Download攻撃(以下、DbD)は減少してはいるものの、日々高度化しており決して無視できるものではない。我々は独自にDbDの観測基盤を構築し、様々な攻撃キャンペーンを観測してきた。Kitの挙動について調査し、DbDに関する最新の脅威動向を追っている。Kit(以下、RigEK)について、それがどのように攻撃を行っているのか解析したり、テイクダウン作戦に協力したり。した我々の活動について紹介しつつ、2017年におけるDbDの脅威動向について詳細に振り返る。我々は複数の攻撃キャンペーンでドロップするマルウェアの変化を調査した。Kitからマルウェアを定期的に取得することで、利用されるマルウェアのハッシュ値とファミリの変化を観測した。調査の結果、ドロップするマルウェアのハッシュ値が変化した場合も、C2サーバは長期間変化せずに利用されていることが判明した。IOCを活用したマルウェアのファミリの特定をおこなった。Kitやマルウェアの情報を公開しているブログやFeedからマルウェアのハッシュ値や通信先のIPアドレスとドメイン名の情報を収集し、それらとマルウェアのIOCを比較することで、ファミリ名を特定する。動的解析で有効なIOCを入手できなかったマルウェアに対しては、impfuzzyを用いることでファミリ名を特定した。IOCを活用してマルウェアのファミリを特定することで、高度な解析技術を持っていないエンジニアや膨大な脅威情報を所持していない組織においてもマルウェアの分析が可能であることを示す。入社し、NTTセキュアプラットフォーム研究所にてマルウェア解析技術の研究開発に4年間従事した。その後はNTTセキュリティ・ジャパン株式会社(旧NTTコムセキュリティ株式会社)にて、SOCアナリストとしてセキュリティ機器等のログ分析業務に従事している。エクスプロイトキットを用いた攻撃が流行しました。あり、改ざんサイトや不正広告から誘導された端末をマルウェアに感染させます。これまでに、NTTセキュリティ・ジャパンのSOCでは独自にRIGエクスプロイトキットの調査を実施し、調査結果を「RIGエクスプロイトキット解析レポート」と題したホワイトペーパーにまとめて公開しました。本講演では、攻撃サイトドメインリストの取得方法など、ホワイトペーパーに記載できなかった具体的な調査手法を共有します。URSNIFはオンラインバンキングをはじめとするオンライン取引サービスに関連する情報を窃取するだけでなく、キーボード入力やクリップボードの内容などを窃取する機能を備えたマルウェアです。NTTセキュリティ・ジャパンのSOCでは、独自にURSNIFを解析し、調査のために感染後通信を復号・模擬するツールを開発しました。本講演では、解析の観点、ツールの実装方法、およびツールを用いた調査の結果を共有します。春名2013年グリー株式会社入社。1年間のWebアプリケーション開発と2年半のスマートフォンゲーム品質保証業務を経たのち、2016年サイバーディフェンス研究所入社。現在は主にコンピュータフォレンジック業務に携わる。サイバー犯罪対策センター(JC3)にてIoTマルウェアの観測活動を行っている。近年、IoT機器の普及と共に、脆弱なIoT機器を攻撃者に利用される脅威が顕在化している。昨年起こったIoTボットネットを利用したDyn社へのDDoS攻撃は記憶に新しい。その後も、様々な種類のIoTを狙ったボットネットが活動しており、今後もこれら脆弱なIoT機器を対象とした攻撃を始め、これらを悪用したDDoS攻撃が続くと予想される。これらのボットネットの感染拡大活動はさまざまな組織で観測されているが、これらのボットネットが何を狙いにし、どこを攻撃しているのかの観測・分析とその情報の共有が広くされている事例は少ない。そのため、IoTボットネットからのDDoS攻撃はどのような脅威なのか実情を詳らかにするための第一段階として、「BASHLITE(別名Gafgyt,Lizkebab,Qbot,Torlus,LizardStresser)」と呼ばれるIoTボット約25検体(2017年10月現在)のコマンド&コントロールサーバ(以下C&Cサーバ)から送られてくる攻撃命令を5ヵ月間にわたり観測した。本講演では、攻撃先の傾向などを分析した結果の解説ののち、特徴的なふるまいをした検体の事例を実際に受信した攻撃命令を解説しながら紹介する。文生2012年から2年間、ベンチャー企業にて脆弱性診断業務に従事した。2014年にNTTセキュリティ・ジャパン株式会社(旧NTTコムセキュリティ株式会社)に入社し、現在までSOCアナリストとしてセキュリティ機器のログ分析業務に従事している。その他に、マルウェアや脆弱性攻撃の解析、ホワイトペーパーの執筆などを行っている。