wakatonoの戯れメモスマートフォン用の表示で見るwakatonoの戯れメモはてなダイアリーから引っ越してきました。2020-02-17VBAマクロについての覚書VBAでネットワーク使う時に、いろいろと制約事項が出て来やしないか?というので調べてた。10で使うのはちと勇気がいる(というか普通には入っていない))。凶悪なBotが出てくる中で、マクロで完結させられるかどうか?の調査をしていたのだけど、とりあえず素の状態でVBAでネットワークを、というのは難しいという結論になりました。02:21VBAマクロについての覚書Tweet広告を非表示にするもっと読むコメントを書く2020-02-16ファイルレスマルウエアは「ファイルは作らない」が、何も作らないわけではない標的型攻撃に「ファイルレスマルウエア」が使われるようになって久しいが、標的型攻撃を仕掛けるモチベーション(きっかけ/やる気の源)は一体何か?を考えてみよう。仕掛ける相手の持ってる情報が欲しいできれば長い期間、情報を継続的に獲得したいでも、仕掛ける相手に侵入するのは結構手間となると、何らかの方法で(だいたいはHTTP/HTTPS経由)情報を持ち出す手段を攻撃を仕掛ける相手に仕込みたいとなる。ファイルレスマルウエアは、単純にファイルをスキャンするツールではみつからない。メモリ上にしか存在しないマルウエアは、永続性の観点で不安定である。「再起動したら消える」脆弱な存在だ。それでは、永続化するためにはどうしたらいいのだろうか。Windows上でファイルレスマルウエアを永続化するのは、(わりかし)容易かなと思う。以下、例えばこんな方法がある、ちうのを挙げていく。サービスに登録したPowershell等のワンライナースクリプトタスクスケジューラに登録したPowershell等のワンライナースクリプト別にPowershellに恨みがあるわけではないがw、Powershell上のワンライナースクリプトを用いて外部からプログラムを取得し、それを実行するというのはありうるし、ワンライナーでも結構なことを行える。外部に情報を持ち出すときにも(本当にファイルレスならば)一時ファイルを作成せず、「ファイルを読む→HTTPリクエストに読んだ内容を乗せる」という処理を繰り返すし、RATっぽいものも動かして、外部からの制御を受け付けるようC&Cサーバに接続を行わせることも可能だ(今だったらこっちか?)。いうことで、「ファイルを作らない」だけで、痕跡はあちこちに残るため、その痕跡を逃さないために、例えばEDRであったり(端末セントリックだが、ログは集中管理されるのが普通なので、後述するSIEMとも絡んでくる可能性あり)、SIEMであったり(各種ログセントリック)というツールを導入・運用していくという話になってくる。攻撃者の立場に立って考えると、「永続化」という話は重要なポイントなので、永続化のための手法を押さえておくと、攻撃された痕跡を見つけるのに役立つかもしれない。02:27ファイルレスマルウエアは「ファイルは作らない」が、何も作らないわけではないTweet広告を非表示にするもっと読むコメントを書く2020-02-16ファイルレスマルウエアは「確かに」ファイルは作らない「ファイルレス=ファイルを作らない」という話はまぁ間違いではないけど、そこから「痕跡を残さない」と飛ぶのは少し行き過ぎ。www.nikkei.com「本当に」痕跡が残らないと、そもそもどこからも何も検知できないが、実際には検知できているし、そのためのソリューションもある。どこで検知しているのか?というのを少し考えてみよう。Linuxは、デジタルフォレンジック向けのLinuxディストリビューション。Linuxを使ってみたのには理由がある。新しいディストリビューションであるAcquire向けの機能に絞ったISOイメージを配布している起動するだけであれば、誤ってHDDイメージを壊すことがない新しいのはまぁいいとして、なぜ2,3が重要なのか?を以下に述べる。実際にフォレンジックをやったことある人ならば経験ある人もいるかもだけど、HDDイメージを取得する時に、普通に配布されているLinuxディストリビューションではうまくいかない(そもそもブートすらしない)ことがある。ブートすらしない理由は、経験的にはIA32の拡張機能であるPAE(物理アドレス拡張)が関係していることが多い。LinuxのAcquire用イメージは、PAEなしCPUだろうとCylixだろうとTransmetaだろうと(ブート時のメッセージを読む限りは)サポートしており、わりかし安心して動かせる(速度は遅いがw)。F1を押下することで、CUIログイン画面が出る。F1を押下し、ユーザ名root、パスワードなしでログインできた。Linuxは、起動した段階では(少なくとも)ブートデバイス以外のHDDやSSDは、接続形態を問わず書き込み禁止状態になっている。HDDを追加しても、追加したHDDはかたっぱしから書き込み禁止状態になる。この状態であれば、起動しても(所定のコマンドを知らない限りは)書き込みをできるようにならない。Linuxでブート後HDDを書き込み可能にするためには?blockdevコマンドを用いる。wrtblkコマンドをはじめとして、複数のそれ向けコマンドがあるが、これらのコマンドはシェルスクリプトであり、中でblockdevコマンドを実行している。することで、書込み禁止状態を解除できる。しておかないといけない。onlyモードにされる。Imagerを使う人も多いと思う。ImagerはWindows版は64bit版しか配布されていない。32bitコマンドライン版が含まれている。コマンドライン版はなかなかステキな機能がある。個人的には以下の2つがツボった。デバイスファイルやraw形式のファイルを入力に指定可能e01形式(EnCase形式)で出力可能もうこれだけでも使う価値がある。Acquireを使ってイメージを取得することが可能だ。Linuxの弱点:とりあえずドキュメント類に乏しいwまだ出たばかりなのでしょうがないといえばしょうがないのだけど、まだドキュメント類はそんなにない(というかほとんどないw)。自分でいろいろ使ってみて、情報量を増やすのはアリかなと思った。Pocketを使ってみての所感(その他編)miscわりとどうでもいいようなよくないような点をまとめてみた。性能は意外に悪くない。Gen)よりちょっと悪いくらい(気が向いたら結果載せます)筐体の加工精度はものすごく高い。閉めたらぴったり閉まる。物欲満たされた感になる(個人的には重要)内蔵オーディオ(というかスピーカー)はモノラルだけど、別に気にならない(というか気にする気もない)Webカメラは内蔵してないけど、別に不便でもなんでもないのでOK。しても必要ならば、これこそUSBカメラつければOKな世界USB-CのHUB兼カードリーダーがついたモデルが届いたけど、正直いらなかったかなと感じてる。Pocketを入手できたわけですが、出せるのはいくらまでか?と言われると、この使い勝手ならば、たぶん6万円が限度だと思います(500ドルはまぁアリ。you"となりそう)。Pocketを使ってみての所感(電源まわり編)miscまとめると、「ハイバネーション設定必須」だけど、個人の責任でよろしくという感じで。ハイバネーションを有効にすると、問答無用でストレージ上の8GBの領域を食うので、これを惜しいと思う人は有効にしないほうがいい(けど、スリープでバッテリごんごん減るよw)。スリープ時の消費電力が半端なくでかい(閉じた状態で半日放っておいて触ったら「熱い」って意味わからねえw)。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。