脅威情報ネットの安全セキュリティ用語HOME脅威情報Stormワームについての考察Stormワームについての考察TweetPocket脅威情報2010.11.24Stormワームは2007年初めに登場し、主にスパミングとフィッシング活動で有名なボットネットになりました。Nuwar、Zhelatin、FakeAV、Peacommの別名でも知られるこのボットは今年初めに再び登場し、偽のウイルス対策ソフト、ダウンローダー型トロイの木馬で配布されました。Stormは、ターゲットPCから大量のスパムを送信する、比較的大規模なボットネットです。Fast-Fluxという手法を使って、分布域がわからないようにします。Labsが行った分析では、Stormの実行ファイルは未知の圧縮プログラムで難読化され、デバッグ環境や仮想環境が検出されると活動を中止する無限ループが使用されていることが確認されました。Stormのスパムキャンペーン活動には様々なスパムが含まれており、大半はオンラインのドラッグストア詐欺やアダルト製品に関係しています。いくつかのクライアントの脆弱性を利用した悪質なURLへのリンクからも拡散します。Stormを分析したところ、特有の特徴がいくつか確認され、ネットワーク不正侵入対策システムにStormの管理活動を確実に検出する仕組みを実装する上で役立ちました。Labsは、2010年4月に受け取った亜種を調べました。このサンプルの冒頭部には、様々な暗号解読ルーチンが組み込まれていました。最初の0×5090バイトがヒープに移動し、その後、暗号解読ルーチンを実行してバイナリを解凍します。ループの実行後、バイナリがヒープセクションに移動され、解読されます。asam.exeという名前で自身をc:\windowsにコピーし、Windowsの起動時に動作するようにレジストリキーを改変し、asam.exeプロセスを作成し、自身を終了します。作成されたasam.exeファイル内のHTTP通信コードの分析このStormファイルをリバースエンジニアリングしたところ、独自の制御チャネルの特徴がいくつか確認されました。チャネルはBase64でコード化され、gzipで圧縮されたHTTPデータをベースにしていました。HTTP通信の分析について、以下のコードスニペットで説明します。POSTリクエストのURI拡張Stormによって開始されるPOSTリクエストで使われている、ハードコード化されたURL拡張とURIの長さは以下の通りです。以下のコードのスナップショットで示されているのはランダム文字生成機能で、3バイトのランダムなアルファベット文字を生成し、「.」を付加してリクエストURIのパスを形成します。その後、再びランダム生成機能が呼び出され、.jpg、.htm、.gifからランダムな拡張子を選択し、先に生成したリクエストパスに拡張子を付加してURIを形成します。以下は、Stormワームがマシンで実行されたときのPOSTリクエストの低レベルの詳細です。POSTリクエストを介してボットマスターと通信するということです。POSTリクエストコードを検証したところ、User-Agentヘッダーで誤植と思われる別の手掛かりが見つかりました。SV1)」に設定され、Windowsが「Windoss」になっています。これは、Stormが現在活動していることを示す良い手掛かりです。不正侵入対策システムは、この手掛かりを使ってネットワーク上のStormを検出できます。ボットネットサーバーは、ボットがスパムを送信するのに使ったスパムテンプレートに応答します。サーバーからの先行データはすべて、Base64でコード化されています。サーバーからの応答をデコードすると、以下のスパムテンプレートが見つかりました。ボットクライアントは、このデータのデコード後、以下のループSMTPエンジンコードを使って、スパムテンプレートをベースにしたスパムメールを送信します。このボットで生成されるスパムメールを見てみましょう。さらなるコマンドが判明このボットの初期の亜種には、各コマンドを実行するために別々のコンポーネントとバイナリが組み込まれていました。分析したある亜種では、すべての制御コードがひとつのコンポーネントに組み込まれているようです。以下のコードに見られるように、さらなるマルウェアをシステムにダウンロードするダウンローダーコンポーネント、ボットの実行ファイルの最新コピーをダウンロードするアップデーターコンポーネントが確認されました。これらのコマンドがサーバー応答で検出されると、ボットは受信したデータを格納するヒープを割り当てます。ドライブのファイルをスキャンStormには、ドライブをスキャンして、以下の拡張子を持つファイルを探すルーチンも組み込まれています。.lstまた、これらのファイルに含まれる特定の文字列を検索します。ファイルに格納されているホスト、メールアドレスに関する情報を追跡するためと思われます。postmaster@ネットワーク上のStormワームを検出インターネットのメールトラフィックの大半はスパムです。これらのスパムボットを検出し、増殖を防がなければなりません。分析は、ネットワーク上でStormのトラフィックを検出する良い手掛かりを提供します。信頼性の高い手法のひとつは、ネットワークで短期間に発生した複数の疑わしいイベントを関連づけることです。その一例が、先に述べたUser-Agentの誤植のチェックです。MXクエリーと関連づけることができます。確実な検出方法は、これら2つのイベントを、ソースから外部へのSMTP接続の自然増と関連づけることです。これらの手掛かりをたどることで、ゲートウェイにてStormを検出する確率が高まります。~クラウドの安全性の状況と実用的ガイダンスマカフィーでは、1,400人のIT担当者に年次アンケートを実施し、クラウド採用状況やセキュリティについて調査しました。調査の結果、クラウドの採用とリスク管理への投資を増やしている組織がある一方で、クラウドの採用に慎重なアプローチをしている組織が多いことがわかりました。本調査では、クラウドサービスの利用状況を分類し、短期投資の確認、変化速度の予測、重要なプライバシーおよびセキュリティ上の障害物への対応方法の概要を示しています。本レポートでは、クラウドの現状把握と今後の方向性、クラウド対応の課題やポイントを理解することができます。個人の垣根を超えて共に力を合わせることで実現する、より安全な世界を目指し、企業そして個人向けのセキュリティソリューションを提供しています。脅威情報ネットの安全セキュリティ。