボットネットです。このボットは現在も開発中であり、新しい機能が絶えず追加されることで、悪質さを増しています。セキュリティ研究者はBlackEnergyを監視し続けており、現在あるBlackEnergyへのコマンド&コントロール(C&C)トラフィックの分析では、このボットネットがロシアのサイバー犯罪市場で生み出された可能性があることが判明しました。その証拠は、ボットの実行ファイルでも確認されています。シリーズの1回目となる今回は、このBlackEnergyボットのビルダーツールキットについて分析します。このボットネットには、DoS攻撃を仕掛けるさまざまな機能が組み込まれており、ロシアのWebサイトをターゲットにしていることが確認されています。Labsは、BlackEnergyのビルダーツールキットを入手しました。このツールキットは、従来バージョンのビルダーと異なり、ウイルス対策ソフトによる検出を回避する、ポリモルフィックバイナリを作成するオプションが用意されており、またデバッグ対策機能も組み込まれていました。ツールキットには、ボットネットをコントロールするためのPHPスクリプトや、MySQLデータベースのスキーマなどの情報を含む、Web機能が用意されています。:以下のスクリーンショットは、通常、自動ダウンロードやスパムメールによって配布されるボットクライアントを構築するために使用される、ビルダーツールキットです。以下は、ボットクライアントを構築するために使用されるデフォルトのパラメーターです。各ボット固有のビルドID。ウイルス対策ソフトウェアによる検出を回避するため、さまざまな暗号化ルーチンを挿入しますantidebug:デバッグ対策すべての設定オプションを指定して「Build」ボタンをクリックすると、ボットクライアントが生成され、さまざまな手段で配布することが可能になります。サーバーサイドのボットネットのコマンド&コントロールシステムツールキットには、ボットの感染を追跡するため、バックエンドに設置されているMySQLデータベースとやりとりするC&CサーバーサイドのPHPスクリプトが用意されています。ツールキットで確認されたファイルは以下の通りです。Readme.txtC&Cシステムには、基本的なHTTPパスワード認証スキームが用意されています。Auth.phpで表示されるLogin/Password画面から、ボットマスターはボットネットをコントロールすることができます。Loginの詳細は、以下のようにconfig.phpファイルに保存されます。“132′′;?>ボットのC&Cシステムには簡単なデータベーススキーマが用意されており、SQLクエリーがdb.sqlファイルに保存されています。以下はファイルからの抜粋です。(`name`));以下は、index.phpにアクセスしたときにUIに表示されるデフォルト値です。ボットネットのサイズを追跡する時に使用される「stat」という名前の重要なテーブル構造が保存されています。ボットクライアントによってポスト(POST)されるすべてのデータは、ボットクライアントからC&Cシステムに送り返されるビルドIDと一緒に、このテーブルに記録されます。SQLデータベースに接続し、GUIに表示される統計情報をフェッチするスクリプトです。以下は、このファイルで見つけたSQLクエリーの例です。ボットネットのアーキテクチャーBlackEnergyのコマンド&コントロールシステムを詳しく調べたところ、内部でスクリプトがどのようにやりとりしているかが判明しました。以下は、サーバーサイドのシステムが感染を追跡する他のモジュールとやりとりする様子です。ボットネットのコマンドボットクライアントのC&Cコードのリバースエンジニアリングを行った結果、主に3つのタイプのコマンドで構成されていることが確認されました。これらのコマンドの引数がReadme.txt、cmdhelp.htmlファイルにまとめられており、このパッケージのロシア語版が付属していました。その他、ボットクライアントのバイナリの分析中に、ヘルプファイルに記載されていない4番目のコマンドもを発見しました。各コマンドを見てみましょう。flood:-「Flood」コマンドは、ボットクライアントに複数のタイプのフラッド攻撃を仕掛けるよう指示します。このコマンドの引数は、先に図1で示した他のパラメーターと一緒に仕掛けるフラッド攻撃のタイプをボットに指示します。フラッド攻撃のタイプの引数の例は以下の通りです。-ICMP-UDP-SYN-HTTP-DataFloodコマンドと引数、その他のパラメーターは、Base-64でコード化された形式で、サーバーからボットクライアントに送信されます。SYNフラッド攻撃を仕掛けるよう指示する、デコードされたコマンドの例です。)stop:-Stopコマンドは、ボットクライアントにDDoSフラッド攻撃を一時的に停止するよう指示します。)die:-Dieコマンドは、ボットクライアントに感染したシステムから自身を削除するよう指示します。APIを呼び出してプロセスを中断し、すべてのDDoS活動を停止します。open:-これは、文書に記載されていないコマンドです。ボットクライアントのバイナリを分析したところ、他の実行ファイルをダウンロードしたり、ボットの実行ファイル自体を更新したりするのに使われる可能性があります。)wait:-ボットクライアントに、活動を行わずに沈黙を守り、指定された時間が経過した後、C&Cサーバーとコンタクトをとり、新しいコマンドを確認するよう指示します。このコマンドのフォーマットは以下の通りです。4500;2000;100;1;0;30;500;500;200;1000;2000#wait#10#xEN-XPSP1_80D1F15C上記は、ボットクライアントに10分待機してから新しいコマンドを確認するよう指示しており、以下のスクリーンショットからわかる内容とまったく同じです。ネットワーク通信BlackEnergyのボットクライアントは、HTTPプロトコルを使って、C&Cサーバーと通信します。POSTリクエストを使用し、データをstat.phpページにポストするよう要求します。POSTリクエストのデータは、主にボット追跡に使用されるデータベースの「stat」テーブルに記録されます。POSTリクエストメッセージでボットクライアントが送信する情報には、IDとビルドIDがあります。IDパラメーターは、SMBホスト名と感染マシンのC:\のボリューム情報を組み合わせたものです。以下のコードセクションから、IDパラメーターがどのように構築されているかがわかります。Build_IDはボットビルダーがランダムに生成するパラメーターで、ボットネットの感染を追跡するために使用されます。リクエストを受け取ったC&Cサーバーは、以下のようにBase-64でコード化されたコマンドで応答します。コマンドをデコードすると、以下が現れます。4500;2000;100;1;0;30;500;500;200;1000;2000#wait#10#xEN-XPSP1_80D1F15C.上記から、このボットネットで設定可能なDDoSパラメーターが分かります。#wait#コマンドでも、すべてのパラメーターが表示されます。同様に、以下のようなDoSコマンドがC&Cサーバーから発信されます。1.1.1.1#5#今回の分析により、ボットクライアントの実行ファイルを構築するのに使用されるツールキットにバックドアが設置されているということが判明しました。ツールキットの実行時、ビルダーのシステムのランダムなポートを受信待機モードで開きます。重要なシステム情報をリモートサーバーに送信することも確認されています。以下は、ボットを構築するツールキットを起動した際に撮影した、Base-64でコード化されたトラフィックのスナップショットです。上記のトラフィックをデコードすると、このツールキットからツールキットの作者に送信されている情報が現れます。ツールキットが以下のシステム情報を送信することも判明しました。Detectedにより、BlackEnergyボットネットに対応しています。最新版をインストールしているユーザーは、BlackEnergyボットネットから保護されます。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。個人の垣根を超えて共に力を合わせることで実現する、より安全な世界を目指し、企業そして個人向けのセキュリティソリューションを提供しています。脅威情報ネットの安全セキュリティ。