一般に標的型攻撃によってRATに感染した場合、攻撃者は仕掛けたバックドア経由で外部から侵入を試み、感染端末や所属するネットワークの情報を窃取し、ターゲットとなる機密情報を所有しているホストへのアクセスを目指します。当社では、マルウェアの感染挙動や感染端末に侵入した後の攻撃者の振る舞いを観測するため、独自の囮システムを構築しました。囮システムは可能な限りシンプルな構成にし、入手性の良いものを使用して手軽に構築できるものを目指しました。囮システムの感染端末には、仮想環境の検知を回避するため、物理サンドボックス(物理端末)を使用しています。観測環境は、マルウェアや攻撃者に気付かれないように感染通信をスイッチのミラーで出力し、別のネットワーク上で観測する構成にしています。本講演では、構築した囮システムの詳細を説明し、当社ホワイトペーパー「北朝鮮関連サイトを踏み台とした水飲み場型攻撃」(https://www.nttsecurity.com/docs/librariesprovider3/default-document-library/jp_20170815_北朝鮮関連サイトのサイバー攻撃レポート_v1)に掲載した標的型攻撃と当該攻撃の囮システムによる観測事例を、ホワイトペーパーで掲載しなかった内容も含めて紹介していきます。侵入の観測結果を反映させて囮システムに改良を加えましたので、改良点も併せて紹介します。柳下元マクニカネットワークス株式会社所属。ソフトウェア開発・サポート業務を経た後、EDR製品を用いて顧客のインシデント対応支援を行う。現在は、脅威情報分析と侵害調査サービスに従事。寛マクニカネットワークス株式会社所属。サンドボックス製品の技術支援の中で、国内で発生したエクスプロイト攻撃やマルウェアの解析経験を積む。現在は、セキュリティサービスの企画と脅威情報分析を担当。攻撃者グループが使うマルウェアは、ダウンローダー・ドロッパー・バックドア等様々な種類があります。使われるマルウェアは時を経て変化していきますが、変わらず残っている部分もあり、コードから攻撃者グループへ帰属できるケースもあります。本発表では、2016年から2017年にかけて弊社で解析したAPTマルウェアを題材に、検出回避・アンチフォレンジック等の特徴的な処理と過去のマルウェアから共通して使われているコード部分に着目し、変化していない部分とその時の流行により変化が見られた部分を解説します。解析の際に使用したツールとそのTipsについて紹介します。Pain"と呼ばれるコンセプトがありますが、その中では攻撃者グループが使用するマルウェアを"Tools"に位置付けて、それを変える事は攻撃者グループにとって"Challenging"であると提唱しています。コード分析を通して変化が見られない部分を見つけ、それをセキュリティ対策に活用する事は有効な手段となると考えられます。その一例がオープンソースのYARAですが、我々がコードのどういった部分に注目し、本講演で取り上げるマルウェアを検出するYARAを作成したのかについても触れたいと思います。傑2008年、日本の研究員としてカスペルスキーに入社。マルウェア、スパム、フィッシングといったサイバー空間における脅威情報・検体の収集および分析を担当する。Team)にマルウェアリサーチャーとして参画、グローバルでのAPTを含む最新の脅威動向の調査に従事。Termite」という国内を標的としたサイバースパイ活動について、その調査結果をブログにて公開しました。このブログではサイバースパイ活動に用いられる「Emdivi」というバックドアやその解析内容、攻撃者の手法について触れています。この攻撃者グループは2015年5月に日本年金機構に対して攻撃を行い、氏名や、住所等の個人情報を含む125万件を超える情報が漏洩した可能性が高いと報道されており、2年立った今現在でも語られるこの事件は国内の中でも最大規模のサイバー攻撃の一つと言えます。我々の調査結果によると、この攻撃者グループは過去台湾と日本を攻撃していた痕跡を確認しており、更に2016年の1月には韓国に対しても攻撃を行っていたと思われます。その後、このグループの活動は観測できなくなりました。t20」の新しい検体がVirusTotalにアップロードされました。「t20」は攻撃者によってつけられたマルウェアのバージョンと考えられており、過去の攻撃においてその多くは、標的組織侵入後に使用していたとされています。検体の中には特殊環境下でしか動作しない検体も確認されており、この手法は他ではあまり見ない稀なものでした。t20の検体をアップロードを行った投稿者IDの情報に目を向けてみると非常に興味深い情報が見えてきました。同じ投稿者IDからは様々な「怪しい」ファイルがアップロードされていたのです。Termite」の現在の活動についての考察を紹介します。Topへ※プログラムは都合により変更になる場合があります。